ToxCrypt, Tox

ToxCrypt Ransomware

Tox Ransomware

(шифровальщик-вымогатель)

Translation into English

   Этот криптовымогатель шифрует данные пользователей с помощью AES и библиотеки Crypto ++, а затем требует выкуп в 0.23 биткоина, чтобы вернуть файлы обратно. Для генерации ключей шифрования используется Microsoft CryptoAPI. 

К зашифрованным файлам добавляется расширение .toxcrypt. 

Подробно описан TrendMicro в мае 2015 года. 

Записка о выкупе называется tox.html

Изображение, опубликованное на сайте BleepingComputer

Другой вариант, полученный от пострадавших

Содержание записки:
Attention
The files in your PC are now encrypted. The only way to have them back, is to pay a ransom of 50.00$.
How to pay
You have to pay the ransom in bitcoins to the address 1KKGLjfDpVtNXymtTkU3PiiCpkJ532cLko which has been reserved for you. Please note that the value of bitcoin is unstable and may change in the near future. The current amount of bitcoin to pay is 0.43 bitcoins (worth 50.00$).
How to buy bitcoins
Buying bitcoin is easy, just follow the instructions:
register here
deposit funds using a credit card or through bank transfer
withdraw 0.43 bitcoins to 1KKGLjfDpVtNXymtTkU3PiiCpkJ532cLko
wait the transaction to be completed (it usually takes less than two hours)
if your files are not decrypted automatically, please write to tox@sigaint.org with the subject HELP, sending the bitcoin address you paid to (1KKGLjfDpVtNXymtTkU3PiiCpkJ532cLko). You can also spam this mailbox with useless stuff or wishing me death, so that mail sent from people who actually need help wont be read.
Tox© copyright 2015 (just kidding)


Перевод на русский язык:
Внимание
Теперь файлы на вашем компьютере зашифрованы. Единственный способ вернуть их - это заплатить выкуп в размере 50.00$.
Как платить
Вы должны заплатить выкуп в биткойнах на адрес 1KKGLjfDpVtNXymtTkU3PiiCpkJ532cLko, который зарезервирован для вас. Обратите внимание, что стоимость биткойна нестабильна и может измениться в ближайшем будущем. Текущее количество биткойнов для оплаты составляет 0,43 биткойна (на сумму 50.00$.).
Как купить биткойны
Купить биткойн легко, просто следуйте инструкциям:
зарегистрироваться здесь
вносить средства с помощью кредитной карты или банковским переводом
вывести 0,43 биткойна на 1KKGLjfDpVtNXymtTkU3PiiCpkJ532cLko
дождитесь завершения транзакции (обычно это занимает менее двух часов)
если ваши файлы не расшифровываются автоматически, напишите по адресу tox@sigaint.org с темой HELP, отправив биткойн-адрес, с которого вы заплатили (1KKGLjfDpVtNXymtTkU3PiiCpkJ532cLko). Вы также можете спамить этот почтовый ящик бесполезными вещами или пожелать мне смерти, чтобы письма, отправленные от людей, которым действительно нужна помощь, не были прочитаны.
Tox© copyright 2015 (шучу)

Технические детали

  Распространяется ToxCrypt в виде вложений в email-спам под видом Word-документа, используя его значок. Но на самом деле там файл с расширением .scr. После запуска Tox будет загружать TOR и другие файлы в C:\Users\ User_Name\AppData\Roaming\. 

  В браузере TOR откроется специальный сайт Toxicola, где будет предложено подключиться к партнерской программе по распространению этого вымогателя и получить 70% от выкупа, тогда как разработчик получит только 30%. Свежеиспеченный партнер будет также нести ответственность за его распространение. У них также есть чат, где партнеры общаются между собой. 

Установленные фалы вымогателя: 
%AppData%\Microsoft\Windows\Start Menu\Programs\Startup\tox.html
%AppData%\Microsoft\Windows\Start Menu\Programs\Startup\Tox.scr
%AppData%\tor\
%AppData%\tor\cached-certs
%AppData%\tor\cached-microdesc-consensus
%AppData%\tor\cached-microdescs.new
%AppData%\tor\lock
%AppData%\tor\state
%AppData%\tox.log
%AppData%\tox_tor\
%AppData%\tox_tor\Data\
%AppData%\tox_tor\Data\Tor\
%AppData%\tox_tor\Data\Tor\geoip
%AppData%\tox_tor\Data\Tor\geoip6
%AppData%\tox_tor\Tor\
%AppData%\tox_tor\Tor\libeay32.dll
%AppData%\tox_tor\Tor\libevent-2-0-5.dll
%AppData%\tox_tor\Tor\libevent_core-2-0-5.dll
%AppData%\tox_tor\Tor\libevent_extra-2-0-5.dll
%AppData%\tox_tor\Tor\libgcc_s_sjlj-1.dll
%AppData%\tox_tor\Tor\libssp-0.dll
%AppData%\tox_tor\Tor\ssleay32.dll
%AppData%\tox_tor\Tor\tor.exe
%AppData%\tox_tor\Tor\zlib1.dll
%AppData%\tox_tor\tor.zip

