Motocos

Motocos Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES+RSA, а затем, чтобы вернуть файлы, требует выкуп, который увеличивается через каждые 6 часов на в 0.025 BTC (0.1 в сутки).  Оригинальное название: Motocos, указано в записке. На файле написано: taskhos.exe.

---
Обнаружения:
DrWeb -> Trojan.Encoder.33982
ALYac -> Trojan.Ransom.Filecoder
Avira (no cloud) -> DR/Delphi.Gen7
BitDefender -> Trojan.GenericKD.36977710
ESET-NOD32 ->  ***
Kaspersky -> HEUR:Trojan.Win32.Agentb.gen
Malwarebytes -> Ransom.FileCryptor
Microsoft -> Ransom:Win32/Filecoder!ml
Rising -> Ransom.Destructor!1.B060 (CLOUD)
Symantec -> ML.Attribute.HighConfidence
Tencent -> ***
TrendMicro -> Trojan.Win32.MOTOCOS.A
---

© Генеалогия: ??? >> Motocos

Изображение — логотип статьи

К зашифрованным файлам добавляется расширение: .mo2

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя была в конце мая 2021 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

Записка с требованием выкупа называется: 
Readme.txt, 

Motocos_Readme.txt, 

Ransomware_Readme.txt 

Содержание записки о выкупе:

Not your language? Use https://translate.google.com

--------------------------------------------------------------

What happens to your files?

It's clear, your files encrypted with [RSA-2048] algorithm and the decryption key is safe with us.

Don't worry, you can get all your data back.

- To decrypt your files send this readme file to (@Motocos_bot) bot in Telegram messenger and follow the instructions, (https://telegram.org)

*** Don't waste your time and money on forensics or recovery techniques to restore files, it definitely makes your files unrecoverable :(

*** To ensure you'll get a working decrypter, you can decrypt 2 files for free using the bot.

*** Remember, the entire process from payment to decryption will be handle by a stupid automated bot, so don't beg on it!

*** From now [05-27-2021] you have exactly 5 days to contact our bot to pay the requested money.

There's a pressure about time on you! An extra 0.025 BTC will be add to

the price every 6 hours (0.1 a day), which calculated by the bot as well.

After 5 days, the bot stops responding to you, but you can still pay negotiation price to make a deal.

*** The bot needs below information to decrypt your files, so don't remove or modify any part of this file ***

-----BEGIN PUBLIC KEY-----

MIIBIjANBgkqhkiG9wOBAQEFAAOCAQ8AMIIBCgKCAQEAnbsRBXMv7IHWJXdHv3F***

.....END PUBLIC KEY-----

Перевод записки на русский язык:

Не твой язык? Используй https://translate.google.com

-------------------------------------------------- ------------

Что случилось с вашими файлами?

Понятно, что ваши файлы зашифрованы с алгоритмом [RSA-2048] и ключ дешифрования находится у нас.

Не волнуйтесь, вы можете вернуть все свои данные.

- Чтобы расшифровать ваши файлы, отправьте этот файл readme боту (@Motocos_bot) в мессенджере Telegram и следуйте инструкциям (https://telegram.org)

*** Не тратьте свое время и деньги на форензику или способы восстановления файлов, это точно сделает ваши файлы невосстановимыми :(

*** Чтобы получить работающий дешифратор, вы можете бесплатно расшифровать 2 файла с помощью бота.

*** Помните, что весь процесс от оплаты до расшифровки будет обрабатываться тупым автоматическим ботом, так что не просите его!

*** С этого момента [05-27-2021] у вас есть ровно 5 дней, чтобы связаться с нашим ботом и выплатить запрошенные деньги.

Время давит на тебя! Дополнительные 0.025 BTC будут добавлены к

цена каждые 6 часов (0.1 в день), которая также рассчитывается ботом.

Через 5 дней бот перестанет вам отвечать, но вы все равно можете заплатить договорную цену, чтобы заключить сделку.

