Шифровальщики-вымогатели The Digest "Crypto-Ransomware"

Шифровальщик (вирус-шантажист). Защита от программ-шифровальщиков. Как удалить вирус-шифровальщик?
Шифровальщики — это вредоносные программы, которые шифруют файлы и требуют выкуп за их расшифровку.
Данный сайт — это ДАЙДЖЕСТ и ПЕРВОИСТОЧНИК информации о шифровальщиках и всевозможных вымогателях.
Авторские статьи, инструкции для пострадавших, рекомендации по защите и профилактике угрозы Ransomware.

суббота, 18 декабря 2021 г.

TimeTime

TimeTime Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов, а затем требует выкуп в 100€ на карту Paysafecard, чтобы вернуть файлы. Оригинальное название: TimeTime. На файле написано: TimeTime.exe и @_DECRYPTOR_@.exe.

---
Обнаружения:
DrWeb -> Trojan.MulDrop19.18473
BitDefender -> Gen:Heur.Ransom.REntS.Gen.1
ESET-NOD32 -> A Variant Of MSIL/Filecoder.ANI
Kaspersky -> HEUR:Trojan.MSIL.DelShad.gen
Malwarebytes -> Ransom.TimeTime
Microsoft -> Ransom:MSIL/Filecoder.MP!MTB
Rising -> ***
Symantec -> Downloader
Tencent -> ***
TrendMicro -> Ransom_Filecoder.R002C0DLL21
---

© Генеалогия: ??? >> TimeTime

Сайт "ID Ransomware" это пока не идентифицирует.

Информация для идентификации

Активность этого крипто-вымогателя была в середине декабря 2021 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .timetime

Записка с требованием выкупа называется: @__RECOVER_YOUR_FILES__@.txt

Содержание записки о выкупе:

---------------Time Time Ransomware---------------

All of your document,pictures,videos are no longer accessible. We encrypted them !

We also stole your files,computer information,passwords,cookies.

If you don't pay us, we will leak everything on the dark web.

Please, find @_DECRYPTOR_@.exe on your desktop to pay the ransom. If you don't find it,

check your recycle bin or antivirus quarantine.

We ask for 100€ of paysafecard (https://paysafecard.com)

/!\ Warning /!\

Please, do not rename encrypted files.

Do not use third party software.

Do not try to decrypt the files yourself.

/!\ Warning /!\

You got epicly pwned.

---------------Time Time Ransomware---------------

Перевод записки на русский язык:

---------------Time Time Ransomware---------------

Все ваши документы, изображения, видео теперь не доступны. Мы их зашифровали!

Мы также украли ваши файлы, информацию о компьютере, пароли, файлы cookie.

Если вы не заплатите нам, мы опубликуем все в даркнете.

Найдите на рабочем столе @_DECRYPTOR _ @.exe, чтобы заплатить выкуп. Если не найдешь, проверьте свою корзину или антивирусный карантин.

Мы просим 100 € на карту paysafecard (https://paysafecard.com)

/!\ Предупреждение /!\

Пожалуйста, не переименовывайте зашифрованные файлы.

Не используйте сторонние программы.

Не пытайтесь сами расшифровать файлы.

/!\ Предупреждение /!\

Тебя эпично хакнули.

---------------Time Time Ransomware---------------

Записка с требованием выкупа также написана на экране блокировки:

Содержание записки о выкупе:

All of your files have been encrypted !

All of your documents,musics,videos have been encrypted.

To recover your data, you need to pay us 100€ of paysafecard.

Go on https://paysafecard.com and buy as many psf as you want

as long as it go to 100€.

Check if the code is valid

See encrypted files

Time Time Ransomware

Перевод записки на русский язык:

Все ваши файлы зашифрованы!

Все ваши документы, музыка, видео зашифрованы.

Чтобы восстановить свои данные, вам надо заплатить нам 100€ картой paysafecard.

