DeroHE

DeroHE Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей компьютеров, а затем требует выкуп в 200 DERO (криптовалюта, по курсу $100), чтобы вернуть файлы. Вымогатели обещают вернуть каждому пострадавшему по $500, когда DERO сравняется в цене с долларом (они обещают, что это будет скоро). Оригинальное название: в записке не указано. 
---
Обнаружения:
DrWeb -> Trojan.Encoder.33383
BitDefender -> Trojan.GenericKD.36188060
ALYac -> Trojan.Ransom.DeroHE
Avira (no cloud) -> TR/Rogue.ghwow
ESET-NOD32 -> A Variant Of WinGo/Filecoder.DeroHE.A
Kaspersky -> HEUR:Trojan-Ransom.Win32.Crypmod.gen
Malwarebytes -> Trojan.FakeIObitLicense!1.D16F (CLASSIC)
Microsoft -> Program:Win32/Wacapew.C!ml, Trojan:Win32/Ymacco.AAB5

Qihoo-360 -> Win32/Trojan.Ransom.709
Rising -> Trojan.FakeIObitLicense!1.D16F (CLASSIC)
Symantec -> Trojan.Gen.NPE, ML.Attribute.HighConfidence, Ransom.Gen
Tencent -> Win32.Trojan.Crypmod.Eoj
TrendMicro -> Ransom.Win32.DEROHE.THAAIBA
---

© Генеалогия: ??? >> DeroHE

Изображение — логотип статьи

К зашифрованным файлам добавляется расширение: .DeroHE

Этимология названия:

DeroHE — это сокращение от The DERO Homomorphic Encryption. 

Не буду описывать, что это такое. Вот безопасные ссылки для чтения:

hxxs://twitter.com/DeroProject

hxxxs://testnetexplorer.dero.io/

hxxs://github.com/deroproject/derohe

hxxxs://github.com/deroproject/derohe/blob/main/Readme.md

hxxxs://medium.com/deroproject/testnet-release-dhebp-fc3edfbe0046

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на 16 января 2021 года. Ориентирован на англоязычных пользователей, может распространяться по всему миру. Согласно первым сообщениям пострадавших, были атакованы участники форума forums.iobit.com. Кто-то опубликовал ссылку на вредоносный файл, распространяемый как промоакция на 1 год. 

 

Записка с требованием выкупа называется: READ_TO_DECRYPT.html 

Содержание записки о выкупе: 

Hello, your files have been encrypted!.

It is impossible to decrypt data without known key.

DON'T try to change files by yourself, DON'T use any third party software for restoring your data or antivirus solutions - these actions may entail damage of the private key and, as result, the loss of all your data. 

We know that this computer is very valuable for you. 

So we will give you an appropriate price for you. 

You have 3 ways to get your files back. 

1. Tell iobit.com to send us 100000 (1 hundred thousand) DERO coin to this address.

dERopYDgpD235oSUfRSTCXL53TRakECSGQVQ2hhUjuCEjC6zSNFZsRqavWSdyEzaViULtCRPxzRwRCKZ2j2ugCg26hRtLziwu

After payment arrive, all encrypted computer (including yours) will be decrypted. THIS IS IOBIT's FAULT for your computer got hacked. 

2. Pay us 200 DERO (worth $100 at the moment)... BUT

When DERO reach $100/coin (soon), we will send $500 back to you. That's 5x for your investment. We will not sell DERO until then. You can verify it by using WALLET VIEW KEY provided on our website. No one can fake this, even us, thank to the decentralized nature of DERO Blockchain.

Hurry up while DERO is still cheap!

Send your payment to this address:

dERiqiUutvp35oSUfRSTCXL53TRakECSGQVQ2hhUjuCEjC6zSNFZsRqavWSdyEzaViULtCRPxzRwR

Download Tor Browser and open your personal page for more information

3. Don't have $100 to invest?

We have some free, easy task for you to do (online social network activity). Once your works meet our requirements you will get your files back for free. Please visit our website for more information.

FAQ:

Do you accept bitcoin, monero or others crypto currencies?

