NoWay

NoWay Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель делает вид, что шифрует данные пользователей с помощью комбинации алгоритмов AES-256 + RSA, а затем требует выкуп $250 в BTC, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: нет данных.
---
Обнаружения (вспомогательный файл):
DrWeb -> Trojan.Inject4.23400
BitDefender -> Trojan.GenericKD.38423059
ESET-NOD32 -> A Variant Of Win64/Kryptik.CMZ
Kaspersky -> Backdoor.Win32.Androm.uydg
Malwarebytes -> Trojan.Injector
Microsoft -> Trojan:Win32/Woreflint.A!cl
Rising -> Backdoor.Androm!8.113 (CLOUD)
Symantec -> Trojan.Gen.MBT
Tencent -> Win32.Backdoor.Androm.Sunp
TrendMicro -> TROJ_GEN.R002H0CLU21
---

© Генеалогия: ??? >> NoWay

Сайт "ID Ransomware" идентифицирует это как NoWay. 

Информация для идентификации

Активность этого крипто-вымогателя была в конце декабря 2021 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К фейк-зашифрованным файлам добавляется расширение: .noway

Имя файла вместе с расширением кодируется в base64 и может быть восстановлено с помощью онлайн-декодера на сайте base64decode.net. 

Если убрать расширение .noway и декодировать имя файла, то файл можно открыть, как обычно. Это довольно сложно сделать для множества зашифрованных файлов, поэтому лучше использовать дешифровщик (см. ссылку в конце статьи). 

Записка с требованием выкупа называется: Unlock your file Instraction.txt

Содержание записки о выкупе:

All your files have been Encrypted with the AES-256 encryption algorithym

making your files inaccessible. I will show you how to get them back.

You have 72 hours starting from now to pay your ransom before your

private key is deleted from our servers permenantly, making your files

inaccessible forever, If you try to damage, remove or tamper with this

software in any way your  key will self destruct.

Instructions to recover your files :

1. Go to https://login.blockchain.com/#/signup or any website where you can buy bitcoin and set up a new wallet.

2. Purchase 250$ of bitcoins .

3. Send 250$ of bitcoins to the address : 3GfbwCbTJXFLmLBL8E59YJdhs9uftLfSM5

4. then send your transaction ID to : michael.adler@swsemarketing.ca

to get your decryption key for your files

Перевод записки на русский язык:

Все ваши файлы зашифрованы с алгоритмом шифрования AES-256, что делает ваши файлы недоступными. Я покажу вам, как их вернуть. 

У вас есть 72 часа, начиная с этого, чтобы заплатить выкуп, прежде чем ваш закрытый ключ будет навсегда удален с наших серверов, что сделает ваши файлы недоступными навсегда. Если вы попытаетесь повредить, удалить или вмешаться в эту программу, ваш ключ самоуничтожится. 

Инструкции по восстановлению ваших файлов:

1. Перейдите на https://login.blockchain.com/#/signup или на любой другой веб-сайт, на котором вы можете купить биткойны и настроить новый кошелек.

2. Купите 250$ биткойнов.

3. Отправьте 250$ биткойнов на адрес: 3GfbwCbTJXFLmLBL8E59YJdhs9uftLfSM5

4. затем отправьте свой ID транзакции на адрес: michael.adler@swsemarketing.ca

чтобы получить ключ дешифрования ваших файлов

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список типов файлов, подвергающихся фейк-шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
Unlock your file Instraction.txt - название файла с требованием выкупа;
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: michael.adler@swsemarketing.ca
BTC: 3GfbwCbTJXFLmLBL8E59YJdhs9uftLfSM5

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов (связаны с DarkVision RAT): 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 5a0160ed4f57e8aeb9ce39f1d3606548

SHA-1: 1eef4cfb70cceced854911d189679c50d86e6af1

SHA-256: cd728d0db13233a07740e7f802582f375ff625a9966e68e41cca051ebf19daad

Vhash: 045066555d1555751021z14z57jz11zffz

Imphash: 19c1a6dfbb72165cd68f322978fb4434

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 myMessage + Message + Message
 Write-up, Topic of Support
 ***

