Ryuk

Ryuk Ransomware

Ryuk 2.0 Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные бизнес-пользователей и предприятий с помощью AES+RSA, а затем требует выкуп от 15-50 BTC, чтобы вернуть файлы. Оригинальное название: Ryuk. На файле написано: что попало. 
Среда разработки: Visual Studio 2015 или более новая. Некоторые исследователи считают, что за разработкой и реализацией стоит известная группа Lazarus Group. По другим данным группа называет себя Wizard Spider. На Западе считают, что это российская группа, но бездоказательно. Как у "них" говорится: Есть три вида лжи: ложь, наглая ложь и статистика. 

---

👉 Предлагаю всем хакерам-Ryuk-вымогателям, которые выдают себя за российских, приехать в Москву, выйти на Красную площадь с флагом "Мы команда Ryuk!", при себе иметь российские паспорта с пропиской, СНИЛС, ИНН, Медполис. Пригласить USA/EURO/RU прессу, пусть всё проверят и подтвердят ваше российское граджанство. Без этого все западные и западенские заявления о русских хакерах-вымогателям являются бездоказательным фейком и откровенной дезой и не подлежат обсуждению. 

---

Эта вредоносная кампания нацелена на предприятия, которые способны заплатить крупную сумму денег, чтобы ввернуть данные и восстановить прерванную работу. С августа 2018 года атакующие навымогали у пострадавших более 400 BTC (ссылка на статью). 
---
Обнаружения:
DrWeb -> Trojan.Encoder.25857, Trojan.Inject3.12652, Trojan.Inject3.12707, Trojan.Encoder.28109, Trojan.Inject3.14013, Trojan.Inject3.24532, Trojan.Encoder.10700, Trojan.Inject3.31944, Trojan.Encoder.30389, Trojan.Encoder.30550, Trojan.Encoder.30842, Trojan.Encoder.30917, Trojan.Encoder.32849

ALYac -> Trojan.Ransom.Ryuk
BitDefender -> Trojan.GenericKD.31172835, Trojan.GenericKD.31173680, Trojan.GenericKD.31175657, Trojan.GenericKD.31177924, Trojan.Ransom.Ryuk.A, Trojan.Ransom.Ryuk.B, Generic.Ransom.Ryuk.*, Generic.Ransom.Ryuk2.*, Gen:Variant.Ransom.1687, Generic.Ransom.Ryuk3.*, Trojan.GenericKD.42239496, DeepScan:Generic.EmotetU.AD004203, Gen:Variant.Ulise.93860
Malwarebytes -> Trojan.Agent, Ransom.FileCryptor, Ransom.Ryuk
McAfee -> Ransom-Ryuk.b, McAfee -> GenericRXJJ-LA!ED9A57E4D824

Symantec -> Ransom.Hermes!gen2, Downloader, Trojan Horse, Ransom.Ryuk
TrendMicro -> Trojan.Win32.RYUK.USASHAG20, TROJ_FRS.VSNTAD20
---
© Генеалогия: ✂ Hermes (код) + ✂ Bitpaymer (текст 1-го варианта записки) >> Ryuk

Генеалогия подтверждена Intezer Analyze >>

Изображение — логотип статьи

К зашифрованным файлам сначала никакое расширение не добавлялось. Потом стало добавляться расширение .RYK. Смотрите блок обновлений после основной статьи. 


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность раннего варианта этого крипто-вымогателя пришлась на середину августа 2018 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записки с требованием выкупа называются: 
RyukReadMe.txt  - ранний вариант
RyukReadMe.html - стал использоваться позже

Обнаружено два разных варианта записок о выкупе. Первый может быть ориентирован на простых пользователей ПК и малый бизнес, а второй — на крупных бизнес-пользователей. Во всяком случае, так явствует из содержания. 

Скриншот 1-го вариант записки о выкупе

Содержание 1-го варианта записки о выкупе:
All files on each host in the network have been encrypted with a strong algorithm.
Backups were either encrypted or deleted or backup disks were formatted.
Shadow copies also removed, so F8 or any other methods may damage encrypted data but not recover.
We exclusively have decryption software for your situation
No decryption software is available in the public.
DO NOT RESET OR SHUTDOWN - files may be damaged.
DO NOT RENAME OR MOVE the encrypted and readme files.
DO NOT DELETE readme files.
This may lead to the impossibility of recovery of the certain files.
To get info (decrypt your files) contact us at
MelisaPeterman@protonmail.com
or
MelisaPeterman@tutanota.com
BTC wallet:
14hVKm7Ft2rxDBFTNkkRC3kGstMGp2A4hk
Ryuk
No system is safe

