MasterBuster

MasterBuster Ransomware 

(шифровальщик-вымогатель)

   Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует заполнить онлайн-форму в Google Docs, чтобы вернуть файлы. В течении 10 дней нужно заплатить выкуп в 3500 рупий. Если пройдёт больше времени, то сумма выкупв возрастёт до 5000 или 10000 рупий. Оригинальное название: MasterBuster. Разработка: DarkWing020 

© Генеалогия: HiddenTear >> MasterBuster

К зашифрованным файлам добавляется расширение .hcked.
Активность этого криптовымогателя пришлась на октябрь 2016 г. Ориентирован на бенгалоязычных пользователей (бенгальцы живут в Индии и Бангладеш).

Записки с требованием выкупа называются: 
READ_THIS_FILE_IMPORTANT.txt 

Содержание записки о выкупе:
IMPORTANT!!!!
Apnar Computer er shokol gurottopurno file encrypt kora hoyeche. 
KONO FILE TOUCH KORBEN NA!
Amra shokol file recover kore dibo.
Jebhabe apnar file recover korben: -
1) Ei link e jan: 
- http://goo.gl/forms/VftoBRppkJ
2) Form fill-up korun.
3) 24 hours er moddhe apnar email + mobile SMS a shokol dhoroner instructions chole jabe.
Thank you!
DarkWing020

Перевод записки на русский язык (перевод Автора блога):
ВАЖНО!!!!
Все ваши компьютерные файлы были зашифрованы.
НЕ ИЗМЕНЯЙТЕ НИКАКИЕ ФАЙЛЫ!
Мы можем восстанавить все файлы.
Как восстановить файлы: -
1) Перейдите по этой ссылке:
- http://goo.gl/forms/VftoBRppkJ
2) Заполните форму выше.
3) За 24 часа на ваш email + мобильный SMS придут инструкции по решению проблемы. 
Спасибо!
DarkWing020

Требуется также заполнить онлайн-форму в Google Docs (на бенгальском и частично английском языках).

Содержание (основная часть):
Files Recovery Process - DarkWing020
আপনাকে যদি এই ফর্মটি ফিলাপ করতে বলা হয়ে থাকে, তাহলে আপনার কম্পিউটার এর সকল ফাইল আমাদের সফটওয়্যার দ্বারা লক হয়েছে। ভয় পাবেন না!! এই ফর্মটি পূরণ করার মাধ্যমে আপনি আপনার ফাইলগুলো খুব সহজেই কোনো সমস্যা ছাড়াই ফিরে পেতে পারেন!! English/Bangla অথবা Banglish এ (ইংরেজি অক্ষরে বাংলা লেখা) ফর্মটি ফিলাপ করুন। আপনাকে জরিমানার মোট পরিমাণ এবং টাকা জমা দেয়ার নিয়ম ইমেইল এবং মোবাইলে জানানো হবে।
* মূল জরিমানার পরিমাণ ৩,৫০০ টাকা।
* ১০ দিনের বেশি অতিবাহিত হলে অতিরিক্ত ৫,০০০ থেকে ১০,০০০ টাকা জরিনামা করা হবে।
* ২০ দিনের বেশি অতিবাহিত হলে ফাইল রিকভার করা সম্ভব নয়।
## অসম্পুর্ণ অথবা ভুল তথ্য দিয়ে পূরণ করা ফর্ম বাতিল বলে গণ্য হবে।
## যেখান থেকে আক্রান্ত হয়েছেন সেখানে বাজে কমেন্ট করবেন না। আবারও বলছি, সেখানে বাজে কমেন্ট করবেন না। বাজে কমেন্ট করা হলে আমরা কোনোভাবেই ফাইল ফিরিয়ে দেব না। ভালো কমেন্ট করবেন। না পারলে দুরে থাকবেন।
## ফর্ম পূরণ এর ২৪ ঘন্টার মধ্যে আপনার সাথে ইমেইলে এবং মোবাইল ফোনে যোগাযোগ করা হবে। যোগাযোগের 24 ঘন্টার মধ্যে উল্লেখ করা মাধ্যমে টাকা প্রেরণ করা না হলে ভবিষ্যতে ফাইল রিকভার করা হবে না। রিকভার করা হলেও ২০,০০০ টাকা জরিমানা করা হবে।* Required
আপনার ফাইল কত দিন আগে লক করা হয়েছে? *
"আজকেই" অথবা যতদিন আগে লক করা হয়েছে তা লিখুন। (যেমনঃ- ৭ দিন)
আপনার কম্পিউটারের নাম কি? *
"Windows Key এবং R" একসাথে চাপুন -> বক্স এ cmd লিখে enter চাপুন -> hostname লিখে enter চাপুন। আপনার কম্পিউটারের নাম পেয়ে যাবেন।
আনুমানিক কত Gigabyte (GB) ফাইল লক করা হয়েছে? *
আপনার ফাইলগুলো কতটুকু গুরুত্বপুর্ন? *
  মোটামোটি
 বেশি
 খুবই বেশি
কিভাবে পেমেন্ট করতে চান? *
আমরা আমাদের সুবিধামত পেমেন্ট মেথড চেঞ্জ করব।
  Bkash
  Dutch-Bangla Mobile Bank
  Other: 
আপনার মোবাইল নাম্বার *
আগামী ২৪ ঘন্টা খোলা রাখবেন। SMS অথবা Phone Call দেয়া হবে।
আপনার Email Address *
আগামী ২৪ ঘন্টার মধ্যে চেক করবেন।
আমাদেরকে কি আর কিছু জানাতে চান?
আপনার অনুরোধ, বক্তব্য, অভিযোগ লিখুন।
Done

