RansomAES

RansomAES Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью AES-256 + RSA-2048, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: RansomAES. На файле написано: RansomAES.exe. Является вариантом шифровлаьщика семейства SF Ransomware, см. ниже "Генеалогия" и "История семейства" после статьи. 
---
Обнаружения:

DrWeb -> Trojan.Encoder.25402, Trojan.Encoder.25430

ALYac -> Trojan.Ransom.RansomAES

Avira (no cloud) -> HEUR/AGEN.1129970

BitDefender -> Generic.Ransom.WCryG.8483FA4E, Generic.Ransom.WCryG.*

ESET-NOD32 -> A Variant Of MSIL/Filecoder.IX

Kaspersky -> Trojan-Ransom.Win32.Spora.*

Microsoft -> Ransom:MSIL/BlackHeart!MTB

Qihoo-360 -> Win32/Trojan.Ransom.e51, Win32/Trojan.Ransom.d2d

Rising -> Ransom.Spora!8.E3EE (CLOUD), Trojan.Filecoder!8.68 (CLOUD)

Symantec -> Downloader, ML.Attribute.HighConfidence

TrendMicro -> Ransom_BlackHeart.R002C0CGP20, Ransom_RAMSIL.SM

---
© Генеалогия: Общий крипто-строитель SF Ransomware >> Spartacus, Satyr, RansomAES и другие, см. более новые в статье BlackHeart

К зашифрованным файлам добавляется расширение .RansomAES

Активность этого крипто-вымогателя пришлась на начало мая 2018 г. Ориентирован на корейскоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: READ ME.txt

Запиской с требованием выкупа также выступает экран блокировки:

Содержание текста о выкупе (см. первый экран):
RansomAES
당신의 모든 파일이 암호화되었습니다!
당신의 파일이 암호화되었습니다! 당신에 확장자: .AES 이메일로 요청드리면 복구해드립니다. fbgwls245@naver.com 또는 powerhacker03@hotmail.com
Bitcoins 에서 암호 해독에 대한 비용웁 지害해야합니다. 가격은 당신이 우리에게 어떻게 쓰는지에 달려 있습니다. 지뜰 후 우리는 당신에개
모든 파일을 해독할수 었는 해독 도구를 드립니다.
지올 위에 있는 개인 ID는 저희 이메일로 ID를 클립으로 복사해서 ID률 주세요.

Перевод текста на русский язык:
Все ваши файлы зашифрованы!
Ваши файлы зашифрованы! Они получили расширение: .AES 
Напишите на наши email и мы их отремонтируем. 
fbgwls245@naver.com или powerhacker03@hotmail.com
Оплата за дешифрования должна быть сделана в биткоинах. Цена зависит от того, как вы используете их для нас. После двора у нас есть собаки на вас
Мы предоставим инструменты дешифрования, которые помогут расшифровать все файлы.
Скопируйте ваш персональный идентификатор над документом и пришлите на наш email.

Содержание текста о выкупе (см. второй экран):
RansomAES Ransomware
RansomAES Decrypter
당신의 모든 파일이 암호화되었습니다!
***ID***
[클립 보드에 복사]
1. 내 컴퓨터에 무슨 일이 일어 났습니까? 
중요한 파일은 암호화됩니다. 많은 문서, 사진, 비디오, 데이터베이스 및 기타 파일은 암호화되어있어 더 이상 액세스 할 수 없습니다. 어쩌면 파일을 복구하는 방법을 찾는 데 바쁘지 만 시간을 낭비하지 않아도됩니다. 누구도 암호 해독 서비스 없이는 파일을 복구 할 수 없습니다. 
2.내 파일은 어떻게 복구 합니까? 
Bitcoins에서 암호 해독에 대한 비용을 지불해야합니다. 가격은 당신이 우리에게 어떻게 쓰는지에 달려 있습니다. 지불 후 우리는 당신에게 모든 파일을 해독 할 수 있는 해독 도구를 드립니다. 지금 위에 있는 개인 ID는 저희 이메일로 ID를 클립으로 복사해서 ID를 주세요.