*** Боту требуется указанная ниже информация для расшифровки ваших файлов, поэтому не удаляйте и не изменяйте никакую часть этого файла ***

-----BEGIN PUBLIC KEY-----

MIIBIjANBgkqhkiG9wOBAQEFAAOCAQ8AMIIBCgKCAQEAnbsRBXMv7IHWJXdHv3F***

.....END PUBLIC KEY-----

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

➤ Удаляет теневые копии файлов, манипулирует параметрами, отключает функции восстановления и исправления Windows на этапе загрузки, дополнительно удаляет каталог общей командой:
vssadmin.exe delete shadows /all /quiet;wmic shadowcopy delete;bcdedit /set {default} bootstatuspolicy ignoreallfailures;bcdedit /set {default} recoveryenabled no;wbadmin delete catalog -quiet

➤ Очищает журналы системы с помощью команды: 

PowerShell.exe Clear-EventLog -LogName application, system, security 

➤ Блокирует доступ к следующим сайтам: 
google.com,youtube.com,baidu.com,facebook.com,amazon.com,360.cn,yahoo.com,wikipedia.org,zoom.us,live.com,reddit.com,netflix.com,microsoft.com,instagram.com,vk.com,alipay.com,myshopify.com,office.com,bing.com,ebay.com,microsoftonline.com,aliexpress.com,adobe.com,apple.com,twitter.com

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
Readme.txt, Motocos_Readme.txt, Ransomware_Readme.txt - названия файлов с требованием выкупа;
0046562091.exe - название вредоносного файла; 

taskhos.exe - название вредоносного файла. 

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

C:\Users\Lucas\AppData\Local\Temp\0046562091.exe 

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Telegram: @Motocos_bot

Email: - 
BTC: - 
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 88af65ad6b23ee2f9745ddacff604748

Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 ID Ransomware (ID as ***)
 Write-up, Topic of Support
 * 

 Thanks: 
 dnwls0719
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

PayOrGrief

PayOrGrief Ransomware

Pay_0r_Grief Ransomware

Aliases: Grief, P0G 

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES+RSA, а затем требует выкуп $350000 в криптовалюте Monero, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: нет данных. Используется группировкой Grief для атаки на организации и учреждения. Является продолжением DoppelPaymer Ransomware.  
---
Обнаружения:
DrWeb ->
ALYac ->
Avira (no cloud) ->
BitDefender ->
ESET-NOD32 ->
Kaspersky ->
Malwarebytes ->
Microsoft ->
Rising ->
Symantec ->
Tencent ->
TrendMicro ->
---

© Генеалогия: DoppelPaymer >> PayOrGrief

Изображение — логотип статьи

К зашифрованным файлам никакое расширение не добавляется. 


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя была в конце мая 2021 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру. 

Записка с требованием выкупа написана на экран блокировки на голубом фоне: 

Содержание текста на экране:

Clover Park School District, you are f*****.

DO NOT TOUCH ANYTHING!

What to do ( password: &qN9fU$Rn ): 

http://payorgz3j6hs2gj66nk6omfw65atgmqwzxqbbxnqi3bv2mlwgcirunad.onion/hypothesize/2b53b9e90ac51e9f60ecd868ea12d8f4

USE TOR

P0G

Перевод текста на русский язык:

Школьный округ Кловер-Парк, вы взломаны.

НИЧЕГО НЕ ТРОГАЙТЕ!

Что делать ( пароль: &qN9fU$Rn ):

http://payorgz3j6hs2gj66nk6omfw65atgmqwzxqbbxnqi3bv2mlwgcirunad.onion/hypothesize/2b53b9e90ac51e9f60ecd868ea12d8f4

ИСПОЛЬЗУЙТЕ ТОР

P0G

При переходе на сайт вымогателей нужно ввести пароль из голобого экрана, иначе страница с требованием выкупа не откроется.

Содержание текста с требованиями выкупа:

Clover Park School District, you've been hacked

This page and your decryption key will expire in 21 days after your systems were infected.

PAY OR Grief

Sensetive information will be shared to public.

Grief_list represents the companies which were hacked and didn't pay.

Current price for solution:

$350000 / 1387.47929378 XMR

Pay with monero [Copy monero wallet number:8BPNWZT4bqdbnTiYNGcAFiJ1CKto1YXayWtyHAK6nHZsHbRtgUzdciL1pD6qvm3jc1DXGRi52SByrc3BsW5VG9up9oUwkQU]

    To test that we have working solution: couple files can be unlocked. Ask specialist in chat to do it.