Перевод 1-го варианта записки на русский язык:
Все файлы на каждом хосте в сети были зашифрованы с сильным алгоритмом.
Резервные копии были зашифрованы или удалены, или форматированы резервные диски.
Теневые копии также удалены, потому F8 или любые другие методы могут повредить зашифрованные данные, но не восстановить.
Только у нас есть программа для дешифрования для вашей ситуации
Нет публичной программы для дешифрования.
НЕ ПЕРЕЗАГРУЖАЙТЕ ИЛИ НЕ ВЫКЛЮЧАЙТЕ - файлы могут быть повреждены.
НЕ ПЕРЕИМЕНОВЫВАЙТЕ И НЕ ПЕРЕМЕЩАЙТЕ зашифрованные и readme-файлы.
НЕ УДАЛЯЙТЕ readme-файлы.
Это может привести к невозможности восстановления определенных файлов.
Чтобы получить информацию (расшифровать ваши файлы), свяжитесь с нами
MelisaPeterman@protonmail.com
или
MelisaPeterman@tutanota.com
Кошелек BTC:
14hVKm7Ft2rxDBFTNkkRC3kGstMGp2A4hk
Ryuk
Система не в безопасности

Скриншот 2-го варианта записки о выкупе

Содержание 2-го варианта записки о выкупе:
Gentlemen!
Your business is at serious risk.
There is a significant hole in the security system of your company.
We've easily penetrated your network.
You should thank the Lord for being hacked by serious people not some stupid schoolboys or dangerous punks.
They can damage all your important data just for fun.
Now your files are crypted with the strongest millitary algorithms RSA4096 and AES-256.
No one can help you to restore files without our special decoder.
Photorec, RannohDecryptor etc. repair tools are useless and can destroy your files irreversibly.
If you want to restore your files write to emails (contacts are at the bottom of the sheet) and attach 2-3 encrypted files
(Less than 5 Mb each, non-archived and your files should not contain valuable information
(Databases, backups, large excel sheets, etc.)).
You will receive decrypted samples and our conditions how to get the decoder.
Please don't forget to write the name of your company in the subject of your e-mail.
You have to pay for decryption in Bitcoins.
The final price depends on how fast you write to us.
Every day of delay will cost you additional +0.5 BTC
Nothing personal just business
As soon as we get bitcoins you'll get all your decrypted data back.
Moreover you will get instructions how to close the hole in security and how to avoid such problems in the future
+ we will recommend you special software that makes the most problems to hackers.
Attention! One more time !
Do not rename encrypted files.
Do not try to decrypt your data using third party software.
P.S. Remember, we are not scammers.
We don't need your files and your information.
But after 2 weeks all your files and keys will be deleted automatically.
Just send a request immediately after infection.
All data will be restored absolutely.
Your warranty - decrypted samples.
contact emails
eliasmarco@tutanota.com
or
CamdenScott@protonmail.com
BTC wallet:
15RLWdVnY5n1n7mTvU1zjg67wt86dhYqNj
No system is safe

Перевод 2-го варианта записки на русский язык:
Господа!
Ваш бизнес подвергается серьезному риску.
В системе безопасности вашей компании есть значительная дыра.
Мы легко проникли в вашу сеть.
Вы должны благодарить Господа за то, что её взломали серьезные люди, а не какие-то глупые школьники или опасные панки.
Они могут повредить все ваши важные данные только для удовольствия.
Теперь ваши файлы зашифрованы с помощью самых сильных военных алгоритмов RSA4096 и AES-256.
Никто не может помочь вам восстановить файлы без нашего специального декодера.
Инструменты Photorec, RannohDecryptor и т. д. бесполезны и могут необратимо уничтожить ваши файлы.
Если вы хотите восстановить свои файлы, пишите на emai (контакты есть ниже) и присоедините 2-3 зашифрованных файла
(Менее 5 Мбайт каждый, не архив, и ваши файлы не должны содержать ценную информацию
(Базы данных, резервные копии, большие листы Excel и т. д.)).
Вы получите дешифрованные образцы и наши условия, как получить декодер.
Пожалуйста, не забудьте написать название вашей компании в теме вашего email.
Вы должны заплатить за дешифрование в биткоинах.
Окончательная цена зависит от того, как быстро вы напишете нам.
Каждый день задержки будет стоить дополнительно +0,5 BTC
Ничего личного, просто бизнес
Как только мы получим биткоины, вы получите все свои дешифрованные данные.
Кроме того, вы получите инструкции о том, как закрыть дыру в безопасности и как избежать таких проблем в будущем
+ мы порекомендуем вам специальную программу, которая сделает много проблем для хакеров.
Внимание! Еще раз !
Не переименовывайте зашифрованные файлы.
Не пытайтесь расшифровывать свои данные с помощью сторонних программ.
P.S. Помните, мы не мошенники.
Нам не нужны ваши файлы и ваша информация.
Но через 2 недели все ваши файлы и ключи будут удалены автоматически.
Просто отправьте запрос сразу после заражения.
Все данные будут восстановлены абсолютно.
Ваша гарантия - расшифрованные образцы.
контактные email-адреса
eliasmarco@tutanota.com
или
CamdenScott@protonmail.com
Кошелек BTC:
15RLWdVnY5n1n7mTvU1zjg67wt86dhYqNj
Система не в безопасности

Технические детали

Ориентирован на предприятия, организации и крупный бизнес. Пытается нанести максимальный урон и зашифровать все устройства локальной сети. Может распространяться путём взлома через незащищенную конфигурацию RDP с дальнейшей пенетрацией в глубь сети компьютеров. 
Не исключено распространение с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 



➤ UAC не обходит, требуется разрешение на запуск. 
➤ Удаляет теневые копии файлов.

