Если вы не видите здесь изображений, то используйте VPN.

понедельник, 20 марта 2017 г.

HappyDayzz

HappyDayzz Ransomware

BlackJockerCrypter Ransomware

(шифровальщик-вымогатель)


Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в 0,5 биткоинов, чтобы вернуть файлы. Оригинальное название.
шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private



© Генеалогия: выясняется.

К зашифрованным и переименованным файлам добавляется расширение .happydayzz

HappyDayzz шифрует весь файл и переименовывает файлы по схеме
[email].<hex_random>.happydayzz

На данный момент: 
[blackjockercrypter@gmail.com].<hex_random>.happydayzz

Примеры зашифрованных файлов:
[blackjockercrypter@gmail.com].5547467959573176636D55674C53425756258417A0D0A.happydayzz
[blackjockercrypter@gmail.com].5A47567A6123527663223570626D6B3D0D0A.happydayzz

Активность этого крипто-вымогателя пришлась на вторую половину марта 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записки с требованием выкупа называются: How To Recover Encrypted Files.hta  

Выглядит знакомо? Да, формат записки украден у вымогателей Globe, только вписаны другие контакты. Более того, в одной из итераций Globe3 уже использовалось добавляемое расширение .happydayzz. См. статью о Globe3, обновление от 17 февраля (внизу статьи)

Содержание записки о выкупе:
YOUR FILES ARE ENCRYPTED!
Contact Us
Email: blackjoclcercrypter@gmail.com
Skype: nsyaneksab.aked
All your files have been encrypted due to a security problem with your PC.
To restore all your files, you need a decryption.
If you want to restore them, write us to the e-mai blackjockercrypter@gmai.com .
In a letter .
You have to pay for decryption in Bitcoins.
The price depends on how fast you write to us.
After payment we will send you the decryption tool that will decrypt all your files.
In the letter, you will receive instructions to decrypt your files!
In a response letter you will receive the address of Bitcoin-wallet, which is necessary to perform the transfer of funds.
Our tech support is available 24 \ 7
• Write on e-mail, we will help you!
Free decryption as guarantee
Before paying you can send to us up to 2 files for free decryption.
Please note that files must NOT contain valuable information and their total see must be less than 5Mb.
When the transfer is confirmed, you will receive interpreter files to your computer.
After start-interpreter program, all your files will be restored.
Attention!
• Do not rename encrypted fifes.
• Do not try to decrypt your data using third party software, it may cause permanent data loss.
• Decryption of your fies with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.
• Do not attempt to remove the program or run the anti-virus tools
• Attempts to self-decrypting files will result in the loss of your data
• Decoders are not compatible with other users of your data, because each users unique encryption key

Перевод записки на русский язык:
Ваши файлы зашифрованы!
Связь с нами
Email: blackjoclcercrypter@gmail.com
Skype: nsyaneksab.aked
Все ваши файлы были зашифрованы из-за проблем с безопасностью вашего ПК.
Чтобы восстановить все ваши файлы, вам нужно расшифровать.
Если вы хотите восстановить их, напишите нам на email blackjockercrypter@gmai.com.
В письме.
Вы должны заплатить за расшифровку в биткоинах.
Цена зависит от того, как быстро вы напишите нам.
После оплаты мы вышлем вам инструмент дешифрования, который расшифрует все ваши файлы.
В письме вы получите инструкции по расшифровке ваших файлов!
В ответном письме вы получите адрес биткоин-кошелька, который нужен для перевода средств.
Наша техническая поддержка доступна 24 \ 7
• Пишите на почту, мы вам поможем!
Бесплатная расшифровка как гарантия
Перед оплатой вы можете отправить нам до 2-х номеров для бесплатной расшифровки.
Обратите внимание, что файлы НЕ должны содержать ценную информацию, и их общий объем должен быть менее 5 МБ.
Когда передача будет подтверждена, вы получите файлы переводчика на ваш компьютер.
После запуска программы-интерпретатора все ваши файлы будут восстановлены.
Внимание!
• Не переименовывайте зашифрованные файлы.
• Не пытайтесь расшифровать ваши данные с помощью сторонних программ, это может привести к необратимой потере данных.
• Расшифровка ваших файлов с помощью третьих лиц может привести к повышению цены (они добавляют свою плату к нашей), или вы можете стать жертвой мошенничества.
• Не пытайтесь удалить программу или запустить антивирусные инструменты
• Попытки самостоятельно расшифровать файлы приведут к потере ваших данных
• Декодеры не совместимы с другими пользователями ваших данных, потому что у каждого пользователя уникальный ключ шифрования

Распространяется или может распространяться с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Примечательно, что шифрование может меняться. 