    Each few days new portion of data exfiltrated from your company will be published at Grief_list .

    There are no any third-party solution which can help you. But you can damage your information.

    GDPR at Article 33 requires that, in the event of a personal data breach, data controllers should notify the appropriate supervisory authority. 

Use previous conversation key, or start new

***

Перевод текста на русский язык:

Clover Park School District, вас взломали

Срок действия этой страницы и вашего ключа дешифрования истечет через 21 день после заражения вашей системы.

PAY OR Grief

Деликатная информация будет опубликована.

Grief_list показывает компании, которые были взломаны и не заплатили.

Текущая цена решения:

$350000 / 1387.47929378 XMR

Оплата с помощью monero [Скопируйте номер monero-кошелька: 8BPNWZT4bqdbnTiYNGcAFiJ1CKto1YXayWtyHAK6nHZsHbRtgUzdciL1pD6qvm3jc1DXGRi52SByrc3BsW5VG9up9oUwkQU]

     Для проверки, что у нас есть работающее решение: пару файлов можно разблокировать. Попросите специалиста в чате сделать это.

     Каждые несколько дней новая порция данных, полученных от вашей компании, будет публиковаться в Grief_list.

     Нет никаких сторонних решений, которые могли бы вам помочь. Но вы можете повредить свою информацию.

     Статья 33 GDPR требует, чтобы в случае утечки персональных данных контролеры данных уведомили соответствующий надзорный орган.

Используйте предыдущий ключ разговора или начните новый

***

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
<ransom_note>.txt - название файла с требованием выкупа;
<random>.exe - случайное название вредоносного файла.

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Tor-URL: xxxx://payorgz3j6hs2gj66nk6omfw65atgmqwzxqbbxnqi3bv2mlwgcirunad.onion/hypothesize/2b53b9e90ac51e9f60ecd868ea12d8f4

Email: - 
XMR: 8BPNWZT4bqdbnTiYNGcAFiJ1CKto1YXayWtyHAK6nHZsHbRtgUzdciL1pD6qvm3jc1DXGRi52SByrc3BsW5VG9up9oUwkQU
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: -

Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 ID Ransomware (ID as PayOrGrief)
 Write-up, Topic of Support
 * 

 Thanks: 
 NewsWithKevin, Michael Gillespie
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

FindNoteFile

FindNoteFile Ransomware

"RedDot Presents" Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные бизнес-пользователей с помощью AES+RSA, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: в записке не указано. 
---
Обнаружения на файл share.exe:
DrWeb -> Trojan.PackedNET.764
BitDefender -> Trojan.GenericKD.36945718
Kaspersky -> HEUR:Trojan-Downloader.MSIL.Bitser.gen
Malwarebytes -> Malware.AI.4256726248
Microsoft -> Trojan:Win32/AgentTesla!ml
TrendMicro -> TROJ_GEN.R002C0WEP21
---

© Генеалогия: ??? >> FindNoteFile

Изображение — логотип статьи

К зашифрованным файлам добавляется расширение: .findnotefile


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя была во второй половине мая - в начале июня 2021. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

Записка с требованием выкупа называется: HOW_TO_RECOVER_MY_FILES.txt
В тексте довольно много ошибок. 

Содержание записки о выкупе:

All data in your machine turned to useless binary code.

Your databases and importanant files have been downloaded and will be published after 12 days if not paid.

To return files and prevent publishing email us at: emiliantor@mailfence.com, emilianazizi@tutanota.com (send copy to both).

Tips:

*No one else can help you , don't waste your business time.

*You ask for proff that we have your data , and you can see our old targer that their data have been published.

*If not paid after 12 days Google your company name and you will see your private and custorres data in there, happy will legal and bussiness challenges of data leak after.

*For decryption anyone/any company offerin help will get extra fee(some times even more than ours!)added to ours or simplly will scam you (dont pay us after getting test file, lie and scam you)

so if you wan a intermediary chose a trusted one to avoid scams , and get your data.

*For decryption you send a few sample files for test before any payment.

We won't be available for long.

Dont play with encrypted files that will corrupt them and make unrecoverable.

