Если вы не видите здесь изображений, то используйте VPN.

четверг, 17 марта 2016 г.

SamSam

SamSam Ransomware

Samas Ransomware

SAM Ransomware

(шифровальщик-вымогатель) 

Translation into English


Этот крипто-вымогатель шифрует данные пользователей с помощью AES/RSA, а затем требует выкуп в 1-3 BTC и больше, чтобы вернуть файлы. Оригинальное название: SamSam. На файле написано: samsam.exe. Во время шифрования генерируется уникальный ключ AES и IV для каждого отдельного файла.

Обнаружения: 
DrWeb -> Trojan.Encoder.4320
BitDefender -> Generic.Ransom.SamSam.*
Kaspersky -> Trojan-Ransom.MSIL.Samas.*

© Генеалогия: SamSam. Начало

К зашифрованным файлам добавляется расширение .encryptedRSA
Позже появились расширения:
.encryptedAES
.encedRSA
.justbtcwillhelpyou
.btcbtcbtc
.btc-help-you
.only-we_can-help_you
.iwanthelpuuu
.stubbin

.berkshire
и многие другие (см. обновления после статьи). 

Активность этого крипто-вымогателя зарегистрирована в феврале-марте-апреле 2016 г. Ориентирован на англоязычных пользователей, что позволило распространять его по всему миру. 
В марте 2016 года ФБР США обратилось к экспертам в сфере информационной безопасности с просьбой оказать содействие в расследовании деятельности вымогательского ПО Ransom: MSIL/Samas.A, или SamSam, известного ФБР с февраля этого года. 

Записка с требованием выкупа называется: HELP_DECRYPT_YOUR_FILES.html

Она размещается во всех папках, где есть зашифрованные файлы, а также на Рабочем столе. 

Содержание записки о выкупе:
All of your important files encrypted with RSA-2048, RSA-2848 is a powerful cryptography algorithm
For more information you can use Wikipedia
*attention: Don't rename or edit encrypted files because it will be impossible to decrypt your files
#How to recover files?
RSA is a asymmetric cryptographic algorithm, You need two key
1-Public key: you need it for encryption
2-Private Key: you need it for decryption
So you need Private key to recover your files.
All of your network computers files is encrypted with one public key. So you need just one Private key to recover all computers files
The private Key that we will send works on all your computers
#How to get private key?
It's not possible to recover your files without private key, You must send us 15,000$ USD in Bitcoin about(37 BTC) to receive private key For all affected computers
After that we send your private key in our blogs.
*Our blog address: *****
*Our Bitcoin address: *****
We check our Bitcoin address every 2 hours
After that we receive Bitcoins we send your Private Key in our blog
#What is Bitcoin?
Bitcoin is an innovative payment network and a new kind of money.
You can create a Bitcoin account at https://blockchain.info/ and deposit some money into your account and then send to us
#How to buy Bitcoin?
There are Many way to buy Bitcoin and deposit it into your account,
You can buy it with WesternUnion, Bank Wire, International Bank transfer, Cash deposit and etc
https://localbitcoins.com ---> Buy Bitcoin with WesternUnion or MoneyGram
https://coincafe.com ---> Buy Bitcoin fast and Secure with WesternUnion and Cash deposit
https://www.bitstamp.net ---> Buy Bitcoin with bank wire, International bank transfer, SEPA payment
httos://www.kraken.com ---> Buy Bitcoin with bank wire, International bank transfer, SEPA payment
https://www.kraken.com ---> Buy Bitcoin with bank wire, International bank transfer, SEPA payment
https://www.ccedk.com ---> Buy Bitcoin with bank wire, International bank transfer, SEPA payment
https://bitcurex.com/ ---> Buy Bitcoin with bank wire, International bank transfer, SEPA payment
If you want to pay with your Business bank account you should create a business account in exchangers they don't accept payment from third party
#How to use private Key?
We send you a simple software with private Key
And you just need run this software on each computer that encrypted and all affected files will be decrypted
#deadline
You just have 72 hours to send us the Bitcoin after 72 hours we will remove your private key and it's impossible to recover your files