➤ Для завершения работы более 40 процессов и отключения большой группы служб (более) использует команды: 
taskkill
net stop

➤ Останавливаемые службы и процессы в основном принадлежат антивирусному ПО, работающим базам данных, ПО для резервного копирования и редактирования документов, которые могут помешать шифрованию файлов. 

➤ Поэтапная схема атаки вредоносного ПО Ryuk Ransomware от TrendMicro

На английском языке (схема от TrendMicro)

На русском языке (мой перевод)

➤ Ryuk также пытается шифровать сетевые ресурсы. Имя найденного сетевого ресурса добавляется через точку с запятой в список, который позже будет использоваться для шифрования этих сетевых ресурсов.

➤ По окончании шифрования Ryuk уничтожает свой ключ шифрования и запускает BAT-файл, который удалит теневые копии и различные файлы резервных копий с диска.

➤ Структура зашифрованного файла идентична структуре, используемой в Hermes Ransomware, включая отличительный маркер HERMES, который этот вредонос использует для идентификации файлов, которые он уже зашифровал.

Hex-дамп файла, зашифрованного Ryuk Ransomware

Список файловых расширений, подвергающихся шифрованию:
Все файлы, кроме файлов из белого списка папок. 
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Ryuk нацелен на максимальный вред. Он шифрует файлы размером более 57 000 000 байт (54,4 мегабайта) только частично, чтобы сэкономить время и быстрее пройти через все данные, прежде чем кто-либо заметит. Такие частично зашифрованные будут иметь немного отличающийся от обычного нижний колонтитул в конце файла, где Hermes обычно хранит зашифрованный с алгоритмом RSA ключ AES, который использовался для шифрования содержимого файла. Кроме маркера файлов HERMES, используемого в Ryuk, в зашифрованном файле есть видимый счетчик количества зашифрованных блоков в 1 000 000 байтов для этого файла. Если этот индикатор отсутствует, весь файл считается зашифрованным. 

На картинке расширенная версия нижнего колонтитула файла Ryuk с количеством зашифрованных блоков (для частично зашифрованных файлов). 

Белый список папок:
"Windows", "Mozilla", "Chrome", "RecycleBin", "Ahnlab"

Файлы, связанные с этим Ransomware:
RyukReadMe.txt
RyukReadMe.html
UNIQUE_ID_DO_NOT_REMOVE - содержит жестко закодированный ключ
PUBLIC - файл содержит открытый ключ RSA
sys - специальный файл вымогателя
window.bat - файл для удаления с дисков теневых и резервных копий. 
kIUAm.exe - исполняемый файл вымогателя 
<random>.exe - исполняемые файлы со случайными названиями (примеры: FmoAc.exe, fVHEQ.exe)

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
URL: xxxx://yixun.com/
---
MelisaPeterman@protonmail.com
MelisaPeterman@tutanota.com
BTC: 14hVKm7Ft2rxDBFTNkkRC3kGstMGp2A4hk
---
eliasmarco@tutanota.com
CamdenScott@protonmail.com
BTC: 15RLWdVnY5n1n7mTvU1zjg67wt86dhYqNj
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
Ⓗ Hybrid анализ >>
Ⓗ Hybrid анализ файла дроппера >>
𝚺  VirusTotal анализ >>  VT>> VT>> VT>> VT>> 
𝚺  Virus Total анализ файла дроппера >>
🐞 Intezer анализ >>
Ⓥ VirusBay образец >>
ⴵ  VMRay анализ >>  VMR>>  VMR>>
ᕒ  ANY.RUN анализ >>
👽 AlienVault анализ >>
🔃 CAPE Sandbox анализ >>
⨇ MalShare анализ >>
⟲ JOE Sandbox анализ >>


Степень распространённости: средняя.
Подробные сведения собираются регулярно.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

Ryuk Ransomware - август 2018
Ryuk 2.0 Ransomware - январь 2019

См. блок обновлений ниже. 