Список файловых расширений, подвергающихся шифрованию:
 .3fr, .3gp, .accdb, .aep, .aepx, .ai, .arw, .asf, .asp, .aspx, .bay, .blend, .bmp, .cad, .cdl, .cdr, .cer, .class, .cpp, .cr2, .crt, .crw, .cs, .css, .csv, .dbf, .dcr, .der, .dng, .doc, .docm, .docx, .dss, .dwg, .dxf, .dxg, .eml, .eps, .erf, .hpp, .indd, .java, .jpe, .jpeg, .jpg, .js, .kdc, .mdb, .mdf, .mef, .mrw, .mswmm, .nef, .nrw, .odb, .odc, .odm, .odp, .ods, .odt, .orf, .p12, .p7b, .p7c, .pdd, .pdf, .pef, .pem, .pfx, .php, .pl, .png, .pps, .ppt, .pptm, .pptx, .prproj, .psd, .pst, .ptx, .pub, .py, .qbb, .qxd, .r3d, .raf, .raw, .rmvb, .rtf, .rw2, .rwl, .sit, .sitx, .sql, .sr2, .srf, .srw, .ss, .swf, .tif, .txt, .veg, .wb2, .wpd, .wps, .x3f, .xlk, .xls, .xlsb, .xlsm, .xlsx, .xml (112 расширений). 

Сетевые подключения и связи:
Email: tox@sigaint.org 

BTC: 1KKGLjfDpVtNXymtTkU3PiiCpkJ532cLko


Степень распространенности: средняя.
Подробные сведения собираются. 

© Amigo-A (Andrew Ivanov): All blog articles.

El-Polocker

El-Polocker Ransomware

(шифровальщик-вымогатель) 

Translation into English

   Этот крипто-вымогатель шифрует данные с помощью AES (для файлов) + RSA (для ключа шифрования), а затем требует выкуп в $450 AUD (австралийский доллар). Цели шифрования: документы, PDF, фотографии, музыка, видео, общие папки, общие сетевые ресурсы и пр. 

Зашифрованные файлы получают расширение .ha3. 

Название на скринлоке: Los Pollos Hermanos (исп. "Братья-цыплята"). Известен с начала 2015 г. Специалисты нашли в коде вредоноса румынский след, указывающий на румынское происхождение вредоноса. 

Происхождения названия:  
Los Pollos Hermanos — сеть фастфуд-ресторанов с жареной курицей, известная в Мексике и юго-западе США. По английски: "The Chicken Brothers". Основатели сети: Густаво "Gus" Фринг и Максимино "Max" Арчинега. В народе ассоциируется с мафией и отмыванием денег. По мотивам истории в США был снят сериал "Breaking Bad", сюжет которого главным образом раздут и надуман. 

Записки о выкупе называются: qwer.html, qwer2.html, locked.bmp. 

Содержание текста с экрана:
Your important files have been encrypted: photos, documents, videos, etc.
If you want to decrypt your files you must pay the fee of $450 AUD
Failure to pay within the specified time will mean you must pay $1000 AUD
For support related inquires contact:
theonewhoknocks6969@mailinator.com

Перевод на русский язык: 
Ваши важные файлы зашифрованы: фото, документы, видео и т.д.
Если хотите дешифровать файлы, вы должны заплатить $ 450 AUD
Не уплатив за указанное время будете должны заплатить $1000 AUD
Для помощи свяжитесь с нами:
theonewhoknocks6969@mailinator.com

Список файловых расширений, подвергающихся шифрованию: 
.ai, .crt, .csv, .db, .doc, .docm, .docx, .dotx, .gif, .jpg, .jpeg, .lnk, .mp3, .msi, .ods, .one, .ost, .p12, .pdf, .pem, .pps, .ppsx, .ppt, .pptx, .psd, .pst, .pub, .rar, .raw, .rtf, .tif, .txt, .vsdx, .wma, .xml, .xls, .xlsm, .xlsx, .zip

El-Polocker удаляет теневые копии файлов, отключает функции восстановление системы и автоматического исправления ошибок при загрузке системы. Шифрует каждый файл данных со своим собственным симметричным ключом AES-шифрования. Этот ключ шифруется с помощью ключа RSA, который загружается с сервера вымогателей, и сохраняется в seckeys.DONOTDELETE вместе с именем файла.

