Russenger

Russenger Ransomware

(шифровальщик-вымогатель) 

Translation into English

Этот крипто-вымогатель шифрует данные пользователей, а затем требует написать на email, чтобы уплатить выкуп и вернуть файлы. Оригинальное название: неизвестно. На файле написано: 1cv8s32-n.exe

Обнаружения: 
DrWeb -> Trojan.Encoder.24640
BitDefender -> Generic.Ransom.Russenger.7E62A1A1
ALYac -> Trojan.Ransom.Russenger
Malwarebytes -> Ransom.Russenger
Kaspersky -> Trojan-Ransom.Win32.Cryptor.brd

© Генеалогия: Plague17 (2014-2016) > AMBA > Crypto_Lab > Russenger > Dont_Worry > Plague17 (2018-2019)

К зашифрованным файлам добавляется расширение .messenger-%random%

Этимология названия:
Исследователи просто составили два слова "Russian" + "messenger" и у них получилось Russenger. 😤

Активность этого крипто-вымогателя пришлась на вторую половину февраля 2018 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: Инструкция по дешифровке.txt 

Содержание записки о выкупе:
Вся ваша информация на этом компьютере была зашифрована.
Зашифрованные документы имеют расширение .messenger-******
Для получения инструкций по дешифровке напишите письмо на адрес:
messenger@riseup.net
В теме письма укажите ваш код для разшифровки:
***
Если вам приходит ответ, что почтовый адрес не существует:
1. Попробуйте написать нам с других емеил, mail.ru, yandex.ru;
2. Попробуйте написать через время.

Перевод записки на русский язык:
Уже сделан, хотя и с ошибками и неправильными оборотами в конце (выделены красным).

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

!!! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
1cv8s32-n.exe
Инструкция по дешифровке.txt 

Расположения:
\Desktop\ ->
\User_folders\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: messenger@riseup.net
См. ниже результаты анализов.

Результаты анализов:
Hybrid analysis >>
VirusTotal analysis >>
Intezer Analysis >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

AMBA Family (семейство AMBA):
AMBA Ransomware - июнь, сентябрь 2016
Crypto_Lab Ransomware - сентябрь 2017
Russenger Ransomware - февраль 2018
Dont_Worry Ransomware - март-апрель 2018
Plague17 (2019) Ransomware - август 2019

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter
 ID Ransomware (ID as Russenger)
 Write-up, Topic of Support
 * 

 Thanks: 
 MalwareHunterTeam, Michael Gillespie
 Andrew Ivanov (author)
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

шифровальщик вирус-шифровальщик троян-шифровальщик aes крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder filecoder key ransom decrypt decryption recovery remove restore files data public private

BananaCrypt

BananaCrypt Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название. На файле написано.

шифровальщик вирус-шифровальщик троян-шифровальщик aes крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder filecoder key ransom decrypt decryption recovery remove restore files data public private

© Генеалогия: выясняется.

К зашифрованным файлам добавляется расширение .bananaCrypt

Образец этого крипто-вымогателя был найден во второй половине февраля 2018 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру. Пока находится в разработке и шифрует файлы с специальной папке "a". 

Записка с требованием выкупа называется: ***нет данных***

Содержание записки о выкупе:
!!!What happened!!!!
Your files have been decrypted using a unique key, generated for this computer
Send 300 USD worth of bitcoin to the address below to obtain your key to decrypt your files
Address: asdffdsaasdf
Dont waste your time looking for a way to decrypt your files. This is only possible using our decrypter

Перевод записки на русский язык:
!!!Что случилось!!!!
Ваши файлы были дешифрованы с уникальным ключом, созданным для этого компьютера
Отправьте 300 долларов в биткоинах по адресу ниже, чтобы получить ключ для дешифровки ваших файлов
Адрес: asdffdsaasdf
Не тратьте ваше время на поиск способа дешифровки ваших файлов. Это возможно только с нашим декриптером

Технические детали

Может начать распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

!!! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.

Список файловых расширений, подвергающихся шифрованию:
.doc, .jpg, .txt
После доработки это могут быть документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
<random>.exe - случайное название

Расположения:
\a\encryptme.doc
\a\encryptme.jpg
\a\encryptme.txt

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter
 ID Ransomware (ID as BananaCrypt)
 Write-up, Topic of Support
 * 

 Thanks: 
 MalwareHunterTeam
 Michael Gillespie
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

NazCrypt

NazCrypt Ransomware

(шифровальщик-вымогатель, 7zip-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в $300 в BTC, чтобы вернуть файлы. Оригинальное название: NazCrypt. Использует шифрование из архиватора 7-zip, создает архив с паролем.