Перевод текста на русский язык:
RansomAES Ransomware
RansomAES Decrypter
Все ваши файлы зашифрованы!
***ID***
[Скопируйте в буфер обмена]
1. Что случилось с моим компьютером?
Важные файлы зашифрованы. Многие документы, фотографии, видео, базы данных и другие файлы зашифрованы и теперь не доступны. Возможно, вы ищете способ восстановления ваших файлов, но вам не тратьте свое время. Никто не сможет восстановить файлы без службы дешифрования.
2. Как восстановить мои файлы?
Придется заплатить за дешифрование в биткоинах. Цена зависит от того, как вы используете их для нас. После оплаты мы предоставим вам инструмент дешифрования для дешифровки всех файлов. Для этого выше есть персональный идентификатор, скопируйте идентификатор и пришлите этот идентификатор на наш email.

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

!!! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.

➤ Требования: наличие .NET Framework 4.6.1
➤ Удаляет теневые копии файлов с помощью команды:
vssadmin.exe delete shadows /all /quiet

Список файловых расширений, подвергающихся шифрованию:

.asp, .aspx, .bmp, .cdr, .cmd, .config, .cpp, .csv, .dbf, .dll, .doc, .docx, .dwg, .exe, .flv, .gif, .html, .hwp, .ini, .jpg, .js, .mdb, .mp3, .odt, .pdf, .php, .png, .ppt, .pptx, .psd, .rar, .rtf, .sql, .sqlite, .txt, .vbs, .xls, .xlsx, .xml, .zip (41 расширений).

Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, архивы и пр.

Файлы, связанные с этим Ransomware:
READ ME.txt - записка о выкупа;
RansomAES.exe - исполняемый файл;
<random>.exe - случайное название. 

Компоненты:
RansomAES Ransomware
RansomAES Decrypter

Расположения:
\Desktop\ ->
\User_folders\ ->
\Desktop\RansomAES.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: fbgwls245@naver.com, powerhacker03@hotmail.com
xxxx://securityoverride.org/infusions/pro_download_panel/***
xxxx://427.cc/***
xxxx://037.cc/***
216.58.209.238:80 - сервер в США
См. ниже результаты анализов.

Результаты анализов:
Ⓗ Hybrid анализ >> HA >
𝚺  VirusTotal анализ >>  VT>>
🐞 Intezer анализ >>  IA>
ⴵ VMRay анализ >>

ᕒ  ANY.RUN анализ >>

Ⓥ VirusBay образец >>
👽 AlienVault анализ >>
🔃 CAPE Sandbox анализ >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

Общий крипто-строитель SF Ransomware - апрель 2018 или раньше

Spartacus Ransomware - 15 апреля 2018

BlackRouter Ransomware  - 15 апреля 2018, январь 2019

Satyr Ransomware  - 18 апреля 2018

RansomAES Ransomware - 7 мая 2018

BlackHeart Ransomware - 21 апреля 2018, июнь 2020

M@r1a Ransomware - 3 ноября 2018, май 2019

BlackHat Ransomware - 4 декабря 2018

Prodecryptor Ransomware - апрель 2019

Tor+ Ransomware - декабрь 2019

Tsar Ransomware - февраль 2020

Badboy Ransomware - июнь 2020

Alix1011RVA Ransomware - сентябрь 2020

Prodecryptor - январь 2021 или раньше

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter + Tweet 
 ID Ransomware
 Write-up, Topic of Support
 🎥 Video review >>

  - видеоролик от CyberSecurity GrujaRS

 Thanks: 
 MalwareHunterTeam
 CyberSecurity GrujaRS
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

Scarab-Horsia

Scarab-Horsia Ransomware

horsia, horse, horsuke, saviours, bestdeal, filedecryption, mr.leen

(шифровальщик-вымогатель)

Translation into English

Этот крипто-вымогатель шифрует данные на серверах с помощью AES, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: Horsia (указано в записке о выкупе и в логине email). На файле написано: нет данных. Зашифрованные до 18 июня 2018 года файлы можно дешифровать! 