No. We want DERO only. Because we believe DERO is true and the best privacy coin. It's fast and secure. You don't need to wait hours to send your payment, only seconds. Soon DERO dev team will release Private Smart Contract powered by Homomorphic Encryption. To learn more about DERO, visit twitter.com/deroproject

Where I can buy DERO?

You can buy your Dero at: tradeogre.com or kucoin.com at the moment.

Do I have to enter payment id?

No. Your provided address is already included payment id to it (integrated address).

Can I make multiple payment?

Yes. You can send multiple payment. Your balance will be added up. When your balance >= required balance, you will get your decryption key. It RECOMMEND that you send a test payment with small amount first to make sure everything work perfectly.

How do I get decryption tool?

Download Tor Browser and open our website, paste your unique payment address and click check button

DERO IS THE NEXT BITCOIN

Перевод записки на русский язык: 

Привет, ваши файлы зашифрованы!.

Без известного ключа невозможно расшифровать данные.

НЕ ПЫТАЙТЕСЬ изменять файлы сами, НЕ используйте какие-то сторонние программы для восстановления ваших данных или антивирусные решения - эти действия могут повлечь за собой повреждение закрытого ключа и, как следствие, потерю всех ваших данных.

Мы знаем, что этот компьютер очень ценен для вас.

Поэтому мы предложим вам подходящую для вас цену.

У вас есть 3 способа вернуть свои файлы.

1. Скажите iobit.com, чтобы он отправил нам 100000 (1 сотню тысяч) монет DERO на этот адрес.

dERopYDgpD235oSUfRSTCXL53TRakECSGQVQ2hhUjuCEjC6zSNFZsRqavWSdyEzaViULtCRPxzRwRCKZ2j2ugCg26hRtLziwu

После поступления оплаты все зашифрованные компьютеры (в том числе и ваш) будут расшифрованы. ИЗ-ЗА ОШИБКИ IOBIT ваш компьютер был взломан.

2. Заплатите нам 200 DERO (на данный момент это 100 долларов) ... НО

Когда DERO достигнет 100 долларов за монету (скоро), мы отправим вам $500. Это в 5 раз больше ваших инвестиций. До тех пор мы не будем продавать DERO. Вы можете проверить это с помощью WALLET VIEW KEY, представленного на нашем сайте. Никто не может это подделать, даже мы, благодаря децентрализованной природе

блокчейна DERO.

Торопитесь, пока DERO ещё дёшево!

Отправьте платёж на этот адрес:

dERiqiUutvp35oSUfRSTCXL53TRakECSGQVQ2hhUjuCEjC6zSNFZsRqavWSdyEzaViULtCRPxzRwR

Загрузите Tor-браузер и откройте свою личную страницу для получения дополнительной информации

3. Нет $100 для инвестирования?

У нас есть для вас бесплатная и простая задача (активность в социальных сетях). Как только ваши работы будут соответствовать нашим требованиям, вы получите свои файлы бесплатно. Пожалуйста, посетите наш веб-сайт для получения дополнительной информации.

FAQ:

Вы принимаете биткойны, монеро или другие криптовалюты?

Нет. Нам нужен только DERO. Потому что мы считаем, что DERO - это правда и лучшая приватная монета. Это быстро и безопасно. Вам не нужно ждать часами, чтобы отправить платеж, только секунды. Вскоре команда разработчиков DERO выпустит частный смарт-контракт на основе гомоморфного шифрования. Чтобы узнать больше о DERO, посетите twitter.com/deroproject

Где я могу купить Деро?

В настоящий момент вы можете купить Dero на сайте tradeogre.com или kucoin.com.

Обязательно ли вводить id платежа?

Нет. Ваш предоставленный адрес уже включен в платежный id (интегрированный адрес).

Могу ли я произвести мульти-платеж?

Да. Вы можете отправить несколько платежей. Ваш баланс будет добавлен. Когда ваш баланс > = нужного баланса, вы получите ключ дешифрования. РЕКОМЕНДУЕТСЯ сначала отправить тестовый платеж на небольшую сумму, чтобы убедиться, что все работает правильно.

Как мне получить инструмент дешифрования?

