SatanCryptor Go Ransomware
Variants: M0rphine, Session
(шифровальщик-вымогатель) (первоисточник)
Translation into English
Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует написать на email вымогателей, чтобы узнать, как заплатить выкуп и вернуть файлы. В ответном письме требуют предварительную сумму в $150. Общая сумма выкупа за расшифровку всех файлов: $300. Оригинальное название: SatanCryptor. Написан на языке Go. Распространитель может быть из Ирана (г. Тегеран).
Обнаружения:
DrWeb -> Trojan.Encoder.30507, Trojan.Encoder.10648
BitDefender -> Trojan.GenericKD.42212864
ESET-NOD32 -> A Variant Of Win32/Filecoder.NYZ
Malwarebytes -> Ransom.SatanCryptor
Malwarebytes -> Ransom.SatanCryptor
McAfee -> Trojan-Ransom.b
Microsoft -> Ransom:Win32/SatanCrypt!MTB
Microsoft -> Ransom:Win32/SatanCrypt!MTB
Symantec -> ML.Attribute.HighConfidence
TrendMicro -> Ransom_SatanCrypt.R002C0DA920
---
To AV vendors! Want to be on this list regularly or be higher on the list? Contact me!
AV вендорам! Хотите быть в этом списке регулярно или повыше? Сообщите мне!
© Генеалогия: Satan Cryptor 2.0 (2017) > Lucky (2018) > Lucky-Chinese (2019) >> SatanCryptor Go
К зашифрованным файлам добавляется расширение: .satan
Оригинальное имя файла модифицируется по шаблону, к которому добавляется расширение: #_THIS_FILE_IS_ENCRYPTED_[<random{16}>]-[ID-<id{32}>-[EMAIL-<email_ransom>].satan
Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом.
Активность этого крипто-вымогателя пришлась на начало января 2020 г. Дата первой загрузки на VT: 5 января 2020. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.
Записка с требованием выкупа называется: # SATAN CRYPTOR #.hta
Содержание записки о выкупе:
Attention!
Your documents, photos, databases and other important files have been encrypted cryptographically strong, without the cipher key recovery is impossible!
To decrypt your files you need to buy the special software - SATAN DECRYPTOR and your Private Decryption Key.
Using another tools could corrupt your files, in case of using third party software we dont give guarantees that full recovery is possible so use it on your own risk.
If you want to restore files, write us to the our e-mail: MREncptor@protonmail.com
Please write your Personal Identification Code in body of your message.
Also attach to email 3 encrypted files for free decryption test. (each file have to be less than 1 MB size and not have valuable content)
It is in your interest to respond as soon as possible to ensure the restoration of your files!
Your Personal Identification Code:
[****************************]
Перевод записки на русский язык:
Внимание!
Ваши документы, фотографии, базы данных и другие важные файлы зашифрованы криптографически надежно, без ключа шифрования восстановление невозможно!
Для расшифровки ваших файлов вам надо приобрести специальную программу - SATAN DECRYPTOR и ваш личный ключ расшифровки.
Использование других инструментов может повредить ваши файлы, в случае использования сторонних программ мы не даем гарантий того, что полное восстановление возможно, поэтому используйте его на свой страх и риск.
Если вы хотите восстановить файлы, напишите нам на наш emailа: MREncptor@protonmail.com
Пожалуйста, напишите свой личный идентификационный код в теле вашего сообщения.
Также приложите к email 3 зашифрованных файла для бесплатной тест-расшифровки. (каждый файл должен иметь размер менее 1 МБ и не иметь ценного содержания)
В ваших интересах ответить как можно скорее, чтобы обеспечить восстановление ваших файлов!
Ваш личный идентификационный код:
[****************************]
Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.
Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.
➤ Ответное письмо от вымогателей:
Таким образом вымогатель может быть из Ирана (г.Тегеран).
Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.
Файлы, связанные с этим Ransomware:
# SATAN CRYPTOR #.hta - название файла с требованиями выкупа
<SATAN CRYPTOR>
<SATAN DECRYPTOR>
satan0
satan1
2019-12-18.exe
<random>.exe - случайное название вредоносного файла
Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
C:\Windows\satan\
Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.
Сетевые подключения и связи:
Email: MREncptor@protonmail.com
BTC: 17pVDqRJKK8kZ7FrZhWg6F1Ydk6uWETJHi
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.
Результаты анализов:
Ⓗ Hybrid analysis >>
𝚺 VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ ANY.RUN analysis >>
ⴵ VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>
Степень распространённости: средняя.
Подробные сведения собираются регулярно. Присылайте образцы.
