Kawaii Anime

Kawaii Anime Ransomware

Kawaii Anime Scareware

(фейк-шифровальщик, пугатель) (первоисточник)
Translation into English

Этот фейк-шифровальщик сообщает, что файлы зашифрованы, а затем требует выкуп $300 в BTC, чтобы вернуть файлы. Оригинальное название: Kawaii ransomware. На файле написано: Anime.exe. 
---
Обнаружения:
DrWeb -> Joke.Kawa.1
BitDefender -> Gen:Heur.Ransom.HiddenTears.1
ESET-NOD32 -> MSIL/BadJoke.AEK
Kaspersky -> HEUR:Trojan-Ransom.MSIL.Agent.gen
Malwarebytes -> MachineLearning/Anomalous.95%
Rising -> Ransom.Agent!8.6B7 (CLOUD)
Tencent -> Msil.Trojan.Agent.Ednq
TrendMicro -> TROJ_GEN.R002H09FA22
---

© Генеалогия: более ранний проект >> Kawaii Anime

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Образец этого крипто-вымогателя был найден в начале июня 2022 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

Никакие файлы не шифруются. На экране всего лишь мигает картинка с девушкой из японского аниме, сменяя красный фон на белый. В тексте сообщается, что файлы зашифрованы. Но ни в одном сервисе анализа не удалось получить какие-то зашифрованные файлы. Файл всего один и он демонстрирует 2 картинки, различающиеся лишь фоном. 

Записка с требованием выкупа написана на экране блокировки: 

Содержание текста о выкупе:

All of your important files, photos etc. have been encrypted by KAWAII ransomware. To restore them you'll have to buy 300$ in worth of bitcoin and send it to the bitcoin address below. If you have done so, you need to send an proof of your payment to our email, which is also down below.

Then we will send you the decryption key, so you can restore all of your files.

Warning!

You have 10 hours, before you are unable to restore them.

Do not close any windows, processes nor rename any encrypted files.

Do not decrypt by any third-party software.

Bitcoin address: bc1qcqr5ffr4fqd3a8e9jv6dwfkm54p5zu43mp69vs

Email address: follina4life@outlook.com

Перевод текста на русский язык:

Все ваши важные файлы, фото и т.д. зашифрованы KAWAII ransomware. Чтобы восстановить их, вам нужно купить биткойны на 300$ и отправить их на биткойн-адрес ниже. Если вы это сделали, вам нужно отправить подтверждение платежа на наш email, который также указан ниже.

Затем мы отправим вам ключ дешифрования, чтобы вы могли восстановить все свои файлы.

Предупреждение!

У вас есть 10 часов, прежде чем вы не сможете их восстановить.

Не закрывайте окна, процессы и не переименовывайте зашифрованные файлы.

Не расшифровывайте никакими сторонними программами.

Биткойн-адрес: bc1qcqr5ffr4fqd3a8e9jv6dwfkm54p5zu43mp69vs

Email-адрес: follina4life@outlook.com

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware: 
Anime.exe - название вредоносного файла; 

Anime.pdb - название файла проекта вымогателя. 

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

C:\Users\louis\source\repos\Anime\Anime\obj\Debug\Anime.pdb

 

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:

Email: follina4life@outlook.com

BTC: bc1qcqr5ffr4fqd3a8e9jv6dwfkm54p5zu43mp69vs

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: f0eef7dc5ba068dd99fe8a031c183f64

SHA-1: 857f8a048b0553b0eca1244b18afc6cb8e9ebb84

SHA-256: df13748fd29876cb3410bff58b86a160ced3985fbb4710bb4b093954f130c3e3

Vhash: 2940367515116082b151010

Imphash: f34d5f2d4577ed6d9ceec516c1f5a744

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 MalwareHunterTeam 
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.