© Генеалогия: Scarab > Scarab семейство > Scarab-Horsia
© Genealogy: Scarab > Scarab Family > Scarab-Horsia

К зашифрованным файлам добавляется расширение / Appends to encrypted files the extension:
.horsia@airmail.cc

Названия файлов не меняются. 

Примеры зашифрованных файлов / Examples of encrypted files:
Video123.avi.horsia@airmail.cc
Photo123.png.horsia@airmail.cc
Document123.docx.horsia@airmail.cc

Изображение принадлежит шифровальщику

Активность этого крипто-вымогателя пришлась на начало мая 2018 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется / Name of ransom note:  
HOW TO RECOVER ENCRYPTED FILES.TXT

Содержание записки о выкупе / Contents of ransom note:
=======================================
                         ________________________________
                        / __/ / / __  / / __  / /  __/ /  __/  / __  /
                       / __  / / /_/ / /    _/  /__  / _/ /_   / __  /
                      \/ __/  \___/  \/\__\ \___/  \___/  \/  __/
=======================================
Your files are now encrypted!
Your personal identifier:
6A02000000000000***C4BFD00
All your files have been encrypted due to a security problem with your PC.
Now you should send us email with your personal identifier.
This email will be as confirmation you are ready to pay for decryption key.
You have to pay for decryption in Bitcoins. The price depends on how fast you write to us.
After payment we will send you the decryption tool that will decrypt all your files. 
Contact us using this email address: horsia@airmail.cc
If you don't get a reply or if the email dies, then contact us to saviours@airmail.cc
Free decryption as guarantee!
Before paying you can send us up to 3 files for free decryption.
The total size of files must be less than 10Mb (non archived), and files should not contain valuable information (databases, backups, large excel sheets, etc.).
How to obtain Bitcoins? 
 * The easiest way to buy bitcoins is LocalBitcoins site. You have to register, click  'Buy bitcoins', and select the seller by payment method and price: 
   https://localbitcoins.com/buy_bitcoins 
 * Also you can find other places to buy Bitcoins and beginners guide here:   
   http://www.coindesk.com/information/how-can-i-buy-bitcoins 
Attention!   
 * Do not rename encrypted files. 
 * Do not try to decrypt your data using third party software, it may cause permanent data loss.  
 * Decryption of your files with the help of third parties may cause increased price  (they add their fee to our) or you can become a victim of a scam.  
=======================================

Перевод записки на русский язык:
=======================================
                         ________________________________
                        / __/ / / __  / / __  / /  __/ /  __/  / __  /
                       / __  / / /_/ / /    _/  /__  / _/ /_   / __  /
                      \/ __/  \___/  \/\__\  \___/ \___/  \/  __/
=======================================
Ваши файлы теперь зашифрованы!
Ваш личный идентификатор:
6A02000000000000***C4BFD00
Все ваши файлы были зашифрованы из-за проблемы с безопасностью на вашем ПК.
Теперь вы должны отправить нам email с вашим личным идентификатором.
Это письмо будет подтверждением, что вы готовы заплатить за ключ дешифрования.
Вы должны заплатить за дешифрование в биткоинах. Цена зависит от того, как быстро вы пишете нам.
После оплаты мы отправим вам инструмент дешифрования, который расшифрует все ваши файлы.
Свяжитесь с нами, используя этот email-адрес: horsia@airmail.cc
Если вы не получите ответ или письмо пропадёт, свяжитесь с нами по email-адресу saviours@airmail.cc
Бесплатное дешифрование в качестве гарантии!
Перед оплатой вы можете отправить нам до 3 файлов для бесплатного дешифрования.
Общий размер файлов должен быть меньше 10 Мб (без архивирования), а файлы не должны содержать ценную информацию (базы данных, резервные копии, большие листы Excel и т.д.).
Как получить биткойны?
 * Самый простой способ купить биткоины - сайт LocalBitcoins. Вам надо зарегистрироваться, нажать 'Buy bitcoins' и выбрать продавца по способу оплаты и цене:
   https://localbitcoins.com/buy_bitcoins
 * Также вы можете найти другие места для покупки биткоинов и руководства для начинающих здесь:
   http://www.coindesk.com/information/how-can-i-buy-bitcoins
Внимание!
 * Не переименовывайте зашифрованные файлы.
 * Не пытайтесь расшифровывать свои данные с помощью сторонних программ, это может привести к постоянной потере данных.
 * Расшифровка ваших файлов с помощью третьих лиц может привести к увеличению цены (они добавляют плату за нас), или вы можете стать жертвой мошенничества.
=======================================