Загрузите Tor-браузер и откройте наш веб-сайт, вставьте свой уникальный платежный адрес и нажмите кнопку проверки.

DERO - следующий биткойн

Сайт вымогателей в сети Tor. 

Ещё недавно Dero Wallet был в "Приложениях в Google Play", но на момент написания статьи его страница удалена. Это могло быть связано с вредоносным содержимым или мошенничеством. 

Технические детали

Для распространения был взломан форум IObit, после чего была создана тема о фальшивой промоакции. Кроме того участники форума и подписчики рассылок получили email-рассылку о проведении акции "FREE 1 YEAR LICENSE" на продукты IObit.

Кто скачал и по неосторожности запустил вредоносное содержимое, тот стал жертвой шифровальщика DeroHE Ransomware. 

Пока форум оставался взломанным, злоумышленники внедрили вредоносный скрипт во все страницы форума. Этот скрипт уже применялся ранее и известен с октября 2020 (VT-ссылка), когда он тоже находился на форуме IObit. 

На момент написания и обновления статьи форум всё ещё остаётся скомпрометированным, посещённые ранее страницы возвращают код ошибки 404, а диалоговые окна в браузере предлагают подписаться на уведомления. Нельзя этого делать! После подписки браузер начнёт получать уведомления, рекламирующие сайты для взрослых, вредоносное ПО и другой нежелательный контент. 

Вышесказанное говорит о том, что эта акция была заранее подготовлена и спланирована против IObit. 

👉 Пользователям продуктов IObit необходимо временно игнорировать все возможные email, уведомления и не загружать никаких обновлений уже установленых продуктов ни в ручном, ни в автоматическом режимах. 

В иных случаях может начать распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, других обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

➤ Для своего запуска вредоносная программа добавляет исключения для Windows Deefender, чтобы он не заблокировал запуск: 

@WMIC /Namespace:\\root\Microsoft\Windows\Defender class MSFT_MpPreference call Add ExclusionPath=\"

@WMIC /Namespace:\\root\Microsoft\Windows\Defender class MSFT_MpPreference call Add ExclusionPath=\"\Temp\\"

@WMIC /Namespace:\\root\Microsoft\Windows\Defender class MSFT_MpPreference call Add ExclusionExtension=\".dll\"

@WMIC /Namespace:\\root\Microsoft\Windows\Defender class MSFT_MpPreference call Add ExclusionProcess=\"rundll32.exe\"

Затем показывается следующее диалоговое окно, якобы от "IObit License Manager", с просьбой подождать, не закрывать окно и не выключать компьютер. За время ожидания шифровальщик шифрует файлы. 

В конец каждого зашифрованного файла добавлется следующая строка с информацией. Шифровальщик будет использовать это для расшифровки файлов после уплаты выкупа.

После этой строки добавляется еще фраза DERO IS THE NEXT BIT COIN, продвигающая криптовалюты DERO. 

DERO – экспериментальный блокчейн-проект, написанный на Golang. 

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
free-iobit-license-promo.zip - архив с вредоносным содержимым; 

READ_TO_DECRYPT.html - название файла с требованием выкупа; 

FILES-ENCRYPTED.html - список зашифрованных файлов; 

IObitUnlocker.exe - название вредоносного файла; 

IObitUnlocker.sys - название вредоносного файла, которым злоумышленники подменили оригинальный файл.  

 

 

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:

Ссылки на картинке (теперь нет опасности): 

Tor-URL: hxxx://deropayysnkrl5xu7ic5fdprz5ixgdwy6ikxe2g3mh2erikudscrkpqd.onion

DERO:  dERopYDgpD235oSUfRSTCXL53TRakECSGQVQ2hhUjuCEjC6zSNFZsRqavVVSdyEzaViULtCRPxzRwRCKZ2j2ugCg26hRtLziwu 
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
🔻 Triage analysis >>
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>  VT> VT> VT> VT> + VT (script)>
🐞 Intezer analysis >>  IA>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 myMessage + Message + Message
 ID Ransomware (ID as DeroHE)
 Write-up, Topic of Support, Write-up
 * 

 Thanks: 
 Tomas Meskauskas (PCrisk.com), Lawrence Abrams
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

