NotRansomCryptoLock

NotRansom CryptoLock Ransomware

NRCL Ransomware

(шифровальщик-не-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует выкуп в $300, чтобы вернуть файлы. Используется несуществующий тестовый email. Оригинальное название: NotRansom_CryptoLock_Dropper. На файле написано: NotRansom_CryptoLock_Dropper.
---
Обнаружения:
DrWeb -> Trojan.Encoder.34653
BitDefender -> Gen:Heur.Ransom.MSIL.!diop!.1
ESET-NOD32 -> A Variant Of MSIL/TrojanDropper.Agent.FIN
Malwarebytes -> Ransom.FileCryptor
Microsoft -> Ransom:MSIL/CryptoLocker.DD!MTB
Symantec -> ML.Attribute.HighConfidence
TrendMicro -> Ransom_CryptoLocker.R002C0DL521
---

© Генеалогия: ✂ Snc Ransomware > NotRansomCryptoLock

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Образец этого крипто-вымогателя был найден в начале декабря 2021 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру. Пока нет сообщений о распространении. 

К зашифрованным файлам добавляется расширение: .NRCL

Записка с требованием выкупа написана на экране блокировки: 

Содержание записки о выкупе:

Oops. All your files are encrypted.

Your Documents, Pictures, Videos and any datas.

Q: Can I Recover my files?

A: Sure. But you must pay $300.

Q: Why do I pay?

A: Please send an e-mail for test.test@gmail.com.

/////////*****Rules*****\\\\\\\\\

DO NOT RESTART OR SHUTDOWN YOUR COMPUTER.

DO NOT DELETE MALWARES FILES.

YOU MUST DISABLE YOUR ANTIVIRUS.

DO NOT CLOSE THIS WINDOW.

IF YOU BREAK THESE RULES, YOU CANNOT DECRYPTING YOUR FILES!

Your Personal Key: ***  [Copy Key]

Please Type Your Decrypt Key

[Decrypt] [Check Encrypted Files]

Перевод записки на русский язык:

Ой. Все ваши файлы зашифрованы.

Ваши документы, изображения, видео и любые данные.

В: Могу ли я восстановить свои файлы?

A: Конечно. Но вы должны заплатить $300.

Q: Почему я плачу?

О: Отправьте email на адрес test.test@gmail.com.

/////////*****Правила*****\\\\\\\\\

НЕ ПЕРЕЗАГРУЖАЙТЕ И НЕ ВЫКЛЮЧАЙТЕ КОМПЬЮТЕР.

НЕ УДАЛЯЙТЕ ФАЙЛЫ ВРЕДОНОСНОГО ПО.

ВЫ ДОЛЖНЫ ОТКЛЮЧИТЬ СВОЙ АНТИВИРУС.

НЕ ЗАКРЫВАЙТЕ ЭТО ОКНО.

ЕСЛИ ВЫ НАРУШИТЕ ЭТИ ПРАВИЛА, ВЫ НЕ СМОЖЕТЕ РАСШИФРОВАТЬ СВОИ ФАЙЛЫ!

Ваш личный ключ: *** [Copy Key]

Пожалуйста, введите свой ключ дешифрования

[Decrypt] [Check Encrypted Files]

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
<ransom_note>.txt - название файла с требованием выкупа;
NRCL_Encryptor.exe - название вредоносного файла; 

NotRansom_CryptoLock_Dropper.exe - название вредоносного файла; 

NotRansom_CryptoLock_Dropper.pdb - файл проекта; 

NRCL_Decryptor.exe - название файла дешифровщика. 

 

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

%HOME%\Desktop\NRCL_Decryptor.exe

%TEMP%\NRCL_Encryptor.exe

C:\a_programing\NotRansom_CryptoLock_Dropper\obj\Release\NotRansom_CryptoLock_Dropper.pdb

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: test.test@gmail.com
BTC: - 

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: b7e8b6b4d76dc01829e3336c41fb0f12

SHA-1: c3763a39c984d5555090c1c6a85dea03d54510b9

SHA-256: 6323c8159af2ec3625515ecbfc32c2883a075d8563c433a6bd4c78ebb96bf076

Vhash: 226036755516c02815457bb0ac

Imphash: f34d5f2d4577ed6d9ceec516c1f5a744  

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Topic of Support
 * 

 Thanks: 
 S!Ri, 
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.