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
How To Recover Encrypted Files.hta
<random>.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: blackjockercrypter@gmail.com
Skype: nsyaneksab.aked
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>



Примечательно, что happydaayz@aol.com, т.е. адрес с логином happydaayz используется также в крипто-вымогателях, названных GlobeImposter 2.0 Ransomware


Степень распространённости: низкая.
Подробные сведения собираются регулярно.


 Read to links: 
 Tweet on Twitter
 ID Ransomware (ID as HappyDayzz)
 Topic of Support
 * 
 Thanks: 
 xXToffeeXx
 Michael Gillespie
 MalwareHunterTeam
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

воскресенье, 19 марта 2017 г.

CryptoDevil

CryptoDevil Ransomware

(шифровальщик-вымогатель)


Этот крипто-вымогатель шифрует данные пользователей, а затем требует выкуп в размере от $20 до $100, чтобы вернуть файлы. Сумма зависит от сроков платежа. Оригинальное название. Разработчик: mutr0. 
шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

© Генеалогия: выясняется.

К зашифрованным файлам добавляется расширение .devil

Образец этого крипто-вымогателя найден в марте 2017 г. Ориентирован на англоязычных пользователей. Создан для изучения, в образовательных делях, как утверждает сам разработчик.  

Запиской с требованием выкупа выступает экран блокировки с заголовком Ransomware CryptoDevil
 
 

Содержание записки о выкупе:
CryptoDevil
Your Files Has Been Encrypted
All your files have been encrypted.
Buy a key to decrypt your files
more instructions forthcoming. - cryptodevil

Key Price
Key Price Or After Hours
1. After 10 Hours Key Price = $20
2. After 24 Hours Key Price = $30
3. After 48 Hours Key Price = $50
4. After 72 Hours Key Price = $100
After 82 hours if you do not buy the key your files will be encrypted for the rest of your life.

Перевод записки на русский язык:
CryptoDevil
Ваши файлы зашифрованы
Все ваши файлы зашифрованы.
Купите ключ для дешифровки ваших файлов.
Больше инструкций. - cryptodevil

Цена Ключа
1. После 10 часов цена ключа = $20
2. После 24 часов цена ключа = $30
3. После 48 часов цена ключа = $50
4. После 72 часов цена ключа = $100
Через 82 часа, если вы не купили ключ, ваши файлы останутся зашифрованы навсегда.

Шифрует файлы и файлы в папках только в той папке, откуда он был запущен. Ранее был известен как блокировщик-вымогатель с тем же названием, просил $20 в биткоинах. Описание и инструкция по удалению раннего блокировщика есть на сайте BC (ссылка). 

Пока в разработке, но может начать распространяться с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
ransomware.cryptodevil.exe
cryptodevil.exe
VideosPornoGratuitos.Scr

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ на файл шифровальщика >>  Ещё >>
VirusTotal анализ на файл блокировщика >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.


 Read to links: 
 Tweet on Twitter + Tweet 
 ID Ransomware (ID as CryptoDevil)
 Write-up, Topic
 * 
 Thanks: 
 xXToffeeXx, MalwareHunterTeam
 Michael Gillespie
 Lawrence Abrams
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

MOTD

MOTD Ransomware

(шифровальщик-вымогатель)


Этот крипто-вымогатель шифрует данные на сайтах с помощью AES/RSA, а затем требует выкуп в 2 биткоина, чтобы вернуть файлы. Оригинальное название.
шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

© Генеалогия: выясняется.