Другим информатором жертвы выступает изоражение, заменяющее обои Рабочего стола.

Технические детали / Technical details

Распространяется путём взлома через незащищенную конфигурацию RDP с помощью хакерских инструментов.

Может также распространяться email-спама и вредоносных вложений, обманных загрузок, ботнетов (Necurs и других), эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

!!! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.

➤ ID содержит 646 знаков. В этом семействе замечены ID с количеством знаков от 644 до 652. 

➤ Удаляет теневые копии файлов, отключает функции восстановления и исправления Windows на этапе загрузки командами: 
 cmd.exe /c wbadmin DELETE SYSTEMSTATEBACKUP -keep
 wbadmin.exe wbadmin DELETE SYSTEMSTATEBACKUP -keep
 cmd.exe /c wmic SHADOWCOPY DELETE
 WMIC.exe wmic SHADOWCOPY DELETE
 cmd.exe /c vssadmin Delete Shadows /All /Quiet
 vssadmin.exe vssadmin Delete Shadows /All /Quiet
 cmd.exe /c bcdedit /set {default} recoveryenabled No
 bcdedit.exe bcdedit /set {default} recoveryenabled No
 cmd.exe /c bcdedit /set {default} bootstatuspolicy ignoreallfailures
 bcdedit.exe bcdedit /set {default} bootstatuspolicy ignoreallfailures

Список файловых расширений, подвергающихся шифрованию / Extensions of target files:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
<random>.exe - случайное название
HOW TO RECOVER ENCRYPTED FILES.TXT

Расположения / Files locations:
\Desktop\ ->
\User_folders\ ->

Записи реестра, связанные с этим Ransomware / Registry entries of Rw:
См. ниже результаты анализов.

Сетевые подключения и связи / URLs, contacts, payments:
Email-1: horsia@airmail.cc
Email-2: saviours@airmail.cc
См. ниже результаты анализов.

Результаты анализов / Online-analysis:
Ⓗ Hybrid анализ >>
𝚺 VirusTotal анализ >>
ᕒ ANY.RUN анализ >>
🐞 Intezer анализ >>
Ⓥ VirusBay образец >>
👽 AlienVault анализ >>
🔃 CAPE Sandbox анализ >>
ⴵ VMRay анализ >>


Степень распространённости: средняя.
Подробные сведения собираются регулярно.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

Scarab Family (семейство Scarab):
Scarab (ScarabLocker) - июнь-август 2017, ноябрь 2017
Scarab-Scorpio (Scorpio) - июль 2017
Scarab-Jackie - октябрь 2017
Scarab-Russian (Scarabey) - декабрь 2017
Scarab-Decrypts - март 2018
Scarab-Crypto - март 2018
Scarab-Amnesia - март 2018
Scarab-Please - март 2018
Scarab-XTBL - апрель 2018
Scarab-Oblivion - апрель 2018
Scarab-Horsia - май 2018
Scarab-Walker - май 2018
Scarab-Osk - май 2018 
Scarab-Rebus - май 2018 
Scarab-DiskDoctor - июнь 2018
Scarab-Danger - июнь 2018
Scarab-Crypt000 - июнь 2018
Scarab-Bitcoin - июнь 2018
Scarab-Bomber - июнь 2018
Scarab-Omerta - июнь-июль 2018
Scarab-Bin - июль 2018
Scarab-Recovery - июль 2018
Scarab-Turkish - июль 2018
и другие

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

✋✋✋

Я не могу гарантировать публикацию всех реальных вариантов Rw.