Перевод онлайн-формы на русский язык:
Процесс восстановления файлов - DarkWing020
Если вас просят заполнить эту форму, то все файлы на вашем компьютере были заблокировани нашим программным обеспечением. Не бойтесь!! Заполнив эту форму, вы можете  легко получить ваши файлы обратно, без каких-то проблем!! Английский / Bangla или Banglish (латинские буквы, написанные на бенгальском языке) и заполнив форму. Вы размещаете общую сумму штрафа и будете уведомлены по email и телефону.
* Сумма первоначального штрафа в размере 3500 рупий. 
* Если вы потратили больше 10 дней, оплата возрастет от 5000 до 10000 рупий. 
* 0 дней прошло, не представляется возможным восстановить файл.
## Неполная или неправильная информация заполненная в форме будет отклонена. 
## Плохие комментарии не комментируем. Принимаем неплохие комментарии. Если мы не восстановим файл в любом случае плохой комментарий. Хороший комментарий, если вы не можете остаться в стороне. 
## 4 часа, чтобы заполнить форму с вашим email и мобильным телефоном для связи. Сообщения, отправленные за 24 часа, если вы не укажете деньги не будут восстановлены в будущем файле. 0,000 восстановления, но будет оштрафован.
* Обязательно
Как долго ваши файлы заблокированы? *
"Сегодня" или введите "Дни блокировки". (Пример: 7 дней)
Какое имя вашего компьютера? *
Нажмите вместе Windows Key и R" -> в поле введите CMD и нажмите Enter -> введите hostname и нажмите Enter. Вы получите имя вашего компьютера.
Сколько гигабайтов (ГБ) файлов заблокировано? *
Сколько важных файлов? *
 немного 
 много
 очень много 
Как оплатить? *
Можно выбрать способ оплаты.
 Bkash
 Dutch-Bangla Mobile Bank
 Другое: 
Номер вашего мобильного телефона *
Проверяйте ближайшие 4 часа. Будет послана SMS или звонок.
Ваш email-адрес
Проверяйте почту следующие 4 часа.
Что еще вы хотите рассказать нам?
Ваш запрос, например, написать жалобу.
 Готово

Распространяется с помощью email-спама и вредоносных вложений, в том числе под видом PDF-документов, фальшивых обновлений, перепакованных и заражённых инсталляторов.