К зашифрованным файлам добавляется расширение .enc

Активность этого крипто-вымогателя пришлась на начало марта 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записки с требованием выкупа называются: motd

★ Для справки:
motd - стандартный текстовый файл в Unix-системе, содержит "сообщение дня", используемое для отправки общего сообщения всем пользователям. 

Содержание записки о выкупе:
!WARNING!
YOU ARE INFECTED
WITH THE MOST CRYPTOGRAPHIC ADVANCED RANSOMWARE
All your data of all your users, all your databases and all your Websites are encrypted
Send your UID to e-mail: sook2serit@seznam.cz
YOUR UUID IS: 28e37776-ab3e-12c6-aa5a-1la02ms0w8bp
!WARNING!

Перевод записки на русский язык:
ПРЕДУПРЕЖДЕНИЕ!
ВЫ ЗАРАЖЕНЫ
САМЫМ КРИПТОГРАФИЧЕСКИ ПРОДВИНУТЫМ RANSOMWARE
Все ваши данные всех ваших пользователей, все базы данных и сайты зашифрованы
Пошли свой UID на email: sook2serit@seznam.cz
ВАШ UUID: 28e37776-ab3e-12c6-aa5a-1la02ms0w8bp
ПРЕДУПРЕЖДЕНИЕ!

Первые 8 байт зарезервированы для хранения оригинального размера файла, а остальное содержание зашифровано. 

Распространяется с помощью целевых атак на серверы с помощью удалённого доступа. 

В перспективе может начать распространяться с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
Это серверные файлы, документы на сайтах, текстовые и графические файлы, базы данных, архивы и пр.

Файлы, связанные с этим Ransomware:
server-key.enc
motd

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
50.56.221.73
sook2serit@seznam.cz
nporchi79@seznam.cz
johnmorcbw@seznam.cz
peyton7zdupont@seznam.cz
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.


=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===


=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновление от 23 июля 2017:
Топик на форуме >>
Расширение: .enc1 
Расширение: .enc2
Email: beauchamp.tammie@mail.ru
Содержание записки:
****************************************!WARNING!************************************************
******************************YOUR SERVER ARE INFECTED*******************************************
*******ALL YOUR DATABASES, SITES AND USERS HOME DIRECTORIES HAVE BEEN ENCRYPTED******************
=================================================================================================
YOUR UUID IS : 321809823178739217389217398217120392193893725897638217782601690971287794612871293
=================================================================================================
If you want to restore your files, send your UUID to  e-mail: beauchamp.tammie@mail.ru
You have to pay for decryption in Bitcoins. The price depends on how fast you write to
us. After payment we will send you the decryption tool that will decrypt all your files.
FREE DECRYPTION AS GUARANTEE
Before paying you can send to us up to 1 files for free decryption.
Please note that files must NOT contain valuable information
and their total size must be less than 1Mb
*************************************************************************************************
*************************************************************************************************
****************************************!WARNING!************************************************




=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
 Read to links: 
 Topic of Support
 ID Ransomware (ID as MOTD)
 Write-up, Topic of Support + Topic
 * 
 Thanks: 
 BleepingComputer
 Michael Gillespie
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

пятница, 17 марта 2017 г.

CrptXXX

CrptXXX Ransomware

(шифровальщик-вымогатель)


Этот крипто-вымогатель шифрует данные пользователей с помощью AES-256 (режим CBC), а затем требует перейти на сайт, чтобы узнать, как вернуть файлы. Название от используемого расширения. Написан на языке Delphi.
шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

© Генеалогия: CrptXXX > BTCWare

К зашифрованным файлам добавляется расширение .crptxxx

Активность первого образца крипто-вымогателя пришлась на начало марта 2017 г., другой был обнаружен уже в середине марта. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записки с требованием выкупа называются: 
README.txt, HOW_TO_DECRYPT.txt - вариант от 8 марта
HOW_TO_FIX_!.txt - вариант от 16 марта

Содержание записки о выкупе от 16 марта:
Warning!
All your files have been encrypted with AES
If you want to restore them, use this instructions:
1) Download tor browser
2) Run tor and go to: xxxx://dokg5gcojuswihof.onion
Or you can use tor2web services
xxxx://dokg5gcojuswihof.onion.to
In login panel enter your personal ID: %id%
Follow next instructions on website
If server is down - try connect later
!! Decoders from other users are not compatible with your data, because each users unique encryption key !!
!! Do not try to decrypt your data using third party software, it may cause permanent data loss. !!