Зайдите на https://paysafecard.com и купите столько psf, сколько хотите

до 100 €.

Проверьте, действителен ли код

Посмотрите зашифрованные файлы

Time Time Ransomware

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом.

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.

➤ Удаляет теневые копии файлов, отключает функции восстановления и исправления Windows на этапе загрузки.

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
@__RECOVER_YOUR_FILES__@.txt - название файла с требованием выкупа;
TimeTime.pdb - название файла проекта;

TimeTime.exe - название вредоносного файла;

@_DECRYPTOR_@.exe - название вредоносного файла.

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

C:\Users\Admin\AppData\Roaming\svchost.exe

D:\VisualStudioProjects\repos\TimeTime\TimeTime\obj\Debug\TimeTime.pdb

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: -
BTC: -

См. ниже в обновлениях другие адреса и контакты.

Результаты анализов:

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 8345d2b0dc8fd2134d12856557b15181

SHA-1: a4c5ea013f8fc27d4079b5cd9f710bdbca02011f

SHA-256: 5ee8500fe1a2f22029908d4e2b32e7fb85aec03ffea714f3b5e82ebb2bc10f21

Vhash: 214036551511608916224020

Imphash: f34d5f2d4577ed6d9ceec516c1f5a744

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Topic of Support
 *

 Thanks: 
 dnwls0719
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples

четверг, 16 декабря 2021 г.

MRAC

MRAC Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов RSA-2048, AES-256 (режим CBC), PKCS5 (CryptGenKey для каждого файла + Rand IV для каждого файла), а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: xxx.exe.
---
Обнаружения:
DrWeb -> Trojan.Encoder.34811
BitDefender -> Trojan.Ransom.GenericKD.47668693
ESET-NOD32 -> Win32/Filecoder.OJQ
Kaspersky -> HEUR:Trojan.Win32.Stosek.gen
Malwarebytes -> Ransom.FileCryptor
Microsoft -> Trojan:Win32/Tiggre!rfn
Rising -> Trojan.Generic@ML.84 (RDML:h+04v***
Symantec -> ML.Attribute.HighConfidence
TrendMicro -> TROJ_GEN.R002C0PLJ21
---

© Генеалогия: ??? >> MRAC

Сайт "ID Ransomware" идентифицирует это как MRAC.

Информация для идентификации

К зашифрованным файлам добавляется расширение: .MRAC

Записка с требованием выкупа называется: MRACReadMe.html

Содержание записки о выкупе:

MMRAC

Your information has been stolen and encrypted. All information may be in the public domain

Email: veronikstreem@protonmail.com

Install Psi+ app https://sourceforge.net/projects/psiplus/files

After installing Psi+ you need to log in :

Password: NM2Br5suBCup453ttvpKert456

There will be one added contact to which you can write.

Nothing personal, just business

Перевод записки на русский язык:

MMRAC

Ваша информация была украдена и зашифрована. Вся информация может быть в открытом доступе

Свяжитесь с нами любым из представленных способов:

Почта: veronikstreem@protonmail.com

Установите приложение Psi + https://sourceforge.net/projects/psiplus/files

После установки Psi + вам надо войти:

Логин: dbhjftdg2322345gg@jabb.im

Пароль: NM2Br5suBCup453ttvpKert456

Будет добавлен один контакт, которому вы можете писать.

Ничего личного, просто бизнес

Технические детали + IOC

➤ Завершает работу антивирусов, системные процессы и ряд служб, работа которых может помешать шифрованию файлов.

Acronis VSS Provider

Enterprise Client Service

Sophos Agent

Sophos AutoUpdate Service

Sophos Clean Service

Sophos Device Control Service

Sophos File Scanner Service

Sophos Health Service

Sophos MCS Agent

Sophos MCS Client

Sophos Message Router

Sophos SafeStore Service

Sophos Protection System Service

Sophos Web Control Service

SQLsafe

SQLsafe Filter Service

Symantec System Recovery

Veeam Backup Service Data Catalog

AcronisAgent

AcrSch2Svc

Antivirus

ARSM

BackupExecAgentAccelerator

BackupExecAgentBrowser

BackupExecDeviceMediaService

BackupExecJobEngine

BackupExecManagementService

BackupExecRPCService

BackupExecVSSProvider

bedbg

DCAgent

EPSecurityService

➤ После шифрования файлов самоудаляется с помощью bat-файла.

