ProcessTray

ProcessTray Ransomware

ProcessTray Cover-Ransomware

(шифровальщик-не-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей, а затем даже не  требует выкуп, чтобы вернуть файлы, возможно, из-за ошибке в программе. Оригинальное название: нигде не указано. На файле написано: ProcessTray.exe, Tray.exe.
---
Обнаружения:
DrWeb -> Trojan.Encoder.34047
BitDefender -> Trojan.GenericKD.46515234
ESET-NOD32 -> A Variant Of MSIL/Filecoder.AJL
Kaspersky -> HEUR:Trojan-Ransom.MSIL.Encoder.gen
Malwarebytes -> Ransom.FileCryptor
Microsoft -> Ransom:Win32/Genasom
Symantec -> ML.Attribute.HighConfidence
TrendMicro -> Ransom_Encoder.R002C0WFL21
---

© Генеалогия: ??? >> ProcessTray

Сайт "ID Ransomware" это пока не идентифицирует.

Информация для идентификации

Образец  этого крипто-вымогателя был найден в середине июня 2021 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам должно было добавиться некое расширение, но в изученном образце этого не произошло из-за ошибки в программе. Другой образец не был предоставлен. 

Записка с требованием выкупа также не была оставлена. Возможно в более новых образцах мы что-то из этого увидим. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


➤ Используется для скрытой установки майнера криптовалюты XMRig. Это высокопроизводительный кроссплатформенный майнер CPU/GPU с открытым исходным кодом. 

Установка майнера нужна для того, чтобы максимизировать выгоду с каждой зараженной машины. Порядок установки примерно такой: пользователь ставит некую программу, в которой есть троянец, который загружает и устанавливает шифровальщик, а под его прикрытием загружается и ставится майнер XMRig для майнинга криптовалюты Monero. Такой шифровальщик нужен только для прикрытия, поэтому он и называется Cover-Ransomware. В результате атаки, когда пользователь ещё только читает записку с требованиями выкупа, его компьютер уже приносит злоумышленникам деньги. Обычно такой шифровальщик легко обнаруживается антивирусной защитой и удаляется, а майнер остаётся. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
<ransom_note>.txt - название файла с требованием выкупа;
ProcessTray.exe, Tray.exe - случайное название вредоносного файла.

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: - 
XMR: - 

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 6585cb51ff21007fb9ef936e96c58982

SHA-1: 7a3d5563460b9935fe84879ee14fabfc7c664825

SHA-256: e07b0cd7eca5bc70b07ea786c3ef4da28036c901effa2193a93caf945cb2b334

Vhash: 23503655651170878d2020

Imphash: f34d5f2d4577ed6d9ceec516c1f5a744

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 * 

 Thanks: 
 Skystars
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.