Enjey Crypter

EnjeyCrypter Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью AES-256, а затем требует связаться по email с вымогателями, чтобы вернуть файлы. Оригинальное название. Другое, указанное в проекте обновлённой версии: Crypto-Locker ENJEY. Фальш-имя: Host Process for Windows Services.

шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

© Генеалогия: выясняется.

К зашифрованным файлам добавляется составные расширения по шаблону .encrypted.contact_here_me@india.com.enjey

.encrypted.frogobigens@india.com.enjey

Активность этого крипто-вымогателя пришлась на начало марта 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записки с требованием выкупа называются: README_DECRYPT.txt

Содержание записки о выкупе:
[ ENJEY CRYPTER ]
Hello, your personal identity : *****
All of your documents, photos, databases and other important data has been encrypted.
To get a decoder, please contact me by e-mail: contact_here_me@india.com
In the message write the following: " Hey, I need a decoder + your personal identifier "
You will receive Bitcoin wallet, which will need to pay.
If you have no Bitcoin wallet
- Create a Bitcoin wallet xxxxs://blockchain.info/wallet/#/signup
- Buy cryptocurrency.
- xxxxs://en.bitcoin.it/wiki/Help:FAQ (for beginners),
Attention!
- Do not try to do something on their own, you can lose all your data!
- Do not rename all files are encrypted!
[ ENJEY CRYPTER ]

Перевод записки на русский язык:
[ ENJEY CRYPTER ]
Привет, ваш личные идентификатор: *****
Все ваши документы, фото, базы данных и другие важные данные зашифрованы.
Чтобы получить декодер, пишите мне на email: contact_here_me@india.com
В сообщении напишите следующее: «Эй, мне нужен декодер + ваш личный идентификатор»
Вы получите биткойн-кошелек, на который нужно заплатить.
Если у вас нет биткойн-кошелька
- Создайте биткойн-кошелек xxxxs://blockchain.info/wallet/#/signup
Купите криптовалюту.
- xxxxs://en.bitcoin.it/wiki/Help:FAQ (для начинающих),
Внимание!
- Не пытайтесь сами  что-то делать, вы можете потерять все свои данные!
- Не переименовывайте все зашифрованные файлы!
[ ENJEY CRYPTER ]

Распространяется или может распространяться с помощью email-спама и вредоносных вложений, эксплойтов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

После шифрования удаляет теневые копии файлов командой:
vssadmin delete shadows /all /Quiet

Список файловых расширений, подвергающихся шифрованию:
Все файлы, независимо от расширения, в их числе документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Пропускаются только файлы в директориях:
Program Files (x86)
$Recycle.Bin
Windows
Boot
System Volum Information

Файлы, связанные с этим Ransomware:
README_DECRYPT.txt
enjey.exe
<ransom>.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
xxxxs://blockchain.info/wallet/#/signup
xxxx://black-wallet.ru/css/add_text.php?data="[victim data]"
xxxxs://en.bitcoin.it/wiki/Help:FAQ
contact_here_me@india.com
frogobigens@india.com
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ для файла 1-й версии >>
VirusTotal анализ для файла 2-й версии >>
Другой анализ >>

Обновление от 15 марта 2017:
Версия: 2-я
Файл: doc.exe
Фальш-имя: Host Process for Windows Services
Новый Email: frogobigens@india.com (ране был замечен в Globe и AES-NI)
Результаты анализов: VT

Обновление от 5 мая 2017:
Пост в Твиттере >> 
Расширение: .encrypted.decrypter_here@freemail.hu.enjey

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

Внимание!
Файлы можно дешифровать!
Обращайтесь к Майклу Джиллеспи >>

 Read to links: 
 Tweet on Twitter
 ID Ransomware (ID as Enjey Crypter)
 Write-up (add. March 14, 2017)
 *

 Thanks: 
 MalwareHunterTeam
 Michael Gillespie
 Karsten Hahn
 Mihay Ice

© Amigo-A (Andrew Ivanov): All blog articles.

Kaenlupuf

Kaenlupuf Ransomware

(шифровальщик-вымогатель)

   Этот крипто-вымогатель шифрует данные пользователей с помощью AES-128, а затем требует выкуп в 1 биткоин, чтобы вернуть файлы. Оригинальное название получено путём сложения: Kaenlupuf = KAsi ENkrip LU PUnya File. В записке: K.A.E.N.L.U.P.U.F M.E.M.P.E.R.S.E.M.B.A.H.K.A.N и Kaenlupuf Ransomware v1.0b.
Фальш-имя: Microsoft Network Realtime Inspection Service. Фальш-копирайт: Microsoft Windows Operating System. Разработан в Малайзии. 

шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

© Генеалогия: выясняется.

К зашифрованным файлам добавляется расширение *нет данных*.

Изображение дракона в ресурсе вымогателя

Этот образец крипто-вымогателя обнаружен в марте 2017 г. Известен с января 2017. Ориентирован на малайских пользователей, что не мешает распространять его по всему миру. Пока в разработке. 

Записки с требованием выкупа называются: kaenlupuf-note.

Содержание записки о выкупе:
NOTE UNTUK ANDA - WAJIB BACA
Pertama sekali kami mengucapkan tahniah kepada anda kerana terpilih menjadi antara sebahagian yang berjaya melindungi fail-fail daripada ancaman luaran.
Kami amat mamahami anda memerlukan fail fail tersebut dengan segera. Dengan itu kami memperkenalkan pakej istimewa dengan harga mampu milik iaitu serendah 1 Bitcoin sahaja.
Terkejut dengan tawaran kami? Jadi apa tunggu lagi, daftar bitcoin anda sekarang untuk mendapat lebih nilai disamping fail-fail penting anda.
Lebih lama anda tunggu nilai akan semakin meningkat. Fail-fail anda telah dilindungi dengan algoritma RSA-2048 bit. Sangat selamat dan menarik bukan?

DAPATKAN SEMULA FAIL SAYA!
Untuk mendapatkan semula fail-fail anda, ikuti langkah berikut dengan cermat:
1. Daftar akaun Bitcoin wallet anda di URL berikut:
https://blockchain.info/wallet/
2. Guna alamat bitcoin kami untuk memindahkan kredit anda:
173MLPGRWdc6z91gQXBCHYVTkqTR9tMABb
3. Jumlah bayaran ialah seperti berikut:
1 BTC
4. Pastikan anda memaklumkan ID anda ketika membuat transaksi.
TOKEN ID ANDA 

Перевод записки на русский язык (перевод автора блога):
ВАЖНО ДЛЯ ВАС -  ПРОЧТИТЕ
Прежде всего, мы поздравляем вас с тем, что вы выбрали одну из наилучших защит файлов от внешних угроз.
Мы понимаем, что вам файлы нужны немедленно. Мы предоставим специальный пакет по доступной цене всего лишь за 1 биткойн.
Удивлены нашим предложением? Так чего же вы ждете, регистрируйте свой биткойн сейчас, чтобы получить ценное дополнение к вашим важным файлам.
Чем дольше вы будете ждать, тем больше будет сумма. Ваши файлы защищены алгоритмом RSA-2048. Очень хорошо и интересно, не правда ли?