Epsilon

Epsilon Ransomware

Aliases: EpsilonCrypt, Crimson

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES, затем ещё и с алгоритмом RC4, а затем требует написать на email, чтобы узнать как заплатить выкуп и вернуть файлы. Оригинальное название: Epsilon Ransomware и Epsilon encryptor. На файле написано: B221.exe, G-654 или что-то еще. 
---
Обнаружения:
DrWeb -> Trojan.EncoderNET.HiddenTear.1
BitDefender -> Generic.Ransom.Small.E850116C
Avira (no cloud) -> HEUR/AGEN.1129970
ESET-NOD32 -> A Variant Of MSIL/Filecoder.AK
Malwarebytes -> Ransom.Crimson
Microsoft -> Trojan:Win32/Ymacco.AA44 
Symantec -> Ransom.HiddenTear!g1
TrendMicro -> TROJ_GEN.R002C0OAF21

---

© Генеалогия: BooM ⇒ EpsilonCrypt (на основе HiddenTear)

Знак "⇒" означает переход на другую разработку. См. Генеалогия. 

Изображение — логотип статьи

К зашифрованным файлам добавляется составное расширение: .[neftet@tutanota.com].boom

Сриншот, на котором видна записка и зашифрованные файлы

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на начало января 2021 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

Записка с требованием выкупа называется: READ_ME.hta

Скриншот записки, открытой без использования Sandbox (уменьшенный шрифт)

Скриншот записки, открытой в Sandbox (1-я часть)

Скриншот записки, открытой в Sandbox (2-я часть)

Содержание записки о выкупе: 

E P S I L O N

Ransomware 

As you can see, all your files got encrypted. Thats why your files are no longer readable.

If you want them back, please contact us at our email below.

You can send us a couple of files and we will return the restored ones to prove that only we can do it.

EpsilonCrypt@tutanota.com

You can get more information about encryption on Wikipedia. (RSA, AES, RC4)

--------------------------------------------------------------------------------

Please, provide your id below in the subject of your mail.

ID-QE54S-FEQ6E-Q654F-654TY-3215G-TZ320-XXXXX-XXXXX-XXXXX

If you have already submited your payement, you will receive your private key and another decryption key with the special decryption software

--------------------------------------------------------------------------------

More informations:

1. The infection was due to vulnerabilities in your software.

2. Our goal is to return your data, but if you don't contact us, we will not succeed.

IMPORTANT:

1. If you want to make sure that it is impossible to recover files using third-party software, do this not on all files, otherwise you may lose all data.

2. Only communication through our email can guarantee file recover for you. We are not responsible for the actions of third parties who promise to help you - most often they are scammers.

3. Please, do not try to rename encrypted files.

---

Красным цветом выделены слова с ошибками. 

Перевод записки на русский язык: 

E P S I L O N

Ransomware

Как видите, все ваши файлы зашифрованы. Поэтому ваши файлы не читаются.

Если вы хотите их вернуть, свяжитесь с нами по email ниже.

Вы можете прислать нам пару файлов и мы вернем восстановленные, чтобы доказать, что только мы можем это сделать.

EpsilonCrypt@tutanota.com

Вы можете получить больше информации о шифровании в Википедии. (RSA, AES, RC4)

-------------------------------------------------- ------------------------------

Пожалуйста, укажите свой id ниже в теме письма.

ID-QE54S-FEQ6E-Q654F-654TY-3215G-TZ320-XXXXX-XXXXX-XXXXX

Если вы уже заплатили, вы получите свой закрытый ключ и еще один ключ дешифрования с помощью специальной программы для дешифрования.

-------------------------------------------------- ------------------------------

Дополнительная информация:

1. Заражение произошло из-за уязвимостей в вашем ПО.

2. Наша цель - вернуть ваши данные, но если вы не напишите нам, у нас ничего не получится.

ВАЖНО:

1. Если вы хотите убедиться, что невозможно восстановить файлы с помощью сторонних программ, делайте это не для всех файлов, иначе вы можете потерять все данные.

2. Только общение по email может гарантировать вам восстановление файла. Мы не несем ответственности за действия третьих лиц, которые обещают вам помочь - чаще всего это мошенники.