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
MRACReadMe.html - название файла с требованием выкупа;
xxx.exe - название вредоносного файла;

MRAC.pdb - файл проекта вымогателей.

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

C:\Users\user\Desktop\Full\App\MRAC\ENC\MRAC\Release\MRAC.pdb

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:

=MRAC=

См. ниже результаты анализов.

Сетевые подключения и связи:
Email: veronikstreem@protonmail.com
BTC: -

См. ниже в обновлениях другие адреса и контакты.

Результаты анализов:

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: b99ce03482978a861c883bb772be3b25

SHA-1: 84ecf8f8b0de2dbb3df4b99766a84143e49eaa00

SHA-256: 768c09ad691d4af27f50934df5879166c08c0b18abf2c1a1c8561e8589a07c91

Vhash: 035056655d155560d3z22z68!z

Imphash: 000dffe70534733b98630577afdf90d9

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Topic of Support
 *

 Thanks: 
 Finch, Jiří Vinopal
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples

среда, 15 декабря 2021 г.

Wana-XD

Wana-XD Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов, а затем требует купить инструмент и ключ дешифрования, чтобы расшифровать файлы. Оригинальное название: в записке не указано. На файле написано: RL.exe.
---
Обнаружения:
DrWeb -> Trojan.DownLoader44.15949
BitDefender -> Trojan.GenericKD.47660654
ESET-NOD32 -> ***
Kaspersky -> HEUR:Trojan-Ransom.MSIL.Crypmodng.gen
Malwarebytes -> Ransom.FileCryptor
Symantec -> ML.Attribute.HighConfidence
TrendMicro -> Ransom_Crypmodng.R002C0WLI21
---

© Генеалогия: ??? >> Wana-XD

Сайт "ID Ransomware" это пока не идентифицирует.

Информация для идентификации

К зашифрованным файлам добавляется расширение: .XD-99

Записка с требованием выкупа называется: Readme.txt

Содержание записки о выкупе:

[+] RL Wana-XD ! [+]

Don't worry, you can return all your files!

The only method of recovering files is to purchase decrypt tool and unique key for you.

Please note that you'll never restore your data without payment.

To get this software you need write on our e-mail:

Wana-XD@bk.ru

Reserve e-mail address to contact us:

RL000@protonmail.ch

Your personal ID:

gWnhMKpcu+h+GkPPsy@NsPD8dhmeGV

[KEEP IT]

Перевод записки на русский язык:

[+] RL Wana-XD! [+]

Не волнуйтесь, вы можете вернуть все свои файлы!

Единственный метод восстановления файлов - это купить инструмент дешифрования и уникальный ключ для вас.

Заметьте, что вы никогда не вернете свои данные без оплаты.

Чтобы получить эту программу, вам надо написать на наш email:

Wana-XD@bk.ru

Резервный email адрес для связи с нами:

RL000@protonmail.ch

Ваш личный ID:

gWnhMKpcu+h+GkPPsy@NsPD8dhmeGV

[СОХРАНИ ЕГО]

Технические детали + IOC

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
Readme.txt - название файла с требованием выкупа;
RL.exe - название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

C:\Users\<USER>\AppData\Local\Temp\RL.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: Wana-XD@bk.ru, RL000@protonmail.ch
BTC: -

См. ниже в обновлениях другие адреса и контакты.

Используется для определения IP:
hxxx://ip-api.com/json/?fields=8193

Результаты анализов:

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5:

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Topic of Support
 *

 Thanks: 
 dnwls0719
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples

вторник, 14 декабря 2021 г.