El-Polocker распространяется через поддельные штрафные уведомления DHL, содержащие ссылку на файл, размещенный на DropBox, который содержит файл VBS Penalty.vbs. Если этот файл запустить, то он загрузит и выполнит скрипт PowerShell, являющийся основным компонентом вымогателя El-Polocker. Скрипт PowerShell запустившись инжектирует Reflect.dll в Explorer.exe с помощью сценария из PowerSploit, а затем выполняет VoidFunc. Эта функция загружает t.dll для выполнения зачистки на компьютере: удаления теневых копий файлов, отключения в реестре восстановление системы и автоматического исправления ошибок при загрузке Windows. 

По окончании шифрования и всех зачисток на экран выводится сообщение о выкупе, которое содержит инструкции о том, как заплатить выкуп за дешифровку.

Файлы, связанные с Ransomware:
C:\1\locked.bmp - изображение, заменяющее обои рабочего стола;
C:\1\reflect.dll - DLL, инжектируемая в Explorer.exe
C:\1\t.dll - другая инжектируемая DLL для функции зачистки;
C:\ReflectiveLoaderTest\DllMain.txt.ha3 - лог инжекции, зашифрованный El-Polocker;
%Desktop%\customer.Id - биткоин-адрес для жертвы;
%Desktop%\encrypted.htm - список зашифрованных файлов;
%Desktop%\qwer.html - записка о выкупе №1;
%Desktop%\qwer2.html - записка о выкупе №2;
%Desktop%\seckeys.DONOTDELETE - ключи шифрования для каждого зашифрованного файла. 

Записи реестра, связанные с Ransomware:
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore\DisableSR 1
HKCU\Control Panel\Desktop\Wallpaper "C:\1\locked.bmp"

Подробные технические детали >>>
Статья от Symantec >>

Степень распространенности: средняя.
Подробные сведения собираются. 

© Amigo-A (Andrew Ivanov): All blog articles. 

AlphaCrypt

AlphaCrypt Ransomware

(шифровальщик-вымогатель)

Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название. На файле может быть написано, что попало.

шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

© Генеалогия:  TeslaCrypt 2.x  > AlphaCrypt

К зашифрованным файлам добавляется расширение .ezz

Активность этого крипто-вымогателя пришлась на май 2015 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Запиской с требованием выкупа выступает текстовый файл, экран блокировки и изображение, встающее обоями Рабочего стола:
HELP_TO_SAVE_FILES.txt
HELP_TO_SAVE_FILES.bmp 

Другим информатором жертвы выступает платежный сайт для Alpha Crypt, который называется Alpha Tool Decryption Service.

Содержание текста о выкупе:
Your personal files are encrypted!
Your files have been safely encrypted on this PC: photos, videos, documents, etc.
Click "Show encrypted files" Button to view a complete list of encrypted files, and you can personally verify this.
Encryption was produced using a unique public key RSA-2048 generated for this computer. To decrypt files you need to obtain the private key.
The only copy of the private key, which will allow you to decrypt your files, is located on a secret server in the Internet; the server will eliminate the key after a time period specified in this window.
Once this has been done, nobody will ever be able to restore files...
In order to decrypt the files press button to open your personal page
[File decryption site] and follow the instruction.
in case of "File decryption button" malfunction use one of our gates:
xxxx://qcuikaiye577q3p2.s24f53mnd7w31.com
xxxxs://qcuikaiye577q3p2.tor2web.blutmagie.de
Use your Bitcoin address to enter the site:
15y9NZv59SFbg1zG6iZ5rYALQGJNcbHi24
[Click to copy address to clipboard]
if both button and reserve gate not opening, please follow the steps:
You must install this browser www.torproect.org/proects/torbrowser.html.en
After instalation, run the browser and enter address 3kxwjihmkgibht2s.onion
Follow the instruction on the web-site. We remind you that the sooner you do so, the more chances are left to recover the files.
Any attempt to remove or corrupt this software will result in immediate elimination of the private key by the server. 
[Click for Free Decryption on site]
[Show files] [Enter Decrypt Key]