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Вариант от 22 августа 2018:
Email: AndyMitton@protonmail. com
AndyMitton@tutanota.com
BTC: 1LKULheYnNtJXgQNWM024MeLrBBCouECH7
Записка о выкупе (короткая):

➤ Содержание записки:
Your network has been penetrated.
All files on each host in the network have been encrypted with a strong algorithm.
Backups were either encrypted or deleted or backup disks were formatted.
Shadow copies also removed, so F8 or any other methods may damage encrypted data but not recover.
We exclusively have decryption software for your situation
No decryption software is available in the public.
DO NOT RESET OR SHUTDOWN - files may be damaged.
DO NOT RENAME OR MOVE the encrypted and readme files.
DO NOT DELETE readme files.
This may lead to the impossibility of recovery of the certain files.
To get info (decrypt your files) contact us at
AndyMitton@protonmail. com
or
AndyMitton@tutanota.com
BTC wallet:
1LKULheYnNtJXgQNWM024MeLrBBCouECH7
Ryuk
No system is safe
---
Записка о выкупе (длинная):

➤ Содержание:
Аналогично тому, что имеется в моей статье выше. 
Статья от Check Point >>


Вариант от 29 августа 2018:
Пост в Твиттере >>
Название проекта: ConsoleApplication54
Результаты анализов: VT


Вариант от 5 сентября 2018:
Предположительное родство с Ryuk. Возможно отдельный проект.  
Пост в Твиттере >>
Расширение: .rcrypted
Записка: README.PLEASE.txt
Используется маркер файлов "UA". 
Email: rightsor@protonmail.com
BTC: 1Ff4ZxANNtDuvL5Y95aGukJs3dgnuSrfTv

➤ Содержание записки:
Dear Sirs,
Your business is under serious threat!
There exists a significant risk of a data breach at the security of your company.
We've easily pentested your work network.
You should thank Allah for being approached by the security experts and not some kids.
They could have encrypted all your data just for fun!
Now all your files are encrypted with the strongest algorithms of AES256.
No one can have it decrypted without our genuine decoder.
Attempts to use the commonly available decrypting software can lead to the complete loss of data.
If you prefer to have your files restored please write to this email (contacts are at the bottom of the sheet),
and attach 2-3 encrypted files (files does not have to contain any valuable information)
You will receive decrypted samples and our conditions on how to get the decoder to have your data restored.
Please write the name of your company in the subject of your e-mail.
You will have to pay for our decryptor in Bitcoins (BTC)
The final price depends on how fast you will get in touch with us.
For every additional day the payment would be delayed we add a motivational 0.5 btc as punishment.
Nothing personal, ladies and gentelmen, it is just business.
As soon as we get the Bitcoins you will get the decrypting software.
Also we will provide free recommendations on how you can patch the security hole in your network.
Please do not rename the encrypted files! (It can complicate the recovery)
Decryptor price is 30 BTC
Contact email:
rightsor@protonmail.com
BTC wallet:
1Ff4ZxANNtDuvL5Y95aGukJs3dgnuSrfTv

Вариант от 22 ноября 2018:
Пост в Твиттере >>
Записка: RyukReadMe.txt 
Email: WayneEvenson@protonmail.com, WayneEvenson@tutanota.com
BTC: 14hVKm7Ft2rxDBFTNkkRC3kGstMGp2A4hk
Файл: PdTlG.exe (Ryuk.exe)
Результаты анализов: VT + HA + AR + IA

➤ Содержание записки о выкупе: 
Your network has been penetrated.
All files on each host in the network have been encrypted with a strong algorithm.
Backups were either encrypted or deleted or backup disks were formatted.
Shadow copies also removed, so F8 or any other methods may damage encrypted data but not recover.
We exclusively have decryption software for your situation
No decryption software is available in the public.
DO NOT RESET OR SHUTDOWN - files may be damaged.
DO NOT RENAME OR MOVE the encrypted and readme files.
DO NOT DELETE readme files.
This may lead to the impossibility of recovery of the certain files.
To get info (decrypt your files) contact us at
WayneEvenson@protonmail.com
or
WayneEvenson@tutanota.com
BTC wallet:
14hVKm7Ft2rxDBFTNkkRC3kGstMGp2A4hk
Ryuk
No system is safe

Обновление декабря 2018:
Атаки на газетные издательства США
Ссылка на статью >>
Расширение: .RYK или .ryk

Обновление декабря 2018:
Ryuk продается "партнерам" за $400 со встроенным уникальным ключом шифрования и двумя email-адресами. 
По сообщениям исследователей mail-адреса в записках могут быть почти уникальны для каждого пострадавшего. 

=== 2019 ===

Вариант от 8 января 2019:
Схема активности Emotet, Trickbot, Ryuk от начала августа 2018 по 2 января 2019. 
Составлена в Malwarebytes. 

Схема активности Ryuk с декабря 2018 по 2 января 2019. 
Составлена в Malwarebytes. 

