Kawaii Anime Ransomware
Kawaii Anime Scareware
(фейк-шифровальщик, пугатель) (первоисточник)
Translation into English
---
Обнаружения:
DrWeb -> Joke.Kawa.1
BitDefender -> Gen:Heur.Ransom.HiddenTears.1
ESET-NOD32 -> MSIL/BadJoke.AEK
Kaspersky -> HEUR:Trojan-Ransom.MSIL.Agent.gen
Malwarebytes -> MachineLearning/Anomalous.95%
Rising -> Ransom.Agent!8.6B7 (CLOUD)
Tencent -> Msil.Trojan.Agent.Ednq
TrendMicro -> TROJ_GEN.R002H09FA22
---
© Генеалогия: более ранний проект >> Kawaii Anime
Сайт "ID Ransomware" это пока не идентифицирует.
Информация для идентификации
Образец этого крипто-вымогателя был найден в начале июня 2022 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.
Никакие файлы не шифруются. На экране всего лишь мигает картинка с девушкой из японского аниме, сменяя красный фон на белый. В тексте сообщается, что файлы зашифрованы. Но ни в одном сервисе анализа не удалось получить какие-то зашифрованные файлы. Файл всего один и он демонстрирует 2 картинки, различающиеся лишь фоном.
Записка с требованием выкупа написана на экране блокировки:
Содержание текста о выкупе:
Перевод текста на русский язык:
✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта.
Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.
✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.
Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.
Файлы, связанные с этим Ransomware:
Anime.exe - название вредоносного файла;
Записка с требованием выкупа написана на экране блокировки:
Содержание текста о выкупе:
All of your important files, photos etc. have been encrypted by KAWAII ransomware. To restore them you'll have to buy 300$ in worth of bitcoin and send it to the bitcoin address below. If you have done so, you need to send an proof of your payment to our email, which is also down below.
Then we will send you the decryption key, so you can restore all of your files.
Warning!
You have 10 hours, before you are unable to restore them.
Do not close any windows, processes nor rename any encrypted files.
Do not decrypt by any third-party software.
Bitcoin address: bc1qcqr5ffr4fqd3a8e9jv6dwfkm54p5zu43mp69vs
Email address: follina4life@outlook.com
Перевод текста на русский язык:
Все ваши важные файлы, фото и т.д. зашифрованы KAWAII ransomware. Чтобы восстановить их, вам нужно купить биткойны на 300$ и отправить их на биткойн-адрес ниже. Если вы это сделали, вам нужно отправить подтверждение платежа на наш email, который также указан ниже.
Затем мы отправим вам ключ дешифрования, чтобы вы могли восстановить все свои файлы.
Предупреждение!
У вас есть 10 часов, прежде чем вы не сможете их восстановить.
Не закрывайте окна, процессы и не переименовывайте зашифрованные файлы.
Не расшифровывайте никакими сторонними программами.
Биткойн-адрес: bc1qcqr5ffr4fqd3a8e9jv6dwfkm54p5zu43mp69vs
Email-адрес: follina4life@outlook.com
✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта.
Технические детали + IOC
Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.
✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.
Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.
Файлы, связанные с этим Ransomware:
Anime.exe - название вредоносного файла;
Anime.pdb - название файла проекта вымогателя.
Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
C:\Users\louis\source\repos\Anime\Anime\obj\Debug\Anime.pdb
Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.
Мьютексы:
См. ниже результаты анализов.
Сетевые подключения и связи:
Email: follina4life@outlook.com
BTC: bc1qcqr5ffr4fqd3a8e9jv6dwfkm54p5zu43mp69vs
См. ниже в обновлениях другие адреса и контакты.
Результаты анализов:
Результаты анализов:
MD5: f0eef7dc5ba068dd99fe8a031c183f64
SHA-1: 857f8a048b0553b0eca1244b18afc6cb8e9ebb84
SHA-256: df13748fd29876cb3410bff58b86a160ced3985fbb4710bb4b093954f130c3e3
Vhash: 2940367515116082b151010
Imphash: f34d5f2d4577ed6d9ceec516c1f5a744
Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.
=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===
=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===
Ещё не было обновлений этого варианта.
=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
Read to links: Message + Message + Message Write-up, Topic of Support ***
Thanks: MalwareHunterTeam Andrew Ivanov (article author) *** to the victims who sent the samples
© Amigo-A (Andrew Ivanov): All blog articles. Contact.