Satan Cryptor 2.0 Ransomware (2017)
Lucky Ransomware (2018)
Lucky-Chinese Ransomware (2019)
SatanCryptor Go Ransomware (2020)
M0rphine Ransomware (2020)
Обновление от 23 марта 2020 / 7 мая 2020:
Пост в Твиттере >>
https://twitter.com/fbgwls245/status/1258258631650275328
Расширение: .M0rphine
Шаблон зашифрованного файла: ReadMe.txt.[ID-<ID{32}>]-[EMAIL-M0rphine@cock.li].M0rphine
Пример зашифрованного файла: ReadMe.txt.[ID-E457D476F0D1CC133CDA4E8651B4F696]-[EMAIL-M0rphine@cock.li].M0rphine
Записка: # M0rphine Help #.hta
Email: M0rphine@cock.li
Файлы: satan0, satan1
Файл EXE: mor.exe
Результаты анализов: VT + TG + VMR + IA + AR
➤ Содержание записки:
Attention!
Your documents, photos, databases and other important files have been encrypted cryptographically strong, without the cipher key recovery is impossible!
To decrypt your files you need to buy the special software - M0rphine Decryptor and your Private Decryption Key.
Using another tools could corrupt your files, in case of using third party software we dont give guarantees that full recovery is possible so use it on your own risk.
If you want to restore files, write us to the our e-mail: M0rphine@cock.li
Please write your Personal Identification Code in body of your message.
Also attach to email 3 encrypted files for free decryption test. (each file have to be less than 1 MB size and not have valuable content)
It is in your interest to respond as soon as possible to ensure the restoration of your files!
Your Personal Identification Code:
5354000000019B040000C4E577427712C2080811B*** [всего 2402 знаков]
---
Обновление от 29 мая 2020:
Пост в Твиттере >>
Пост в Твиттере >>
Расширение: .session
Шаблон зашифрованного файла: [svmst@cock.li]filename.<ID{40}>.session
Пример зашифрованного файла: [svmst@cock.li]metadata.ZPE5MA0A4ISI8XTB1AYO7X0YLG8LC4PWZYC8O6NW.session
Записка: _ÈçºÎ½âÃÜÎÒµÄÎļþ_.txt
C:\Users\User\AppData\Local\Temp\tmp.txt
Email: svmst@cock.li
BTC: 3HCBsZ6QQTnSsthbmVtYE4XSZtism4j7qd
Файл EXE: svchost.exe
Результаты анализов: VT + AR + AR + IA
© Amigo-A (Andrew Ivanov): All blog articles. Contact.
TrendMicro -> Ransom_SatanCrypt.R002C0DA920
---
To AV vendors! Want to be on this list regularly or be higher on the list? Contact me!
AV вендорам! Хотите быть в этом списке регулярно или повыше? Сообщите мне!
© Генеалогия: Satan Cryptor 2.0 (2017) > Lucky (2018) > Lucky-Chinese (2019) >> SatanCryptor Go
Изображение — логотип статьи
К зашифрованным файлам добавляется расширение: .satan
Оригинальное имя файла модифицируется по шаблону, к которому добавляется расширение: #_THIS_FILE_IS_ENCRYPTED_[<random{16}>]-[ID-<id{32}>-[EMAIL-<email_ransom>].satan
Примеры зашифрованных файлов:
#_THIS_FILE_IS_ENCRYPTED_[4F9A7D35B2C38BAD]-[ID-B10003650CD4B4419CECFD4884D5E792]-[EMAIL-MREncptor@protonmail.com].satan
#_THIS_FILE_IS_ENCRYPTED_[D0F880D96CC61C4D]-[ID-B10003650CD4B4419CECFD4884D5E792]-[EMAIL-MREncptor@protonmail.com].satan
Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. Активность этого крипто-вымогателя пришлась на начало января 2020 г. Дата первой загрузки на VT: 5 января 2020. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.
Записка с требованием выкупа называется: # SATAN CRYPTOR #.hta
Содержание записки о выкупе:
Attention!
Your documents, photos, databases and other important files have been encrypted cryptographically strong, without the cipher key recovery is impossible!
To decrypt your files you need to buy the special software - SATAN DECRYPTOR and your Private Decryption Key.
Using another tools could corrupt your files, in case of using third party software we dont give guarantees that full recovery is possible so use it on your own risk.
If you want to restore files, write us to the our e-mail: MREncptor@protonmail.com
Please write your Personal Identification Code in body of your message.
Also attach to email 3 encrypted files for free decryption test. (each file have to be less than 1 MB size and not have valuable content)
It is in your interest to respond as soon as possible to ensure the restoration of your files!
Your Personal Identification Code:
[****************************]
Перевод записки на русский язык:
Внимание!
Ваши документы, фотографии, базы данных и другие важные файлы зашифрованы криптографически надежно, без ключа шифрования восстановление невозможно!
Для расшифровки ваших файлов вам надо приобрести специальную программу - SATAN DECRYPTOR и ваш личный ключ расшифровки.
Использование других инструментов может повредить ваши файлы, в случае использования сторонних программ мы не даем гарантий того, что полное восстановление возможно, поэтому используйте его на свой страх и риск.
