StalinLocker

StalinLocker Ransomware

(блокировщик-пугатель, не шифровальщик, деструктор)

Этот блокировщик не требует денег, однако жертве нужно как-то угадать код разблокировки и вести его, иначе StalinLocker удалит все данные со всех дисков компьютера. Оригинальное название StalinLocker и StalinScreamer. На файле написано: StalinLocker.exe

© Генеалогия: нет данных.

Образец этого крипто-вымогателя был найден в первой половине мая 2018 г. Ориентирован на русскоязычных пользователей. Возможно, функционал ещё не доработан и потом к нему что-то ещё прикрутят. 

Записка с требованием выкупа отсутствует. Нет никакого текста о выкупе.

Имеется только экран блокировки с Сталиным на фоне плакатов с лозунгами. Текст на лозунгах относится ко времени СССР. 

Текст на лозунгах полностью:
Победа социализма в нашей стране обеспечена
Фундамент социалистической экономики завершен
"Реальность нашего производственного плана - это миллионы трудящихся творящие новую жизнь."

И. Сталин.  

Оригинальный файл со всем текстом, который не вошел в скриншот экрана. 
Вымогатель-разработчик не создавал его, а нашёл картинку в Интернете. 

Вот оригинал использованного изображения. Его нет в блокировщике. Оно осталось в истории социализма и коммунизма и вошло в книги того времени. 

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок (в том числе под видом изображений), эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

!!! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.

➤  Исполняемый файл StalinLocker не может обойти UAC Windows, ему требуется разрешение на запуск. 

➤ При запуске StalinLocker выполняет следующие действия:
- извлекает файл USSR_Anthem.mp3 в папку %UserProfile%\AppData\Local\
- копирует копию себя stalin.exe в папку %UserProfile%\AppData\Local\ 
- добавляет файл stalin.exe в Автозагрузку системы с именем "Stalin";
- создаёт файлы fl.dat и ul.dat в папке %UserProfile%\AppData\Local\
- записывает в файл fl.dat текущее количество секунд, делённое на 3;
- пытается завершить другие процессы, кроме Skype и Discord;
- завершает работу системных процессов Explorer.exe и taskmgr.exe;
- пытается запланировать задачу "Driver Update" для запуска Stalin.exe

➤ Денег не требует. При запуске StalinLocker устанавливает экран блокировки и воспроизводит в фоновом режиме файл под названием USSR_Anthem.mp3 (Гимн СССР). Затем даёт 600 + 60 секунд на ввод ключа, иначе, как только таймер отсчитает отведённое время, блокировщик удалит с дисков от A до Z всё, что сможет. Насчёт системного и загрузочного дисков ничего не сказано, возможно и не сможет.

➤ Где взять ключ жертве? Не сказано. Нет никаких контактных данных.
Получается недоделанный вымогатель и деструктор, который может удалить файлы со всех дисков. 

➤ По сообщению исследователя в расчете ключа используется дата: 1922.12.30
Эта дата не простая. 30 декабря 1922 считалось датой образования СССР. 
Ссылка на описание в Википедии >>

➤ Ключ разблокировки можно получить, если вычесть из даты, когда программа была запущена, дату 1922.12.30. 
Если пользователь введёт правильный ключ, то StalinLocker покажет уведомление "Правильный ключ", закроется и удалит свой автозапуск.

➤ По сообщению исследователя MalwareHunterTeam в ресурсах есть ещё серп-и-молот.

Список файлов, подвергающихся удалению:
Это все данных на дисках, в том числе, конечно, документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
StalinLocker.exe (stalin.exe)
USSR_Anthem.mp3
fl.dat
ul.dat

Расположения:
\Desktop\ ->
\User_folders\ ->
%UserProfile%\AppData\Local\USSR_Anthem.mp3
%UserProfile%\AppData\Local\stalin.exe
%UserProfile%\AppData\Local\fl.dat
%UserProfile%\AppData\Local\ul.dat

Название проекта в ресурсах: 
D:\Stalin\StalinScreamer\StalinScreamer\obj\Release\StalinLocker.pdb

Записи реестра, связанные с этим Ransomware:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Stalin %UserProfile%\AppData\Local\stalin.exe
См. ниже результаты анализов.