3. Пожалуйста, не переименовывайте зашифрованные файлы.

Другим информатором жертвы выступает изображение, заменяющее обои рабочего стола. Красный текст на тёмном фоне указывает на файл основной записки READ_ME.hta. 

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


➤ UAC не обходит, требуется рарешение на запуск. 

➤ ID жертвы жестко запрограммирован в записке о выкупе, которая загружается из Discord CDN. 

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
READ_ME.hta - название файла с требованием выкупа
65QEF.bmp - файл изображения, заменяющий обои рабочего стола

B221.pdb - название оригинального проекта

B221.exe - название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

E:\@56\B221\B221\B221\obj\Debug\B221.pdb

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
URL-адрес для загрузки записки: hxxxs://cdn.discordapp.com/attachments/599226424695455755/798932401216552974/B221.pdb

Email: EpsilonCrypt@tutanota.com
BTC: - 
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
🔻 Triage analysis >>
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >> VT> VT> VT>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>  AR> AR> AR>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

BooM Ransomware - январь 2019

Epsilon Ransomware - январь 2021

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + myMessage + Message + Message
 ID Ransomware (ID as Epsilon, Crimson)
 Write-up, Topic of Support
 * 

 Thanks: 
 GrujaRS, Petrovic
 Andrew Ivanov (article author)
 Michael Gillespie
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

Cring, Crypt3r

Cring Hand-Ransomware

Crypt3r Ransomware

Variants: CRING, RSA, Vjiszy1lo, Ghost, Phantom, VnBeHa99y, Pay4it

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные бизнес-пользователей и серверов с помощью AES-256 + RSA-8192, а затем требует выкуп в ~2 BTC, чтобы вернуть файлы. Оригинальное название проекта: cring.pdb. На файле написано: cring.exe и Crypt3r. 
---
Обнаружения:
DrWeb -> Trojan.MulDrop15.64785
BitDefender -> Gen:Variant.Bulz.259226
Avira (no cloud) -> TR/Ransom.knziq
ESET-NOD32 -> MSIL/Filecoder.AEJ
Kaspersky -> HEUR:Trojan-Ransom.MSIL.Agent.gen
Malwarebytes -> Ransom.Cring
Microsoft -> Ransom:MSIL/Filecoder.EL!MTB

Qihoo-360 -> Generic/Trojan.4ac
Rising -> Ransom.Filecoder!8.55A8 (TFE:C:c*
Symantec -> ML.Attribute.HighConfidence
Tencent -> Msil.Trojan.Agent.Taex
TrendMicro -> Ransom_Filecoder.R002C0DLM20
---

© Генеалогия: ??? >> Cring (Crypt3r)

Изображение — логотип статьи

К зашифрованным файлам добавляется расширение: .cring
 

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 

Активность этого крипто-вымогателя пришлась начало декабря 2020 - середину января 2021 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру. Сообщается, что жертвами этих атак являются промышленные предприятия некторых стран Европы. 

Записка с требованием выкупа называется: deReadMe!!!.txt

Содержание записки о выкупе:
Sorry, your network is encrypted, and most files are encrypted using special technology. The file cannot be recovered by any security company. If you do not believe that you can even consult a security company, your answer will be that you need to pay the corresponding fees, but we have a good reputation. After receiving the corresponding fee, we will immediately send the decryption program and KEY. You can contact us to get two file decryption services, and then you will get all decryption services after paying our fee, usually the cost is about 2 bitcoins.    Contact: eternalnightmare@tutanota.com     qkhooks0708@protonmail.com

Перевод записки на русский язык:
Извините, ваша сеть зашифрована, а большинство файлов зашифрованы, по специальной технологии. Ни одна компания по безопасности не сможет восстановить файл. Если вы не верите, что можете проконсультироваться в компании по безопасности, ваш ответ будет в том, что вам нужно заплатить соответствующий взнос, но у нас хорошая репутация. После получения соответствующего взноса мы сразу же вышлем программу расшифровки и КЛЮЧ. Вы можете написать нам, чтобы получить 
расшифровку двух файлов, и тогда после оплаты нашей комиссии вы получите все услуги по расшифровке, обычно стоимость около 2 биткойнов. Контакт: eternalnightmare@tutanota.com qkhooks0708@protonmail.com