ВЕРНУТЬ МОИ ФАЙЛЫ!
Чтобы вернуть ваши файлы, выполните следующие действия:
1. Зарегистрируйте свою учетную запись в биткойн-кошельке по следующему URL-адресу:
Https://blockchain.info/wallet/
2. Используйте наш биткойн-адрес для перевода оплаты:
173MLPGRWdc6z91gQXBCHYVTkqTR9tMABb
3. Сумма платежа следующая:
1 BTC
4. Обязательно сообщите свой ID при совершении транзакции.
ВАШ ТОКЕН ID

Также имеется другой текст, где приглашаются новые участники вступить в закрытую группу KAENLUPUF. 

Распространяется или может распространяться с помощью email-спама и вредоносных вложений, эксплойтов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
netsvc.exe
ajaw-rsa.exe
kaenlupuf-note

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
xxxx://asuk.xmaya.my/
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

 Read to links: 
 Tweet on Twitter + Tweet
 ID Ransomware (ID as Kaenlupuf)
 Write-up, Topic
 *

 Thanks: 
 Jiri Kropac‏
 Michael Gillespie
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

CryptoJacky

CryptoJacky Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в 250 Евро в биткоинах, чтобы вернуть файлы. Оригинальное название: CryptoJacky v2.0. Позже добавлена версия 3.0. Разработчик: paulej. 

шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

© Генеалогия: выясняется.

Шифрует только файлы с расширением .xxx, добавляя затем к ним расширение .aes. 

Активность этого крипто-вымогателя пришлась на начало марта 2017 г. Ориентирован на испаноязычных пользователей, что не мешает распространять его по всему миру. 

Записки с требованием выкупа называются:
ransom-instructions.lnk - записка о выкупе (1);
ransom-information.lnk - записка о выкупе (2);
ransom-payment.url - ссылка на сайт оплаты. 

Скриншоты 2-й и 3-й версий (скриншот 3-й версии справа)

Содержание записок о выкупе:
(1) rescate de archivos-instrucciones
Para comprar la contraseña haga click en el ícono "ransom-payment". Una vez abierto el link seleccione arriba del cuadro "list" y luego en la columna de la izquierda la opción con la que va a pagar, en la derecha seleccione bitcoins. Cliquee "Find the best rate". Vaya a alguno de los sitios que aparecerán a la derecha y compre EUR 250 de bitcoins a la siguiente dirección (con click dere- cho y luego pegar será ingresada donde quiera): lH7YGm35zVJWU4GrqZ2nq4kDvXNfkwfhxd
Una vez hecho el pago hágamelo saber enviandome un correo a la siguiente dirección: ransom_ph@mail2noble.com
Siendo así, le será enviada la contraseña.
Haga click en "ransom of files" e ingrésela.-

(2) rescate de archivos-informacíon
Ransom_ph! ha detectado actividad inmoral en sus hábitos online y/o en su equi- po, siendo así me he visto en la obligación de retener sus archivos personales. Si usted desea comprar la contraseña para recuperar el control de los mismos, sirva- se seguir las intrucciones cliqueando en el archivo "ransom-instructions" que se- rá creado en el escritorio para tal fin. Nota: son tres íconos los que se crearán, si alguno no apareciera, por favor haga click con el botón derecho del mousey seguidamente en actualizar.

Перевод записки на русский язык:
(1) спасение файлов - инструкции

Чтобы купить пароль, нажмите на значок "ransom-payment". После открытия окна выше выберите ссылку "list", а затем в левой колонке вариант, которым будете платить, справа выберите Bitcoins. Нажмите кнопку "Find the best rate". Перейдите на любой из сайтов, которые появятся справа и купить EUR 250 Bitcoins по следующему адресу (скопируйте правой кнопкой мыши, а затем вставьте туда): lH7YGm35zVJWU4GrqZ2nq4kDvXNfkwfhxd
После оплаты, дайте мне знать, отправив мне письмо на следующему email-адрес: ransom_ph@mail2noble.com
В таком случае, вам будет выслан пароль.
Нажмите на "ransom of files" и введите его. -

(2) спасение файлов - информация
Ransom_ph! была обнаружена аморальным активность в ваших онлайн-привычках и / или на вашем компьютере, потому я был вынужден заблокировать ваши личные файлы. Если вы хотите купить пароль, чтобы восстановить контроль над ними, пожалуйста, следуйте инструкциям, нажав на значок "ransom-instructions", который будет создан для этой цели на рабочем столе. Примечание: Будут созданы три значка, если они не появились, пожалуйста, нажмите правую кнопку мышки, затем выберите "Обновить".

Пока находится в разработке, но после релиза может начать распространяться с помощью email-спама и вредоносных вложений, эксплойтов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Для шифрования использует утилиту aescrypt.exe. 

Список файловых расширений, подвергающихся шифрованию:
в версии 2.0 только файлы .xxx
в версии 3.0  файлы: .7z, .accdb, .avi, .bak, .bmp,.doc, .docx, .flv, .gif, .jpg, .mdb, .mid, .mov, .mp3, .mp4, .mpg, .pdf, .png, .pps, .ppt, .pptx, .rar, .rm, .rtf, .sql, .txt, .wav, .wma, .wmv, .xls, .xlsx, .zip, .zipx (33 расширения). 

Файлы, связанные с этим Ransomware:
cryptoJacky-setup.exe
cryptojacky.exe
aescrypt.exe
run.exe
ransom-information.lnk
ransom-instructions.lnk
ransom-payment.url
ransomware-c.exe
ransomware-d.cmd
<random>.exe
<random>.vbs
<random>.tmp
<random>.bat
<random>.scr
и другие. см. ниже. 