Шифрованию подвергаются файлы в следующих директориях:
%DriveLetter%
%SystemDrive%\users\public
%UserProfile%\Documents
%UserProfile%\Downloads

%UserProfile%\Desktop

Список файловых расширений, подвергающихся шифрованию:
.3dm, .3ds, .3gp, .7z, .accdb, .apk, .app, .asp, .aspx, .avi, .bat, .bin, .bmp, .css, .csv, .dmg, .doc, .docx, .dwg, .dxf, .fla, .flac, .flv, .gem, .html, .ipa, .iso, .jar, .jpeg, .jpg, .js, .m4a, .mdb, .mdf, .mov, .mp3, .mp4, .mpeg, .mpg, .odt, .ogg, .pdf, .php, .png, .pps, .ppt, .pptx, .psd, .py, .rar, .rom, .rtf, .sav, .sln, .sql, .swf, .swift, .txt, .vb, .wav, .wmv, .xls, .xlsx, .xml, .zip (65 расширений). 

Файлы, связанные с MasterBuster Ransomware:
MasterBuster.exe
READ_THIS_FILE_IMPORTANT.txt 

Записи реестра, связанные с MasterBuster Ransomware:
См. ниже в гибридном анализе. 

Сетевые подключения:
хттп://decrypt.ez.lv/
decrypt.ez.lv/ddrt/write.php?info=

хттп://goo.gl/forms/VftoBRppkJ
docs.google.com/forms/d/1dUrtnhlouJBZKyJjPU4x_nvbXO2jkd8vf7nkI_7DOl0/viewform


Результаты анализов:
Гибридный анализ >> 
VirusTotal анализ >>
Ransom.Masterbuster >>

Степень распространённости: пока не определена.
Подробные сведения собираются.

 Read to links: 
 Tweet on Twitter
 Symantec Security Response
 *

 Thanks: 
 Karsten Hahn
 Michael Gillespie
 Amigo-A :)
 Symantec Security Response

© Amigo-A (Andrew Ivanov): All blog articles.

Onyx

Onyx Ransomware

   Этот вымогатель якобы шифрует данные пользователей, а затем требует выкуп в биткоинах, чтобы вернуть файлы. Название получил от надписи "Onyx" на изображении. Оригинальное название: ScreenLocker. 

© Генеалогия: выясняется

Активность этого вымогателя пришлась на октябрь 2016 г. Ориентирован на грузинских пользователей.

Запиской с требованием выкупа выступает изображение с текстом на грузинском языке.

Пользуясь случаем, я перевёл её содержание с грузинского на русский. 

Содержание записки о выкупе:
თქვენი ყველა არსებული ფაილი დაიშიფრა,
მაგრამ, ნუ ღელავთ, ისინი არ წაგიშლია. (ჯერჯერობით)
თქვენ გაქვთ 24 საათი რომ გადაიხადოთ 100$.
თანხა უნდა ჩარიცხოთ მითითებულ გიტკოინის ანგარიშზე.
წინააღმდეგ შემთხვევაში ყველა ფაილი განადგურდება.
არ გამორთოთ კომპიუტერი, ან/და არ ეცადოთ ჩემს გათიშვას.
თითო დაუმორჩილებლობაზე წავშლი 100 ფაილს.

Перевод записки на русский язык (мой перевод):
Все ваши файлы были зашифрованы,
но, не волнуйтесь, они не были удалены. (до сих пор)
У вас есть 24 часа, чтобы заплатить $100.
Деньги переведите в указанный Bitcoin-кошелек.
В противном случае все файлы будут уничтожены.
Не выключайте компьютер и/или не пытайтесь меня выключить.
При неповиновении будут удалены 100 файлов.

Translations into English:
All your files are encrypted,
but do not worry, they have not been removed. (for now)
You have 24 hours to pay $100.
Money move to the specified Bitcoin-account.
Otherwise, all files will be destroyed.
Do not turn off the computer and/or do not attempt to disable me.
When disobedience will be deleted 100 files.

Видимо пока находится в разработке, т.к. никаких контактов, в том числе и биткоин-адреса, не указано. Видно, что проект создавался как блокировщик, а не как шифровальщик, хотя одно другому не мешает.  

Распространяться может с помощью email-спама и вредоносных вложений, фальшивых обновлений, перепакованных и заражённых инсталляторов.

Файлы, связанные с Onyx Ransomware:
ScreenLocker.exe
файл изображения

Записи реестра, связанные с Onyx Ransomware:
См. ниже в гибридном анализе. 