Перевод записки на русский язык:
Предупреждение!
Все ваши файлы были зашифрованы с AES
Если хотите вернуть их, используйте эти инструкции:
1) Загрузите Tor-браузер
2) Запустите tor и откройте: xxxx://dokg5gcojuswihof.onion
Или используйте службы tor2web
xxxx://dokg5gcojuswihof.onion.to
В панели входа введите свой личный ID: *****
Следуйте инструкциям на веб-сайте
Если сервер не работает, попробуйте позже.
!! Декодеры от других пользователей несовместимы с вашими данными, т.к. у каждого пользователя уникальный ключа шифрования!
!! Не пытайтесь расшифровать данные с помощью чужих программ, это  приведёт к потере данных. !!

Другой вариант записки:
Warning!!!
All your files are encrypted with AESalgorithm!
For decrypt use this instructions: 
Download tor browser
Run tor and go to: xxxx://vejtqvliimdv66dh.onion
Or you can use tor2web services
xxxx://vejtqvliimdv66dh.onion.to
in log panel enter your id (CRPTksrjghkrkwkrjthkewVM)
follow next instructions
if server is down, try connect later
locker version 3.0.0


*| Параметр id может быть различным на разных заражённых компьютерах.


Сайт вымогателей в сети Tor



Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

➤ Использует метод @enigma0x3's UAC bypass для обхода UAC. 

 При запуске CrptXXX проверяет наличие работающего процесса VBoxService.exe, а в случае его обнаружения переходит в режим бесконечной паузы. 
При запуске с параметром командной строки -d расшифровывает ранее зашифрованные файлы. 
Проверяет наличие ключа системного реестра: HKCU\Software\mscloq

 Затем CrptXXX пытается установить соединение с управляющим onion-сервером в сети TOR. При успешной установке соединения выполняет шифрование. 

 В момент запуска CrptXXX проверяет, запущен ли он из файла mtrea.exe, и, если это не так, создает файл с таким именем в папке %APPDATA%. Если же условие соблюдается, проверяет наличие процесса с таким именем и при его обнаружении завершает работу.

 Регистрирует свой исполняемый файл в ветви системного реестра:
HKCU\Software\Microsoft\Windows\CurrentVersion\Run 

 Для шифрования файлов используется библиотека DCPCrypt и применяется алгоритм AES в режиме CBC с длиной ключа 256 бит. 

Список файловых расширений, подвергающихся шифрованию:
.1c, .3fr, .accdb, .ai, .arw, .bac, .bay, .bmp, .cdr, .cer, .cfg, .config, .cr2, .crt, .crw, .css, .csv, .db, .dbf, .dcr, .der, .dng, .doc, .docm, .docx, .dwg, .dxf, .dxg, .eps, .erf, .gif, .htm, .html, .indd, .iso, .jpe, .jpeg, .jpg, .kdc, .lnk, .mdb, .mdf, .mef, .mk, .mp3, .mp4, .mrw, .nef, .nrw, .odb, .ode, .odm, .odp, .ods, .odt, .orf, .p12, .p7b, .p7c, .pdd, .pdf, .pef, .pem, .pfx, .php, .png, .ppt, .pptm, .pptx, .psd, .pst, .ptx, .r3d, .rar, .raw, .rtf, .rw2, .rwl, .sql, .sr2, .srf, .srw, .tif, .wb2, .wma, .wpd, .wps, .x3f, .xlk, .xls, .xlsb, .xlsm, .xlsx, .zip (94 расширения без дублей).  