Расположения: 
\Desktop\ransom-payment.url
%APPDATA%\r_tool\
%APPDATA%\r_tool\aescrypt.exe
%APPDATA%\r_tool\cts-input.vbs
%APPDATA%\r_tool\cts-input_error.vbs
%APPDATA%\r_tool\file_extensions.txt
%APPDATA%\r_tool\ransom-information.vbs
%APPDATA%\r_tool\ransom-instructions.vbs 
%APPDATA%\r_tool\ransom-thanks.vbs
%APPDATA%\r_tool\ransomware-c.exe
%APPDATA%\r_tool\ransomware-d.cmd
%APPDATA%\r_tool\Uninstall.exe
%APPDATA%\r_tool\fake-message.vbs
%APPDATA%\r_tool\rescue-of-files.exe
%APPDATA%\r_tool\rescue-thanks.vbs
%APPDATA%\r_tool\run.exe
%APPDATA%\r_tool\ms-windows_update.exe
%APPDATA%\r_tool\file_extensions.txt
и другие (см. гибридный анализ). 

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
www.bestchange.com
ransom_ph@mail2noble.com
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ версия 2.0 >>
VirusTotal анализ версия 3.0 >>
Malwr анализ >>

Обновление от 29 марта 2017:
Версия: 3.0. Распространяется под видом фальшивых инсталляторов. 
Файлы: Windows_10_Firewall_Control.exe, HHD_Software_Hex_Editor_Neo_Ultimate_Edition_6.22.00.exe и пр. 
Скриншот: (см. выше, рядом со скриншотами предыдущей версии). 
Фальш-копирайт: Microsoft Corporation
Список файловых расширений: .7z, .accdb, .avi, .bak, .bmp,.doc, .docx, .flv, .gif, .jpg, .mdb, .mid, .mov, .mp3, .mp4, .mpg, .pdf, .png, .pps, .ppt, .pptx, .rar, .rm, .rtf, .sql, .txt, .wav, .wma, .wmv, .xls, .xlsx, .zip, .zipx (33 расширения). 

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

 Read to links: 
 Tweet on Twitter
 ID Ransomware (ID as CryptoJacky)
 Write-up, Topic
 *

 Thanks: 
 Jiri Kropac
 Michael Gillespie
 0x4574N4
 Karsten Hahn

© Amigo-A (Andrew Ivanov): All blog articles.

Lock2017

Lock2017 Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью AES+RSA, а затем требует выкуп, чтобы вернуть файлы. Оригинальное название.

шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

© Генеалогия: выясняется.

К зашифрованным файлам добавляется составное расширение по шаблону:
[file_name.file_ext].id-[UserID]__contact_me_lock2017@protonmail.com_or_lock2017@unseen.is
или
[file_name.file_ext].id-[UserID]__contact_me_[ransom_email]

Зашифрованный файл будет иметь вид:
Scan001.jpg.id-3487664600__contact_me_lock2017@protonmail.com_or_lock2017@unseen.is

Активность этого крипто-вымогателя пришлась на конец февраля 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записки с требованием выкупа называются: README.TXT

Содержание записки о выкупе:
NOT YOUR LANGUAGE? USE https://translate.google.com
What happened to your files? 
All of your files protected by a strong encryption with RSA-2048. More information about the encryption keys using RSA-2048 can be found here: https://en.wikipedia.org/wiki/RSA_(cryptosystem)  
How did this happen? 
!!! Specially for your PC was generated personal RSA-2048 KEY, both public and private. 
!!! ALL YOUR FILES were encrypted with the public key, which has been transferred to your computer via the Internet. 
!!! Decrypting of your files is only possible with the help of the private key and decrypt program, which is on our Secret Server.
What do I do ? 
So, there are two ways you can choose: wait for a miracle and get your price doubled, or start send email now for more specific instructions! , and restore your data easy way. If You have really valuable data, you better not waste your time, because there is no other way to get your files, except make a payment.  For more specific instructions: 
Contact us by email only, send us an email along with your ID number and wait for further instructions. Our specialist will contact you within 24 hours.
For you to be sure, that we can decrypt your files - you can send us a single encrypted file and we will send you back it in a decrypted form. This will be your guarantee.
Please do not waste your time! You have 72 hours only! After that The Main Server will double your price! So right now You have a chance to buy your individual private SoftWare with a low price!
Please contact me by e-mail: 
lock2017@unseen.is or lock2017@protonmail.com 
UserID: id-3487664600

Перевод записки на русский язык:
НЕ ТВОЙ ЯЗЫК? ИСПОЛЬЗУЙ https://translate.google.com
Что случилось с файлами? 
Все ваши файлы защищены сильным шифрованием с RSA-2048. Подробную информацию о ключах шифрования с использованием RSA-2048 можно найти здесь: https://en.wikipedia.org/wiki/RSA_(cryptosystem)
Как это произошло?
!!! Специально для вашего ПК был создан личный ключ RSA-2048, открытый и закрытый.
!!! Все ваши файлы были зашифрованы с открытым ключом, который передан на компьютер через Интернет.
!!! Дешифровать файлы можно только с закрытым ключом и программой дешифровки, которые на нашем секретном сервере.
Что мне делать?
Есть два способа, которые можете выбрать: ждать чуда и удвоить цену или отправить email для получения конкретных инструкций! и восстановить данные легким путём. Если у вас есть ценные данные, то лучше не тратить время, т.к. нет иного способа вернуть ваши файлы, кроме заплатить. 
Подробные инструкции:
Свяжитесь с нами только по email, пришлите в письме ваш ID и ждите дальнейших указаний. Наш специалист свяжется с вами в течение 24 часов.
Для вашей уверенности мы можем расшифровать ваши файлы - отправьте нам один зашифрованный файл, и мы вышлем вам его расшифрованным. Это будет ваша гарантия.
Пожалуйста, не тратьте свое время! У вас только 72 часа! После этого главный сервер удвоит цену! Потому сейчас вы можете купить ваш личный частный софт по низкой цене!
Свяжитесь со мной по email:
lock2017@unseen.is или lock2017@protonmail.com
UserID: ID-3487664600

Распространяется или может распространяться с помощью email-спама и вредоносных вложений, эксплойтов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
README.TXT
<random>.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

 Read to links: 
 Topic on BC (Тема помощи)
 ID Ransomware (ID as Lock2017)
 Write-up
 *

 Thanks: 
 BleepingComputer
 Michael Gillespie
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

AvastVirusinfo

AvastVirusinfo Ransomware

(шифровальщик-вымогатель, деструктор)

Как удалить? Как расшифровать? Как вернуть данные? 
По ссылке выберите Управление "К" МВД России и подайте онлайн-заявление. 
См. также статьи УК РФ: 
ст. 159.6 "Мошенничество в сфере компьютерной информации"
ст. 272 "Неправомерный доступ к компьютерной информации" 
ст. 273 "Создание, использование и распространение вредоносных компьютерных программ"

Информация о шифровальщике

Этот крипто-вымогатель шифрует (фактически портит) данные пользователей с помощью логической операции OR байт_из_файла, 1. Затем требует выкуп в 15 долларов, чтобы вернуть файлы. Восстановить файлы после этого невозможно. Название дано по логину почты вымогателей. 

шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

© Генеалогия: AvastVirusinfo 2015 > AvastVirusinfo 2016 > AvastVirusinfo 2017

К зашифрованным файлам добавляется случайное расширение, по формату: .<random_A-Za-z0-9>, например: .A9v9Ahu4

Пример зашифрованных файлов

Были и другие расширения, с которыми файлы тоже были безнадёжно испорчены:
.data
.0hIYC892
.utyoq3wU
.OImocM6z
.qbv2vzVF
.x2Hzqz8YKTjyeKs6Oiz7CzQQ

Активность этого крипто-вымогателя началась примерно с января 2015 года, но продолжается и по сей день. Ориентирован на русскоязычных пользователей, но в записке есть текст и на английском языке, с расчетом распространения по всему миру. 

Просматривается специальная заточка под русскоязычные форумы, оказывающие бесплатную помощь пострадавшим от вирусов и шифровальщиков. Цель: дискредитировать работу хелперов и консультантов. 

Уплата выкупа бесполезна! Файлы намеренно повреждены!

Payment of the redemption is useless! Files deliberately damaged.

Записки с требованием выкупа называются: 
HOW TO DECRYPT FILES.txt
КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt
Название может быть и совершенно другим. См. варианты в конце статьи. 

Содержание записки о выкупе:
Внимание! Все Ваши файлы зашифрованы!
Чтобы узнать как восстановить свои файлы и получить к ним доступ,
пишите на почту avastvirusinfo@yandex.com - Отвечаем не более 2 раз!
Цена не менее 15$
Бесплатно не расшифруем ни один файл!(Задолбали флудеры!).
Остерегайтесь мошенников: "thyrex" и подобных, вам лично не помогут но убедят не платить (Без доказательств!)!

What happened to your files?
All of your files were protected by a strong encryption.
There is no way to decrypt your files without the key.
If your files not important for you just reinstall your system.
If your files is important just email us to discuss the price and how to decrypt your files.
You can email us to avastvirusinfo@yandex.com

Перевод английского текста на русский язык (он отличается):
Что случилось с файлами?
Все ваши файлы защищены сильным шифрованием.
Нет способов дешифровки файлов без ключа.
Если ваши файлы не важны вам, то переставьте систему.
Если ваши файлы важны, пришлите email, обсудим цену расшифровки файлов.
Можно написать на avastvirusinfo@yandex.com