Я не могу гарантировать полной достоверности всех обновлений Rw. 

Обновление от 16 мая 2018:
Пост в Твиттере >>
Расширение: .HORSE
Email-1: saviours@airmail.cc
Email-2: bestdeal@firemail.cc
Записка: HOW TO RECOVER ENCRYPTED FILES.TXT
ID имеет 650 знаков

Обновление от 16 мая 2018:
Пост в Твиттере >>
Расширение: .horsuke@nuke.africa
Email-1: horsuke@nuke.africa
Email-2: saviours@airmail.cc
Записка: HOW TO RECOVER ENCRYPTED FILES.TXT
ID имеет 644 знака
Файл: inside.exe
Результаты анализов: VT + HA

 

Скриншот записки и обоев от вымогателей

Обновление от 7 июня 2018:
Расширение: .good
Названия файлов не меняются. 
Email: filedecryption@protonmail.com
Записка о выкупе: HOW TO RECOVER ENCRYPTED FILES.TXT
Текст записки о выкупе аналогичен предыдущим вариантам.
ID содержит 648 знаков. 

Обновление от 14 июня 2018:
Пост в Твиттере >>
Расширение: .leen
Названия файлов не меняются. 
Email: mr.leen@protonmail.com
Записка о выкупе: INSTRUCTIONS FOR RESTORING FILES.TXT
Текст записки о выкупе аналогичен предыдущим вариантам.
ID содержит 652 знака. 

Скриншот записки

Обновление от 15 августа 2018:
Расширение: .good
Названия файлов не меняются.
Email: BM-2cUPRnXJRuFYKcDUCLugjrCPY58nrvHrAV@bitmessage.ch
Записка о выкупе:  HOW TO RECOVER ENCRYPTED FILES.TXT
Записки о выкупе аналогичные предыдущим.
ID содержит 648 знаков.

Обновление от 26 ноября 2018:
Расширение: .fast
Названия файлов не меняются.
Email: BM-2cUPRnXJRuFYKcDUCLugjrCPY58nrvHrAV@bitmessage.ch
Записка о выкупе:  HOW TO RECOVER ENCRYPTED FILES.TXT
ID содержит 648 знаков.

➤ Содержание записки: 
Hello!
All your files have been encrypted!
Dont worry, you can return all your files!
Your ID:
6A02000000000000***290F11F
If you want restore files, then write me on e-mail:
BM-2cUPRnXJRuFYKcDUCLugjrCPY58nrvHrAV@bitmessage.ch
Free decryption as guarantee!
Send me your ID and 1-2 small encrypted files(The total size of files must be less than 1Mb (non archived)) for free decryption. 
After that, I'll tell you the price for decryption all files. 
After payment we will send you the decryption tool that will decrypt all your files. 
Attention!   
 * Do not rename encrypted files. 
 * Do not try to decrypt your data using third party software, it may cause permanent data loss.  
 * Decryption of your files with the help of third parties may cause increased price  
   (they add their fee to our) or you can become a victim of a scam.  
How to obtain Bitcoins? 
 * The easiest way to buy bitcoins is LocalBitcoins site https://localbitcoins.net . 
 * You have to register, click 'Buy bitcoins', and select the seller by payment method and price. 
https://localbitcoins.net/buy_bitcoins
 * Later for payment use link https://localbitcoins.net/accounts/wallet/

=== 2019 ===

Обновление от 5 января 2019: 
Расширение: .local
Записка: HOW TO RECOVER ENCRYPTED FILES.TXT
Email: BM-2cUPRnXJRuFYKcDUCLugjrCPY58nrvHrAV@bitmessage.ch