Сетевые подключения и связи:
https://yadi.sk/d/Jje1tRgT3VtZgQ - моя ссылка на исправленный файл USSR_Anthem.mp3 для прослушивания. ⚑
См. ниже результаты анализов. 

Результаты анализов:
Ⓗ Hybrid анализ >>
𝚺  VirusTotal анализ >>  VT>>
ᕒ  ANY.RUN анализ >>
🐞 Intezer анализ >>
Ⓥ VirusBay образец >>
👽 AlienVault анализ >>
🔃 CAPE Sandbox анализ >>
ⴵ  VMRay анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter
 ID Ransomware (n/a)
 Write-up (add May 15, 2018), Topic of Support
 * 

  - видео-демонстрация работы StalinLocker 

 Thanks: 
 MalwareHunterTeam
 Lawrence Abrams
 Andrew Ivanov, ANY.RUN
 
 

© Amigo-A (Andrew Ivanov): All blog articles.

Scarab-Walker

Scarab-Walker Ransomware

(шифровальщик-вымогатель) 

Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: Walker (написано в записке о выкупе и в её названии). Написан на Delphi. См. генеалогию ниже. Написан на Delphi. Файлы можно дешифровать!

© Генеалогия / Genealogy: Scarab > Scarab Family > Scarab-Amnesia > Scarab-Walker

К зашифрованным файлам добавляется расширение / Appends to encrypted files the extension:
.JohnnieWalker

Сами файлы переименовываются с помощью Base64. 

Примеры зашифрованных файлов / Examples of encrypted files:
2HKV=7gPH1MqncQDkkRAtN32YfpNGj+lrw16apF4Dmw4gsmClGZPV8rWGcNzW3hd.JohnnieWalker
2x+G=ZKSHK0fRWOHqhyP74YDH=CB+nIL3TqIlLshBMhe854QO+xrYa5E3k1M7xSGj5.JohnnieWalker
bHCWVKtaePXraYrUUJZ376JPcDNXoeWlnO1gYGZA693HLYHwo4OagZR3IRqXgCy=lhC.JohnnieWalker

Этимология названия: 
1) Джон Энтони Уокер (англ. John Anthony Walker) — шифровальщик Уокер, офицер связи штаба командующего подводным флотом США в атлантическом регионе, агент внешней разведки КГБ СССР. Арестован в мае 1985 года, провёл в заключении почти 30 лет. Умер 28 августа 2014 года в возрасте 77 лет. 
2) Джонни Уокер (Johnnie Walker) — известная марка скотча (шотландский виски). 

Активность этого крипто-вымогателя пришлась на первую половину мая 2018 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется / Name of ransom note: 
 HOW TO DECRYPT WALKER INFO.TXT

Содержание записки о выкупе / Contents of ransom note:
=================================================
Walker
=================================================
YOUR FILES ARE ENCRYPTED! 
Your personal ID
6A02000000000000***78F201
Your documents, photos, databases, save games and other important data was encrypted. 
Data recovery the necessary decryption tool. To get the decryption tool, should send an email to:
JohnnieWalker@firemail.cc
Letter must include Your personal ID (see the beginning of this document).
In the proof we have decryption tool, you can send us 1 file for test decryption.
Next, you need to pay for the decryption tool. 
In response letter You will receive the address of Bitcoin wallet which you need to perform the transfer of funds.
If you have no bitcoins
* Create Bitcoin purse: https://blockchain.info
* Buy Bitcoin in the convenient way
https://localbitcoins.com/ (Visa/MasterCard)
https://www.buybitcoinworldwide.com/ (Visa/MasterCard)
https://en.wikipedia.org/wiki/Bitcoin (the instruction for beginners)
- It doesn't make sense to complain of us and to arrange a hysterics. 
- Complaints having blocked e-mail, you deprive a possibility of the others, to decipher the computers.
 Other people at whom computers are also ciphered you deprive of the ONLY hope to decipher. FOREVER.
- Just contact with us, we will stipulate conditions of interpretation of files and available payment, 
in a friendly situation
- When money transfer is confirmed, You will receive the decrypter file for Your computer. 
Attention! 
* Do not attempt to remove a program or run the anti-virus tools 
* Attempts to decrypt the files will lead to loss of Your data 
* Decoders other users is incompatible with Your data, as each user unique encryption key
=================================================