Распространяется или может распространяться с помощью email-спама и вредоносных вложений, эксплойтов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
.000, .002, .003, .004, .005, .006, .007, .008, .009, .010, .1cd, .1st, .264, .2bp, .3d, .3D, .3d4, .3df8, .3dm, .3dr, .3ds, .3fr, .3g2, .3ga, .3gp, .3gp2, .3mm, .3pr, .4db, .4dl, .4mp, .73i, .7z, .7z001, .7z002, .7zip, .8xi, .9png, .a00, .a01, .a02, .a03, .a04, .a05, .a3d, .aa, .aac, .ab4, .abk, .abm, .abr, .abs, .abw, .ac3, .accdb, .accdc, .accde, .accdr, .accdt, .accdw, .accft, .ace, .ach, .acr, .act, .adadownload, .adb, .ade, .adi, .adn, .adp, .adpb, .adr, .ads, .adt, .af2, .af3, .aft, .afx, .agdl, .agg, .agif, .agp, .ahd, .ai, .aic, .aiff, .aim, .ain, .aip, .air, .ais, .ait, .al, .albm, .alf, .als, .alx, .alz, .amf, .amr, .amu, .amx, .amxx, .ani, .ans, .aoi, .ap, .apd, .ape, .api, .apj, .apk, .apm, .apng, .app, .application, .appx, .appxbundle, .aps, .apt, .apx, .apz, .ar, .arc, .arh, .ari, .arj, .ark, .aro, .arr, .art, .artwork, .arw, .asa, .asc, .ascii, .ascx, .ase, .asec, .asf, .ashx, .ask, .asm, .asmx, .asp, .aspx, .asr, .asw, .asx, .asy, .atom, .aty, .aup, .avatar, .avi, .avs, .awdb, .awg, .awp, .aws, .awt, .aww, .axx, .azw, .azw3, .azz, .b1, .b64, .ba .back, .backup, .backupdb, .bad, .bak, .bank, .bar, .bas, .bat, .bay, .bbb, .bbc, .bbs, .bc, .bck, .bdb, .bdp, .bdr, .bean, .bgt, .bh, .bhx, .bib, .bic, .big, .bik, .bin, .bkf, .bkp, .blend, .blf, .blkrt, .blp, .bm2, .bmc, .bmf, .bml, .bmp, .bmx, .bmz, .bna, .bnd, .bndl, .boc, .bok, .boo, .bp2, .bp3, .bpl, .bpw, .brk, .brn, .brt, .bsp, .bss, .btd, .bti, .btm, .btr, .bz, .bz2, .bza, .bzabw, .bzip, .bzip2, .c, .c00, .c01, .c02, .c03, .c10, .c4, .c4d, .cab, .cache, .cad, .cag, .cal, .cals, .cam, .can, .cap, .car, .cb7, .cba, .cbr, .cbz, .cc, .ccd, .cch, .cd, .cd5, .cda, .cdb, .cdc, .cdf, .cdg, .cdmm, .cdmt, .cdmtz, .cdmz, .cdr, .cdr3, .cdr4, .cdr5, .cdr6, .cdrw, .cdt, .cdx, .cdz, .ce1, .ce2, .cer, .cf, .cfg, .cfm, .cfp, .cfu, .cgf, .cgi, .cgm, .chart, .chk, .chm, .chord, .cib, .cimg, .cin, .cit, .ckp, .class, .clear, .clf, .clkw, .clr, .cls, .cma, .cmd, .cms, .cmt, .cmx, .cnf, .cnm, .cnt, .cnv, .cod, .coff, .col, .colz, .com, .config, .contact, .cp, .cp9, .cpc, .cpd, .cpg, .cpi, .cpio, .cpl, .cpp, .cpr, .cps, .cpt, .cpx, .cr2, .craw, .crd, .crdownload, .crt, .crw, .crwl, .crypt, .cs, .csh, .csi, .csl, .cso, .css, .csv, .csy, .ct, .ctt, .cty, .cue, .cv5, .cvg, .cvi, .cvs, .cvx, .cwf, .cwt, .cxf, .cyi, .czip, .daa, .dac, .daconnections,.dacpac, .dad, .dadiagrams, .daf, .dal, .dao, .dap, .daschema, .dash, .dat, .db, .db_journal, .db2, .db3, .dbb, .dbc, .dbf, .dbk, .dbr, .dbs, .dbt, .dbv, .dbx, .dc2, .dca, .dcb, .dcp, .dcr, .dcs, .dct, .dcu, .dcx, .dd, .ddc, .ddcx, .ddd, .ddl, .ddoc, .ddrw, .dds, .deb, .ded, .dem, .der, .des, .design, .deskthemepack, .dev, .dex, .df1, .dgc, .dgn, .dgs, .dgt, .dhs, .dib, .dic, .dicom, .dif, .dii, .dir, .disk, .dist, .dit, .divx, .diz, .djv, .djvu, .dlc, .dll, .dm3, .dmg, .dmi, .dmo, .dmp, .dnc, .dne, .dng, .dob, .doc, .docm, .docx, .docxml, .docz, .dot, .dotm, .dotx, .download, .dox, .dp1, .dpk, .dpl, .dpp, .dpr, .dpx, .dqy, .drf, .drv, .drw, .drz, .dsk, .dsn, .dsp, .dsv, .dt, .dt2, .dta, .dtd, .dtsx, .dtw, .dump, .dvd, .dvf, .dvi, .dvl, .dvr, .dvx, .dwfx, .dwg, .dx, .dxb, .dxe, .dxf, .dxg, .dxl, .dz, .ebd, .eco, .ecs, .ecw, .ecx, .edb, .edi, .efd, .efw, .egc, .eio, .eip, .eit, .elf, .email, .emd, .emf, .eml, .emlx, .emz, .eng, .eot, .ep, .epf, .epi, .epp, .eps, .epsf, .epub, .eql, .erbsql, .erf, .err, .etf, .etx, .euc, .evo, .evtx, .ex, .exe, .exf, .exif, .exr, .f, .f90, .fadein, .fal, .faq, .fax, .fb2, .fb3, .fbl, .fbx, .fcd, .fcf, .fdb, .fdf, .fdp, .fdr, .fds, .fdt, .fdx, .fdxt, .fes, .ff, .ffd, .fff, .fft, .fh, .fh10, .fh11, .fh3, .fh4, .fh5, .fh6, .fh7, .fh8, .fhd, .fic, .fid, .fif, .fig, .fil, .fla, .flac, .flc, .flf, .fli, .flp, .flr, .flv, .flvv, .