Результаты анализов:
Гибридный анализ >> 
VirusTotal анализ >>

Степень распространённости: низкая.
Подробные сведения собираются.

 Read to links: 
 Tweet on Twitter
 *
 *

 Thanks: 
 Karsten Hahn
 Andrew Ivanov (author)
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

IFN643

IFN643 Ransomware

   Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в $1000 в биткоинах, чтобы вернуть файлы. Название получил от добавляемого расширения и указано в коде вымогательского проекта. 

© Генеалогия: выясняется

К зашифрованным файлам добавляется расширение .ifn643.

Активность этого криптовымогателя пришлась на октябрь 2016 г. Ориентирован на англоязычных пользователей.

Записки с требованием выкупа называются:
IFN643_Malware_Readme

Содержание записки о выкупе:
Your most critical files have been encrypted :) 
Send $1000 in Bitcoin to udKNOr3FVaibcNY9ygVhygNfdKIojmVA93A if you need them back.

Перевод записки на русский язык:
Твои самые важные файлы зашифрованы :) 
Отправь $1000 в биткоинах на udKNOr3FVaibcNY9ygVhygNfdKIojmVA93A если тебе они нужны назад.

Распространяется с помощью email-спама и вредоносных вложений, фальшивых обновлений, перепакованных и заражённых инсталляторов.

Список файловых расширений, подвергающихся шифрованию:
В первую очередь файлы документов MS Office. 

Файлы, связанные с IFN643 Ransomware:
spoolpdf.anti.exe
spoolpdf.exe
<random_name>.exe
C:\IFN643_Malware_Readme

Записи реестра, связанные с IFN643 Ransomware:
См. гибридный анализ ниже. 

Сетевые подключения:
***

Результаты анализов:
Гибридный анализ >> 
VirusTotal анализ >>

Степень распространённости: низкая.
Подробные сведения собираются. 

 Read to links: 
 Tweet on Twitter
 ID Ransomware
 *

 Thanks: 
 Karsten Hahn
 Michael Gillespie
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

Alcatraz Locker

Alcatraz Locker Ransomware 

   Этот крипто-вымогатель шифрует данные пользователей с помощью AES-256, а затем требует выкуп в ~0.3283 BTC, чтобы вернуть файлы. Название упомянуто в коде вымогателями. 

© Генеалогия: выясняется.

К зашифрованным файлам добавляется расширение .Alcatraz

Активность этого криптовымогателя пришлась на октябрь 2016 г. Ориентирован на англоязычных пользователей.

Записка с требованием выкупа размещается на рабочем столе и называется: ransomed.html

Для её отображения принудительно запускается браузер Firefox (файл firefox.exe), если он установлен в системе. 

Содержание записки о выкупе (это веб-страница со ссылками на пяти языках на страницу помощи:
ALL YOUR DATA ARE ENCRYPTED
Help | Aiuto | Au secours | Ayuda | Hilfe
***

Перевод записки на русский язык:
ВСЕ ВАШИ ДАННЫЕ ЗАШИФРОВАНЫ
Помощь (англ.)| Помощь (португ.) | Помощь (франц.)| Помощь (исп.) | Помощь  (нем.)
***

На момент проверки некоторые Tor-адреса не открывались. 

Технические детали

Распространяется с помощью email-спама и вредоносных вложений, фальшивых обновлений, перепакованных и заражённых инсталляторов.

➤ Для шифрования файлов используется системные функции Windows (API-интерфейс шифрования).

➤ В записке о выкупа говорится, что используется шифрование AES-256 с 128-битовым паролем. На самом деле в этом шифровании применяется 128-байтовый, а не 128-битовый пароль, но еще используется 160-битовый хэш (SHA1) в качестве исходного ключа для 256-битового шифрования AES. В API-интерфейсе шифрования это реализуется следующим образом:
- Создается 256-битовый массив, заполняемый hex-значением 0x36.
- К первым 160 битам этого массива с начальным 160-битовым хэшем SHA1 применяется функция XOR.
- Рассчитывается SHA1 массива, к которому была применена функция XOR (как бы Hash1).
- Создается 256-битовый массив, заполняемый hex-значением 0x5C.
- К первым 160 битам этого массива с начальным 160-битовым хэшем SHA1 применяется функция XOR.
- Рассчитывается SHA1 массива, к которому была применена функция XOR (как бы Hash2).
- Затем 160 битов Hash1 и 96 битов Hash2 объединяются.
-Получившийся объединенный хэш используется в качестве исходного ключа для AES256.