WhiteRabbit

White Rabbit Ransomware

WhiteRabbit Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует зайти на сайт вымогателей, чтобы узнать, как заплатить выкуп и вернуть свои файлы. Вымогатели дают мало времени пострадавшим и угрожают продать или даже бесплатно опубликовать украденные данные. Оригинальное название: White Rabbit (указано в каждой записке). На файле написано: rabbit.exe.
---
Обнаружения: нет публичного образца.
DrWeb ->
BitDefender ->
ESET-NOD32 ->
Kaspersky ->
Malwarebytes ->
Microsoft ->
Rising ->
Symantec ->
Tencent ->
TrendMicro -> Ransom.Win32.WHITERABBIT.YACAET
---

© Генеалогия: ??? >> White Rabbit

Сайт "ID Ransomware" это идентифицирует как WhiteRabbit.

Информация для идентификации

Активность этого крипто-вымогателя была в первой половине - середине декабря 2021 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .scrypt

Записка с требованием выкупа создается для каждого зашифрованного файла и называется по его имени: <filename>.scrypt.txt

Содержание записки о выкупе:

--------------------------------------------------------------------------

HELLO [redacted]

If you are reading this message, means that:

- your network infrastructures have been compromised,

- critical data has leaked,

- files are encrypted

â”â”â”â”â”â”â”â”â”â”â”â”â”â”â”â”â”â”â”â”â”â”â”â”â”â”â”â”â”â”â”â”â”â”â”â”â”â”â”

â”ƒ Welcome to the Ransom House â”ƒ

â”ƒ You are locked by â”ƒ

â”ƒ W H I T E R A B B I T â”ƒ

â”ƒ Knock, Knock. Follow the White Rabbit... â”ƒ

â”ƒ â”ƒ

â”ƒ (\(\ â”ƒ

â”ƒ (-.-) â”ƒ

â”ƒ (")(") â”ƒ

â”ƒ â”ƒ

â”—â”â”â”â”â”â”â”â”â”â”â”â”â”â”â”â”â”â”â”â”â”â”â”â”â”â”â”â”â”â”â”â”â”â”â”â”â”â”â”

The best and only thing you can do is to contact us to settle the matter before any losses occurs.

--------------------------------------------------------------------------

1. THE FOLLOWING IS STRICTLY FORBIDDEN

1.1 DELETION THIS NOTE.

Each note carries the encryption key

needed to decrypt the data,

don't lose it

1.2 EDITING FILES OR HDD.

Renaming, copying or moving any files

could DAMAGE the cypher and

decryption will be impossible.

1.3 USING THIRD-PARTY SOFTWARE.

Trying to recover with any software

can also break the cipher and

file recovery will become a problem.

1.4 SHUTDOWN OR RESTART THE PC.

Boot and recovery errors can also damage the cipher.

Sorry about that, but doing so is entirely at your own risk.

1.5 HIRING THE FBI AND OTHERS

Cooperating with the FBI|CIA and so on

and involving their officers in negotiations

will end our communication with you

and we will share all the leaked data for free.

-------------------------------------------------------------------------------------------

2. EXPLANATION OF THE SITUATION

2.1 HOW DID THIS HAPPEN

The security of your IT perimeter has been compromised (it's not perfect at all).

We encrypted your workstations and servers to make the fact of the intrusion visible and to prevent you from hiding critical data leaks.

We spent a lot of time for researching and finding out the most important directories of your business, your weak points.

We have already downloaded a huge amount of critical data and analyzed it. Now it's fate is up to you, it will either be deleted or sold, or shared with the media.

2.2 VALUABLE DATA WE USUALLY STEAL:

- Databases, legal documents, billings, clients personal information, SSN...

- Audit reports

- Any financial documents (Statements, invoices, accounting, transfers etc.)