Внимание!
Файлы можно расшифровать. 
Скачать Emsisoft Decryptor for NoWay >> 

 Thanks: 
 Michael Gillespie, 
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

Cincoo

Cincoo Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует выкуп 6000$ в Monero, чтобы вернуть файлы. Оригинальное название: Cincoo. На файле написано: Cincoo.exe.
---
Обнаружения:
DrWeb -> Trojan.Encoder.35063
BitDefender -> Gen:Variant.Doina.30220
ESET-NOD32 -> A Variant Of Win32/Filecoder.OJT
Kaspersky -> HEUR:Trojan-Ransom.Win32.Agent.gen
Malwarebytes -> Malware.AI.3948084152
Microsoft -> TrojanDownloader:Win32/Convagent!mclg
Rising -> Ransom.Agent!8.6B7 (CLOUD)
Tencent -> Win32.Trojan.Filecoder.Aisc
---

© Генеалогия: ??? >> Cincoo

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в конце декабря 2021 г.  Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: _enc

Записка с требованием выкупа называется: README.txt

Содержание записки о выкупе:

Some of your files unavailable

We wait our reward: 6000$

Payment method:

Monero : 43WdPFodMTf6dhkNMauHa1UPRXNTT55XGCtjQeJVDmVTEJqN6NE7LeKFR3eTnNAuhoJpBkvb5XpjKHrod5u1BoDe4mYJ4fB

After payment files will automatically restored

Contacts:

nm67p7a@mailfence.com

Перевод записки на русский язык:

Некоторые из ваших файлов недоступны

Ждём нашу награду: 6000$

Способ оплаты:

Монеро: 43WdPFodMTf6dhkNMauHa1UPRXNTT55XGCtjQeJVDmVTEJqN6NE7LeKFR3eTnNAuhoJpBkvb5XpjKHrod5u1BoDe4mYJ4fB

После оплаты файлы автоматически вернутся

Контакты:

nm67p7a@mailfence.com

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
README.txt - название файла с требованием выкупа;
Cincoo.pdb - название файла проекта; 

Cincoo.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

C:\repos\Cincoo\Cincoo\Cincoo\Release\Cincoo.pdb

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: nm67p7a@mailfence.com
Monero (XMR): 43WdPFodMTf6dhkNMauHa1UPRXNTT55XGCtjQeJVDmVTEJqN6NE7LeKFR3eTnNAuhoJpBkvb5XpjKHrod5u1BoDe4mYJ4fB

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 7976be9650ff52c6d9900a10999b1aa3

SHA-1: fe28575b83718ac91e2e4dea643d0e897ef80b59

SHA-256: 9ccba9179e1e36fc5571738fb046617955e9d145116b2aa028e335e5d7153b99

Vhash: 045056655d15556az5a!z

Imphash: 830d812500c3679c26a817c662020cf5

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Topic of Support
 * 

 Thanks: 
 dnwls0719
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

Surtr

Surtr Ransomware

(шифровальщик-вымогатель, RaaS) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует написать на email вымогателей, чтобы узнать как заплатить выкуп и вернуть файлы. Оригинальное название: SurtrRansomware, Surtr RaaS. На файле написано: Surtr.exe. Языки программирования: C, C++  и другие. 
---
Обнаружения:
DrWeb -> Trojan.Encoder.34790
BitDefender -> Gen:Variant.Bulz.597982
ESET-NOD32 -> A Variant Of Win64/Injector.GN
Kaspersky -> Trojan.Win32.DelShad.hko
Malwarebytes -> Ransom.Surtr
Microsoft -> Ransom:Win64/Surtr.MK!MTB
Rising -> Trojan.Injector!8.C4 (CLOUD)
Symantec -> Trojan.Gen.2
Tencent -> Win32.Trojan.Delshad.Anfw
TrendMicro -> TROJ_GEN.R002H0DLN21
---

© Генеалогия: ??? >> Surtr

Сайт "ID Ransomware" идентифицирует это как Surtr. 

Информация для идентификации

Активность этого крипто-вымогателя была в конце декабря 2021 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .SURT

Фактически используется составное расширение по шаблону: .[DecryptMyData@mailfence.com].SURT

Записки с требованием выкупа называются: 

SURTR_README.txt

SURTR_README.hta

Содержание записки SURTR_README.txt:

What happened to your files?