fm, .fm5, .fmp, .fmp12, .fmpsl, .fmv, .fodt, .fol, .for, .fountain, .fp3, .fp4, .fp5, .fp7, .fp8, .fpos, .fpp, .fpt, .fpx, .frt, .ft10, .ft11, .ft7, .ft8, .ft9, .ftn, .fwdn, .fxc, .fxg, .fzb, .fzv, .g3, .g64, .gadget, .gam, .gb, .gba, .gbk, .gca, .gcdp, .gdb, .gdoc, .gdraw, .gem, .geo, .gfb, .gfie, .ggr, .gho, .gif, .gih, .gim, .gio, .glox, .gmbck, .gmspr, .gmz, .gp4, .gp5, .gpd, .gpg, .gpn, .gpx, .gray, .grey, .grf, .gro, .grob, .groups, .grs, .grw, .gry, .gsd, .gsheet, .gslides, .gthr, .gtp, .gv, .gwi, .gz, .gz2, .gza, .gzi, .gzig, .gzip, .h, .h264, .h3m, .h4r, .ha, .hbc, .hbc2, .hbe, .hbk, .hdb, .hdd, .hdp, .hdr, .hht, .hi, .his, .hki, .hki1, .hki2, .hpg, .hpgl, .hpi, .hpl, .hpp, .hqx, .hs, .htc, .htm, .html, .hwp, .hz, .i3d, .ib, .iba, .ibank, .ibd, .ibooks, .ibz, .icn, .icns, .ico, .icon, .icpr, .ics, .idc, .idea, .idx, .iff, .ifo, .igt, .igx, .ihtml, .ihx, .iif, .iil, .iiq, .imd, .img, .inc, .incpas, .ind, .indd, .inf, .info, .ini, .ink, .int, .inv, .ipa, .ipd, .ipf, .ipsw, .ipx, .iso, .isu, .isz, .itc2, .itdb, .itl, .itw, .iwd, .iwi, .j, .j2c, .j2k, .jad, .jar, .jarvis, .jas, .jav, .java, .jb2, .jbig, .jbig2, .jbmp, .jbr, .jc, .jfif, .jgz, .jia, .jif, .jiff, .jis, .jng, .jnt, .joe, .jp1, .jp2, .jpc, .jpe, .jpeg, .jpf, .jpg, .jpg2, .jps, .jpw, .jpx, .jrtf, .js, .json, .jsp, .jtf, .jtx, .jwl, .jxr, .kc2, .kdb, .kdbx, .kdc, .kdi, .kdk, .kes, .kext, .key, .keynote, .kic, .klg, .kml, .kmz, .knt, .kon, .kpdx, .kpg, .ksd, .kwd, .kwm, .laccdb, .latex, .lav, .lbi, .lbm, .lbt, .lcd, .lcf, .ldb, .ldf, .ldif, .lgc, .lgp, .lha, .lib, .lis, .lit, .ljp, .lmk, .lng, .lnk, .lnt, .log, .logic, .lp2, .lrc, .lrtemplate, .lst, .ltm, .ltr, .ltx, .lua, .lue, .luf, .lvl, .lwo, .lwp, .lws, .lxfml, .lyt, .lyx, .lzo, .lzx, .m, .m2t, .m2ts, .m2v, .m3d, .m3u, .m3u8, .m4a, .m4b, .m4p .m4v, .ma, .mac, .maf, .mag, .mam, .man, .map, .mapimail, .maq, .mar, .mat, .maw, .max, .mb, .mbm, .mbox, .mbx, .mbz, .mcd, .md, .md3, .md5, .md5txt, .mdb, .mdbackup, .mdbhtml, .mdc, .mde, .mdf, .mdi, .mdl, .mdn, .mds, .mdt, .mdx, .me, .mef, .mell, .mft, .mfw, .mgcb, .mgmf, .mgmt, .mgmx, .mgtx, .mht, .mhtml, .mic, .mid, .midi, .min, .mip, .mkv, .ml, .mlb, .mlx, .mmat, .mmf, .mmw, .mng, .mnr, .mnt, .mny, .mobi, .mod, .moneywell, .mos, .mov, .moz, .mp3, .mp4, .mpd, .mpe, .mpeg, .mpf, .mpg, .mpo, .mpp, .mpt, .mrg, .mrw, .mrxs, .msg, .msi, .msmessagestore, .mso, .msp, .msu, .mswmm, .mt9, .mts, .mud, .mui, .mwb, .mwp, .mxf, .mxl, .mxp, .myd, .myl, .n64, .nav, .nba, .nbf, .nbh, .nbu, .ncd, .nco, .ncr, .nct, .nd, .ndd, .ndf, .nds, .nef, .nes, .nfo, .njx, .nk2, .nlm, .nop, .notes, .now, .npf, .npr, .nrg, .nri, .nrw, .ns2, .ns3, .ns4, .nsd, .nsf, .nsg, .nsh, .nv2, .nvram, .nwb, .nwctxt, .nx1, .nx2, .nxl, .nyf, .nzb, .o, .oab, .obj, .oc3, .oc4, .oc5, .oce, .oci, .ocr, .ocx, .odb, .odc, .odf, .odg, .odi, .odm, .odo, .odp, .ods, .odt, .ofl, .oft, .ofx, .oga, .ogg, .ogv, .oil, .old, .omf, .one, .onepkg, .openbsd, .opf, .oplc, .opml, .oqy, .ora, .orf, .ort, .orx, .ost, .ota, .otf, .otg, .oth, .oti, .otp, .ots, .ott, .out, .ova, .ovf, .ovp, .ovr, .owc, .owg, .owl, .oxps, .oxt, .oyx, .ozb, .ozj, .ozt, .p12, .p7b, .p7c, .p7s, .p96, .p97, .pab, .pages, .pak, .pal, .pan, .pano, .pap, .part, .partial, .pas, .pat, .pbf, .pbm, .pbo, .pbp, .pbs, .pc1, .pc2, .pc3, .pcd, .pcl, .pcm, .pcs, .pct, .pcv, .pcx, .pdb, .pdd, .pdf, .pdm, .pdn, .pe4, .pef, .pem, .pfd, .pff, .pfi, .pfs, .pfv, .pfx, .pgf, .pgm, .pgp, .phm, .php, .phtml, .pi1, .pi2, .pi3, .pic, .pict, .pif, .pip, .pix, .pjpeg, .pjpg, .pjt, .pkb, .pkg, .pkh, .pkpass, .pl, .plantuml, .plc, .pli, .plist, .pls, .plt, .plugin, .plus_muhd, .pm, .pmd, .pmg, .png, .pni, .pnm, .pntg, .pnz, .pobj, .pop, .pos, .pot, .potm, .potx, .pp4, .pp5, .ppam, .ppd, .ppf, .ppm, .pps, .ppsm, .ppsx, .ppt, .pptm, .pptx, .prc, .prf, .prg, .prj, .prn, .pro, .prproj, .prt, .prw, .ps, .psa, .psafe3, .psb, .psd, .psdx, .pse, .psid, .psp, .pspbrush, .pspimage, .pst, .psw, .ptg, .pth, .pts, .ptx, .pu, .pub, .puz, .pvj, .pvm, .pvr, .pwa, .pwf, .pwi, .pwm, .pwr, .px, .pxp, .pxr, .py, .pz3, .pza, .pzl, .pzp, .pzs, .qba, .qbb, .qbm, .qbr, .qbw, .qbx, .qby, .qcow, .qcow2, .qdf, .qdl, .qed, .qel, .qif, .qmg, .qpx, .qry, .qtq, .qtr, .qvd, .r00, .r01, .r02, .r03, .r04, .r05, .r06, .r07, .r08, .r09, .r10, .r3d, .ra, .raf, .rar, .ras, .rat, .raw, .rb, .rc, .rctd, .rcu, .rdb, .rdl, .readme, .rec, .ref, .reg, .rem, .rep, .res, .rev, .rft, .rgb, .rgf, .rgn, .rib, .ric, .riff, .ris, .rix, .rle, .rli, .rm, .rmvb, .rng, .rom, .rpd, .rpf, .rpm, .rpt, .rri, .rrt, .rs, .rsb, .rsc, .rsd, .rsr, .rsrc, .rss, .rst, .rsw, .rt, .rtd, .rte, .rtf, .rts, .rtx, .rum, .run, .rv, .rvt, .rw2, .rwl, .rwz, .rzk, .rzn, .s2mv, .s3db, .s3m, .sad, .saf, .safariextz, .safe, .safetext, .sai, .sam, .sas7bdat, .sav, .save, .say, .sbf, .sbu, .scad, .scc, .sci, .scm, .scn, .scpt, .scr, .scriv, .scrivx, .sct, .scv, .scw, .scx, .sd0, .sd7, .sda, .sdb, .sdc, .sdd, .sdf, .sdm, .sdn, .sdoc, .sds, .sdt, .sdw, .sdxf, .sen, .sep, .sfc, .sfcache, .sfera, .sfs, .sfw, .sfx, .sgm, .sgml, .sh, .sha, .shar, .shr, .shs, .shtml, .shw, .sig, .sis, .sisx, .sit, .sitd, .sitx, .sk1, .sk2, .skcard, .skm, .skn, .skp, .sla, .slagz, .sld, .sldasm, .slddrt, .slddrw, .sldm, .sldprt, .sldx, .sls, .slt, .smc, .smd, .smf, .smil, .sms, .snagitstamps, .snagstyles, .snd, .sng, .snp, .so, .sob, .spa, .sparsebundle, .spb, .spe, .sph, .spj, .spp, .spq, .spr, .sqb, .sql, .sqlite, .sqlite3, .sqlitedb, .sqx, .sr2, .src, .srf, .srm, .srt, .srw, .ssa, .ssfn, .ssh, .ssk, .st, .st4, .st5, .st6, .st7, .st8, .stc, .std, .stdf, .ste, .sti, .stl, .stm, .stn, .stp, .str, .strings, .stt, .stw, .stx, .sty, .sub, .sud, .sumo, .sup, .sva, .svf, .svg, .svgz, .svi, .svp, .svr, .swd, .swf, .swp, .sxc, .sxd, .sxg, .sxi, .sxm, .sxw, .sys, .t2b, .tab, .tao, .tar, .tar.gz, .tax2013, .tax2014, .tb0, .tbl, .tbn, .tbz2, .tc, .tch, .tcx, .tdf, .tdt, .te, .teacher, .temp, .template, .tex, .texinfo, .text, .tfc, .tg, .tg4, .tga, .tgz, .theme, .themepack, .thm, .thmx, .thp, .thumb, .tib, .tif, .tiff, .tjp, .tlb, .tlc, .tlg, .tlz, .tm, .tm2, .tmd, .tmp, .tmv, .tmx, .tn, .tne, .toast, .tod, .torrent, .tp, .tpc, .tpi, .tpl, .tpu, .tpx, .trelby, .trm, .troff, .trp, .ts, .tsv, .ttc, .ttf, .tu, .tur, .tvj, .txd, .txf, .txt, .u3d, .u3i, .uax, .udb, .udf, .ufo, .ufr, .uga, .uif, .umx, .unauth, .unity, .unr, .unx, .uof, .uop, .uot, .upd, .upg, .upoi, .url, .usa, .usr, .usx, .ut, .ut2, .ut3, .utc, .utf8, .uts, .utx, .utxt, .uvx, .uxx, .v12, .v64, .val, .vault, .vb, .vbox, .vbproj, .vbr, .vbs, .vc, .vcd, .vcf, .vcproj, .vct, .vda, .vdb, .vdi, .vdo, .vec, .veg, .ver, .vff, .vhd, .vhdx, .vmdk, .vmem, .vmf, .vml, .vmsd, .vmt, .vmwarevm, .vmx, .vmxf, .vnt, .vob, .vpd, .vpe, .vrml, .vrp, .vsd, .vsdm, .vsdx, .vsi, .vsm, .vst, .vstm, .vstx, .vsx, .vtf, .vtx, .vue, .vw, .vxd, .w3g, .w3x, .wab, .wad, .wallet, .war, .wav, .wave, .waw, .wb1, .wb2, .wba, .wbc, .wbcat, .wbd, .wbk, .wbm, .wbmp, .wbz, .wcf, .wdb, .wdgt, .wdp, .webarchive, .webdoc, .webm, .webp, .wgz, .wif, .wire, .wks, .wll, .wlmp, .wm, .wma, .wmd, .wmdb, .wmf, .wmmp, .wmv, .wmx, .wn, .woff, .wotreplay, .wow, .wowpreplay, .wp, .wp4, .wp5, .wp6, .wp7, .wpa, .wpb, .wpd, .wpe, .wpg, .wpk, .wpl, .wps, .wpt, .wpw, .wri, .wsc, .wsd, .wsh, .wtd, .wtf, .wtx, .wvl, .wvx, .x, .x_t, .x11, .x3d, .x3f, .xap, .xar, .xbdoc, .xbplate, .xdb, .xdl, .xhtml, .xis, .xl, .xla, .xlam, .xlb, .xlc, .xld, .xlf, .xlgc, .xlk, .xll, .xlm, .xlr, .xls, .xlsb, .xlsm, .xlsx, .xlt, .xltm, .xltx, .xlv, .xlw, .xlwx, .xmi, .xmind, .xml, .xmmap, .xpi, .xpm, .xpp, .xps, .xpt, .xsd, .xsl, .xslt, .xsn,.xvid, .xwd, .xwp, .xy3, .xyp, .xyw, .xz, .y .yab, .yal, .ybk, .ycbcra, .yml, .yps, .ysp, .yuv, .z01, .z02, .z03, .z04, .z05, .z3d, .zabw, .zap, .zdb, .zdc, .zif, .zip, .zipx, .zoo, .zw (1791 расширение) и файлы без расширений. 

Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы, ярлыки, файлы прикладных и пользовательских программ, системные и исполняемые файлы, и пр.

После такого объема зашифрованных файлов, Windows не загрузится. 

After such a volume of encrypted files, Windows will not be able to boot.

В другой версии шифровальщика, добавляющего к файлам расширение .qbv2vzVF :

.1cd, .3gp, .7z, .abm, .abs, .abw, .ac3, .accdb, .act, .adn, .adp, .aft, .afx, .agif, .agp, .ahd, .aic, .aim, .albm, .alf, .ani, .ans, .apd, .ape, .apm, .apng, .aps, .apt, .apx, .art, .arw, .asc, .ase, .ask, .asw, .asy, .aty, .avi, .awdb, .awp, .awt, .aww, .azz, .bad, .bak, .bay, .bbs, .bdb, .bdp, .bdr, .bean, .bib, .bmp, .bmx, .bna, .bnd, .boc, .bok, .brk, .brn, .brt, .bss, .btd, .bti, .btr, .cal, .cals, .can, .cdb, .cdc, .cdg, .cdmm, .cdmt, .cdmz, .cdr, .cdr3, .cdr4, .cdr6, .cdrw, .cdt, .cer, .cfu, .cgm, .cimg, .cin, .cit, .ckp, .clkw, .cma, .cmx, .cnm, .cnv, .colz, .cpc, .cpd, .cpg, .cps, .cpt, .cpx, .crd, .crwl, .css, .csv, .csy, .cvg, .cvi, .cvs, .cvx, .cwt, .cxf, .cyi, .dad, .daf, .dat, .dbc, .dbf, .dbk, .dbs, .dbt, .dbv, .dbx, .dca, .dcb, .dcr, .dcs, .dct, .dcx, .ddl, .ddoc, .dds, .ded, .dgn, .dgs, .dgt, .dhs, .dib, .divx, .diz, .djv, .djvu, .dmi, .dmo, .dnc, .dne, .doc, .docm, .docx, .docz, .dot, .dotm, .dotx, .dpp, .dpx, .dqy, .drw, .drz, .dsk, .dsn, .dsv, .dta, .dtsx, .dtw, .dvi, .dvl, .dwg, .dxb, .dxf, .dxl, .eco, .ecw, .ecx, .edb, .efd, .egc, .eio, .eip, .eit, .emd, .emf, .emlx, .epf, .epp, .eps, .epsf, .eql, .erf, .err, .etf, .etx, .euc, .exr, .fal, .faq, .fax, .fbl, .fbx, .fcd, .fcf, .fdf, .fdr, .fds, .fdt, .fdx, .fdxt, .fes, .fft, .fic, .fid, .fif, .fig, .fil, .flac, .flc, .fli, .flr, .flv, .fmv, .fodt, .fol, .fpos, .fpt, .fpx, .frm, .frt, .frx, .ftn, .fwdn, .fxc, .fxg, .fzb, .fzv, .gcdp, .gdb, .gdoc, .gem, .geo, .gfb, .gfie, .ggr, .gif, .gih, .gim, .gio, .glox, .gpd, .gpn, .gro, .grob, .grs, .gsd, .gthr, .gtp, .gwi, .gzip, .hbk, .hdb, .hdp, .hdr, .hht, .his, .hpg, .hpgl, .hpi, .hpl, .htc, .htm, .html, .hwp, .icn, .icon, .icpr, .idc, .idea, .idx, .ifo, .igt, .igx, .ihx, .iil, .iiq, .imd, .info, .ink, .ipf, .ipx, .itc2, .itdb, .itw, .iwi, .jas, .jbig, .jbmp, .jbr, .jfif, .jia, .jis, .jng, .joe, .jpe, .jpeg, .jpg, .jpg2, .jps, .jpx, .jrtf, .jtf, .jtx, .jwl, .jxr, .kdb, .kdbx, .kdc, .kdi, .kdk, .kes, .kic, .klg, .knt, .kon, .kpg, .kwd, .kwm, .lbm, .lbt, .lgc, .lis, .lit, .ljp, .lmk, .lnk, .lnt, .lrc, .lst, .ltr, .ltx, .lue, .luf, .lwo, .lwp, .lws, .lyt, .lyx, .m2v, .mac, .man, .map, .maq, .mat, .max, .mbm, .mbox, .md, .mdb, .mdf, .mdn, .mdt, .mef, .mell, .mft, .mgcb, .mgmf, .mgmt, .mgmx, .mgtx, .min, .mkv, .mmat, .mng, .mnr, .mnt, .mobi, .mos, .mov, .mp3, .mp4, .mpeg, .mpf, .mpg, .mpo, .mrg, .mrxs, .msg, .mud, .mwb, .mwp, .mxl, .myd, .myl, .ncr, .nct, .ndf, .nfo, .njx, .nlm, .now, .nrw, .nsf, .nyf, .nzb, .obj, .oce, .oci, .ocr, .odb, .odm, .odo, .odp, .ods, .odt, .ofl, .oft, .omf, .oplc, .oqy, .ora, .orf, .ort, .orx, .ota, .otg, .oti, .ott, .ovp, .ovr, .owc, .owg, .oyx, .ozb, .ozj, .ozt, .p12, .pal, .pan, .pano, .pap, .pbm, .pcd, .pcs, .pcx, .pdb, .pdd, .pdf, .pdm, .pdn, .pds, .pdt, .pef, .pff, .pfi, .pfs, .pfv, .pfx, .pgf, .pgm, .phm, .php, .pic, .pict, .pix, .pjpg, .pjt, .plt, .pmg, .png, .pni, .pnm, .pntg, .pnz, .pobj, .pop, .ppm, .ppt, .pptm, .pptx, .prt, .prw, .psd, .psdx, .pse, .psid, .psp, .psw, .ptg, .pth, .ptx, .pvj, .pvm, .pvr, .pwa, .pwi, .pwm, .pwr, .pxr, .pza, .pzp, .pzs, .qdl, .qmg, .qpx, .qry, .qvd, .rad, .rar, .ras, .raw, .rctd, .rcu, .rdb, .rdl, .rft, .rgb, .rgf, .rib, .ric, .riff, .ris, .rix, .rle, .rli, .rng, .rpd, .rpf, .rpt, .rri, .rsb, .rsd, .rsr, .rst, .rtd, .rtf, .rtx, .run, .rwl, .rzk, .rzn, .s2mv, .saf, .sai, .sam, .save, .sbf, .scad, .scc, .sci, .scm, .sct, .scv, .scw, .sdb, .sdf, .sdm, .sdoc, .sdw, .sep, .sfc, .sfw, .sgm, .sig, .skm, .sla, .sld, .sls, .smf, .smil, .sms, .sob, .spa, .spe, .sph, .spj, .spp, .spq, .spr, .sqb, .sql, .srw, .ssa, .ssfn, .ssk, .ste, .stm, .stn, .stp, .str, .stw, .sty, .sub, .sumo, .sva, .svf, .svg, .svgz, .swf, .sxd, .sxg, .sxw, .tab, .tar, .tbn, .tcx, .tdf, .tdt, .tex, .text, .tfc, .tga, .thm, .thp, .tif, .tiff, .tjp, .tlb, .tlc, .tmd, .tmv, .tmx, .tne, .torrent, .tpc, .tpi, .trm, .tvj, .txt, .udb, .ufo, .ufr, .uga, .unx, .uof, .uot, .upd, .usr, .utf8, .utxt, .vbr, .vct, .vda, .vdb, .vec, .vff, .vml, .vnt, .vob, .vpd, .vpe, .vrml, .vrp, .vsd, .vsdm, .vsdx, .vsm, .vst, .vstm, .vstx, .vue, .wav, .wbc, .wbd, .wbk, .wbm, .wbmp, .wbz, .wcf, .wdb, .wdp, .webp, .wgz, .wire, .wma, .wmdb, .wmf, .wmv, .wpa, .wpb, .wpd, .wpe, .wpg, .wpl, .wps, .wpt, .wpw, .wri, .wsc, .wsd, .wsh, .wtx, .wvl, .xar, .xdb, .xdl, .xhtm, .xld, .xlf, .xlgc, .xls, .xlsb, .xlsm, .xlsx, .xpm, .xps, .xwp, .xyp, .xyw, .yal, .ybk, .yml, .ysp, .zabw, .zdb, .zdc, .zif, .zip (712 расширений). 

Примечательно, что в этой версии записка о выкупе HOW TO DECRYPT FILES.txt была предельно короткой:

avastvirusinfo@yandex.com

The cost is not less than 15$.

Файлы, связанные с этим Ransomware:
HOW TO DECRYPT FILES.txt
КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt
<random_name>.txt
Setup.exe
update.exe
up_date.exe
<random_A-Za-z0-9>.exe
<random>.tmp.exe
plugin.dll
<random>.dll

Расположения: 
%AppData%\Local\Temp\up_date.exe
%AppData%\Local\Temp\<random>.exe
%AppData%\Local\Local\Temp\plugin.dll

Записи реестра, связанные с этим Ransomware:
См. результаты анализов.

Сетевые подключения и связи:
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ (без библиотек) >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: средняя.
Подробные сведения собираются регулярно.

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновление от 3 сентября 2017:
Расширение: .dat

Обновление от 18 сентября 2018: 
Топик на форуме >>
Записка: КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt
Расширение (пароль расшифровки): .x2Hzqz8YKTjyeKs6Oiz7CzQQ
Email: avastvirusinfo@yandex.ru
➤ Содержание записки:
Внимание! Все Ваши файлы зашифрованы!
Чтобы восстановить свои файлы и получить к ним доступ,
отправьте письмо на почту avastvirusinfo@yandex.ru с текстом "Имя пароля расшифровки: x2Hzqz8YKTjyeKs6Oiz7CzQQ"

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter
 ID Ransomware (n/a)
 Support Topic
 *

 Thanks: 
  Alex Svirid, Andrew Ivanov
  victims of Ransomware
  *
  *
 

© Amigo-A (Andrew Ivanov): All blog articles.