Источник: Статья Malwarebytes от 8 января 2019 >>


Вариант от 22 января 2019:
Самоназвание: Ryuk Cryptor2.0 Или просто Cryptor2.0
Расширение: .RYK
Email: DejackomeAjna@protonmail.com
ElmersVictoria@tutanota.com
Записка: ReadMe.txt

Результаты анализов: VT (dropper) + VT (payload)

Вариант от 6 февраля 2019:
Пост в Твиттере >>
Расширение: .RYK
Записка: RyukReadMe.txt
Email: WaverleeVoliva1991@protonmail.com
CartagenaLorenz1994@protonmail.com
Файл проекта: %USERPROFILE%\Documents\Visual Studio 2015\Projects\ConsoleApplication54new crypted with Process Kill in another process\x64\Release\ConsoleApplication54.pdb
Файл EXE: ryuk_2_6.exe
Результаты анализов: VT + HA + VMR

Вариант от 9 февраля 2019:
Пост в Твиттере >>
Расширение: .RYK
Записка: RyukReadMe.txt
Email: HagenyAlliannah1997@protonmail.com
AlejandrezFahd1991@protonmail.com 

Результаты анализов: VT + HA + VMR


Вариант от 26 февраля 2019:
Пост в Твиттере >>
Расширение: .RYK
Email: FluscheDrey@protonmail.com
HoukNanette@protonmail.com
Записка: RyukReadMe.txt 

Результаты анализов: VT + VMR

Вариант от 10 марта 2019:
Пост в Твиттере >>
Расширение: .RYK
Email: annarummoWellington91@protonmail.com 
LakelynnMaske@protonmail.com
Записка: RyukReadMe.txt 

Результаты анализов: VT

Вариант от 13 марта 2019:
Результаты анализов: VT


Вариант от 18 марта 2019:
Пост в Твиттере >>
Расширение: отсутствует
Записка: RyukReadMe.txt 


Вариант от 14-17 апреля 2019 (возможно и раньше - 4 апреля):
Пост в Твиттере >>
Расширение: .RYK

Записка: RyukReadMe.html
Email: CilibertoGeorgiana1992@protonmail.com
DevinoCandence96@protonmail.com 
Результаты анализов: VT + VMR

Вариант от 19 апреля 2019:
Пост в Твиттере >>
Расширение: отсутствует
Записка: RyukReadMe.txt
Email: LisaHines@tutanota.com
BTC: 15FC73BdkpDMUWmxo7e7gtLRtM8gQgXyb4
Результаты анализов: VT

Вариант от 23 апреля 2019:
Пост в Твиттере >>
Расширение: .RYK
Записка: RyukReadMe.html
Email: BudinAkosita@protonmail.com 
KhiannaPolicastri@protonmail.com
Результаты анализов: VT + VMR + JSA

Вариант от 13 мая 2019:
Пост в Твиттере >>
Пост в Твиттере >>
Расширение: .RYK
Email: manwindhatti@protonmail.com, gangcouhythink@protonmail.com   
Записка: RyukReadMe.html
Результаты анализов: VT + VMR + JSA + AR

Вариант от 19 июня 2019:
Подробное описание в статье >>
Пост в Твиттере >>
Расширение: .RYK
Записка: RyukReadMe.html
Email: sorcinacin@protonmail.com, neyhyretim@protonmail.com
Результаты анализов: VT

Вариант от 25 июня 2019:
Пост в Твиттере >>
Расширение: .RYK
Записка: RyukReadMe.html
Email: CorabellaKenon@protonmail.com, PensieroAmauri95@protonmail.com
Файл: TMTZY.exe
Результаты анализов: VT

Вариант от 29 июня 2019:
Пост в Твиттере >>
Расширение: .RYK
Записка: RyukReadMe.html
Email: linehostla@protonmail.com, siuthirichba@protonmail.com

Вариант от 2 июля 2019:
Пост в Твиттере >>
Расширение: отсутствует
Записка: RyukReadMe.txt
Email: WayneEvenson@protonmail.com, WayneEvenson@tutanota.com
Результаты анализов: VT + VMR

Вариант от 8 июля 2019:
Пост в Твиттере >>
Расширение: .RYK
Записка: RyukReadMe.html
Email: langborgsearte1988@protonmail.com 
sledsivodetr1977@protonmail.com

➤ Содержание записки: 
langborgsearte1988@protonmail.com 
sledsivodetr1977@protonmail.com
Ryuk
balance of shadow universe
Результаты анализов: VT + VMR


Вариант от 17 июля 2019:
Пост в Твиттере >>
Расширение: .RYK
Записка: RyukReadMe.html
Email: vadocpuce1975@protonmail.com, futamenlooo1981@protonmail.com 
Файл: budZK.exe.txt
Результаты анализов: VT

Вариант от 27 июля 2019:
Пост в Твиттере >>
Расширение: .RYK
Записка: RyukReadMe.html
Email: raufuncchimac1977@protonmail.com, lauseancova1979@protonmail.com
Файл: v19V.exe 
Результаты анализов: VT + VMR + AR

Вариант от 22 августа 2019:
Пост в Твиттере >>
Расширение: .RYK
Результаты анализов: VT + HA

Вариант от 12 сентября 2019:
Статья на сайте BleepingComputer >>
Стилер, похититель конфиденциальной и финансовой информации, как-то связан с Ryuk Ransomware, возможно использует его код и возможности, или это одно из новых направлений деятельности вымогателей, стоящих за этим шифровальщиком.