Unfortunately, your server was compromised, 

using a security hole in your server.

All your files are encrypted with a military algorithm .

in order to contact us you can email this address

DecryptMyData@mailfence.com

use this ID( Mg7XhdqAg5vABo ) for the title of your email.

if you weren't able to contact us within 24 hours please email :

Decrypter@msgsafe.io

Only we can decrypt your files.

Please do not contact separate fraudulent sites.

You can use freeand even paid software on the Internet, 

but it is uselessand will cause you to lose filesand timeand money.

Перевод записки на русский язык:

Что случилось с вашими файлами?

К сожалению, ваш сервер был взломан,

используя дыру в безопасности на вашем сервере.

Все ваши файлы зашифрованы с военным алгоритмом.

чтобы связаться с нами, вы можете email на этот адрес

DecryptMyData@mailfence.com

используйте этот ID (Mg7XhdqAg5vABo) для заголовка вашего email.

если вы не смогли написать нам в течение 24 часов, пишите на email:

Decrypter@msgsafe.io

Только мы можем расшифровать ваши файлы.

Пожалуйста, не связывайтесь с отдельными мошенническими сайтами.

Вы можете использовать бесплатные и даже платные программы в Интернете,

но это бесполезно и приведет к потере файлов, времени и денег

Содержание записки SURTR_README.hta:

SurtrRansomware 

OOPS ALL YOUR IMPORTANT FILES HAVE BEEN ENCRYPTED AND STOLEN !!

Notice : There is only one way to restore your data read the boxes carefully! 

Attention :

☢ Do Not change file names. 

☢ Do Not try to decrypt using third party softwares , it may cause permanent data loss . 

☢ If you do not pay the fee within one month , your important files will be published in our public belog . 

☢ Do not pay any money before decrypting the test files. 

☢ You can use our 50% discount if you pay the fee within first 15 days of encryption . otherwise the price will be doubled. 

☢ In order to warranty you , our team will decrypt 3 of your desired files for free.but you need to pay the specified price for the rest of the operation . 

How To Decrypt :

☢ Your system is offline . in order to contact us you can email this address  DecryptMyData@mailfence.com  use this ID (Mg7XhdqAg5vABo) for the title of your email . 

☢ If you weren't able to contact us within 24 hours please email :  Decrypter@msgsafe.io  

☢ If you didn't get any respond within 48 hours use this link (Not Available Now).send your ID and your cryptor name (SurtrRansomwareUserName) therefore we can create another way to contact you as soon as possible  

Перевод записки на русский язык:

SurtrRansomware

Упс ВСЕ ВАШИ ВАЖНЫЕ ФАЙЛЫ ЗАШИФРОВАНЫ И УКРАДЕНЫ !!

Примечание: есть только один способ восстановить ваши данные, внимательно прочтите!

Внимание :

☢ Не меняйте имена файлов.

☢ Не пытайтесь расшифровать с помощью сторонних программ, это может привести к безвозвратной потере данных.

☢ Если вы не оплатите взнос в течение одного месяца, ваши важные файлы будут опубликованы в нашем общедоступном блоге.

☢ Не платите деньги перед расшифровкой тестовых файлов.

☢ Вы можете воспользоваться нашей скидкой 50%, если заплатите комиссию в течение первых 15 дней после шифрования. иначе цена будет удвоена.

☢ Чтобы гарантировать вам, наша команда бесплатно расшифрует 3 нужных вам файла, но вам надо заплатить указанную цену за оставшуюся часть операции.

Как расшифровать:

☢ Ваша система отключена. чтобы связаться с нами, вы можете написать на этот адрес DecryptMyData@mailfence.com, используйте этот ID (Mg7XhdqAg5vABo) как заголовок вашего email.

☢ Если вы не смогли связаться с нами в течение 24 часов, пишите email на: Decrypter@msgsafe.io

☢ Если вы не получили ответа в течение 48 часов, используйте эту ссылку (сейчас недоступно). Отправьте свой ID и имя шифровальщика (SurtrRansomwareUserName), чтобы мы могли создать другой способ связаться с вами как можно скорее

Другим информатором является изображение, заменяющее обои Рабочего стола. 