Перевод записки на русский язык:
Ваши личные файлы зашифрованы!
Ваши файлы были надёжно зашифрованы на этом компьютере: фото, видео, документы и т.д.
Нажмите кнопку "Show encrypted files", чтобы просмотреть полный список зашифрованных файлов, и вы можете лично убедиться в этом.
Шифрование было создано с использованием уникального открытого ключа RSA-2048, сгенерированного для этого компьютера. Чтобы расшифровать файлы, вам нужно получить секретный ключ.
Единственная копия закрытого ключа, которая позволит вам расшифровать ваши файлы, находится на секретном сервере в Интернете; сервер удалит ключ после периода времени, указанного в этом окне.
Когда это будет сделано, никто никогда не сможет восстановить файлы...
Чтобы дешифровать файлы, нажмите кнопку, чтобы открыть свою личную страницу.
Нажмите [File decryption site] и следуйте инструкциям.
при несрабатывании "File decryption button" используйте один из наших входов:
xxxx://qcuikaiye577q3p2.s24f53mnd7w31.com
xxxxs://qcuikaiye577q3p2.tor2web.blutmagie.de
Используйте свой Bitcoin-адрес для входа на сайт:
15y9NZv59SFbg1zG6iZ5rYALQGJNcbHi24
[Click to copy address to clipboard]
если обе кнопки и резервные входы не открываются, выполните следующие действия:
Вы должны установить этот браузер www.torproect.org/proects/torbrowser.html.en
После установки запустите браузер и введите адрес 3kxwjihmkgibht2s.onion
Следуйте инструкциям на веб-сайте. Напоминаем, что чем раньше вы это сделаете, тем больше шансов восстановить файлы.
Любая попытка удалить или испортить эту программу приведёт к немедленному удалению сервером закрытого ключа.
[Click for Free Decryption on site]
[Show files] [Enter Decrypt Key]

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов (Angler EK), веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Когда Alpha Crypt шифрует файл, он сначала копирует его, шифрует копию и удаляет оригинал. Благодаря этому можно использовать ПО для восстановления файлов, такое как GetDataBack, R-Studio, Photorec и другие, чтобы восстановить некоторые из ваших исходных файлов. 

AlphaCrypt, разработан параллельно с TeslaCrypt, однако принцип его действия соответствует функционалу Cryptowall 3.0.

В него добавлены некоторые улучшения, в частности, возможность удаления теневых копий файлов командой:
vssadmin.exe delete shadows /all /Quiet

Список файловых расширений, подвергающихся шифрованию:
.3fr, .7z, .accdb, .ai, .apk, .arch00, .arw, .asset, .avi, .bar, .bay, .bc6, .bc7, .big, .bik, .bkf, .bkp, .blob, .bsa, .cas, .cdr, .cer, .cfr, .cr2, .crt, .crw, .css, .csv, .d3dbsp, .das, .dazip, .db0, .dba, .dbf, .dcr, .der, .desc, .dmp, .dng, .doc, .docm, .docx, .dwg, .dxg, .epk, .eps, .erf, .esm, .ff, .flv, .forge, .fos, .fpk, .fsh, .gdb, .gho, .hkdb, .hkx, .hplg, .hvpl, .ibank, .icxs, .indd, .itdb, .itl, .itm, .iwd, .iwi, .jpe, .jpeg, .jpg, .js, .kdb, .kdc, .kf, .layout, .lbf, .litemod, .lrf, .ltx, .lvl, .m2, .m3u, .m4a, .map, .mcmeta, .mdb, .mdbackup, .mddata, .mdf, .mef, .menu, .mlx, .mov, .mp4, .mpqge, .mrwref, .ncf, .nrw, .ntl, .odb, .odc, .odm, .odp, .ods, .odt .sql, .orf, .p12, .p7b, .p7c, .pak, .pdd, .pdf, .pef, .pem, .pfx, .pkpass, .png, .ppt, .pptm, .pptx, .psd, .psk, .pst, .ptx, .py, .qdf, .qic, .r3d, .raf, .rar, .raw, .rb, .re4, .rgss3a, .rim, .rofl, .rtf, .rw2, .rwl, .sav, .sb, .sid, .sidd, .sidn, .sie, .sis, .slm, .snx, .sr2, .srf, .srw, .sum, .svg, .syncdb, .t12, .t13, .tax, .tor, .txt, .upk, .vcf, .vdf, .vfs0, .vpk, .vpp_pc, .vtf, .w3x, .wallet, .wb2, .wma, .wmo, .wmv, .wotreplay, .wpd, .wps, .x3f, .xf, .xlk, .xls, .xlsb, .xlsm, .xlsx, .xxx, .zip, .ztmp (186 расширений).

Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
HELP_TO_SAVE_FILES.txt
HELP_TO_SAVE_FILES.bmp 
<random>.exe

Расположения:
***

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
BTC: 1H66iejHkDY9SZJRrFrnhLjHff6MRMhKu6
15y9NZv59SFbg1zG6iZ5rYALQGJNcbHi24
1376QscZ5svHVpasrFcinn3jZn7nAfRdvi
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: средняя.
Подробные сведения собираются регулярно.