Вариант от 5 сентября 2019:
Пост в Твиттере >>
Расширение: .RYK
Записка: RyukReadMe.html
Email: papinsdasun1982@protonmail.com, cestidemet1983@protonmail.com
Результаты анализов: VT + VMR

Вариант от 13 сентября 2019:
Пост в Твиттере >>
Расширение: .RYK
Записка: RyukReadMe.html  
Emai: racileti@protonmail.com, apmatnueta@protonmail.com
Результаты анализов: VT + VMR + HA

Вариант от 19 сентября 2019:
Пост на форуме >>
Расширение: .RYK
Записка: RyukReadMe.html  
Email: babtenanba1979@protonmail.com, conlengdeters1981@protonmail.com 
Результаты анализов: VT + VMR 

Вариант от 19 сентября 2019:
Пост в Твиттере >>
Расширение: .RYK
Email: krystyna_trapp1989@protonmail.com
keelyjankowski1992@protonmail.com

Вариант от 5 октября 2019:
Расширение: .RYK

Записка: RyukReadMe.html  
Email: crystaloveless@protonmail.com
dessiepitt1978@protonmail.com
Результаты анализов: VT + AR + IA

Вариант от 8 октября 2019:

Расширение: .RYK

Записка: RyukReadMe.html  
Email: pretmaslutua1988@protonmail.com
morgasawild1974@protonmail.com


Вариант от 11 октября 2019:
Пост в Твитере >>
Расширение: .RYK
Записка: RyukReadMe.html  
Email: dfvdv@tutanota.com, jkjbg@protonmail.com
BTC: 14dpmsn9rmdcS4dKD4GeqY2dYY6pwu4nVV
Результаты анализов: VT + HA

Вариант от 6 ноября 2019:
Пост в Твитере >>
Расширение: .RYK
Записка: RyukReadMe.html  
Email: Teara.Baker.1977@protonmail.com
Результаты анализов: VT + HA + VMR

Вариант от 13 ноября 2019:
Пост в Твитере >>
Расширение: .RYK
Записка: RyukReadMe.html  
Email: enexunon1979@protonmail.com
Результаты анализов: VT + JSB

Вариант от 20 ноября 2019:
Пост в Твитере >>
Расширение: .RYK
Записка: RyukReadMe.html  
Email: caizonatu1987@protonmail.com
Результаты анализов: VT + HA

Вариант от 22 ноября 2019:

Пост в Твитере >>
Расширение: .RYK

Записка: RyukReadMe.html  
Email: rotenakge1989@protonmail.com

Результаты анализов: VT + HA


Вариант от 4 декабря 2019:
Пост в Твитере >>
Расширение: .RYK
Записка: RyukReadMe.html  
Email: bapuverge1985@protonmail.com
Результаты анализов: VT + AR + VT
Обнаружения: 
DrWeb -> Trojan.Encoder.10700
BitDefender -> Generic.Ransom.Ryuk3.F91BE74C


Вариант от 7 декабря 2019:
Пост в Твитере >>
Расширение: .RYK
Записка: RyukReadMe.html  
Email: buricoume1976@protonmail.com
Результаты анализов: VT + HA
Обнаружения: 
DrWeb -> Trojan.PWS.Stealer.27589
BitDefender -> Trojan.GenericKD.32788543

Вариант от 8 декабря 2019:
Из статьи Emsisoft >>
Если размер целевого файла для шифрования превышает в 57 Мб, то Ryuk шифрует его частично. 

Вариант от 12 декабря 2019:
TrendMicro: RYUK Ransomware Information >>

Вариант от 15 декабря 2019:
Расширение: .RYK
Email: escirepi1974@protonmail.com

Вариант от 16 декабря 2019:
Пост в Твиттере >>
Расширение: .RYK
Email: marks_arno@protonmail.com
Результаты анализов: VT + VMR

Вариант от 22 декабря 2019:
Пост в Твиттере >>
Расширение: .RYK
Записка: RyukReadMe.html
Email: zandra_simone1995@protonmail.com

Результаты анализов: VT + HA + VMR

Вариант от 26 декабря 2019:
Статья на сайте BC >>
Ryuk теперь не шифрует папки для *NIX (Linux / Unix), видимо, из-за имеющейся в Windows 10 подсистемы для Linux (WSL). WSL позволяет устанавливать различные дистрибутивы Linux непосредственно в Windows. В этих установках используются папки с теми же именами, которые перечислены в данном списке. 
Список пропускаемых папок *NIX:
bin, boot, dev, etc, lib, initrd, sbin, sys, vmlinuz, run, var
Результаты анализов: VT + VMR + JSA

=== 2020 ===

Вариант от 11 января 2020:
Пост в Твиттере >>
Пост в Твиттере >>
Новый образец подписан сертификатом, выданным на "PET PLUS PTY LTD". 
Обновлена обфускация строк кода. 