- work files and corporate correspondence

- Any backups

2.3 TO DO LIST (best practies)

- Contact us as soon as possible

- Contact us only in our chat, otherwise you can run into scammers.

- Purchase our decryption tool and decrypt your files. There is no other way to do this.

- Realize that dealing with us is the shortest way to the success and secrecy.

- Give up the idea of using decryption help programs, otherwise you will destroy the system permanently

- Avoid any third-party negotiators and recovery groups. They can allow the event to leak.

-------------------------------------------------------------------------------------------

3. POSSIBLE DECISIONS

3.1 NOT MAKING THE DEAL

- After 4 days starting tomorrow your leaked data will be published or sold.

- We will also send the data to all interested supervisory organizations and the media.

- Decryption key will be deleted permanently and recovery will be impossible.

- Losses from the situation will be measured based on your annual budget

3.2 MAKING THE WIN-WIN DEAL

- You will get the Decryption Tool and the Manual how-to-use.

- You will get our guarantee and log of non-recovarable deletion of all your data.

- You will get the guarantee of secrecy and deletion of all traces of the deal in internet.

- You will get the security report on how to fix your security breaches.

-------------------------------------------------------------------------------------------

4. EVIDENCE OF THE LEAKAGE

4.1 SCREENSHOTS:

[redacted]

4.2 DB sample: https://file.io/[redacted]

https://file.io/[redacted]

Password:[redacted]

-------------------------------------------------------------------------------------------

5. HOW TO CONTACT US

5.1 Download and install TOR Browser https://torproject.org

5.2 Open our live-chat website at [redacted]

5.3 To review leaked data at temporarily server get the ftp access in our live chat

5.4 If the TOR Browser is restricted in your area then use VPN services

5.5 All your Data will be published in 4 Days in the case of silence on your side

5.6 Your Decryption keys will be permanently destroyed synchronous 5.5

5.7 Your Data will be published if you will hire third-party negotiators to contact us

-------------------------------------------------------------------------------------------

6. RESPONSIBILITY

6.1 The breaking of critical points of this offer will cause:

- deletion of your decryption keys

- immediate selling of your data

- in the case of non-selling we will publish your data for free

- notification of government supervision agencies, your competitors and clients

-------------------------------------------------------------------------------------------

7. Encryption Key

---BEGIN KEY---

[redacted 256 bytes base64]

---END KEY---

Перевод записки на русский язык:

ПРИВЕТ ***

Если вы читаете это сообщение, значит, что:

- ваша сетевая инфраструктура скомпрометирована,

- утечка критических данных,

- файлы зашифрованы

***

Добро пожаловать в Дом Выкупа

Вы заблокированы

WHITE RABBIT

Тук, тук. Следуй за Белым Кроликом...

(\ (\

(-.-)

(") (")

***

Лучшее и единственное, что вы можете сделать, - это связаться с нами, чтобы урегулировать вопрос до того, как возникнут какие-либо убытки.

-------------------------------------------------- ------------------------

1. СЛЕДУЮЩЕЕ ЗАПРЕЩАЕТСЯ.

1.1 УДАЛЕНИЕ ДАННОГО ПРИМЕЧАНИЕ.

Каждая записка содержит ключ шифрования. необходимо для расшифровки данных, не теряй это

1.2 РЕДАКТИРОВАНИЕ ФАЙЛОВ ИЛИ HDD.

Переименование, копирование или перемещение любых файлов может ПОВРЕДИТЬ шифр и расшифровка будет невозможна.

1.3 ИСПОЛЬЗОВАНИЕ СТОРОННИХ ПРОГРАММ.

Попытка восстановить с помощью любого ПО также может взломать шифр и восстановление файлов станет проблемой.

1.4 ВЫКЛЮЧЕНИЕ ИЛИ ПЕРЕЗАГРУЗКА ПК.

Ошибки загрузки и восстановления также могут повредить шифр.

Извините за это, но вы делаете это на свой страх и риск.