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновление от 12 мая 2015:
Название: Alpha Crypt или TeslaCrypt
Расширение: .exx
Записки: %Desktop%\HELP_RESTORE_FILES.bmp
%Desktop%\HELP_RESTORE_FILES.txt
%Documents%\RECOVERY_FILE.TXT
Файлы: %LocalAppData%\<random>.exe
%LocalAppData%\log.html
%LocalAppData%\storage.bin
%Desktop%\Save_Files.lnk
Записи в реестре:
HKCU\Software\Microsoft\Windows\CurrentVersion\Run\AVrSvc   %LocalAppData%\<random>.exe
HKCU\Control Panel\Desktop\Wallpaper   "%Desktop%\HELP_RESTORE_FILES.bmp"
Список целевых расширений:
.3fr, .7z, .accdb, .ai, .apk, .arch00, .arw, .asset, .avi, .bar, .bay, .bc6, .bc7, .big, .bik, .bkf, .bkp, .blob, .bsa, .cas, .cdr, .cer, .cfr, .cr2, .crt, .crw, .css, .csv, .d3dbsp, .das, .dazip, .db0, .dba, .dbf, .dcr, .der, .desc, .dmp, .dng, .doc, .docm, .docx, .dwg, .dxg, .epk, .eps, .erf, .esm, .ff, .flv, .forge, .fos, .fpk, .fsh, .gdb, .gho, .hkdb, .hkx, .hplg, .hvpl, .ibank, .icxs, .indd, .itdb, .itl, .itm, .iwd, .iwi, .jpe, .jpeg, .jpg, .js, .kdb, .kdc, .kf, .layout, .lbf, .litemod, .lrf, .ltx, .lvl, .m2, .m3u, .m4a, .map, .mcmeta, .mdb, .mdbackup, .mddata, .mdf, .mef, .menu, .mlx, .mov, .mp4, .mpqge, .mrwref, .ncf, .nrw, .ntl, .odb, .odc, .odm, .odp, .ods, .odt, .orf, .p12, .p7b, .p7c, .pak, .pdd, .pdf, .pef, .pem, .pfx, .pkpass, .png, .ppt, .pptm, .pptx, .psd, .psk, .pst, .ptx, .py, .qdf, .qic, .r3d, .raf, .rar, .raw, .rb, .re4, .rgss3a, .rim, .rofl, .rtf, .rw2, .rwl, .sav, .sb, .sid, .sidd, .sidn, .sie, .sis, .slm, .snx,.sql, .sr2, .srf, .srw, .sum, .svg, .syncdb, .t12, .t13, .tax, .tor, .txt, .upk, .vcf, .vdf, .vfs0, .vpk, .vpp_pc, .vtf, .w3x, .wallet, .wb2, .wma, .wmo, .wmv, .wotreplay, .wpd, .wps, .x3f, .xf, .xlk, .xls, .xlsb, .xlsm, .xlsx, .xxx, .zip, .ztmp (187 расширений). 
Примечательно, что только в этой версии экран блокировки совсем другой. 

Скриншот экрана блокировки

Тема на форуме BC >>

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter
 ID Ransomware
 Write-up, Topic of Support, Malware-traffic-analysis
 Write-up 

 Thanks: 
 Brad Duncan
 Lawrence Abrams
 Webroot blog
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

Crypt0L0cker

Crypt0L0cker Ransomware

(шифровальщик-вымогатель)

Translation into English

   Этот крипто-вымогатель шифрует данные с помощью AES-256, а затем требует 2 биткоина за расшифровку. Не путайте его с CryptoLocker, т.к. у нового крипто-вымогателя буквы "o" в названии заменены нулями. Это название дано самими разработчиками-вымогателями. 

К зашифрованным файлам добавляется расширение .encrypted. 
С августа 2016 использовалось новое расширение .enc

  Специалисты считают Crypt0L0cker обновленной версией более раннего вымогателя TorrentLocker. Впервые замечен в конце апреля 2015 в странах Европы, Азии и в Австралии. 

© Генеалогия: TorrentLocker > Crypt0L0cker 

  Crypt0L0cker прописывается в автозагрузку, запрещает браузеру Internet Explorer использование антифишингового фильтра, создает папки и файлы со случайными именами в системных и программных директориях. Теневые копии файлов удаляются, повреждаются или инфицируются. 

Записки о выкупе называются:
DECRYPT_INSTRUCTIONS.HTML
DECRYPT_INSTRUCTIONS.TXT

HTML-вариант записки о выкупе 

TXT-вариант записки о выкупе

Crypt0L0cker распространяется по email, как уведомление от австралийской федеральной полиции (AFP) за нарушения ПДД и превышения скорости. 