➤ После выполнения шифрования AES-256 вымогатель Alcatraz Locker также кодирует уже зашифрованный файл с помощью позиционной системы счисления с основанием 64 (BASE64), в результате чего зашифрованный файл приводится к типичной модели:

➤ Указанный в записке 30-дневный срок, тоже обман: расшифровать свои документы можно в любое время, даже спустя 30 дней. Используйте для дешифровки после Alcatraz Locker дешифровщик от Avast.  

Список файловых расширений, подвергающихся шифрованию:
все файлы, находящиеся в директории пользователей C:\Users

Файлы, связанные с Alcatraz Ransomware:
ransomed.html
demo01.exe
gmpopenh264.dll

Расположения: 
%USERPROFILE%\Desktop\ransomed.html

Записи реестра, связанные с Alcatraz Ransomware:
См. гибридный анализ ниже. 

Сетевые подключения:
i3ezlvkoi7fwyood.onion
aa2stvtvgxo6mv5y.onion.to
jhomitevd2abj3fk.onion.to
217.197.83.197
и др., см. гибридный анализ ниже. 

Связанные ссылки:
***www.myexternalip.com - проверяется IP ПК жертвы. 

Новая версия от 30 октября 2016:
Новые варианты записки о выкупе с тем же названием: ransomed.html
Добавились языки: русский, китайский, японский. 

Результаты анализов:
Гибридный анализ >> 
VirusTotal анализ >>  VT>> VT>>
VirusTotal анализ ещё >>

Степень распространённости: низкая.
Подробные сведения собираются.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

Внимание!
Для зашифрованных файлов есть дешифровщик
Скачать Avast free decryption tool >>
***

 Read to links: 
 Tweet on Twitter, Tweet
 ID Ransomware
 Avast-блог

 Thanks: 
 Karsten Hahn
 Michael Gillespie
 xXToffeeXx
 Avast

© Amigo-A (Andrew Ivanov): All blog articles.

Esmeralda

Esmeralda Ransomware 

Apocalypse-Esmeralda Ransomware 

(шифровальщик-вымогатель) Translation into English

   Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп, чтобы вернуть файлы. Название оригинальное.

© Генеалогия: Apocalypse >> Esmeralda > Kangaroo > Missing

К зашифрованным файлам добавляется расширение .encrypted.

Активность этого криптовымогателя пришлась на октябрь 2016 г. Ориентирован на англоязычных пользователей.

Записка с требованием выкупа называется: How_To_Decrypt.txt
При файле: .How_To_Decrypt.txt

Содержание текста о выкупе:
Windows has encountered a critical problem and needs your immediate action to recover your data. The system access is locked and all the data have been encrypted to avoid the information be published or misused. You will not be able to access to your files and ignoring this message may cause the total loss of the data. We are sorry for the inconvenience.
You need to contact the email below to restore the data of your system.
Email: esmeraldaencryption@mail.ru
You will have to order the Unlock-Password and the Esmeralda Decryption Software. All the instructions will be sent to you by email.

Перевод текста на русский язык:
Windows столкнулась с критической проблемой и требует немедленного действия для восстановления ваших данных. Доступ к системе блокирован, а все данные зашифрованы, чтобы избежать обнародования информации или злоупотребления. Вы не сможете получить доступ к файлам, а игнорирование этого сообщения может привести к полной потере данных. Мы приносим свои извинения за неудобства.
Вам следует обратиться на email ниже, чтобы восстановить данные вашей системы.
E-mail: esmeraldaencryption@mail.ru
Вы должны заказать Unlock-пароль и Esmeralda Decryption Software. Все инструкции будут отправлены вам по электронной почте.

Текст из записки дублируется в блокировщике экрана. Там же можно разблокировать файлы. 