1.5 НАЙМ ФБР И ДРУГИХ

Сотрудничество с ФБР | ЦРУ и так далее и вовлечение их офицеров в переговоры положит конец нашему общению с вами, и мы бесплатно поделимся всеми утекшими данными.

-------------------------------------------------- -----------------------------------------

2. ОБЪЯСНЕНИЕ ПОЛОЖЕНИЯ

2.1 КАК ЭТО ПРОИЗОШЛО

Безопасность вашего ИТ-периметра была скомпрометирована (она совсем не идеальна).

Мы зашифровали ваши рабочие станции и серверы, чтобы сделать факт вторжения видимым и предотвратить скрытие критических утечек данных.

Мы потратили много времени на изучение и выявление наиболее важных справочников вашего бизнеса, ваших слабых мест.

Мы уже скачали огромное количество критических данных и проанализировали их. Теперь ваша судьба зависит от вас, он будет либо удален, либо продан, либо передан в СМИ.

2.2 ЦЕННЫЕ ДАННЫЕ, КОТОРЫЕ МЫ ОБЫЧНО ВРАЖИМ:

- Базы данных, юридические документы, счета, личная информация клиентов, SSN ...

- Аудиторские отчеты

- Любые финансовые документы (Выписки, счета-фактуры, бухгалтерия, переводы и т. Д.)

- рабочие файлы и корпоративная переписка

- Любые бэкапы

2.3 СПИСОК ДЕЛАТЬ (лучшие практики)

- Свяжитесь с нами как можно скорее

- Свяжитесь с нами только в нашем чате, иначе можете столкнуться с мошенниками.

- Купите наш инструмент дешифрования и расшифруйте свои файлы. Другого способа сделать это нет.

- Поймите, что общение с нами - кратчайший путь к успеху и секретности.

- Откажитесь от использования программ помощи для расшифровки, иначе вы навсегда разрушите систему

- Избегайте сторонних переговорщиков и групп восстановления. Они могут допустить утечку события.

-------------------------------------------------- -----------------------------------------

3. ВОЗМОЖНЫЕ РЕШЕНИЯ

3.1 НЕ ЗАКЛЮЧАТЬ СДЕЛКУ

- Через 4 дня, начиная с завтрашнего дня, ваши утекшие данные будут опубликованы или проданы.

- Также мы отправим данные всем заинтересованным надзорным организациям и СМИ.

- Ключ дешифрования будет удален безвозвратно, и его восстановление будет невозможно.

- Убытки от ситуации будут измеряться исходя из вашего годового бюджета

3.2 ЗАКЛЮЧЕНИЕ ВЫГОДНОЙ СДЕЛКИ

- Вы получите инструмент дешифрования и руководство по использованию.

- Вы получите нашу гарантию и журнал безвозвратного удаления всех ваших данных.

- Вы получаете гарантию секретности и удаления всех следов сделки в сети.

- Вы получите отчет по безопасности о том, как исправить ваши нарушения безопасности.

-------------------------------------------------- -----------------------------------------

4. ДОКАЗАТЕЛЬСТВА УТЕЧКИ

4.1 СКРИНШОТЫ:

***

4.2 Пример БД: https://file.io/***

https://file.io/***

Пароль: ***

-------------------------------------------------- -----------------------------------------

5. КАК С НАМИ СВЯЗАТЬСЯ

5.1 Загрузите и установите браузер TOR https://torproject.org

5.2 Откройте на нашем веб-сайте онлайн-чат по адресу ***

5.3. Чтобы просмотреть утечку данных на временном сервере, получите доступ по ftp в нашем чате.

5.4 Если браузер TOR ограничен в вашем регионе, воспользуйтесь VPN.

5.5 Все ваши данные будут опубликованы в течение 4 дней в случае молчания с вашей стороны

5.6 Ваши ключи дешифрования будут безвозвратно уничтожены синхронно с 5.5

5.7 Ваши данные будут опубликованы, если вы наймете сторонних переговорщиков, чтобы они связались с нами.