Перевод записки на русский язык:
=================================================
Walker
=================================================
ВАШИ ФАЙЛЫ ЗАШИФРОВАНЫ!
Ваш личный идентификатор
6A02000000000000 *** 78F201
Ваши документы, фото, базы данных, сохранения игр и другие важные данные зашифрованы.
Восстановить данные нужен инструмент дешифрования. Чтобы получить инструмент дешифрования нужно отправить email на:
JohnnieWalker@firemail.cc
Письмо должно содержать Ваш персональный ID (см. начало этого документа).
В доказательство наличия инструмента дешифрования, вы можете отправить нам 1 файл для тест-дешифровки.
Затем вам нужно заплатить за инструмент дешифрования.
В ответном письме вы получите адрес биткоин-кошелька, который вам нужен для перевода средств.
Если у вас нет биткоинов
* Создать биткоин-кошелек: https://blockchain.info
* Купить биткоины удобным способом
https://localbitcoins.com/ (Visa / MasterCard)
https://www.buybitcoinworldwide.com/ (Visa / MasterCard)
https://en.wikipedia.org/wiki/Bitcoin (инструкция для новичков)
- Не имеет смысла жаловаться на нас и устраивать истерику.
- Жалобы, заблокировавшие email, лишают возможности других расшифровать компьютеры.
 Других людей, у которых компьютеры также зашифрованы, вы лишаете ЕДИНСТВЕННОЙ надежды расшифровать. НАВСЕГДА.
- Просто свяжитесь с нами, мы предусмотрим условия интерпретации файлов и доступных платежей,
в дружественной ситуации
- Когда денежный перевод подтвержден, вы получите декриптер для Вашего компьютера.
Внимание!
* Не пытайтесь удалить программу или запустить антивирусные инструменты
* Попытки расшифровать файлы приведут к потере Ваших данных
* Декодеры других пользователей несовместимы с Вашими данными, т.к. пользователь получает уникальный ключ шифрования 
=================================================

Технические детали / Technical details

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов (Necurs и других), эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

!!! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.

➤ ID в этом варианте содержит 646 знаков. 

➤ Файл декриптора от вымогателей:

Я проверил. Да, декриптор работает и расшифровывает файлы. Но только зашифрованные этой версией и только у конкретного пользователя. 

Список файловых расширений, подвергающихся шифрованию / Extensions of target files:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware / Files of Rw:
HOW TO DECRYPT WALKER INFO.TXT
<random>.exe - случайное название

Расположения / Files locations:
\Desktop\ ->
\User_folders\ ->

Записи реестра, связанные с этим Ransomware / Registry entries of Rw:
См. ниже результаты анализов.

Сетевые подключения и связи / URLs, contacts, payments:
Email: JohnnieWalker@firemail.cc
См. ниже результаты анализов.

Результаты анализов / Online-analysis:
Ⓗ Hybrid анализ >>
𝚺  VirusTotal анализ на файл декриптора tool.exe >>
ᕒ  ANY.RUN анализ и обзор файла tool.exe >>
🐞 Intezer анализ и сравнение генов файлов tool.exe >>
Ⓥ VirusBay образец >>
👽 AlienVault анализ >>
🔃 CAPE Sandbox анализ >>
ⴵ VMRay анализ >>

Степень распространённости: средняя.
Подробные сведения собираются регулярно.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

Scarab Family (семейство Scarab):
Scarab (ScarabLocker) - июнь-август 2017, ноябрь 2017
Scarab-Scorpio (Scorpio) - июль 2017
Scarab-Jackie - октябрь 2017
Scarab-Russian (Scarabey) - декабрь 2017
Scarab-Decrypts - март 2018
Scarab-Crypto - март 2018
Scarab-Amnesia - март 2018
Scarab-Please - март 2018
Scarab-XTBL - апрель 2018
Scarab-Oblivion - апрель 2018
Scarab-Horsia - май 2018
Scarab-Walker - май 2018
Scarab-Osk - май 2018 
Scarab-Rebus - май 2018 
Scarab-DiskDoctor - июнь 2018
Scarab-Danger - июнь 2018
Scarab-Crypt000 - июнь 2018
Scarab-Bitcoin - июнь 2018
Scarab-Bomber - июнь 2018
Scarab-Omerta - июнь-июль 2018
Scarab-Bin - июль 2018
Scarab-Recovery - июль 2018
Scarab-Turkish - июль 2018
и другие...