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

➤ Удаляет теневые копии файлов, манипулирует размером теневого хранилища, отключает функции восстановления и исправления Windows на этапе загрузки, отдельно удаляет все найденные бэкапы. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
SURTR_README.txt - название файла с требованием выкупа;

SURTR_README.hta - название файла с требованием выкупа;
Surtr.exe - случайное название вредоносного файла; 

ID_DATA.surt - файл с идентификатором;

Private_DATA.surt - приватный данные; 

Public_DATA.surt - публичные данные; 

SurtrBackGround.jpg - фоновое изображение; 

SurtrIcon.ico - иконка;  

Dropper.pdb - файл проекта. 

 

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

C:\ProgramData\Service\ID_DATA.surt

C:\ProgramData\Service\Private_DATA.surt

C:\ProgramData\Service\Public_DATA.surt

C:\ProgramData\Service\SURTR_README.hta

C:\ProgramData\Service\SURTR_README.txt

C:\ProgramData\Service\Surtr.exe

C:\ProgramData\Service\SurtrBackGround.jpg

C:\ProgramData\Service\SurtrIcon.ico

C:\Users\Admin\AppData\Local\Temp\Service\ID_DATA.surt

C:\Users\Admin\AppData\Local\Temp\Service\Surtr.exe

C:\Users\Admin\AppData\Local\Temp\Service\SURTR_README.hta

C:\Users\Dev\source\repos\Dropper\x64\Release\Dropper.pdb

Файлы в Автозагрузке системы: 

C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\SURTR_README.txt 

C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Surtr.exe 

C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Surtr.exe 

C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\SURTR_README.hta 

C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\SURTR_README.txt 

C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp\Surtr.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: DecryptMyData@mailfence.com, Decrypter@msgsafe.io
BTC: - 

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB, MB

MD5: e6fc190168519d6a6c4f1519e9450f0f

SHA-1: af2080ddf1064fb80c7b9af942aaabf264441098

SHA-256: 8199ef63e0058be6217ec8392258fbe7fac9fb556b8e87f40a3a45835f424980

Vhash: 035076655d155515555038z4f3z1@z

Imphash: dc2674579d8467837a92f4344084fc20

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Вариант от 3 марта 2022: 

Сообщение >>

Расширение: .surtr

Email: Dec_youfile1986@mailfence.com

Записки: SURTR_README.hta, SURTR_README.txt

Изображение на обои: SurtrBackGround.jpg

Результаты анализов: VT + IA + TG

Обнаружения: 

BitDefender -> Gen:Variant.Lazy.132748

DrWeb -> Trojan.Siggen17.19184

ESET-NOD32 -> A Variant Of Win32/Filecoder.NHQ

Kaspersky -> HEUR:Trojan-Ransom.Win32.Generic

Malwarebytes -> Ransom.Surtr

Microsoft -> Ransom:Win32/Babuk.SIB!MTB

Rising -> Ransom.Agent!8.6B7 (CLOUD)

Tencent -> Win32.Trojan.Filecoder.Wnmq

TrendMicro -> Ransom.Win32.SURTR.YXCCCT

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Topic of Support
 * 

 Thanks: 
 S!Ri, Michael Gillespie
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

WannaBitcoin

WannaBitcoin Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует выкуп в 0.05 BTC / 1 ETH, чтобы вернуть файлы. Оригинальное название: WannaBitcoin, указано в разных местах. На файле написано: WannaBitcoin.exe.

---
Обнаружения:
DrWeb -> Trojan.Encoder.34761
BitDefender -> Gen:Variant.MSILHeracles.32528
ESET-NOD32 -> A Variant Of MSIL/Filecoder.WannaBitcoin.A
Kaspersky -> HEUR:Trojan-Ransom.MSIL.Gen.gen
Malwarebytes -> Ransom.WannaBitcoin
Microsoft -> Trojan:Win32/Sabsik.FL.B!ml
Rising -> Ransom.DaddyCrypt!1.D566 (CLASSIC)
Symantec -> ML.Attribute.HighConfidence
Tencent -> Msil.Trojan.Filecoder.Duwk
TrendMicro -> Ransom_Gen.R002C0PLK21
---

© Генеалогия: ??? >> WannaBitcoin

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была замечена во второй половине декабря 2021 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру. 