шифровальщик вирус-шифровальщик троян-шифровальщик aes крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder filecoder key ransom decrypt decryption recovery remove restore files data public private

© Генеалогия: выясняется.

К зашифрованным файлам добавляется расширение .nazcrypt или .NAZCRYPT

Активность этого крипто-вымогателя пришлась на вторую половину февраля 2018 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: NAZCRYPT_RECOVERY_INSTRUCTIONS.txt

Содержание записки о выкупе:
Your important files have been encrypted with NazCrypt ransomware. Send $300 worth of bitcoins to address 13ADfA738SDFHdceP7348DASin3se2 to retrieve your files back!!

Перевод записки на русский язык:
Ваши важные файлы зашифрованы NazCrypt Ransomware. Пришли $300 в биткоинах на адрес 13ADfA738SDFHdceP7348DASin3se2, чтобы вернуть ваши файлы!

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

!!! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
nazcrypt.exe - случайное название
NAZCRYPT_RECOVERY_INSTRUCTIONS.txt

Расположения:
\Desktop\ ->
\User_folders\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
BTC: 13ADfA738SDFHdceP7348DASin3se2
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter
 ID Ransomware
 Write-up, Topic of Support
 * 

 Thanks: 
 Michael Gillespie
 *
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

ByteLocker

ByteLocker Ransomware

Aliases: BytesLocker, Bytelocker

(вымогатель, фейк-шифровальщик) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES+RSA, а затем требует выкуп в $150 в BTC, чтобы вернуть файлы. Оригинальное название: ByteLocker, BytesLocker. На файле написано: ByteLocker.exe
---
Обнаружения:

ALYac -> Trojan.Ransom.ScreenLocker 
Avira (no cloud) -> TR/LockScreen.sarli
BitDefender -> Trojan.GenericKD.30353039 
ESET-NOD32 -> A Variant Of MSIL/LockScreen.XP 
McAfee -> Ransomware-GJS!201C3E2C96C7 
Rising -> Trojan.LockScreen!8.1AF (CLOUD)  
Symantec -> ML.Attribute.HighConfidence 
Tencent -> Win32.Trojan.Generic.Hmho 
TrendMicro -> Ransom_BYTELOCKER.THBAIAH 
---

© Генеалогия: ✂️ HiddenTear >> ByteLocker + ✂️ Jigsaw > UnluckyWare 

Изображение — логотип статьи

Ничего неизвестно о шифровании файлов. Возможно не шифрует или находится разработке. 

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Образец этого вымогателя был найден в середине февраля 2018 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Запиской с требованием выкупа выступает экран блокировки: 

Содержание текста с экрана:
Your Windows has been Locked by BytesLocker
How can I unlock my windows???
It's easy pay 150 dollars to bitcoin adress below and we will get you decryption code
BitCoin Adress: XXXX-XXXX-XXXX-XXXX
Enjoy (:
***
Enter Decryption Key
***
[Buy BitCoins]  [Unlock My Windows]

Перевод текста на русский язык:
Ваш Windows был заблокирован BytesLocker
Как я могу разблокировать свой windows???
Вы можете заплатить 150 долларов на указанный адрес в биткойнах, и мы дадим вам код расшифровки
Адрес BitCoin: XXXX-XXXX-XXXX-XXXX
Наслаждаться (:
***
Введите ключ дешифрования
[Купить Биткоины]  [Разблок мой Windows]

Технические детали

Мы ничего не знаем о его распространении. Но после доработки вполне может начать распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
ByteLocker.exe - исполняемый файл крипто-вымогателя
ByteLocker.pdb - название оригинального проекта
0FRh21Nc61.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
C:\Users\TestingLabs\source\repos\ByteLocker\ByteLocker\obj\Debug\ByteLocker.pdb
C:\Users\User\Desktop\0FRh21Nc61.exe

Записи реестра, связанные с этим Ransomware:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr   "1"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\ByteLocker
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: - 
BTC: - 
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Вариант от 14 января 2021:

Сообщение >>

Самоназвание: Bytelocker. 
Фактически является промежуточным вариантом из 2019 года между ByteLocker (2018) и UnluckyWare Ransomware (2020). Просто он не был найден раньше. 

Шифрует файлы, добавляя временное расширение .bytcrypttmp, а потом удаляет его. 

➤ Содержание текста на экране:

Your personal files are encrypted!