Use google translate (if you don't know english)

Key ID: 

fmjfegE9pHrsDgzX2***859Ua7JQ= [total 172 characters]

Перевод записки на русский язык:

Все данные на вашем компьютере превратились в бесполезный двоичный код.

Ваши базы данных и важные файлы были загружены и будут опубликованы через 12 дней, если не будет оплаты.

Чтобы вернуть файлы и предотвратить публикацию, напишите нам по адресу: emiliantor@mailfence.com, emilianazizi@tutanota.com (отправьте копию обоим).

Советы:

* Никто не может вам помочь, не тратьте зря свое бизнес-время.

* Запросите подтверждение того, что у нас есть ваши данные, и вы можете видеть нашу старую цель, чьи данные были опубликованы.

* Если не заплатили через 12 дней погуглите, укажите название вашей компании, и вы увидите там свои личные и клиентские данные, после чего вы сможете решить юридические и бизнес-проблемы, связанные с утечкой данных.

* За расшифровку любая компания, предлагающая помощь, получит дополнительную плату (иногда даже больше, чем наша!), добавит к нашей, или просто обманет вас (не платите после получения тестового файла, солгут и обманут вас)

Поэтому, если вы хотите, чтобы посредник был доверенным, чтобы избежать мошенничества и получить свои данные.

* Для расшифровки вы отправляете несколько образцов файлов для теста перед любой оплатой.

Мы будем доступны недолго.

Не играйте с зашифрованными файлами, которые могут повредиться и сделаться невовосстановимыми.

Используйте переводчик Google (если не знаете английский)

ID ключа: 

fmjfegE9pHrsDgzX2***859Ua7JQ= [всего 172 знака]

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


➤ Пострадавшие заметили, что после атаки в системе появилась программа TightVNC, предназначенная для удаленного управления компьютерами. 

➤ Отключает работу утилиты Raccine.exe, если она используется. 

➤ Удаляет бекапы и виртуальные диски

"C:\Windows\System32\cmd.exe" del /s /f /q f:\*.VHD f:\*.bac f:\*.bak f:\*.wbcat f:\*.bkf f:\Backup*.* f:\backup*.* f:\*.set f:\*.win f:\*.dsk

➤ Использует PowerShell для выполения вредоносных действий. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
HOW_TO_RECOVER_MY_FILES.txt - название файла с требованием выкупа;
share.exe (mx2cfehm.dll) - название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

C:\Users\User\AppData\Local\Temp\share.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: emiliantor@mailfence.com, emilianazizi@tutanota.com
BTC: - 
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Ошибки запуска во время иссследования на платфоре Triage.

Результаты анализов:

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 108d4532a263fca754b85d942bd55451

Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Вариант от 2 июня 2021:

Сообщение >>

Расширение: .reddot

Email: RedDot@ctemplar.com

➤ Содержание записки: 

RedDot Presents

ALL YOUR FILES ARE ENCRYPTED!

All your files have been encrypted due to a security problem with your PC. 

If you want to restore them, write us to the Email RedDot@ctemplar.com

To prove that we can decrypt files, we can decrypt one file for free, 

it should be no more than 3 MB and should not contain important information.

The price depends on how fast you write to us. 

Write this ID in your message:

Key ID: 

0/KJ9aBMsFYN04GrNwMxFaQ/9G***Gwgt7U= [total 172 characters]

Результат анализа на файл загрузчика dasdasd.js: VT + AR

➤ Обнаружения: 

DrWeb -> Trojan.Encoder.34000

BitDefender -> Trojan.GenericKD.46407900

Kaspersky -> HEUR:Trojan.Script.SAgent.gen

Microsoft -> TrojanDownloader:Win32/Nemucod!ml

Symantec -> ISB.Downloader!gen258

TrendMicro -> HEUR_JS.O.ELBP

Вариант от 4 июня 2021: 

Пост на форуме >>

Расширение: .findthenotefile

Записка: HOW_TO_RECOVER_MY_FILES.txt

Email: schweeps@ctemplar.com

➤ Содержание записки: 

RedDot Presents

ALL YOUR FILES ARE ENCRYPTED!

All your files have been encrypted due to a security problem with your PC. 

If you want to restore them, write us to the Email schweeps@ctemplar.com

To prove that we can decrypt files, we can decrypt one file for free, 

it should be no more than 3 MB and should not contain important information.