Технические детали

Для распространения используется язвимость в серверах Fortigate VPN. Подробнее смотрите в отчёте специалистов Kaspersky. С помощью устройства Fortinet VPN операторы Cring перемещаются по корпоративной целевой сети, похищая учетные данные пользователей Windows с помощью инструмента Mimikatz, чтобы получить доступ к аккаунта администратора домена. Затем "полезные нагрузки" этого Ransomware доставляются на устройства жертв с помощью фреймворка Cobalt Strike, развернутого с помощью вредоносного сценария PowerShell.

Может также распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список файловых расширений, подвергающихся шифрованию:
Согласно информации от пострадавших от 7 декабря 2020, ранняя версия шифровала только файлы DOC и TXT. 

Январская версия шифровала документы MS Office, а также файлы: .csv, .db, .dwg, .mdb, .pdf, .rar, .txt, .xml, .zip,

После доработки среди зашифрованных оказались: все документы MS Office, PDF, текстовые файлы, файлы образов, архивы и пр.

Доработанная версия вредоноса удаляла файлы резервных копий с расширениями: .VHD, .bac, .bak, .wbcat, .bkf, .set, .win, .dsk. Кроме того удалялись файлы и папки, расположенные в корневой папке диска, если их имена включали "Backup" или "backup". Эти команды выполнялись файлом kill.bat, который потом тоже удалялся.  

➤ В атаке используется PowerShell и CobaltStrike (VT + VT + IA). Как известно, CobaltStrike — это дорогой коммерческий фреймворк для эксплуатации и постэксплуатации ($3500 на 1 год на 1 пользователя), но на GitHub есть репозиторий, который содержит исходные коды CobaltStrike, потому он может использоваться небольшой группой вымогателей без покупки. 

Файлы, связанные с этим Ransomware:
deReadMe!!!.txt - название файла с требованием выкупа;

kill.bat - специальный файл с командами для остановки некоторых процессов и очищения бекапов на всех дисках:

@echo off net stop BMR Boot Service /y net stop NetBackup BMR MTFTP Service /y sc config SQLTELEMETRY start= disabled sc config SQLTELEMETRY$ECWDB2 start= disabled sc config SQLWriter start= disabled sc config SstpSvc start= disabled taskkill /IM mspub.exe /F taskkill /IM mydesktopqos.exe /F taskkill /IM mydesktopservice.exe /F del /s /f /q d:\*.VHD d:\*.bac d:\*.bak d:\*.wbcat d:\*.bkf d:\Backup*.* d:\backup*.* d:\*.set d:\*.win d:\*.dsk del /s /f /q e:\*.VHD e:\*.bac e:\*.bak e:\*.wbcat e:\*.bkf e:\Backup*.* e:\backup*.* e:\*.set e:\*.win e:\*.dsk del /s /f /q f:\*.VHD f:\*.bac f:\*.bak f:\*.wbcat f:\*.bkf f:\Backup*.* f:\backup*.* f:\*.set f:\*.win f:\*.dsk del /s /f /q g:\*.VHD g:\*.bac g:\*.bak g:\*.wbcat g:\*.bkf g:\Backup*.* g:\backup*.* g:\*.set g:\*.win g:\*.dsk del /s /f /q h:\*.VHD h:\*.bac h:\*.bak h:\*.wbcat h:\*.bkf h:\Backup*.* h:\backup*.* h:\*.set h:\*.win h:\*.dsk del %0 

cring.pdb - оригинальное название файла проекта; 
cring.exe - название вредоносного файла.

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

C:\Users\FuckCrowStrike\Desktop\NewCring\Crypt3r\obj\Release\cring.pdb

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: eternalnightmare@tutanota.com, qkhooks0708@protonmail.com

BTC: - 
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
🔻 Triage analysis >>
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Вариант от 26 января 2021:

Сообщение >>

Впервые видим программу, использующую алгоритм RSA-8192.