Перевод записки на русский язык:
Все ваши важные файлы зашифрованы с RSA-2048, RSA-2848 - мощный криптографический алгоритм
Для получения информации вы можете использовать Википедию
* Внимание: не переименовывайте и редактируйт зашифрованные файлы, потому что невозможно будет расшифровать ваши файлы
# Как восстановить файлы?
RSA - асимметричный криптографический алгоритм, вам нужны два ключа
1 - открытый ключ: вам это нужно для шифрования
2 - закрытый ключ: вам нужно его для расшифровки
Таким образом, вам нужен закрытый ключ для восстановления ваших файлов.
Все файлы ваших сетевых компьютеров зашифрованы одним открытым ключом. Таким образом, вам нужен только один закрытый ключ для восстановления всех файлов компьютеров
Закрытый ключ, который мы отправим на все ваши компьютеры
# Как получить закрытый ключ?
Невозможно восстановить файлы без персонального ключа. Вы должны отправить нам 15 000 долларов США в биткоинах (37 BTC), чтобы получить секретный ключ. Для всех затронутых компьютеров
После этого мы отправим ваш секретный ключ в наши блоги.
* Наш адрес в блоге: *****
* Наш биткоин-адрес: *****
Мы проверяем наш биткоин-адрес каждые 2 часа
После этого мы получаем биткоины, которые мы отправляем в наш блог
# Что такое биткоин?
Биткоин - это инновационная платежная сеть и новый вид денег.
Вы можете создать учетную запись Биткоин на https://blockchain.info/ и внести деньги на свой счет, а затем отправить нам
# Как купить биткоин?
Есть много способов купить биткоины и внести его в свой аккаунт,
Вы можете купить его с WesternUnion, банковским переводом, международным банковским переводом, депозитом наличными и т. Д.
https://localbitcoins.com ---> Купить биткоин с WesternUnion или MoneyGram
https://coincafe.com ---> Купить биткоин быстро и безопасно с WesternUnion и депозитом наличными
https://www.bitstamp.net ---> Купить биткоин с банковским переводом, международный банковский перевод, оплата SEPA
httos: //www.kraken.com ---> Купить биткоин с банковским переводом, международный банковский перевод, оплата SEPA
https://www.kraken.com ---> Купить биткоин с банковским переводом, международный банковский перевод, оплата SEPA
https://www.ccedk.com ---> Купить биткоин с банковским переводом, международный банковский перевод, оплата SEPA
https://bitcurex.com/ ---> Купить биткоин с банковским переводом, международный банковский перевод, оплата SEPA
Если вы хотите оплатить свой банковский счет в бизнес-банке, вы должны создать учетную запись в обменных пунктах, которые они не могут принимать платежи от третьих лиц
#Как использовать закрытый ключ?
Мы отправляем вам простую программу с закрытым ключом
И вам просто нужно запустить эту программу на каждом компьютере, который зашифрован, и все затронутые файлы будут расшифрованы
#крайний срок
У вас просто есть 72 часа, чтобы отправить нам биткоин через 72 часа, мы удалим ваш личный ключ, и будет невозможно вернуть ваши файлы 



Подробнее о работе этого вредоноса

Удалённые взломщики используют хакерский инструмент JexBoss для автоматического обнаружения уязвимых систем с устаревшими версиями JBOSS и последующего запуска атаки для удалённой установки вымогателей SamSam на компьютеры жертв. Вредоносное ПО, поставляющее SamSam, раздается на Windows-системы посредством эксплуатации уязвимостей в непропатченных серверах JBoss. Затем устанавливает веб-шелл, идентифицирует другие подключенные к сети системы и внедряет вымогателя SamSam для осуществления шифрования файлов на устройствах сети. 