➤ Содержание записки: 
Hello!
All your files have been encrypted!
Dont worry, you can return all your files!
Your ID:
+4IAAAAAAACo=eYJ***FJfy4M
If you want restore files, then write me on e-mail:
BM-2cUPRnXJRuFYKcDUCLugjrCPY58nrvHrAV@bitmessage.ch
Free decryption as guarantee!
Send me your ID and 1-2 small encrypted files(The total size of files must be less than 1Mb (non archived)) for free decryption. 
After that, I'll tell you the price for decryption all files. 
After payment we will send you the decryption tool that will decrypt all your files. 
Attention!   
 * Do not rename encrypted files. 
 * Do not try to decrypt your data using third party software, it may cause permanent data loss.  
 * Decryption of your files with the help of third parties may cause increased price  
   (they add their fee to our) or you can become a victim of a scam.  
How to obtain Bitcoins? 
 * The easiest way to buy bitcoins is LocalBitcoins site https://localbitcoins.net . 
 * You have to register, click 'Buy bitcoins', and select the seller by payment method and price. 
https://localbitcoins.net/buy_bitcoins
 * Later for payment use link https://localbitcoins.net/accounts/wallet/

Обновление от 15 апреля 2019:
Расширение: .burn
Записка: HOW TO RECOVER ENCRYPTED FILES.TXT
Email: BM-2cUPRnXJRuFYKcDUCLugjrCPY58nrvHrAV@bitmessage.ch

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

Внимание!
Файлы можно дешифровать!
Рекомендую обратиться по этой ссылке к Emmanuel_ADC-Soft >>
---
Attention!
It is very likely that the files can be decrypted!
I recommend getting help with this link to Emmanuel_ADC-Soft >>

 Read to links: 
 Tweet on Twitter
 ID Ransomware (ID as Scarab)
 Write-up, Topic of Support
 🎥 Video review by CyberSecurity GrujaRS >>

  <- Видео-обзор Scarab-Horsia с расширением .HORSE

 <- Видео-обзор Scarab-Horsia с расширением .horsuke@nuke.africa

 Thanks: 
 (victim in the topics of support)
 Michael Gillespie, S!Ri
 Andrew Ivanov
 Emmanuel_ADC-Soft
 

© Amigo-A (Andrew Ivanov): All blog articles.

Эта статья содержит описание 1000-го Ransomware!

BKRansomware

BKRansomware Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует послать деньги на телефон во Вьетнаме, чтобы вернуть файлы. Оригинальное название: BKRansomware. На файле написано: BKRansomware.exe. Среда разработки: Visual Studio 2013. Разработчик: Nguyễn Hoàng Hải (из Вьетнама).

© Генеалогия: выясняется.

К зашифрованным файлам добавляется расширение .hainhc

Активность этого крипто-вымогателя пришлась на начало мая 2018 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Запиской с требованием выкупа выступает следующий экран:

Содержание записки о выкупе:
send 50k viettel to 0963210438 to restore your data

Перевод записки на русский язык:
пошли 50k viettel на 0963210438 для возврата твоих файлов

Технические детали

Разработчик Nguyễn Hoàng Hải назвал себя в Твиттере и сообщил, что использовал BKRansomware для тестирования и не распространял его. Возможно, что кто-то другой воспользовался его разработкой. 

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

!!! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.

➤ Файлы на самом деле не зашифрованы, а закодированы с помощью ROT23. 

Список файловых расширений, подвергающихся шифрованию:
.bmp, .c, .chm, .cpp, .doc, .docx, .jpg, .png, .pptx, .py, .pyc, .pyd, .pyo, .pyw, .sql (15 расширений), но может и больше. 
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
BKRansomware.exe
<random>.exe - случайное название

Расположения:
\Desktop\ ->
\User_folders\ ->
C:\Users\User_Name\AppData\Local\Temp\BKRansomware.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
См. ниже результаты анализов.

Результаты анализов:
Ⓗ Hybrid анализ >>
𝚺  VirusTotal анализ >>
ᕒ ANY.RUN анализ >>
🐞 Intezer анализ >>
Ⓥ VirusBay образец >>
👽 AlienVault анализ >>
🔃 CAPE Sandbox анализ >>
ⴵ VMRay анализ >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter + Tweet
 ID Ransomware
 Write-up, Topic of Support
 * 

 Thanks: 
 Bart
 GrujaRS
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.