Your important files, documents, pictures, etc. Have been encrypted.

Here is a complete list of encrypted files, you can verify this manually.

Encryption was produced using AES-256 in order to decrypt the files, you need to obtain the password used to generate the key.

The password will only be available for a limited time, after this, the program will delete itself and there will be no way to recover encrypted files.

NOTE: Removal of or modification of this software will lead to inability to decrypt files. 

---

Файл проекта: C:\Users\Swissky\Source\Repos\Bytelocker\Bytelocker\obj\Debug\Bytelocker.pdb
Файл EXE: Bytelocker.exe

Результаты анализов: VT + VMR + IA

➤ Обнаружения: 

DrWeb -> Trojan.Encoder.33375

BitDefender -> Gen:Heur.Ransom.HiddenTears.1

ESET-NOD32 -> A Variant Of MSIL/Filecoder.XL

Malwarebytes -> Ransom.ByteLocker

Microsoft -> Ransom:MSIL/FileCryptor.B!MTB

Qihoo-360 -> Generic/Trojan.Ransom.786

Rising -> Ransom.HiddenTear!8.DC9E (TFE:C:U7lg23t0qaO)

Symantec -> ML.Attribute.HighConfidence

Tencent -> Win32.Trojan.Generic.Hupm

TrendMicro -> Ransom.MSIL.BYTELOCKER.SM

---

➤ Использование реестра:

HKEY_CURRENT_USER\Software\ByteLocker

HKEY_CURRENT_USER\Software\ByteLocker\Config

HKEY_CURRENT_USER\Software\ByteLocker\Files

HKEY_CURRENT_USER\Software\ByteLocker\Files\C:\Users\FD1HVy\Pictures\7B0ILplNwefpfXtyz_xS.jpg

HKEY_CURRENT_USER\Software\ByteLocker\Files\C:\Users\FD1HVy\Pictures\9_N0.bmp

HKEY_CURRENT_USER\Software\ByteLocker\Files\C:\Users\FD1HVy\Pictures\CL56AXGMWABO.bmp

HKEY_CURRENT_USER\Software\ByteLocker\Files\C:\Users\FD1HVy\Pictures\FsaMHPa9TZb1sAFtjpi.bmp

HKEY_CURRENT_USER\Software\ByteLocker\Files\C:\Users\FD1HVy\Pictures\HbpIXogiAVrgAEhs.jpg

HKEY_CURRENT_USER\Software\ByteLocker\Files\C:\Users\FD1HVy\Pictures\desktop.ini

HKEY_CURRENT_USER\Software\ByteLocker\Files\C:\Users\FD1HVy\Pictures\f oal2r.gif

HKEY_CURRENT_USER\Software\ByteLocker\id

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\Bytelocker

Вариант от 16 июля 2022: 

Сообщение: twitter.com/petrovic082/status/1548359315873861632

Расширение: .bytcrypttmp

Файл проекта: Bytelocker.pdb

Файл EXE: Bytelocker.exe

IOC: VT + AR 

MD5: 4b6b623d12cd51057b09075f095cf32d

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter + Tweet + myTweet
 ID Ransomware (n/a)
 Write-up, Topic of Support
 * 

 Thanks: 
 Michael Gillespie
 Andrew Ivanov (article author)
 GrujaRS
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

Thanatos

Thanatos Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в 0.01 BTC, чтобы вернуть файлы. Оригинальное название: Thanatos. На файле проекта написано: Thanatos.pdb.

шифровальщик вирус-шифровальщик троян-шифровальщик aes крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder filecoder key ransom decrypt decryption recovery remove restore files data public private

© Генеалогия: выясняется.

К зашифрованным файлам добавляется расширение .THANATOS

Активность этого крипто-вымогателя пришлась на вторую половину февраля 2018 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: README.txt

Содержание записки о выкупе:
Your computer is encrypted. All data will be lost if you do not pay 0.01 BTC to the specified BTC wallet
1DRAsxW4cKAD1BCS9m2dutduHi3FKqQnZF
after payment you will receive the decryption code from this mail
c-m58@mail.ru 

Перевод записки на русский язык:
Ваш компьютер зашифрован. Все данные пропадут, если вы не заплатите 0,01 BTC на BTC-кошелек 
1DRAsxw4cKAD1BCS9m2dutduHi3FKqQnZF
после оплаты вы получите код дешифрования из этой почты
c-m58@mail.ru

Технические детали

Подтверждены случаи распространения вредоноса с помощью вложения в сообщение чата Discord. Ссылка представлена ниже в разделе "Сетевые подключения и связи". 