Схема последовательности атаки

Главная особенность Samas заключается в возможности шифрования данных на всех компьютерах в скомпрометированной сети. SamSam запускает на скомпрометированной машине процесс samsam.exe и приступает к шифрованию, используя комбинацию AES-256 (CBC) + RSA-2096. SamSam совсем не скрывает свою активность в системе, не использует упаковщик и не обнаруживает системных отладчиков. Работает автономно, но прекращает шифрование, если версия Windows ниже Vista, из-за проблем с совместимостью.

➤ Использует функционал Windows Restart Manager (менеджер перезагрузки), чтобы получить доступ к наибольшему количеству файлов и зашифровать их. 

➤ SamSam удаляет теневые копии файлов с помощью системного приложения  Vssadmin.exe. Эта функция впоследствии станет очень популярной среди шифровальщиков-вымогателей... 




Спустя некоторое время...

Спустя некоторое время после публикации новости, распространители Samsam подняли планку и стали требовать выкуп в 1,5-1,7 биткоина на зараженной системе, или 22 биткоинов за расшифровку файлов всех зараженных компьютеров сети. Malware-аналитики проконтролировали несколько кошельков Bitcoin, связанных с этими атаками, и заметили, что на них поступили выплаты в сотни тысяч долларов.

По словам исследователей, судя по всему, атаки совершались несколькими группами злоумышленников, на что указывает внедрение в системы различных бэкдоров: mela, shellinvoker, jbossinvoker, zecmd, cmd, genesis, sh3l, Inovkermngrt и jbot.

Среди признаков, свидетельствующих о получении преступниками контроля над системой, упоминается появление сторонних файлов jbossass.jsp, jbossass_jsp.class, shellinvoker.jsp, shellinvoker_jsp.class, mela.jsp, mela_jsp.class, zecmd.jsp, zecmd_jsp.class, cmd.jsp, cmd_jsp.class, wstats.jsp, wstats_jsp.class, idssvc.jsp, idssvc_jsp.class, iesvc.jsp или iesvc_jsp.class.


География распространения вымогательской инфекции SamSam


Технические подробности

Распространяется путём взлома через незащищенную конфигурацию RDP или может распространяться с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
.3dm, .3ds, .3fr, .3g2, .3gp, .3pr, .7z, .ab4, .accdb, .accde, .accdr, .accdt, .ach, .acr, .act, .adb, .ads, .agdl, .ai, .ait, .al, .apj, .arw, .asf, .asm, .asp, .aspx, .asx, .avi, .awg, .back, .backup, .backupdb, .bak, .bank, .bay, .bdb, .bgt, .bik, .bkf, .bkp, .blend, .bpw, .c, .cdf, .cdr, .cdr3, .cdr4, .cdr5, .cdr6, .cdrw, .cdx, .ce1, .ce2, .cer, .cfp, .cgm, .cib, .class, .cls, .cmt, .cpi, .cpp, .cr2, .craw, .crt, .crw, .cs, .csh, .csl, .csv, .dac, .db, .db3, .dbf, .db-journal, .dbx, .dc2, .dcr, .dcs, .ddd, .ddoc, .ddrw, .dds, .der, .des, .design, .dgc, .djvu, .dng, .doc, .docm, .docx, .dot, .dotm, .dotx, .drf, .drw, .dtd, .dwg, .dxb, .dxf, .dxg, .eml, .eps, .erbsql, .erf, .exf, .fdb, .ffd, .fff, .fh, .fhd, .fla, .flac, .flv, .fmb, .fpx, .fxg, .gray, .grey, .gry, .h, .hbk, .hpp, .htm, .html, .ibank, .ibd, .ibz, .idx, .iif, .iiq, .incpas, .indd, .jar, .java, .jpe, .jpeg, .jpg, .jsp, .kbx, .kc2, .kdbx, .kdc, .key, .kpdx, .lua, .m, .m4v, .max, .mdb, .mdc, .mdf, .mef, .mfw, .mmw, .moneywell, .mos, .mov, .mp3, .mp4, .mpg, .mrw, .msg, .myd, .nd, .ndd, .nef, .nk2, .nop, .nrw, .ns2, .ns3, .ns4, .nsd, .nsf, .nsg, .nsh, .nwb, .nx2, .nxl, .nyf, .oab, .obj, .odb, .odc, .odf, .odg, .odm, .odp, .ods, .odt, .oil, .orf, .ost, .otg, .oth, .otp, .ots, .ott, .p12, .p7b.p7c, .pab, .pages, .pas, .pat, .pbl, .pcd, .pct, .pdb, .pdd, .pdf, .pef, .pem, .pfx, .php, .php5, .phtml, .pl, .plc, .png, .pot, .potm, .potx, .ppam, .pps, .ppsm, .ppsx, .ppt, .pptm, .pptx, .prf, .ps, .psafe3, .psd, .pspimage, .pst, .ptx, .py, .qba, .qbb, .qbm, .qbr, .qbw, .qbx, .qby, .r3d, .raf, .rar, .rat, .raw, .rdb, .rm, .rtf, .rw2, .rwl, .rwz, .s3db, .sas7bdat, .say, .sd0, .sda, .sdf, .sldm, .sldx, .sql, .sqlite, .sqlite3, .sqlitedb, .sr2, .srf, .srt, .srw, .st4, .st5, .st6, .st7, .st8, .std, .sti, .stw, .stx, .svg, .swf, .sxc, .sxd, .sxg, .sxi, .sxi, .sxm, .sxw, .tex, .tga, .thm, .tib, .tif, .tlg, .txt, .vob, .wallet, .war, .wav, .wb2, .wmv, .wpd, .wps, .x11, .x3f, .xis, .xla, .xlam, .xlk, .xlm, .xlr, .xls, .xlsb, .xlsm, .xlsx, .xlt, .xltm, .xltx, .xlw, .xml, .ycbcra, .yuv, .zip (327 расширений). 