Вариант от 12 января 2020:
Пост в Твиттере >>
Расширение: .RYK
Записка: RyukReadMe.html
Email: anfreesextuo1982@protonmail.com
Результаты анализов: VT + VMR + AR

Вариант от 18 января 2020:
Пост в Твиттере >>
Расширение: .RYK
Записка: RyukReadMe.html
Email: orfhissipmay1970@protonmail.com
Результаты анализов: VT + VMR / VT + VMR

Вариант от 31 января 2020:
Пост в Твиттере >>
Записка: RyukReadMe.html
Email: hemulnina1974@protonmail.com
Результаты анализов: VT + VMR


Вариант от 31 января 2020:
Пост в Твиттере >>
Пост в Твиттере >>
Расширение: .RYK
Записка: RyukReadMe.html
Email: maosmarchiateen1980@protonmail.com
Результаты анализов: VT + VMR + AR

Вариант от 18 февраля 2020:
Пост в Твиттере >>
Расширение: .RYK
Записка: RyukReadMe.html  
Email: reelsraserro1970@protonmail.com
Результаты анализов: VT + VMR

Вариант от 24 февраля 2020:
Пост в Твиттере >>
Расширение: .RYK
Записка: RyukReadMe.html  
Email: distwilmufor1989@protonmail.com
Результаты анализов: VT + VMR

Вариант от 25 февраля 2020:
Пост в Твиттере >>
Расширение: .RYK
Записка: RyukReadMe.html  
Email: kirsninmaino1977@protonmail.com
Результаты анализов: VT + VMR
➤ Обнаружения: 
DrWeb -> Trojan.Encoder.31093
BitDefender -> Trojan.GenericKD.42597442
Malwarebytes -> Ransom.Ryuk
Microsoft -> Ransom:Win32/Ryuk!MSR
TrendMicro -> Ransom.Win32.RYUK.HUQ

Вариант от 25 февраля 2020:
Видео-доклад на конференции >>

Группа кибер-вымогателей, распространяющая Ryuk Ransomware на сегодняшний день является самой прибыльной кибер-группой за последние 6 с лишним лет. 


Вариант от 31 марта 2020:
Пост в Твиттере >>
Расширение: .RYK
Записка: RyukReadMe.html  
Email: backnabanney1983@protonmail.com
Результаты анализов: VT + VMR

Вариант от 5 июня 2020:
Пост в Твиттере >>
Расширение: .RYK
Записка: RyukReadMe.html  
Email: tamesepo1980@protonmail.com
Результаты анализов: VT + HA + VMR

Вариант от 27 августа 2020:
Пост в Твиттере >>
Расширение: .RYK
Email: gaetwelsenba1983@protonmail.com
Результаты анализов: VT

Вариант от 3 сентября 2020:
Пост в Твиттере >>
Расширение: .RYK
Email: olgearreabo1989@protonmail.com, profhandgomo1989@protonmail.com 

Вариант от 26 сентября 2020:

Пост в Твиттере >>

Расширение: .RYK

Email: coftocounbio1977@protonmail.com

Результаты анализов: VT + IA

Вариант от 17 сентября 2020:

Пост в Твиттере >>

Расширение: .RYK

Email: nowabosag1988@protonmail.com 

pebawestsa1973@protonmail.com

Результаты анализов: VT + IA

➤ Обнаружения для этого варианта: 

DrWeb -> Trojan.Encoder.10700

ALYac -> Trojan.Ransom.Ryuk

BitDefender -> DeepScan:Generic.Ransom.Hermes.E44559D9

ESET-NOD32 -> A Variant Of Win32/Filecoder.Ryuk.D

Rising -> Ransom.Ryuk!1.B855 (CLASSIC)

Symantec -> Ransom.Ryuk

Tencent -> Win32.Trojan.Atraps.Eamv

TrendMicro -> Ransom_Ryuk.R002C0DIH20

Обновление от 14 октября 2020: 

Статья от Sophos >>

После долгого затишья Ryuk возвращается с новыми инструментами и тактикой.