Если вы хотите восстановить файлы, напишите нам на наш emailа: MREncptor@protonmail.com
Пожалуйста, напишите свой личный идентификационный код в теле вашего сообщения.
Также приложите к email 3 зашифрованных файла для бесплатной тест-расшифровки. (каждый файл должен иметь размер менее 1 МБ и не иметь ценного содержания)
В ваших интересах ответить как можно скорее, чтобы обеспечить восстановление ваших файлов!
Ваш личный идентификационный код:
[****************************]
Технические детали
Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.
Нужно всегда использовать Актуальную антивирусную защиту!!!Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.
➤ Ответное письмо от вымогателей:
Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.
Файлы, связанные с этим Ransomware:
# SATAN CRYPTOR #.hta - название файла с требованиями выкупа
<SATAN CRYPTOR>
<SATAN DECRYPTOR>
satan0
satan1
2019-12-18.exe
<random>.exe - случайное название вредоносного файла
Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
C:\Windows\satan\
Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.
Сетевые подключения и связи:
Email: MREncptor@protonmail.com
BTC: 17pVDqRJKK8kZ7FrZhWg6F1Ydk6uWETJHi
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.
Результаты анализов:
Ⓗ Hybrid analysis >>
𝚺 VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ ANY.RUN analysis >>
ⴵ VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>
Степень распространённости: средняя.
Подробные сведения собираются регулярно. Присылайте образцы.
=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===
Satan Cryptor 2.0 Ransomware (2017)
Lucky Ransomware (2018)
Lucky-Chinese Ransomware (2019)
SatanCryptor Go Ransomware (2020)
M0rphine Ransomware (2020)
=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===
Обновление от 23 марта 2020 / 7 мая 2020:
Пост в Твиттере >>
https://twitter.com/fbgwls245/status/1258258631650275328
Расширение: .M0rphine
Шаблон зашифрованного файла: ReadMe.txt.[ID-<ID{32}>]-[EMAIL-M0rphine@cock.li].M0rphine
Пример зашифрованного файла: ReadMe.txt.[ID-E457D476F0D1CC133CDA4E8651B4F696]-[EMAIL-M0rphine@cock.li].M0rphine
Email: M0rphine@cock.li
Файлы: satan0, satan1
Файл EXE: mor.exe
Результаты анализов: VT + TG + VMR + IA + AR
➤ Содержание записки:
Attention!
Your documents, photos, databases and other important files have been encrypted cryptographically strong, without the cipher key recovery is impossible!
To decrypt your files you need to buy the special software - M0rphine Decryptor and your Private Decryption Key.
Using another tools could corrupt your files, in case of using third party software we dont give guarantees that full recovery is possible so use it on your own risk.
If you want to restore files, write us to the our e-mail: M0rphine@cock.li
Please write your Personal Identification Code in body of your message.
Also attach to email 3 encrypted files for free decryption test. (each file have to be less than 1 MB size and not have valuable content)
It is in your interest to respond as soon as possible to ensure the restoration of your files!
Your Personal Identification Code:
5354000000019B040000C4E577427712C2080811B*** [всего 2402 знаков]
---
Обновление от 29 мая 2020:
Пост в Твиттере >>
Пост в Твиттере >>
Расширение: .session
Шаблон зашифрованного файла: [svmst@cock.li]filename.<ID{40}>.session
Пример зашифрованного файла: [svmst@cock.li]metadata.ZPE5MA0A4ISI8XTB1AYO7X0YLG8LC4PWZYC8O6NW.session
Записка: _ÈçºÎ½âÃÜÎÒµÄÎļþ_.txt
C:\Users\User\AppData\Local\Temp\tmp.txt
Email: svmst@cock.li
BTC: 3HCBsZ6QQTnSsthbmVtYE4XSZtism4j7qd
Файл EXE: svchost.exe
Результаты анализов: VT + AR + AR + IA
Обновление от 19 октября 2020:
Расширение: .satan
Пример полного расширения зашифрованного файла: #_THIS_FILE_IS_ENCRYPTED_[JB5B8C00E874FE30B]-[ID-C01239FF8D0EDDA1BD23775AA4678305]-[EMAIL-MREncptor@protonmail.com].satan
Email: MREncptor@protonmail.com
➤ Обнаружения:
DrWeb -> Trojan.Encoder.10648
ALYac -> Trojan.Ransom.Satan
BitDefender -> Generic.Ransom.SatanCrypt.18F55D1A
ESET-NOD32 -> A Variant Of Win32/Filecoder.NYZ
Malwarebytes -> Ransom.SatanCryptor
=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
Read to links: Tweet on Twitter + Tweet + myTweet ID Ransomware (ID as SatanCryptor) Write-up, Topic of Support *
Thanks: S!Ri, Michael Gillespie, f0wlsec Andrew Ivanov (author) *** to the victims who sent the samples
© Amigo-A (Andrew Ivanov): All blog articles. Contact.