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Файлы можно дешифровать, если они зашифрованы до 18 июня 2018 года!

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

Внимание!
Файлы можно дешифровать!
Рекомендую обратиться по этой ссылке к Emmanuel_ADC-Soft >>
---
Attention!
Files can be decrypted!
I recommend getting help with this link to Emmanuel_ADC-Soft >>

 Read to links: 
 Tweet on Twitter
 ID Ransomware (ID as Scarab)
 Write-up, Topic of Support
 * 

 Thanks: 
 Emmanuel_ADC-Soft
 Andrew Ivanov
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

FBLocker

FBLocker Ransomware

(шифровальщик-вымогатель, деструктор) 

Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: не указано. Название проекта: svchost. На файле написано: svchost.exe и MicrosoftWindowsOperating System.

© Генеалогия: выясняется.

К зашифрованным файлам добавляется расширение .facebook

Образец этого крипто-вымогателя был найден в первой половине мая 2018 г. Ориентирован на русскоязычных и англоязычных пользователей, что не мешает распространять его по всему миру. Вероятно, сделан с целью дискретизации социальной сети и личной неприязни. О скандалах можно прочитать в Интернете. 

Записка с требованием выкупа отображается на экране как обои, рядом с фотографией Цукерберга, одного из разработчиков и основателей социальной сети Facebook. Фото мы решили не публиковать, см. по ссылке в Твиттере в "Блоке ссылок и спасибок", под текстом статьи.  

Содержание записки о выкупе:
Что случилось с моим компьютером?
Ваши важные файлы зашифрованы. Многие из ваших документов, фотографий, видео, баз данных и других файлов больше не доступны, поскольку они были зашифрованы. Не тратьте свое время на поиск способа восстановления файлов. Никто не может восстановить ваши файлы.
Могу ли я восстановить мои файлы?
Нет. Меня зовут Марк Цукерберг, и я зашифровал ваши файлы, не сохраняя никаких ключей шифрования. Я ценю, что вы выполняете мою программу, потому что вы позволили мне разрушить больше жизней. 

What Happened to My Computer?
Your important files are encrypted. Many of your documents, photos, videos, databases and other files are no longer accessible because they have been encrypted. Do not waste your time looking for a way to recover your files. Nobody can recover your files.
Can I Recover My Files?
No. My name is Mark Zuckerberg and I have encrypted your files without saving any encryption keys. I appreciate you executing my program because you have allowed me to ruin more lives.
"A squirrel dying in front of your house may be more relevant to your interests right now than people dying in Africa."

Анализ русского текста в записке:
Я заметил довольно много ошибок в лексике и пунктуации. Затем проверил его в Google-переводчике. Да, текст пропустили через Google-переводчик. 

Сравнение текста с тем, что даёт переводчик. Слово в слово. 

В реальности русский текст записки был бы таким:
Что случилось с моим компьютером?
Ваши важные файлы зашифрованы. Многие из ваших документов, фотографий, видео, баз данных и других файлов теперь не доступны, потому что они были зашифрованы. Не тратьте свое время на поиск способа восстановления файлов. Никто не сможет восстановить ваши файлы.
Могу ли я восстановить мои файлы?
Нет. Меня зовут Марк Цукерберг и я зашифровал ваши файлы, не сохранив никаких ключей шифрования. Я ценю, что вы запустили мою программу, так как вы позволили мне погубить больше жизней. 

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

!!! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.