К зашифрованным файлам добавляется расширение: .wannabitcoin

Записка с требованием выкупа называется: READ ME TO RECOVER YOUR FILES.wannabitcoin.txt

Обратите внимание на то, что в записке вымогатели хотят получить 1 ETH. 

Содержание записки о выкупе:

All of your files have been encrypted by WannaBitcoin.

To dercrypt your files 1 to: 0xF37552d92C1EB2b3e57965649fa2c5f94bE8F18A

After you sent 1 ETH, please click on the Check Payment button.

Encryption Log:

----------------------------------------

C:\Users\admin\Desktop\amazoninterest.jpg

C:\Users\admin\Desktop\aucommittee.png

C:\Users\admin\Desktop\breakfeatured.rtf

C:\Users\admin\Desktop\desktop.ini

C:\Users\admin\Desktop\firepapers.rtf

C:\Users\admin\Pictures\batteryrepublic.jpg

C:\Users\admin\Pictures\businessopportunity.png

C:\Users\admin\Pictures\desktop.ini

C:\Users\admin\Pictures\downloadhead.jpg

C:\Users\admin\Pictures\releasedshall.jpg

Перевод записки на русский язык:

Все ваши файлы зашифрованы WannaBitcoin.

Чтобы расшифровать ваши файлы 1 в: 0xF37552d92C1EB2b3e57965649fa2c5f94bE8F18A

После того, как вы отправили 1 ETH, нажмите кнопку Проверить платеж.

Журнал шифрования:

----------------------------------------

***

Записка с требованием выкупа также написана на экране блокировки. Следующие скриншоты демонстрируют как это выглядит в разных системах. 

Примечательнор, что на этот скриншотах видно, что вымогатели хотят получить 0.05 BTC. 

Другим информатором жертвы является изображение, заменяющее оои Рабочего стола. Обратите внимание, здесь опять вымогатели хотят получить 1 ETH. 

Не будем сравнивать соотношение BTC и ETH, нет смысла. Вымогатели сами не определились, что именно они хотят получить — "биткоины" или "эфиры". Хотя название программы-вымогателя указывает на то, что вымогатели хотят получить именно биткоины. 

Более того, вымогателям и этого показалось мало и они добавили текст ещё и в зашифрованные файлы. 

Вот этот текст. Здесь вымогатели также хотят биткоины. 

Содержание текста:

Your files have been encrypted !

What Happened?

Your important files are encrypted.

Your documents, photos, video, databases and other files are can’t access because your files have encrypted by RSA-8192. 

Can I Recover My Files ?

You can decrypt your files using our decrypt but you need to pay for it. It cost 0.05 BTC.

How Do I Pay ?

Payment is accepted in Bitcoin only. For more information, click <What is bitcoin>.

Please check the current price of Bitcoin and buy some bitcoins. For more information, please click <How to buy bitcoins>.

Remember to send the correct amount to the address specified in window.

After your payment, click <Check Payment>.

Once the payment is checked, you can start decrypting your files immediately.

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
READ ME TO RECOVER YOUR FILES.wannabitcoin.txt - название файла с требованием выкупа;
WannaBitcoin.exe - название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

C:\Jeff\Apps\WannaBitcoin\obj\Debug\WannaBitcoin.pdb

C:\Users\Admin\AppData\Local\Temp\WannaBitcoin.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: - 

ETH: 0xF37552d92C1EB2b3e57965649fa2c5f94bE8F18A
BTC: 

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 114edffe6d90393ac464866ddf138f90

SHA-1: 97ebbf910fd31a626126311453f8ee87171eb92d

SHA-256: 8cdd2fe5990836816361ce46cce780a56b70456ae2b4c6595fcb6cc2601c754a

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 ID Ransomware (ID as ***)
 Write-up, Topic of Support
 * 

 Thanks: 
 dnwls0719
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.