Qlocker Ransomware
QNAP 7z-locker Ransomware
(7zip-шифровальщик-вымогатель) (первоисточник)
Translation into English
Этот крипто-вымогатель делает вид, что шифрует данные на QNAP NAS устройствах пользователей, а затем требует выкуп в 0.01 BTC (~$500) за пароль, чтобы вернуть файлы. На самом деле файлы помещаются в 7z-архив с паролем, известным только вымогателям. Оригинальное название: Qlocker (написано на сайте вымогателей в сети Tor). На файле написано: нет данных.
Файлы можно восстановить, если есть желание.
---
Обнаружения:
DrWeb ->
BitDefender ->
ALYac ->
Avira (no cloud) ->
ESET-NOD32 ->
Kaspersky ->
Malwarebytes ->
Microsoft ->
Rising ->
Symantec ->
Tencent ->
TrendMicro ->
---
© Генеалогия: QNAP Ransomware + 7-Zip архиватор >> Qlocker
Обнаружения:
DrWeb ->
BitDefender ->
ALYac ->
Avira (no cloud) ->
ESET-NOD32 ->
Kaspersky ->
Malwarebytes ->
Microsoft ->
Rising ->
Symantec ->
Tencent ->
TrendMicro ->
---
© Генеалогия: QNAP Ransomware + 7-Zip архиватор >> Qlocker
Изображение — логотип статьи
Файлы заблокированы в архивах с расширениями .7z
Это обычное расширение для архиватора 7-Zip.
Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. Активность этого крипто-вымогателя пришлась на середину - вторую половину апреля 2021 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру. Среди пострадавших пользователи из США, Канады, Франции, Италии, Германии, Польши, Израиля и других стран.
Записка с требованием выкупа называется: !!!READ_ME.txt
Содержание записки о выкупе:
Перевод записки на русский язык:
!!! All your files have been encrypted !!!
All your files were encrypted using a private and unique key generated for the computer. This key is stored in our server and the only way to receive your key and decrypt your files is making a Bitcoin payment.
To purchase your key and decrypt your files, please follow these steps:
1. Dowload the Tor Browser at "https://www.torproject.org/". If you need help, please Google for "access onion page".
2. Visit the following pages with the Tor Browser:
gvka2m4qt5fod2fltkjmdk4gxh5oxemhpgmnmtjptms6fkgfzdd62tad.onion
3. Enter your Client Key:
KU1o8mGG4p8moefySdZSI85HX6*** [всего 344 знака]
Перевод записки на русский язык:
!!! Все ваши файлы зашифрованы !!!
Все ваши файлы зашифрованы с использованием приватного и уникального ключа, созданного для компьютера. Этот ключ хранится на нашем сервере, и только один способ получить ваш ключ и расшифровать файлы - это биткойн-оплата.
Чтобы приобрести ключ и расшифровать файлы, выполните следующие действия:
1. Загрузите браузер Tor с https://www.torproject.org/. Если вам нужна помощь, пожалуйста, Google для "доступа к луковой странице".
2. Посетите следующие страницы с Tor-браузером:
gvka2m4qt5fod2fltkjmdk4gxh5oxemhpgmnmtjptms6fkgfzdd62tad.onion
3. Введите свой клиентский ключ:
KU1o8mGG4p8moefySdZSI85HX6 *** [всего 344 знака]
---
Скриншоты с Tor-сайта вымогателей
Содержание текста на сайте:
Qlocker
You have to send 0.01 BTC to below address and specify the transaction ID in the field below, which will be verifyed and confirmed.
Once we receive your payment, you'll get a password to decrypt your data.
Send 0.01 BTC to this address
Transaction ID (txid)
Txid must be length 64, it looks like 21aaaf3cfefe7171b8f5835838067b0ab6947aef263a6f812bf0112e4efefe6f
Waiting for payment.
Перевод текста на русский язык:
Qlocker
Вам надо отправить 0.01 BTC на адрес ниже и указать ID транзакции в поле ниже, который будет проверен и подтвержден.
Как мы получим ваш платеж, вы получите пароль для расшифровки данных.
Отправьте 0.01 BTC на этот адрес
ID транзакции (txid)
Txid должен быть длиной 64, это как 21aaaf3cfefe7171b8f5835838067b0ab6947aef263a6f812bf0112e4efefe6f
Ожидается платеж.
Технические детали
Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.
Нужно всегда использовать Актуальную антивирусную защиту!!!Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.
Список файловых расширений, подвергающихся шифрованию:
Это могут быть популярные форматы файлов: документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.
