CryptoExpertoo

CryptoExpertoo Ransomware

(rar-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель блокирует файлы пользователей и помещает их в RAR-архив, а затем предлагает помочь за определенную плату, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: нет данных.
---
Обнаружения:
DrWeb -> 
BitDefender -> 
ESET-NOD32 -> 
Kaspersky -> 
Malwarebytes -> 
Microsoft -> 
Rising -> 
Tencent -> 
TrendMicro -> 
---

© Генеалогия: другие RAR и ZIP вымогатели >>

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в сентябре 2023 г. Ориентирован на англоязычных пользователей, но взапсике текст продублирован на испанском, русском, турецкомможет распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .CRYPTED

Фактически используется составное расширение по шаблону: .ID-<XXXXXXXXX>.{cryptoexpertoo@hotmail.com}.CRYPTED

Пример зашифрованного файла:

пт.pdf.ID-17716AR69.{cryptoexpertoo@hotmail.com}.CRYPTED

Записка с требованием выкупа называется: readme_files encrypted.txt

Содержание записки о выкупе:

Hello!

All files are encrypted.

Attempting to decrypt files will damage them.

I can help you for a fee.

Your ID 17716AR69.

Contact me by email - cryptoexpertoo@hotmail.com

Hallo!

Alle Dateien sind verschlüsselt.

Beim Versuch, Dateien zu entschlüsseln, werden diese beschädigt.

Ich kann Ihnen gegen eine Gebühr helfen.

Ihre ID 17716AR69.

Kontaktieren Sie mich per E-Mail - cryptoexpertoo@hotmail.com

Привет!

Все файлы зашифрованы.

Попытка расшифровать файлы приведет к их повреждению.

Я могу помочь вам за определенную плату.

Ваш ID 17716AR69.

Свяжитесь со мной по электронной почте — cryptoexpertoo@hotmail.com.

Merhaba!

Tüm dosyalar şifrelenmiştir.

Dosyaların şifresini çözmeye çalışmak onlara zarar verir.

Ücret karşılığında yardımcı olabilirim.

Kimliğiniz 17716AR69.

Bana e-posta yoluyla ulaşın - cryptoexpertoo@hotmail.com

¡Hola!

Todos los archivos están cifrados.

Intentar descifrar archivos los dañará.

Puedo ayudarte pagando una tarifa.

Su DNI 17716AR69.

Contáctame por correo electrónico: cryptoexpertoo@hotmail.com

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
<ransom_note>.txt - название файла с требованием выкупа;
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: -
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: -

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 Sandor
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.