Также может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

!!! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.

➤ По данным исследователей, ключ шифрования нигде не сохраняется, потому даже сами вымогатели не смогут расшифровать файлы. Уплата выкупа бесполезна! 

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
<random>.exe - случайное название
README.txt

Расположения:
\Desktop\ ->
\User_folders\ ->
%APPDATA%\<random>.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: c-m58@mail.ru
BTC: 1DRAsxw4cKAD1BCS9m2dutduHi3FKqQnZF
xxxxs://cdn.discordapp.com/attachments/230687913581477889/424941165339475968/fastleafdecay.exe***
xxxx://iplogger.com:80/1CUTM6
xxxx://iplogger.com:80/1t3i37
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновление от 20 февраля 2018:
Представление: Версия 1.1
Пост в Твиттере >>
Расширение .THANATOS
Email: thanatos1.1@yandex.com
Сумма выкупа: 200$ в криптовалюте
BTC: 1HVEZ1jZ7BWgBYPxqCVWtKja3a9hsNa9Eh
ETH: 0x92420e4D96E5A2EbC617f1225E92cA82E24B03ef
BCH: qzuexhcqmkzcdazq6jjk69hkhgnme25c35s9tamz6f

Наверное это первый крипто-вымогатель, который принимает выкуп в криптовалюте Bitcoin Cash. 
Записи в реестре: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run "Microsoft Update System Web-Helper" = "C:\Windows\System32\notepad.exe %UserProfile%\Desktop\README.txt"
Результаты анализов: VT
Новая статья на BC >>

Еще один вариант записки:

Email: shadowbrokers@yandex.ru

Были также другие версии, которые не содержали контактной информации и, вероятно, предназначались для уничтожения данных на ПК.

Обновление от 20 февраля 2018:
Пост в Твиттере >>
Из исходного кода Thanatos Ransomware.

Обновление от 30 августа 2018:
Пост в Твиттере >>
Самоназвание: PICO Ransomware

Сумма выкупа: $100
BTC: 3QK9umWMV1nrn8nadZ9eGnJ76Bg4jiJLem
ETH: 0xBb171CC7113dbdc532C42D22928f6b6c56fBE242
Email: de.picocode@gmail.com

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

Внимание!
Для зашифрованных файлов есть дешифровщик
Скачать ThanatosDecryptor.exe для дешифровки >>
Статья, прилагающаяся к дешифровщику >> 
*
Предварительно установите по ссылке:
Распространяемый компонент Microsoft Visual C++ для Visual Studio 2017

 Read to links: 
 Tweet on Twitter + Tweet + Tweet + Tweet
 ID Ransomware (ID as Thanatos)
 Write-up, Topic of Support
 🎥 Video review >>

 - Видеообзор от CyberSecurity GrujaRS

 Thanks: 
 MalwareHunterTeam
 Michael Gillespie
 S!Ri, Lawrence Abrams
 CyberSecurity GrujaRS

© Amigo-A (Andrew Ivanov): All blog articles.

DriedSister

DriedSister Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем даже не требует выкуп, чтобы вернуть файлы. Оригинальное название (下物妹 - Oroshimo imōto, звучит как "оросимо имото"). На файле написано: Ransom.exe

шифровальщик вирус-шифровальщик троян-шифровальщик aes крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder filecoder key ransom decrypt decryption recovery remove restore files data public private

© Генеалогия: выясняется.

К зашифрованным файлам добавляется расширение .下物妹!

Активность этого крипто-вымогателя пришлась на середину февраля 2018 г. Ориентирован на японских пользователей, что не мешает распространять его по всему миру.

Запиской с требованием выкупа выступает небольшой диалоговый экран с заголовком на японском 干物妹！身代金ウイルス:

Содержание записки о выкупе:
こんにちは！私はあなたが矹た身代 金のウイルスです。
文香は私によって萌化されてし巧。

Перевод записки на русский язык:
Привет вам! Я ваш вирус-вымогатель.
Фумика выросла и обработана мной.

Очевидна связь с сюжетом японских комиксов (вики-ссылка). 

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

!!! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.

➤ Нет записки о выкупе. Ключ жёстко закодирован. 

➤ Расшифровывает файлы, если они начинаются с аргумента "-recover".

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
Ransom.exe

Расположения:
\Desktop\ ->
\User_folders\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter + Tweet
 ID Ransomware (ID as DriedSister)
 Write-up, Topic of Support
 * 

 Thanks: 
 MalwareHunterTeam
 Michael Gillespie
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.