➤ Требования: наличие .NET Framework 4.6.1

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
svchost.exe
<random>.exe - случайное название

Расположения:
\Desktop\ ->
\User_folders\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
93.184.221.240:80 - Европейский союз
См. ниже результаты анализов.

Результаты анализов:
Ⓗ Hybrid анализ >>
𝚺  VirusTotal анализ >>
ᕒ ANY.RUN анализ >>
🐞 Intezer анализ >>
Ⓥ VirusBay образец >>
👽 AlienVault анализ >>
🔃 CAPE Sandbox анализ >>
ⴵ VMRay анализ >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter
 ID Ransomware
 Write-up, Topic of Support
 * 

 Thanks: 
 Leo
 *
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

RansomAES

RansomAES Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью AES-256 + RSA-2048, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: RansomAES. На файле написано: RansomAES.exe. Является вариантом шифровлаьщика семейства SF Ransomware, см. ниже "Генеалогия" и "История семейства" после статьи. 
---
Обнаружения:

DrWeb -> Trojan.Encoder.25402, Trojan.Encoder.25430

ALYac -> Trojan.Ransom.RansomAES

Avira (no cloud) -> HEUR/AGEN.1129970

BitDefender -> Generic.Ransom.WCryG.8483FA4E, Generic.Ransom.WCryG.*

ESET-NOD32 -> A Variant Of MSIL/Filecoder.IX

Kaspersky -> Trojan-Ransom.Win32.Spora.*

Microsoft -> Ransom:MSIL/BlackHeart!MTB

Qihoo-360 -> Win32/Trojan.Ransom.e51, Win32/Trojan.Ransom.d2d

Rising -> Ransom.Spora!8.E3EE (CLOUD), Trojan.Filecoder!8.68 (CLOUD)

Symantec -> Downloader, ML.Attribute.HighConfidence

TrendMicro -> Ransom_BlackHeart.R002C0CGP20, Ransom_RAMSIL.SM

---
© Генеалогия: Общий крипто-строитель SF Ransomware >> Spartacus, Satyr, RansomAES и другие, см. более новые в статье BlackHeart

К зашифрованным файлам добавляется расширение .RansomAES

Активность этого крипто-вымогателя пришлась на начало мая 2018 г. Ориентирован на корейскоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: READ ME.txt

Запиской с требованием выкупа также выступает экран блокировки:

Содержание текста о выкупе (см. первый экран):
RansomAES
당신의 모든 파일이 암호화되었습니다!
당신의 파일이 암호화되었습니다! 당신에 확장자: .AES 이메일로 요청드리면 복구해드립니다. fbgwls245@naver.com 또는 powerhacker03@hotmail.com
Bitcoins 에서 암호 해독에 대한 비용웁 지害해야합니다. 가격은 당신이 우리에게 어떻게 쓰는지에 달려 있습니다. 지뜰 후 우리는 당신에개
모든 파일을 해독할수 었는 해독 도구를 드립니다.
지올 위에 있는 개인 ID는 저희 이메일로 ID를 클립으로 복사해서 ID률 주세요.

Перевод текста на русский язык:
Все ваши файлы зашифрованы!
Ваши файлы зашифрованы! Они получили расширение: .AES 
Напишите на наши email и мы их отремонтируем. 
fbgwls245@naver.com или powerhacker03@hotmail.com
Оплата за дешифрования должна быть сделана в биткоинах. Цена зависит от того, как вы используете их для нас. После двора у нас есть собаки на вас
Мы предоставим инструменты дешифрования, которые помогут расшифровать все файлы.
Скопируйте ваш персональный идентификатор над документом и пришлите на наш email.

Содержание текста о выкупе (см. второй экран):
RansomAES Ransomware
RansomAES Decrypter
당신의 모든 파일이 암호화되었습니다!
***ID***
[클립 보드에 복사]
1. 내 컴퓨터에 무슨 일이 일어 났습니까? 
중요한 파일은 암호화됩니다. 많은 문서, 사진, 비디오, 데이터베이스 및 기타 파일은 암호화되어있어 더 이상 액세스 할 수 없습니다. 어쩌면 파일을 복구하는 방법을 찾는 데 바쁘지 만 시간을 낭비하지 않아도됩니다. 누구도 암호 해독 서비스 없이는 파일을 복구 할 수 없습니다. 
2.내 파일은 어떻게 복구 합니까? 
Bitcoins에서 암호 해독에 대한 비용을 지불해야합니다. 가격은 당신이 우리에게 어떻게 쓰는지에 달려 있습니다. 지불 후 우리는 당신에게 모든 파일을 해독 할 수 있는 해독 도구를 드립니다. 지금 위에 있는 개인 ID는 저희 이메일로 ID를 클립으로 복사해서 ID를 주세요.