Расширение: .RSA

Записка: !!!!deReadMe!!!.txt

Email: poolhackers@tutanota.com, eternalnightmare@tutanota.com 

➤ Содержание записки: 

Sorry, your network is encrypted, and encryption is achieved through rsa, which means that the decryption service can only be provided by us. You cannot decrypt data through a security company. They will only contact us to pay the fee. We recommend that you pay 2 bitcoins directly to us , Or send two files to confirm whether we can decrypt, you need to deal with it as soon as possible, because the key file necessary for decryption will not be kept.    Contact:   poolhackers@tutanota.com    eternalnightmare@tutanota.com 

Обновление от 26 января 2021:

Сообщение >>

Образцы: 

38217fa569df8f93434959c1c798b29d

8d156725c6ce172b59a8d3c92434c352

8d1650e5e02cd1934d21ce57f6f1af34

d8415a528df5eefcb3ed6f1a79746f40

Вариант от 1 марта 2021:

Точное родство не установлено, может быть вариантом Crypt3r Ransomware или Parasite Ransomware. 

Топик на форуме >>

Расширение-1: .vjiszy1lo

Расширение-2: .vjiszy1lo.1lo_decryptkey.vjiszy1lo

Расширение с повтором: .vjiszy1lo.1lo_decryptkey.vjiszy1lo.1lo_decryptkey.vjiszy1lo 

И далее, добавляя дальше то же самое. 

Записка: HOW_CAN_GET_FILES_BACK.txt

Email: shadowghosts@tutanota.com, fortihooks@protonmail.com

➤ Содержание записки: 

==================================================

YOUR ID : {2e8d8b9a-affa-4b20-ad9d-25302f64cb55}

++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++

OOPS! YOUR IMPORTANT F1LES HAS BEEN ENC:(RYPTED !!!

DO NOT WORRY! FILES ARE SAFE! JUST MODIFIED ONLY. (RSA + AES)

++++++++++++++++++++++++++++++++++++++++++++++++++

ANY ATTEMPT TO RESTORE YOUR FILES WITH THIRD-PARTY

SOFTWARE WILL PERMENANTLY DESTORY YOUR FILE !!!

NO SOFTWARE AVALIABLE ON INTERNET CAN HELP YOU!

ONLY WE HAVE SOLUTION TO YOUR PROBLEM.

WE ONLY SEEK MONEY AND DO NOT WANT TO DAMAGE YOUR REPUTATION.

----------------------------------------------------------------

YOU NEED TO PAY 2.0 BITCOINS TO OUT ACCOUNT, AFTER THE PAYMENT

IS CONFIRMED, WE WILL IMMEDIATELY DELETE ALL OF YOUR FILES ON

OUR SERVER AND SEND THE DECRYPTION PROGRAM AND PRIVATE KEY TO YOU.

IF YOU DECIDE TO NOT PAY OR THERE IS NO PAYMENT WITHIN 7-DAYS,

WE WILL DELETE THE DECRYPTION KEY FROM OUT DATABASE, AND SOME 

OF YOUR IMPORTANT DATA WILL BE RELEASE TO PUBLIC OR RE-SELL!

DO NOT KNOW HOW TO BUY BITCOIN ? JUST GOOGLE IT:)

----------------------------------------------------------------

CONTACT US FOR PAYMENT CONFIRMTION AND GET DECRYPTION SOFTWARE :

shadowghosts@tutanota.com

fortihooks@protonmail.com (IF NO ANSWER WITHIN 24-HOURS)

==================================================

---

Файл: SchoolPrject1.exe

Результаты анализов: VT + IA

➤ Обнаружения: 

DrWeb -> Trojan.EncoderNET.31371

ALYac -> Trojan.Ransom.Filecoder

Avira (no cloud) -> TR/Ransom.vbfqb

BitDefender -> Generic.Ransom.HydraCrypt.9A3E2D9A

ESET-NOD32 -> A Variant Of MSIL/Filecoder.AFI

Kingsoft -> Win32.Troj.Undef.(kcloud)

Malwarebytes -> Ransom.KillFiles

Rising -> Ransom.CryptoLocker!8.4617 (CLOUD)

Symantec -> ML.Attribute.HighConfidence

Tencent -> Msil.Trojan.Encoder.Anql

TrendMicro -> Ransom_RAMSIL.SM

Вариант от 14 марта 2021:

Точное родство не установлено, может быть вариантом Crypt3r Ransomware или Parasite Ransomware. 