-------------------------------------------------------------------------------------------

6. ОТВЕТСТВЕННОСТЬ

6.1 Нарушение критических точек этого предложения вызовет:

- удаление ваших ключей дешифрования

- немедленную продажу ваших данных

- если мы не продадим, то бесплатно опубликуем ваши данные

- уведомление органов государственного надзора, ваших конкурентов и клиентов

-------------------------------------------------------------------------------------------

7. Ключ шифрования.

--- НАЧАЛО КЛЮЧА ---

[отредактировано 256 байт в base64]

--- КОНЕЦ КЛЮЧА ---

---
Интересный факт: байты в ASCII-арте на самом деле являются байтами UTF-16 0x81 "High Octet Preset" (HOP).

Возможна связь с RansomHouse.

Технические детали + IOC

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Список пропускаемых директорий и файлов, которые шифровальщик избегает, чтобы не допустить сбой системы и шифрование своих файлов записок:

*.scrypt.txt

*.scrypt

c:\windows\*

*:\sysvol\*

*:\netlogon\*

c:\filesource\*

*.exe

*.dll

*\desktop.ini

*:\windows\*

c:\programdata\*

*:\programfiles\*

*:\program files (x86)\*

*:\program files (x64)\*

*.lnk

*.iso

*.msi

*.sys

*.inf

%User Temp%\*

*\thumbs.db

Файлы, связанные с этим Ransomware:
<ransom_note>.txt - название файла с требованием выкупа;
rabbit.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Tor-URL: hxxx://va5vkfdihi5forrzsnmins436z3cbvf3sqqkl4lf6l6kn3t5kc5efrad.onion

URL: hxxxs://104-168-132-128.nip.io/***

Email: -
BTC: -

См. ниже в обновлениях другие адреса и контакты.

Результаты анализов:

IOC: VT, HA, IA, TG, AR, VMR, JSB

SHA256: b0844458aaa2eaf3e0d70a5ce41fc2540b7e46bdc402c798dbdfe12b59ab32c3

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Topic of Support

Added later: Write-up by TrendMicro
Write-up by by Lodestone

 Thanks: 
 Michael Gillespie 
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples

Шифровальщики-вымогатели The Digest "Crypto-Ransomware"

суббота, 18 декабря 2021 г.

TimeTime

TimeTime Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

четверг, 16 декабря 2021 г.

MRAC

MRAC Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

среда, 15 декабря 2021 г.

Wana-XD

Wana-XD Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

вторник, 14 декабря 2021 г.

WhiteRabbit

White Rabbit Ransomware

WhiteRabbit Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Постоянные читатели

My tweet feed

My profile on BC

Форма для связи / Contact

суббота, 18 декабря 2021 г.

TimeTime

TimeTime Ransomware

(шифровальщик-вымогатель) (первоисточник) Translation into English

четверг, 16 декабря 2021 г.

MRAC

MRAC Ransomware

(шифровальщик-вымогатель) (первоисточник) Translation into English

среда, 15 декабря 2021 г.

Wana-XD

Wana-XD Ransomware

(шифровальщик-вымогатель) (первоисточник) Translation into English

вторник, 14 декабря 2021 г.

WhiteRabbit

White Rabbit Ransomware

WhiteRabbit Ransomware

(шифровальщик-вымогатель) (первоисточник) Translation into English

Постоянные читатели

My tweet feed

My profile on BC

Форма для связи / Contact

суббота, 18 декабря 2021 г.

(шифровальщик-вымогатель) (первоисточник)
Translation into English

четверг, 16 декабря 2021 г.

(шифровальщик-вымогатель) (первоисточник)
Translation into English

среда, 15 декабря 2021 г.

(шифровальщик-вымогатель) (первоисточник)
Translation into English

вторник, 14 декабря 2021 г.

(шифровальщик-вымогатель) (первоисточник)
Translation into English