Первоначально был ориентирован на Австралию и сопредельные страны Азии, но на деле атакует практически все страны, кроме США. Компьютеры, использующие IP-адрес США пока не инфицируются. C&C-сервера находятся в зоне .RU, но в данный момент эти домены свободны и не делегированы.

Список файловых расширений, НЕ подвергающихся шифрованию:
.avi, .bat, .bmp, .chm, .cmd, .dll, .exe, .gif, .html, .ico, .inf, .ini, .lnk, .log, .manifest, .mp3, .msi, .png, .scr, .sys, .tmp, .txt, .url, .wav (24 расширения). 

Сетевые подключения и связи:
tidisow.ru (62.173.145.212)
lepodick.ru (62.173.145.212)

Степень распространённости: высокая. 

Подробные сведения собираются.

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновление от 12 августа 2016
Новая спам-кампания по распространению Crypt0L0cker использует email-спам, приходящий якобы от итальянской энергетической компании Enel. Письма содержат вложения под названием ENEL_BOLLETA.zip, в котором находится JS- файл ENEL_BOLLETA.js. 

Если этот файл будет запущен на выполнение, то он загрузит исполняемый файл TorrentLocker, сохранит его в папке %Temp% и запустит. После выполнения, он будет шифровать файлы пользователя и добавлять к ним расширение .enc. Затем будет создана со случайным именем записка с требованием выкупа, содержащая инструкции о том, как получить доступ к платежному сайту Crypt0L0cker. Ориентирован на итальяноязычных пользователей. 
Детект на VirusTotal >>

HTML-вариант записки о выкупе (август 2016)

Содержание записки на итальянском: 
ATTENZIONE
abbiamo criptato vostri file con il virus Crypt0L0cker
I vostri file importanti (compresi quelli sui dischi di rete, USB, ecc): foto, video, documenti, ecc sono stati criptati con il nostro virus Crypt0L0cker.
L'unico modo per ripristinare i file è quello di pagare noi. In caso contrario, i file verranno persi.
Attenzione: La rimozione di Crypt0L0cker non ripristinare l'accesso ai file crittografati.
Per recuperare i file si deve pagare
Al fine di ripristinare i file aperti nostro sito http://vrvmpoqs5ra34nfo.torvievv.pl/tutu6a.php7*** e seguire le istruzioni.
Se il sito non è disponibile si prega di attenersi alla seguente procedura:
1. Scaricare e installare TOR-browser da questo link: https://www.torproject.org/download/dovvnload-easv.html.en
2. Dopo l'installazione eseguire il browser e digitare l'indirizzo: http://vrympoqs5ra34nfo.onion/tutu6a.php? user_code***
3. Seguire le istruzioni sul sito.

Перевод на русский:
ВНИМАНИЕ!
Мы зашифровали файлы вирусом Crypt0L0cker
Ваши важные файлы (также файлы на сетевых дисках, USB и т.д.): фото, видео, документы и пр. зашифрованы с помощью нашего вируса Crypt0L0cker.
Единственный способ вернуть файлы, это платить нам. Иначе файлы будут потеряны.
Знайте: Удаление Crypt0L0cker не вернёт доступ к зашифрованным файлам.
Как мне вернуть файлы, которые нужно оплатить
Для восстановления файлов, откройте наш веб-сайт http://vrvmpoqs5ra34nfo.torvievv.pl/tutu6a.php7*** и следуйте инструкции.
Если сайт недоступен, пожалуйста, выполните следующие действия:
1. Скачайте и установите TOR-браузер по этой ссылке: https://www.torproject.org/download/dovvnload-easv.html.en
2. После установки, запустите браузер и введите адрес: http://vrympoqs5ra34nfo.onion/tutu6a.php? user_code ***
3. Следуйте инструкциям на сайте.


Обновление от 21 сентября 2018:
Расширение: .encrypted
URL: xxxx://2ymh2gnnbg6pgq2r.tigercity.pl
Tor- URL: xxxx://gdzll7bykhnvtajj.onion
Записка: COMMENT_RESTAURER_DES_FICHIERS.txt
COMMENT_RESTAURER_DES_FICHIERS.html

➤ Содержание текстовой записки: 
==================================================================
            !!! WE HAVE ENCRYPTED YOUR FILES WITH Crypt0L0cker !!!
==================================================================
Your important files (including those on the network disks, USB, etc): photos,
videos, documents, etc. were encrypted with our Crypt0L0cker. The only way to
get your files back is to pay us. Otherwise, your files will be lost.
You have to pay us if you want to recover your files.
In order to restore the files open our website
http://2ymh2gnnbg6pgq2r.tigercity.pl/vcrriq.php?user_code=zs4zr&user_pass=4117
and follow the instructions.
If the website is not available please follow these steps:
1. Download and run TOR- browser from this link: https://www.torproject.org/download/download-easy.html.en
2. After installation run the browser and enter the address: http://gdzll7bykhnvtajj.onion/vcrriq.php?user_code=zs4zr&user_pass=4117
3. Follow the instructions on the website.
==================================================================