Вариант 16 октября 2020: 

Пост в Твиттере >>

Расширение: .RYK

Результаты анализов: VT + HA + TG + IA + JSB

➤ Обнаружения для этого варианта:

DrWeb -> Trojan.Encoder.32849

ALYac -> Trojan.Ransom.Ryuk

BitDefender -> Trojan.GenericKD.34791330

ESET-NOD32 -> A Variant Of Win32/Filecoder.Ryuk.J

Malwarebytes -> Ransom.Ryuk

Symantec -> Trojan.Gen.2

TrendMicro -> Ransom.Win32.RYUK.WLDE

Вариант от 2 ноября 2020:

Пост в Твиттере >>

Расширение: .RYK

Email: rmenapabus1981@protonmail.com

Результаты анализов: VT + IA

Вариант от 10 ноября 2020:

Пост в Твиттере >>

https://twitter.com/siri_urz/status/1326075616421171201

Расширение: .RYK

Результаты анализов: VT + IA

Ноябрь 2020 - январь 2021:

Медицинские организации продолжают оставаться главной целью для кибератак всех видов, причем инциденты с использованием программ-вымогателей, в частности Ryuk и Conti Ransomware, являются более распространенными. Начиная с ноября 2020 значительно участились целенаправленные атаки на больницы и связанные с ними медицинские организации в секторе здравоохранения по всему миру.

Онлайн отчет >>

Статья на сайте BC >>

=== 2021 ===

Вариант от 10 января 2021:

Сообщение >>

Результаты анализов:  VT

Вариант от 16 января 2021: 

Сообщение >>

Email: naebrahedin1986@protonmail.com

Результаты анализов: VT + IA

Вариант от 17 марта 2021:

Сообщение >>

Теперь жертве нужно регистрироваться на сайте вымогателей, чтобы связаться с ними. 

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter + myTweet 
 ID Ransomware (ID as Ryuk)
 Write-up, Topic of Support
 Added later: Write-up by Vitali Kremez "Anatomy of Attack" (on November 7, 2020)

Added later:
Write-up (on August 22, 2018)
Write-up (on August 22, 2018)
Lazarus tools and Ransomware (on August 22, 2018)
Malwarebytes: Ryuk ransomware attacks (on January 8, 2019)
Ryuk Ransomware Attack (on January 9, 2019) 
Ryuk decryptor damages larger files (on December 9, 2019)
RYUK Ransomware Information (on December 12, 2019)
Suspected ties between Conti and Ryuk Ransomware Groups (on April 6, 2022)
*

Если вы заплатили выкуп и получили неработающий дешифровщик, 
который ещё может повреждать файлы во время расшифровки, напишите 
на ryukhelp@emsisoft.com в Emsisoft или обратитесь на форум по ссылке >> 

 Thanks: 
 MalwareHunterTeam, Michael Gillespie
 Andrew Ivanov (author), Emmanuel_ADC-Soft, GrujaRS
 Check Point, Emsisoft, Vitali Kremez
 

© Amigo-A (Andrew Ivanov): All blog articles.

SARansom

SARansom Ransomware

(шифровальщик-вымогатель)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES-256 (режим CBC), а затем требует выкуп в 5 BTC, чтобы вернуть файлы. Оригинальное название: SARansom. На файле написано: SARansom.exe. разработчик: Alex.

© Генеалогия: Rapid + Generic > SARansom

К зашифрованным файлам добавляется расширение: .enc


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на середину августа 2018 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: RANSOM_NOTE

Содержание записки о выкупе:
DDON'T PANIC! 
Your files have been encrypted. 
This most unpleasant situation can be solved, however. 
For the low fee of 5 bitcoin (BTC), a decrypting program will be provided. 
Bitcoin address for transfer: 
1C9KikcqP62DoQowKuotEcBN16mcaijbVw
Send evidence of transfer to: TheLarnersour@gmail.com
A decryption program will be sent once the transfer is complete and verified.

Перевод записки на русский язык:
БЕЗ ПАНИКИ!
Ваши файлы были зашифрованы.
Однако эта очень неприятная ситуация может быть решена.
За небольшую плату в 5 биткоинов (BTC) будет предоставлена программа дешифрования.
Биткоин-адрес для перевода: 
1C9KikcqP62DoQowKuotEcBN16mcaijbVw
Отправить подтверждение перевода: TheLarnersour@gmail.com
Программа дешифрования будет отправлена после завершения перевода и проверки.

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
SARansom.exe
untitled1.pdb - название проекта
RANSOM_NOTE
<random>.exe - случайное название

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: TheLarnersour@gmail.com
BTC: 1C9KikcqP62DoQowKuotEcBN16mcaijbVw 
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
Ⓗ Hybrid анализ >>
𝚺  VirusTotal анализ >>
🐞 Intezer анализ >>
Ⓥ VirusBay образец >>
ⴵ  VMRay анализ >>
ᕒ  ANY.RUN анализ >>
👽 AlienVault анализ >>
🔃 CAPE Sandbox анализ >>
⨇ MalShare анализ >>
⟲ JOE Sandbox анализ >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter + Tweet 
 ID Ransomware (ID as )
 Write-up, Topic of Support
 * 

 Thanks: 
 MalwareHunterTeam
 Andrew Ivanov
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.