Технические детали

Распространяется с помощью email-спама и вредоносных вложений, фальшивых обновлений, перепакованных и заражённых инсталляторов. 

После шифрования удаляются тома теневых копий файлов. 

Список файловых расширений, подвергающихся шифрованию:
Многие популярные расширения. 
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с Esmeralda Ransomware:
How_To_Decrypt.txt
%PROGRAMFILES%\Windows NT\explorer.exe
explorer.exe
explorer.exe.mui

Имена файлов: 
explorer

Записи реестра, связанные с Esmeralda Ransomware:
См. гибридный анализ ниже. 

Сетевые подключения:
Email: esmeraldaencryption@mail.ru
См. ниже гибридный анализ.

Результаты анализов:
VirusTotal анализ >>
VirusTotal анализ еще >>


Степень распространённости: низкая.
Подробные сведения собираются.

 Read to links: 
 Tweet on Twitter
 *
 *

 Thanks: 
 Karsten Hahn
 Andrew Ivanov
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

EncrypTile

EncrypTile Ransomware

   Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в 0,053773 биткоинов (сумма может различаться), чтобы вернуть файлы. Название дано вымогателями. 

© Генеалогия: EncrypTile 

К оригинальному расширению зашифрованных файлов добавляется окончание EncrypTile.

Таким образом файл с именем "image.jpg" после шифрования станет  image.jpgEncrypTile.

Активность этого криптовымогателя пришлась на октябрь 2016 г. Ориентирован на англоязычных пользователей.

Записки с требованием выкупа называются: Decrypt_<ID>.txt, где <ID> — идентификатор компьютера жертвы. Кроме того есть еще экран блокировки с функциями проверки платежа и дешифровки, и скринлок, встающий обоями рабочего стола и html-файл. Всё с тем же текстом о выкупе. 

Содержание записки о выкупе:
Your files are safely encrypted with strongest AES encryption and a private RSA key
Warning! If anti-virus deletes software then look at the screenshot and text documents. You can still get your files if you pay by the time. Any cracking attempts will result in a termination of both keys.
Your important files are encrypted with a AES and RSA key, only for this computer. To unlock all of your files as if nothing ever happened, please send 0.053773 bitcoin to the bitcoin address by 3 days or both keys will be terminated and your files will be sold. There are tutorials and links to popular bitcoin markets to help you buy bitcoin easier. There is video
proof the password downloads after payment, and that the decryption is flawless and you cant recover/restore any files without the keys. Send the exact amount of bitcoin. Wait a few minutes and hit "Check payment". After payment, the keys will download and the AES key will appear. Then go to "Decrypt" and enter the AES key. Web browsers and basic programs are
only allowed until you pay. We will decrypt 1 file. E-mail us with your ID and file.
E-mail: deposithere@e-mail.ph
ID: lQ8bF8MgLpZkcmHXPSFjjdpDfGMPVTHjSn
0.053773
10/31/2016 10:39:50 AM
If anti-virus stopped software, e-mail ID after you pay.
How to buy bitcoin https://en.bitcoin.it/wiki/Buying_Bitcoins_(the_newbie_version)
https://localbitcoins.com, https://paxful.com/buy-bitcoin

Перевод записки на русский язык:
Ваши файлы надежно зашифрованы сильным AES-шифрованием и секретным ключом RSA
Предупреждение! Если антивирус удалит программу, то смотрите на скриншот и текстовые документы. Вы все равно можете получить ваши файлы, если заплатите вовремя. Любые попытки взлома приведут к уничтожению обоих ключей.
Ваши важные файлы зашифрованы с помощью ключа AES и RSA, только для этого компьютера. Чтобы разлочить все ваши файлы, как будто ничего не произошло, пожалуйста, отправьте 0.053773 биткоина на Bitcoin-адрес за 3 дня или оба ключа будут уничтожены и ваши файлы будут проданы. Есть учебные пособия и ссылки на популярных Bitcoin-рынках, чтобы упростить вам купить биткоины. Существует видеодоказательство загрузки пароля после оплаты, а также того, что расшифровка безупречна, и вы не сможете восстановить/вернуть любые файлы без ключей. Отправьте точное количество биткоинов. Подождите несколько минут и нажмите кнопку "Check payment". После оплаты ключи будут загружены и ключ AES появится. Затем перейдите в раздел "Decrypt" и введите ключ AES. Веб-браузеры и базовые программы разрешены только пока вы платите. Мы расшифруем 1 файл. Пришлите нам свой ID и файл.
Email: deposithere@e-mail.ph
ID: lQ8bF8MgLpZkcmHXPSFjjdpDfGMPVTHjSn
0.053773
10/31/2016 10:39:50 AM
Если антивирус блокировал программу, email ID после оплаты.
Как купить биткоин хттпs://en.bitcoin.it/wiki/Buying_Bitcoins_(the_newbie_version)
хттп://localbitcoins.com, https://paxful.com/buy-bitcoin

