Robux

Robux Ransomware

Pay-5000-Robux Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей, а затем требует заплатить 5000 Robux за игровой абонемент, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: som.exe. 
---
Обнаружения:
DrWeb -> Trojan.MulDrop18.46263

ALYac -> Trojan.Ransom.Filecoder

Avira (no cloud) -> HEUR/AGEN.1138003
BitDefender -> Gen:Heur.MSIL.Bladabindi.1
ESET-NOD32 -> A Variant Of MSIL/ClipBanker.LR
Malwarebytes -> MachineLearning/Anomalous.96%
Microsoft -> Trojan:Win32/Sabsik.FL.B!ml
Symantec -> ML.Attribute.HighConfidence
Tencent -> Win32.Trojan.Generic.Eehy
TrendMicro -> TROJ_GEN.R002C0PJS21 
---

© Генеалогия: HiddenTear >> Robux

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации 

Активность этого крипто-вымогателя была в конце октября 2021 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру. 

К зашифрованным файлам добавляется расширение: .<random{4}>

Записка с требованием выкупа называется: read_it.txt

Содержание записки о выкупе:

All of you're files have been encrypted and you wont be able to get them back you have 7 days to pay 5,000 Robux otherwise you're files will be gone forever.

Purchase the gamepass down below.

Link: hxxx://www.roblox.com/game-pass/24150606/Passess

As soon as you buy the gamepass you're files will be automatically unlocked.

contact Email: g0dd@criptext.com

Telegram: RETT_04

If you're files does not automatically unlock after you've sent the payment please contact me with you're roblox username.

Перевод записки на русский язык:

Все ваши файлы были зашифрованы, и вы не сможете их вернуть, у вас есть 7 дней, чтобы заплатить 5000 Robux, иначе ваши файлы исчезнут навсегда.

Купите игровой абонемент внизу.

Ссылка: hxxx://www.roblox.com/game-pass/24150606/Passess

Как только вы купите игровой пропуск, ваши файлы будут автоматически разблокированы.

контактный Email: g0dd@criptext.com

Telegram: RETT_04

Если ваши файлы не разблокируются автоматически после отправки платежа, свяжитесь со мной, указав свое имя пользователя roblox.

Cкриншот страницы сайта, куда нужно зайти

Cкриншот страницы сайта, где нужно купить Robux

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
read_it.txt - название файла с требованием выкупа;
som.exe - название вредоносного файла. 

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
URL: hxxx://www.roblox.com/game-pass/24150606/Passess

Email: g0dd@criptext.com

BTC: - 

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 8dae31dc9349c0466dd5716629086efc

SHA-1: 10ba027460e9a4281271d644e09ab65e93df3d1d

SHA-256: 21015517c1ced96b58b6597e50d1805610b48292cfba20c730ae69123f15d684

Vhash: 255036755515020701010

Imphash: f34d5f2d4577ed6d9ceec516c1f5a744

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Topic of Support
 * 

 Thanks: 
 S!Ri 
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.