Перевод текста на русский язык:
RansomAES Ransomware
RansomAES Decrypter
Все ваши файлы зашифрованы!
***ID***
[Скопируйте в буфер обмена]
1. Что случилось с моим компьютером?
Важные файлы зашифрованы. Многие документы, фотографии, видео, базы данных и другие файлы зашифрованы и теперь не доступны. Возможно, вы ищете способ восстановления ваших файлов, но вам не тратьте свое время. Никто не сможет восстановить файлы без службы дешифрования.
2. Как восстановить мои файлы?
Придется заплатить за дешифрование в биткоинах. Цена зависит от того, как вы используете их для нас. После оплаты мы предоставим вам инструмент дешифрования для дешифровки всех файлов. Для этого выше есть персональный идентификатор, скопируйте идентификатор и пришлите этот идентификатор на наш email.

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

!!! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.

➤ Требования: наличие .NET Framework 4.6.1
➤ Удаляет теневые копии файлов с помощью команды:
vssadmin.exe delete shadows /all /quiet

Список файловых расширений, подвергающихся шифрованию:

.asp, .aspx, .bmp, .cdr, .cmd, .config, .cpp, .csv, .dbf, .dll, .doc, .docx, .dwg, .exe, .flv, .gif, .html, .hwp, .ini, .jpg, .js, .mdb, .mp3, .odt, .pdf, .php, .png, .ppt, .pptx, .psd, .rar, .rtf, .sql, .sqlite, .txt, .vbs, .xls, .xlsx, .xml, .zip (41 расширений).

Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, архивы и пр.

Файлы, связанные с этим Ransomware:
READ ME.txt - записка о выкупа;
RansomAES.exe - исполняемый файл;
<random>.exe - случайное название. 

Компоненты:
RansomAES Ransomware
RansomAES Decrypter

Расположения:
\Desktop\ ->
\User_folders\ ->
\Desktop\RansomAES.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: fbgwls245@naver.com, powerhacker03@hotmail.com
xxxx://securityoverride.org/infusions/pro_download_panel/***
xxxx://427.cc/***
xxxx://037.cc/***
216.58.209.238:80 - сервер в США
См. ниже результаты анализов.

Результаты анализов:
Ⓗ Hybrid анализ >> HA >
𝚺  VirusTotal анализ >>  VT>>
🐞 Intezer анализ >>  IA>
ⴵ VMRay анализ >>

ᕒ  ANY.RUN анализ >>

Ⓥ VirusBay образец >>
👽 AlienVault анализ >>
🔃 CAPE Sandbox анализ >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

Общий крипто-строитель SF Ransomware - апрель 2018 или раньше

Spartacus Ransomware - 15 апреля 2018

BlackRouter Ransomware  - 15 апреля 2018, январь 2019

Satyr Ransomware  - 18 апреля 2018

RansomAES Ransomware - 7 мая 2018

BlackHeart Ransomware - 21 апреля 2018, июнь 2020

M@r1a Ransomware - 3 ноября 2018, май 2019

BlackHat Ransomware - 4 декабря 2018

Prodecryptor Ransomware - апрель 2019

Tor+ Ransomware - декабрь 2019

Tsar Ransomware - февраль 2020

Badboy Ransomware - июнь 2020

Alix1011RVA Ransomware - сентябрь 2020

Prodecryptor - январь 2021 или раньше

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter + Tweet 
 ID Ransomware
 Write-up, Topic of Support
 🎥 Video review >>

  - видеоролик от CyberSecurity GrujaRS

 Thanks: 
 MalwareHunterTeam
 CyberSecurity GrujaRS
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.