Email вымогателей: 
deposithere@e-mail.ph (Филиппины).

Распространяется с помощью email-спама и вредоносных вложений, фальшивых обновлений, перепакованных и заражённых инсталляторов.

Файлы, связанные с EncrypTile Ransomware:
%LOCALAPPDATA%\encryptile.exe

Записи реестра, связанные с EncrypTile Ransomware:
См. ниже гибридный анализ.

Сетевые подключения:
Ссылки, связанные с покупкой и передачей биткоинов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>

Степень распространённости: низкая.
Подробные сведения собираются.

Read to links: 
Tweet on Twitter
ID Ransomware

Внимание!
Файлы можно расшифрвоать! 
Скачайте дешифровщик от Avast по ссылке >>

 Thanks: 
 Karsten Hahn
 Michael Gillespie
 

© Amigo-A (Andrew Ivanov): All blog articles.

FileIce, Survey

Fileice Ransomware
Survey Ransomware

   Этот крипто-вымогатель шифрует данные пользователей, а затем заставляет пройти опрос для разблокировки компьютера. Оригинальное название: FileiceRansomware. 

Тестовая разработка этого криптовымогателя обнаружена в октябре 2016 г. Ориентирован на англоязычных пользователей.

Записки с требованием выкупа нет. 

Этот вымогатель использует опросную платформу FileIce, чтобы заставить вас пройти опрос до разблокировки компьютера. 

Выбор опроса из списка, когда ПК не заблокирован

Тот же сайт, когда ПК заблокирован

Вымогателей извлекает эти обзоры из URL *fileice.net*, как показано в исходном коде ниже.

Когда пользователь завершит опрос, то к нему в папку загрузок будет загружен файл ThxForYurTyme.txt, который покажет текстовое сообщение "Thank you for supporting me" (Спасибо тебе за поддержку меня).

Этот вымогатель пока находится в разработке (многие функции неактивны) и пока активно не распространяется. 

Например, вот политики, которые вымогатель может включить или включит в финальной версии:
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System "DisableTaskMgr" = 1
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System "DisableLockWorkstation" = 1
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System "DisableChangePassword" = 1
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer "NoClose" = 1
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer "NoLogoff" = 1
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System "HideFastUserSwitching" = 1

В перспективе может распространяться с помощью email-спама и вредоносных вложений, фальшивых обновлений, перепакованных и заражённых инсталляторов. Будьте бдительны! 

Список файловых расширений, подвергающихся шифрованию:
в первую очередь — файлы документов и изображений.

Файлы, связанные с Fileice Ransomware:
FileiceRansomware.exe
C:\Users\User_name\Downloads\ThxForYurTyme.txt
C:\seo\Sdchost.exe

Записи реестра, связанные с Fileice Ransomware:
HKCU\Software\Microsoft\Windows\CurrentVersion\Run\Sdchost C:\seo\Sdchost.exe

Сетевые подключения:
66.252.2.22:80
хттп://www.fileice.net (66.252.2.22)
хттп://fileice.net/download.php?t=regular&file=3lhzu

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>

Степень распространённости: единичные случаи.
Подробные сведения собираются регулярно.

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновление от 8 марта 2018:
Пост в Твиттере >>
Результаты анализов: VB + VT

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

Read to links: 
Tweet on Twitter
Writeup on BC
*

 Thanks: 
 Karsten Hahn by GData 
 Lawrence Abrams by BleepingComputer
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.