Расширение: .jpghosts

Записки: HOW_CAN_GET_FILES_BACK.rtf, HOW_CAN_GET_FILES_BACK.txt

Файл: Ghost.exe

Результаты анализов: VT + VT

➤ Обнаружения: 

DrWeb -> Trojan.Encoder.33817, Trojan.Encoder.33818

BitDefender -> Trojan.GenericKD.45914521, Trojan.GenericKD.45940669

ESET-NOD32 -> MSIL/Filecoder.AGT

Malwarebytes -> Ransom.Parasite

Microsoft -> TrojanDownloader:O97M/Obfuse.TB!MTB

Rising -> Ransom.Agentb!8.1139A (CLOUD)

Symantec -> Trojan Horse

Tencent -> Msil.Trojan.Agentb.Lned

TrendMicro -> Ransom.Win32.GHOST.ZTIC

Вариант от 17 марта 2021: 

Точное родство не установлено, может быть вариантом Crypt3r Ransomware или Parasite Ransomware. 

Сообщение >>

Сообщение >>

Используется шифрование: AES-256 + RSA-8192

Кроме того используется название: Ghost. 

В IDR записан как Crypt3r / Ghost

Расширение: .phantom

Записка: HOW_CAN_GET_FILES_BACK.txt

Email: rsaecho@tutanota.com, shadowghosts@tutanota.com

Вариант от 30 марта 2021:

Пост на форуме >>

Расширение: .VnBeHa99y

В оригинальных файлах стерто содержимое.  

Записка: HOW_TO_GET_FILES_BACK.txt

Email: securityaccounts@tutanota.com, brendasrivera@tutanota.com

Вариант от 11 апреля 2021:

Топик на форуме >>

Расширение: .pay4it

Вариант от 28 апреля 2021: 

Сообщение >>

Расширение: .lldc

Записки: LOOK_THIS_BACK_FILE.rtf, LOOK_THIS_BACK_FILE.txt 

Email: takunoya@tutanota.com, etira@tutanota.com

➤ Содержание записки: 

Guide: 3a449598-1ac0-46aa-8fb8-673c88c92***

Don't worry, your files can be recovered!

You can seek support from security vendors, but they will definitely contact us because (AES + RSA) cannot be recovered by other means

You need to send us your ID so that we can confirm the recovery process

Your important documents have been specially processed

We only need money and will not expose or damage your reputation

____________________________________________________________________

You need to pay $50,000

After confirming the receipt, we will send you the recovery procedure and private key.

If you do not reply within three days, the decryption fee will increase by 0.5btc per day

If there is no contact for more than 7 days, we will publish all the data obtained from your network on the dark web, and there will usually be suitable buyers!

After paying the fee, we will notify you of serious vulnerabilities in the system!

We will also delete the data stored on our servers!

Please contact us after careful consideration

Guide: 3a449598-1ac0-46aa-8fb8-673c88c92***

takunoya@tutanota.com  

etira@tutanota.com

 

Вариант от 2 июня 2021: 

Результата идентификации >>

Расширение: .locked

HOW_CAN_RECOVERY.txt

Email: JulioErick@tutanota.com, payorleak@cock.li

Вариант от 5 сентября 2021:

Сообщение >>

Расширение: .sg-ghosts

Результаты анализов: VT

Вариант от 9 октября 2021: 

Сообщение >>

Расширение: .just4money

Записка: HOW_CAN_RECOVERY.txt

Email: Just4money@TUTANOTA.COM, payorleak@cock.li

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 myMessage + Message + Message
 ID Ransomware (ID as Crypt3r, new: Crypt3r/Ghost/Cring)
 Write-up, Topic of Support
 * 

 Thanks: 
 Andrew Ivanov (article author)
 quietman7, Karsten Hahn, Michael Gillespie
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.