Список расширений в другой версии (от 1 мая 2017):
.1c, .3fr,  .6cm, .8cm, .8svx, .a2b, .a2i, .a2m, .a2p, .a2t, .a52, .aa, .aa3, .aac, .aax, .abc, .abm, .ac3, .accdb, .acd, .acd-bak, .acd-zip, .acm, .acp, .act, .adg, .adts, .adv, .afc, .agm, .agr, .ahx, .ai, .aif, .aifc, .aiff, .aimppl, .ais, .akp, .al, .alac, .alaw, .all, .als, .amf, .amr, .ams, .amxd, .amz, .aob, .ape, .apf, .apl, .aria, .ariax, .arw, .ase, .at3, .atrac, .au, .aud, .aup, .avastsounds, .awb, .ay, .b4s, .bac, .band, .bap, .bay, .bcs, .bdd, .bidule, .bmml, .bmp, .bonk, .box, .brstm, .bun, .bwf, .bwg, .bww, .c01, .caf, .caff, .cda, .cdda, .cdlx, .cdo, .cdr, .cel, .cer, .cfa, .cfg,  .cgrp, .cidb,.cine, .cip, .ckb, .ckf, .clpi, .cmf, .cmmp, .cmmtpl, .config, .cr2, .crt, .crw, .css, .csv, .cvc, .cx3, .d2v, .d3v, .dash, .dat, .dav, .db, .dbf, .dce, .dck, .dcr, .ddat, .der, .dif, .dir, .divx, .dlx, .dmb, .dmsd, .dmsd3d, .dmsm, .dmsm3d, .dmss, .dmx, .dnc, .dng, .doc, .docm, .docx, .dpa, .dpg, .dream, .dv, .dv4, .dv-avi, .dvr, .dvr-ms, .dvx, .dwg, .dxf, .dxg, .dxr, .dzm, .dzp, .dzt, .edl, .eps, .erf, .evo, .eye, .f4f, .f4p, .f4v, .fbr, .fbz, .flc, .flh, .fli, .flv, .flx, .ftc, .gfp, .gif, .gl, .gom, .grasp, .gts, .gvi, .gvp, .h264, .hdmov, .hdv, .hkm, .htm, .html, .ifo, .imovieproject, .indd, .ircp, .irf, .ismc, .ismv, .iso, .iva, .ivf, .ivr, .ivs, .izz, .izzy, .jmv, .jpe, .jpeg, .jpg, .jss, .jts, .jtv, .k3g, .kdc, .kmv, .lnk, .lrec, .lrv, .lsf, .lsx, .lvix, .m15, .m1pg, .m1v, .m21, .mdb, .mdf, .mef, .mk, .mp3, .mp4, .mrw, .nef, .nrw, .odb, .ode, .odm, .odp, .ods, .odt, .orf, .p12, .p7b, .p7c, .pdd, .pdf, .pef, .pem, .pfx, .php, .png, .ppt, .pptm, .pptx, .prx, .psd, .psh, .pssd, .pst, .ptx, .pva, .pvr, .pxv, .qt, .r3d, .rar, .raw, .rtf, .rw2, .rwl, .sbg, .sbi, .sbk, .sc2, .scs11, .sd, .sd2, .sd2f, .sdat, .sdii, .sds, .sdx, .seg, .ses, .sesx, .sf, .sf2, .sfap0, .sfk, .sfl, .sfpack, .sgp, .shn, .sib, .sid, .slx, .smf, .smp, .smpx, .snd, .sng, .sns, .snsf, .sou, .sph, .sppack, .spx, .sql, .sr2, .srf, .srw, .sseq, .ssnd, .stm, .stx, .sty, .svd, .svx, .sw, .swa, .swav, .sxt, .syh, .syn, .syw, .syx, .tak, .td0, .tfmx, .thx, .tif, .tm2, .tm8, .tmc, .toc, .trak, .tsp, .tta, .tun, .txw, .u, .u8, .ub, .ulaw, .ult, .ulw, .uni, .usf, .usflib, .ust, .uw, .uwf, .v2m, .vag, .val, .vap, .vc3, .vdj, .vgm, .vlc, .vmd, .vmf, .vmo, .voc, .voi, .vox, .voxal, .vpl, .vpm, .vpw, .vqf, .vrf, .vs, .wb2, .wma, .wpd, .wps, .x3f, .xlk, .xls, .xlsb, .xlsm, .xlsx, .zip (379 расширений).

Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
binz.exe
mtrea.exe

HOW_TO_DECRYPT.txt
README.txt
HOW_TO_FIX_!.txt

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
xxxx://m5r2t7rwszffszra.onion
xxxx://m5r2t7rwszffszra.onion.to
xxxx://dokg5gcojuswihof.onion
xxxx://dokg5gcojuswihof.onion.to
xxxx://vejtqvliimdv66dh.onion
xxxx://vejtqvliimdv66dh.onion.to

См. также ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>  Ещё >>
VirusTotal анализ >>  Ещё >>
Другой анализ >>

Степень распространённости: средняя.
Подробные сведения собираются регулярно.


Есть возможность дешифровать файлы!
Обращайтесь по ссылке 
https://support.drweb.ru/new/free_unlocker/for_decode/
В базе Dr.Web это Trojan.Encoder.10465
 Read to links: 
 Tweet on Twitter + Tweet
 ID Ransomware (ID as CrptXXX)
 Write-up, Write-up
 * 
 Thanks: 
 MalwareHunterTeam, Karsten Hahn
 Michael Gillespie
 Dr.Web
 Andrew Ivanov
 

© Amigo-A (Andrew Ivanov): All blog articles.

ZinoCrypt

ZinoCrypt Ransomware

(шифровальщик-вымогатель)


Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп, чтобы вернуть файлы. Оригинальное название.
шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

© Генеалогия: выясняется.

К зашифрованным файлам добавляется расширение .ZINO

Активность этого крипто-вымогателя пришлась на март 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записки с требованием выкупа называются: ZINO_NOTE.TXT


Содержание записки о выкупе:
ZinoCrypt Ransomware - 2017 Edition
Your important files has been encrypted with the new ZinoCrypt Ransomware. (Photos, Videos, Etc..)
There are no tools online that will allow you to decode your files for free. 
The only way to get your files back is to pay us. 
Payment would be done stricly via BTC / Bitcoin. 
Do not worry, al your files are safe, but are unavailable at the moment. 
To recover the files you need to get special decryption software and personal key. 
You can contact us: 
Primary Email: ZinoCrypt@protonmail.com 
Personal ID: 
*****

Перевод записки на русский язык:
ZinoCrypt Ransomware - выпуск 2017 года
Ваши важные файлы были зашифрованы с помощью нового ZinoCrypt Ransomware. (Фото, видео и т.д..)
В Интернете нет инструментов, которые позволят вам бесплатно расшифровывать файлы.
Единственный способ вернуть ваши файлы - это заплатить нам.
Оплата будет осуществляться через BTC / Биткойн.
Не беспокойтесь, все ваши файлы в безопасности, но недоступны на данный момент.
Для восстановления файлов вам надо получить специальную программу для дешифрования и персональный ключ.
Вы можете обратиться к нам:
Основной адрес email: ZinoCrypt@protonmail.com
Персональный ID:
*****

Распространяется или может распространяться с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
***
Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
ZinoCrypt@protonmail.com
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

 Read to links: 
 Tweet on Twitter
 ID Ransomware (ID as ZinoCrypt)
 Write-up, Topic
 * 
 Thanks: 
 MalwareHunterTeam
 Michael Gillespie
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

AnonFive

AnonFive Ransomware

D3vilH0rn Ransomware

(шифровальщик-вымогатель)


Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в 0,5 биткоинов, чтобы вернуть файлы. Оригинальное название: AnonFive. Другое, указанное на файле: D3vilH0rn. Разработчик: Cyryx.
шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

© Генеалогия: Hidden Tear >> AnonFive

К зашифрованным файлам добавляется расширение .anonfive

Активность этого крипто-вымогателя пришлась на конец марта 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записки с требованием выкупа называются: READ_IT.txt

Содержание записки о выкупе:
***
Перевод записки на русский язык:
***

Распространяется или может распространяться с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
READ_IT.txt

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.
1
 Read to links: 
 Tweet on Twitter
 ID Ransomware
 Write-up, Topic
 * 
 Thanks: 
 Karsten Hahn
 *
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

Постоянные читатели

My tweet feed

My tweet feed
Follow me!

My profile on BC

My profile on BC
Follow me!

Форма для связи / Contact

Имя

Электронная почта *

Сообщение *