The price depends on how fast you write to us. 

Write this ID in your message:

Key ID: 

YXSlhU3N1vkb6r6/IsaT43wzz0***qiCEvs= [total 172 characters]

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 myMessage + Message + Message
 ID Ransomware (ID as FindNoteFile)
 Write-up, Topic of Support
 * 

 Thanks: 
 Andrew Ivanov (article author)
 Jirehlov Solace, Michael Gillespie
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

DecryptmyfilesTop

DecryptmyfilesTop Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: нет данных.
---
Обнаружения:
DrWeb -> Trojan.Encoder.33962

BitDefender -> Generic.Ransom.DCRTR.75179DF7
ESET-NOD32 -> A Variant Of Win32/Filecoder.OHA
Kaspersky -> HEUR:Trojan-Ransom.Win32.Encoder.gen
Malwarebytes -> Ransom.FileCryptor
Microsoft -> Ransom:Win32/Paradise.BC!MTB, Ransom:Win32/Higuniel.A
Rising -> Ransom.Agent!1.D615 (CLOUD)
Symantec -> ML.Attribute.HighConfidence
Tencent -> Malware.Win32.Gencirc.11c03721
TrendMicro -> Ransom.Win32.DCRTR.USMANEI21, Ransom_Higuniel.R002C0DLH20
---

© Генеалогия: ✂ Dharma, ✂ DCRTR-WDM >> DecryptmyfilesTop

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в середине - конце мая 2021 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .[decryptmyfiles.top].<ID>

Фактически используется составное расширение по шаблону: 

.[decryptmyfiles.top].XXXXXXXX

Записки с требованием выкупа называются: FILES ENCRYPTED.txt и info.hta

Содержание записки о выкупе:

Attention! 

All your files, documents, photos, databases and other important files are encrypted and have the extension: .4E284***

The only method of recovering files is to purchase an unique private key. Only we can give you this key and only we can recover your files.

The server with your key is in a closed network TOR. You can get there by the following ways:

----------------------------------------------------------------------------------------

| 0. Download Tor browser - https://www.torproject.org/ 

| 1. Install Tor browser 

| 2. Open Tor Browser 

| 3. Open link in TOR browser: 7puh3g2lpzut32wetfpohiireazmhoyrkllqescem2jd567rdur2ojyd.onion/contact/4E284***

| 4. Follow the instructions on this page 

----------------------------------------------------------------------------------------   

If your country have blocked the TOR network.You can get there by the following ways:

----------------------------------------------------------------------------------------

| 1. Open link in any browser:  decryptmyfiles.top/contact/4E284***

| 2. Follow the instructions on this page 

---------------------------------------------------------------------------------------- 

On our page you will see instructions on payment and get the opportunity to decrypt 1 file for free. 

ATTENTION!

IN ORDER TO PREVENT DATA DAMAGE:

* DO NOT MODIFY ENCRYPTED FILES

* DO NOT CHANGE DATA BELOW

---BEGIN KEY---

a11dCl9SXA5fX*** всего 46 знаков

---END KEY---

Перевод записки на русский язык:

Внимание!

Все ваши файлы, документы, фото, базы данных и другие важные файлы зашифрованы и имеют расширение: .4E284***.

Единственный способ вернуть файлы — приобрести уникальный закрытый ключ. Только мы можем дать вам этот ключ и только мы можем восстановить ваши файлы.

Сервер с вашим ключом находится в закрытой сети TOR. Добраться можно следующими способами:

-------------------------------------------------- --------------------------------------

| 0. Скачайте браузер Tor - https://www.torproject.org/

| 1. Установите браузер Тор

| 2. Откройте браузер Tor

| 3. Откройте ссылку в браузере TOR: 7puh3g2lpzut32wetfpohiireazmhoyrkllqescem2jd567rdur2ojyd.onion/contact/4E284***

| 4. Следуйте инструкциям на этой странице.

-------------------------------------------------- --------------------------------------

Если в вашей стране заблокирована сеть TOR. Вы можете попасть туда следующими способами:

-------------------------------------------------- --------------------------------------

| 1. Откройте ссылку в любом браузере: decryptmyfiles.top/contact/4E284***

| 2. Следуйте инструкциям на этой странице.