Файлы, связанные с этим Ransomware:
!!!READ_ME.txt - название файла с требованием выкупа
<random>.exe - случайное название вредоносного файла
Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.
Мьютексы:
См. ниже результаты анализов.
Сетевые подключения и связи:
Tor-URL: hxxx://gvka2m4qt5fod2fltkjmdk4gxh5oxemhpgmnmtjptms6fkgfzdd62tad.onion
Email: -
BTC: 34vbPQLgGZwKG2FikitGU6QR7K25aB6Shh
BTC: 34vbPQLgGZwKG2FikitGU6QR7K25aB6Shh
37m57HiP5rPceopgEWF9sM58CkzaDFYtaU
3Ekwztte7oWR1odC1eKeL2Va4cpBuGXPgU
3EPBKN3bcax81U3MdKYUhMC1fzFEFGPC6E
3EvCKQ38y8ePUwM4w49XWVtAK7KhYbmeMH
3FvLioiqF2TrQgZ9zRMdd7QUfc2hTjKZfL
3FXVLv8TmcHNmnfwLfc5g7f2a32xp3XugW
3G6fbWX6At9uRzKf6kwS6R6pn5EQ8UsxKY
3GfAJxhUen3oqb4sDDnPmXyhs5mDboHbyG
3JRdPjB8U3nfDqQHzTqw9yYra49Gsd8Rar
3KmK5z4CAvn3aL4Q8F2gWbhuPRy9ZmEurN
3Kywg92E877KUWmyaeeLNSXFc5bqBvFbAm
3LLzycFNFh7mDsqRhfknfGBa6TKq6HcfwS
3Lp1NkJHYsmFRBfM3ggoWsS1PF5hXxrwrD
3PDfzkTnD1E7gB7peZ2prRyDxjQ1BhqcV1
3PunvFGpVWLX7PNAoT3bMDbPQU2QQW4kxN
3Q8WmjQyFs1EKCdu415t2P9cxY7AbqorPd
3EWRngsRDhCxMHtKxeK6k9kX3pyWZSA2YB
3Gwz3yVmrGr5AqmUrAS8H2QQaPz2v9Rhpx
3JtUAz4aKUrjcBK47ocdv52tTJkriat1nx
3NtgDQCu7xck4UEpyTf8HNSSvrMCnKZRjt
3DhE1iZ5Ui6HALVKuuYXW52ArZPVJjUgJA
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.
Результаты анализов:
🔻 Triage analysis >>
Ⓗ Hybrid analysis >>
𝚺 VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ ANY.RUN analysis >>
ⴵ VMRay analysis >>
Степень распространённости: высокая.
Подробные сведения собираются регулярно. Присылайте образцы.
=== ALTERNATIVE DECRYPTOR ===
Скриншот альтернативного дешифровщика.
Работает с паролем, полученным от вымогателей после уплаты выкупа.
=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===
=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===
Сообщение от 19 мая 2021:
Вымогатели Qlocker, заработав более 350 тысяч долларов, решили закрыть свой сайт и остановить вымогательство.
Вместо того, чтобы требовать миллионы долларов на восстановление файлов, Qlocker-вымогатели изначально оценили сумму выкупа всего в $500, что привело к тому, что многие компании заплатили выкуп за восстановление своих файлов.
Поскольку в Qlocker Ransomware использовался фиксированный набор биткойн-адресов, на которые жертвами перечислялись суммы выкупа, можно отследить, сколько биткойнов они получили в качестве выкупа.
На 22 биткойн-адреса Qlocker, известных BleepingComputer, жертвы заплатили в общей сложности 8.93258497 BTC. Сегодня это стоит 353708 долларов, но до краха биткойнов на этой неделе те же самые биткойны стоили почти 450000 долларов.
Если разделить все биткоины, полученные вымогателями по 0.01 BTC с каждого, то получится около 893 пострадавших пользователей, которые заплатили выкуп. Их могло бы быть больше, если бы Qlocker использовал другие биткойн-адреса.
=== 2022 ===
Вариант от 6 января 2022:
Записка: !!!READ_ME.txt
Tor-URL: gvka2m4qt5fod2fltkjmdk4gxh5oxemhpgmnmtjptms6fkgfzdd62tad.onion
=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
Read to links: Message + Message + Message ID Ransomware (ID as Qlocker) Write-up, Topic of Support Added later: Write-up, Write-up
Файлы можно восстановить, если есть желание.Отдельная тема на форуме >>
Thanks: Michael Gillespie, Lawrence Abrams Andrew Ivanov (article author) *** to the victims who sent the samples
© Amigo-A (Andrew Ivanov): All blog articles. Contact.