Обновление от 23 мая 2019:
Пост в Твиттере >>
Расширение: .encrypted
Записка: wichtige information zum wiederherstellen der daten.htm
Результаты анализов: VT
URL: xxxx://sslv3.at/ - редирект на https://www.youtube.com/watch?v=ApfohIra5LA&feature=youtu.be

URL картинки: xxxx://sslv3.at/cryptolocker/bg.jpg
URL записки: http://sslv3.at/cryptolocker/msg.htm

➤ Содержание записки (на немецком языке):
WARNUNG
Wir verschlüsseln Ihre Dateien mit Crypt0L0cker Virus
Ihre wichtigen Dateien (einschließlich der an den Netzwerk-Festplatten, USB, etc.): Fotos, Videos, Dokumente, etc. wurden mit Crypt0L0cker Virus verschlüsselt. Der einzige Weg, um Ihre Dateien wiederherzustellen, ist an uns zu zahlen. Andernfalls wird Ihre Dateien verloren gehen. 
Vorsicht: Entfernen von Crypt0L0cker nicht wiederherstellen Zugriff auf Ihre verschlüsselten Dateien.
Zum Wiederherstellen von Dateien müssen Sie bezahlen.
Um die Dateien zu öffnen unsere Website http://anbqjdoyw6wkmpeu.tormidle.at/isu7lz7.php?user_code=gyddh0&user_pass=###key### und folgen Sie den Anweisungen wiederherzustellen.
Wenn die Website nicht verfügbar ist, folgen Sie bitte diesen Schritten:
1. Herunterladen und TOR- Browser von diesem Link installieren: https://www.torproject.org/download/download-easy.html.en
2. Nach der Installation der Browser ausgeführt wird und die Adresse eingeben: http://banbqjdoyw6wkmpeu.onion/isu7lz7.php? user_code=gyddh0&user_pass=###key###
3. Folgen Sie den Anweisungen auf der Website.


Обновление от 27 мая 2019:
Пост на форуме >>
Расширение: .encrypted
Записка (на турецком языке): SIFRE_COZME_TALIMATI.txt

➤ Содержание записки: 

==========================================================================

     !!! Tüm dosyalarınız Crypt0L0cker virüs tarafından şifrelenmiştir !!!
==========================================================================
Bilgisayarınızda, Ağ sürücü ve USB bellek üzerinde olan Sizin için önemli
dosyalarınız: fotoğraflar, videolar ve kişisel bilgiler Crypt0L0cker virüsü
ile sonsuza şifrelenmiştir. Eğer dosyalarınız geri almak istiyorsanız - Bizim
şifreleme çözme yazılımı satın almanız tek olan yoludur. İnternet´te çözüm
bulmak için boşuna zaman harcamayın - şifreleme çözme yazılımı satın alın ve
mutlu bir hayat yaşamaya devam edin.
Yazılım Nasıl Satın Alınır.
Yazılım sitemizden satın alabilirsiniz:
http://de2nuvwegoo32oqv.toradmin.li/y544n0d.php?user_code=2p3ri9&user_pass=6313
Web sitemiz çalışmıyorsa Antivirus tarafından kapatılmış olabilir. Aşağıdaki
adımları yaparak sitemize girebilirsiniz.
1. TOR tarayıcı bilgisayarınıza yükleyin: https://www.torproject.org/download/download-easy.html.en
2. TOR tarayıcı çalıştırın ve başlatma için bekleyin
3. Adres çubuğuna bu site adresi yazın: http://de2nuvwegoo32oqv.onion/y544n0d.php?user_code=2p3ri9&user_pass=6313
4. Web sitemize girin
==========================================================================

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

Файлы, зашифрованные некоторыми вариантами TorrentLocker, могут быть дешифрованы! 
Компания Dr.Web расшифрует после атаки TorrentLocker, Crypt0L0cker и др.
Что нужно сделать, чтобы дешифровать файлы? 
- составить запрос на пробную дешифровку (бесплатно) - на русском или на 
английском языках.
- приложить к запросу записку о выкупе и несколько зашифрованных файлов (doc, docx, jpg, png, pdf);
- терпеливо подождать несколько дней, пока вам не сообщат о результате в вашем тикете. 