-------------------------------------------------- --------------------------------------

На нашей странице вы увидите инструкции по оплате и сможете бесплатно расшифровать 1 файл.

ВНИМАНИЕ!

ВО ИЗБЕЖАНИЕ ПОВРЕЖДЕНИЯ ДАННЫХ:

* НЕ ИЗМЕНЯЙТЕ ЗАШИФРОВАННЫЕ ФАЙЛЫ

* НЕ ИЗМЕНЯЙТЕ ДАННЫЕ НИЖЕ

***

Содержание записки о выкупе:

All your files have been encrypted!

All your files, documents, photos, databases and other important files are encrypted and have the extension: .4E2840E1

The only method of recovering files is to purchase an unique private key. Only we can give you this key and only we can recover your files.

Free decryption as guarantee

Before paying you can decrypt 1 file for free on our site. The size of file must be less than 2Mb (non archived), and the file should not contain valuable information. (databases,backups, large excel sheets, etc.) 

The server with your key is in a closed network Tor. You can get there by the following ways:

Download Tor browser - https://www.torproject.org/ 

Install Tor browser 

Open link in Tor browser: hxxx://7puh3g2lpzut32wetfpohiireazmhoyrkllqescem2jd567rdur2ojyd.onion/contact/4E284***

Follow the instructions on this page 

If your country have blocked the Tor network.You can get there by the following ways:

Open link in any browser: hxxx://decryptmyfiles.top/contact/4E284*** 

Follow the instructions on this page 

Attention!

Do not rename encrypted files. 

Do not try to decrypt your data using third party software, it may cause permanent data loss. 

Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam. 

Перевод записки на русский язык:

Все ваши файлы были зашифрованы!

Все ваши файлы, документы, фото, базы данных и другие важные файлы зашифрованы и имеют расширение: .4E284***.

Единственный способ вернуть файлы — приобрести уникальный закрытый ключ. Только мы можем дать вам этот ключ и только мы можем вернуть ваши файлы.

Бесплатная расшифровка как гарантия

Перед оплатой вы можете бесплатно расшифровать 1 файл на нашем сайте. Размер файла должен быть менее 2 Мб (не в архиве), файл не должен содержать ценной информации. (базы данных, резервные копии, большие листы Excel и т. д.)

Сервер с вашим ключом находится в закрытой сети Tor. Добраться можно следующими способами:

Скачать браузер Tor - https://www.torproject.org/

Установить Тор браузер

Открыть ссылку в браузере Tor: hxxx://7puh3g2lpzut32wetfpohiireazmhoyrkllqescem2jd567rdur2ojyd.onion/contact/4E2840E1

Следуйте инструкциям на этой странице

Если в вашей стране заблокирована сеть Tor. Вы можете попасть туда следующими способами:

Откройте ссылку в любом браузере: hxxx://decryptmyfiles.top/contact/4E284***

Следуйте инструкциям на этой странице

Внимание!

Не переименовывайте зашифрованные файлы.

Не пытайтесь расшифровать свои данные с помощью сторонних программ, это может привести к безвозвратной потере данных.

Расшифровка ваших файлов с помощью третьих лиц может привести к повышению цены (они добавляют свою комиссию к нашей) или вы можете стать жертвой мошенников.

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 



➤ Удаляет теневые копии и пути восстановления. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
FILES ENCRYPTED.txt - название файла с требованием выкупа;
info.hta - название файла с требованием выкупа;

<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\info.hta

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
URL: hxxx://decryptmyfiles.top

Tor-URL: hxxx://7puh3g2lpzut32wetfpohiireazmhoyrkllqescem2jd567rdur2ojyd.onion/contact/E68C8DE6

Email: - 
BTC: - 

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 0e61e496fc218c1c6dc1f5640a3ac7e5

SHA-1: aae1b11aa9f2b0a2e32577db8026b843dc16a79d

SHA-256: a0070951284e17ec843b498d0a11f4a2ebb8ce64c9f27faf7af96124fd691b1e

Vhash: 025056656d55556058z5ehz33z11z81z17z

Imphash: eefb60713a1c06a2bb2312e7c8122a8a

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 * 

 Thanks: 
 S!Ri, 
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.