 Read to links: 
 Message
 ID Ransomware (ID as Crypt0L0cker)
 Topic of Support, Topic of Support
 * 

 Thanks: 
 Michael Gillespie, Lawrence Abrams
 Andrew Ivanov (author)
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles.

Kriptovor

Kriptovor Ransomware

(шифровальщик-вымогатель)

Translation into English

  Этот крипто-вымогатель шифрует данные с помощью AES-шифрования, а затем требует написать на email-адрес вымогателей, чтобы узнать стоимость декриптора. 

© Генеалогия: Rakhni > Rakhni Family > Kriptovor > Neitrino 

Изображение только логотип статьи

К зашифрованным файлам добавляется расширение .Just. 

Впервые Kriptovor был обнаружен в 2014 году. 

  Данные шифруются на всех локальных и подключенных сетевых дисках. После шифрования удаляются теневые копии файлов. 

  Записка о выкупе называется MESSAGE.txt и оставляется в каждой папке с зашифрованными файлами, на Рабочем столе и в папках Автозагрузки. 

  Говорящее название происходит от слов "крипто" и "вор" и говорит о краже данных. Первоначально Kriptovor и был похитителем паролей, но потом получил дополнительный вымогательский функционал. 

  Kriptovor обнаруживает выполнение в виртуальной среде или отсутствие подключения к Интернету, после чего прерывает шифрование до "лучших" времен. В "лучшее" время устанавливает на ПК фальшивый сертификат и загружает специальный файл с атрибутом "скрытый" — защищенный паролем RAR-архив. Для заражения используется содержащийся в этом архиве файл AdobeSystems.exe. Кроме поиска целевых типов файлов Kriptovor выполняет поиск строк в этих файлах, которые содержат информацию для входа в систему или пароль. Такие файлы помечаются и информация из них собирается до процесса шифрования. Для шифрования файлов используется LockBox 3. 

  Целями вымогателя в основном являются российские предприятия или международные компании, занимающиеся бизнесом в России. 

  Главная особенность, которая отличает Kriptovor от других вымогателей, заключается в том, что Kriptovor может удалить себя независимо от того, была ли успешной задача кражи данных и получения выкупа или нет. Эта особенность делает Kriptovor трудно обнаруживаемым.

Распространяется через email-вложения, которые могут называться примерно так "Резюме на вакантную должность". 
Адреса отправителей постоянно меняются. В ранее собранный список входят:
y.volkova@i-jazz.ru
kirova.l@mutualizm.ru
kirova.ls@orangedv.tmweb.ru
kirova-l@wibor5.ru
abramova.l@wibor5.ru
abramova@sabona.ru
l_abramova@festivalps.ru
l_abramova@wibor5.ru

При неосторожном открытии вложения с названием типа "488ba9382c9ee260bbca1ef03e843981" жертва видит документ Word, предлагающий: "Дважды щелкните, чтобы открыть резюме в Adobe Reader". 

Если жертва и тут бездумно щелкает, то действительно открывается PDF-документ, содержащий резюме девушек, якобы претенденток на вакантную должность, но при этом в систему тайно устанавливается похититель паролей KRIPTOVOR.Infostealer и поддельный сертификат. 

Подробности см. в блоге FireEye.

Список файловых расширений, подвергающихся шифрованию:
.1cd, .7z, .accdb, .accdc, .adp, .afp, .bfa, .bpk, .bsk, .cdr, .cer, .cf, .cfn, .crt, .csr, .dbc, .dbf, .dbt, .dbx, .der, .djvu, .doc, .docm, .docx, .dt, .dwf, .dwg, .dws, .dxe, .dxl, .ebd, .edb, .efb, .efn, .egg, .emd, .eml, .enc, .epf, .eql, .erf, .fb, .fb2, .fc2, .fcz, .fg, .fp3, .htm, .html, .jbc, .jif, .jiff, .jpe, .jpeg, .jpf, .jpg, .just, .kdb, .kdbx, .key, .ldf, .lgp, .md, .mdb, .mdf, .mht, .mxl, .oab, .ost, .p7, .p7b, .p7c, .pab, .pcx, .pdf, .pem, .pfx, .ply, .png, .pov, .ppsx, .ppt, .pptx, .prefab, .psb, .psd, .pst, .rar, .raw, .rev, .rtf, .rzk, .rzx, .sec, .sef, .sgn, .shy, .snk, .sql, .sqlite, .sqlite3, .sqlitedb, .stl, .tbb, .tbn, .tif, .tiff, .txt, .xcf, .xls, .xlsm, .xlsx, .xof, .zip, .zipx (115 расширений).

Степень распространённости: средняя. 
Подробные сведения собираются. 

© Amigo-A (Andrew Ivanov): All blog articles.