В других версиях: 
 .3dm, .3ds, .3fr, .3g2, .3gp, .3pr, .7z, .ab4, .accdb, .accde, .accdr, .accdt, .ach, .acr, .act, .adb, .ads, .agdl, .ai, .ait, .al, .apj, .arw, .asf, .asm, .asp, .aspx, .asx, .avi, .awg, .back, .backup, .backupdb, .bak, .bank, .bay, .bdb, .bgt, .bik, .bin, .bkf, .bkp, .blend, .bpw, .c, .cab, .cdf, .cdr, .cdr3, .cdr4, .cdr5, .cdr6, .cdrw, .cdx, .ce1, .ce2, .cer, .cfp, .cgm, .chm, .cib, .class, .cls, .cmt, .cnf, .conf, .cpi, .cpp, .cr2, .craw, .crt, .crw, .cs, .csh, .csl, .csv, .dac, .dat, .data, .db, .db3, .dbf, .db-journal, .dbx, .dc2, .dcr, .dcs, .ddd, .ddoc, .ddrw, .dds, .der, .des, .design, .dgc, .djvu, .dng, .doc, .docm, .docx, .dot, .dotm, .dotx, .drf, .drw, .dtd, .dwg, .dxb, .dxf, .dxg, .eml, .eps, .erbsql, .erf, .exf, .fdb, .ffd, .fff, .fh, .fhd, .fla, .flac, .flv, .fmb, .fpx, .fxg, .gif, .gray, .grey, .gry, .gz, .h, .hbk, .hpp, .htm, .html, .ibank, .ibd, .ibz, .idx, .iif, .iiq, .incpas, .indd, .jar, .java, .jin, .jpe, .jpeg, .jpg, .js, .jse, .jsp, .kc2, .kdbx, .kdc, .key, .kpdx, .log, .lua, .m, .m4v, .max, .mdb, .mdc, .mdf, .mef, .mfw, .mm, .mmw, .moneywell, .mos, .mov, .mp3, .mp4, .mpg, .mrw, .msg, .myd, .nd, .ndd, .nef, .nk2, .nof, .nop, .nrw, .ns2, .ns3, .ns4, .nsd, .nsf, .nsg, .nsh, .nvram, .nwb, .nx2, .nxl , .oab, .obj, .odb, .odc, .odf, .odg, .odm, .odp, .ods, .odt, .oil, .orf, .ost, .otg, .oth, .otp, .ots, .ott, .p12, .p7b, .p7c, .pab, .pages, .pas, .pat, .pbl, .pcd, .pct, .pdb, .pdd, .pdf, .pef, .pem, .pfx, .php, .pl, .plc, .png, .pot, .potm, .potx, .ppam, .pps, .ppsm, .ppsx, .ppt, .pptm, .pptx, .prf, .ps, .psafe3, .psd, .pspimage, .pst, .ptx, .py, .qba, .qbb, .qbm, .qbr, .qbw, .qbx, .qby, .r3d, .raf, .rar, .rat, .raw, .rdb, .rm, .rtf, .rw2, .rwl, .rwz, .s3db, .sas7bdat, .say, .sd0, .sda, .sdf, .sldm, .sldx, .sql, .sqlite, .sqlite3, .sqlitedb, .sr2, .srf, .srt, .srw, .st4, .st5, .st6, .st7, .st8, .std, .sti, .stw, .stx, .svg, .swf, .sxc, .sxd, .sxg, .sxi, .sxm, .sxw, .tex, .tga, .tif, .tlg, .txt, .vb, .vbs, .vmdk, .vmem, .vmsd, .vmsn, .vmx, .vmxf, .vob, .wallet, .war, .wav, .wb2, .wmv, .wpd, .wps, .x11, .x3f, .xis, .xla, .xlam, .xlk, .xlm, .xlr, .xls, .xlsb, .xlsm, .xlsx, .xlt, .xltm, .xltx, .xlw, .ycbcra, .yuv, .yuvxlr, .zip (345 расширений).

Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, бэкапы, архивы и пр.

Файлы, связанные с этим Ransomware:
samsam.exe
HELP_DECRYPT_YOUR_FILES.html - записка о выкупе;
<random>.exe - исполняемый файл вымогателя;
delfiletype.exe - копия исполняемого файла вымогателя;
sqlsrvtmg1.exe - копия исполняемого файла вымогателя;
psexec.exe - развертывает другие компоненты; 
del.exe - делает зачистку следов присутствия вымогателя в системе;
selfdel.exe - делает аналогичную зачистку следов (в другой версии);
list.txt - содержит украденные учётные данные.

Расположения:
C:\Windows\system32\samsam.exe
\User_folders\HELP_DECRYPT_YOUR_FILES.html
\Desktop\HELP_DECRYPT_YOUR_FILES.html

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
xxxxs://lordsecure4u.wordpress.com
xxxx://wzrw3hmj3pveaaqh.onion/diana
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: высокая и перспективно высокая.
Подробные сведения собираются регулярно.


=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===


Обновление от 6 апреля 2016:
Пост в Твиттере >>
Расширение: .justbtcwillhelpyou

Обновление от 16 апреля 2016:
Пост в Твиттере >>
Расширение: .btcbtcbtc

Обновление от 26 апреля 2016:
Пост в Твиттере >>
Записка: HELP_FOR_DECRYPT_FILE.html
Расширение: .btc-help-you

Обновление от 11 мая 2016: 
Пост в Твиттере >>
Расширение: .only-we_can-help_you
Результаты анализов: HA+VT

Обновление от 30 июня 2016: 
Пост в Твиттере >>
Файл: wanadoesme.exe
Записка: 000-HELP_FOR_DECRYPT_FILE.html
Расширение: .iwanthelpuuu
Результаты анализов: HA+VT

Обновление от 4 ноября 2016:
Пост в Твиттере >>
Расширение: .notfoundrans
Записка: READ-FOR-HELLPP.html
BTC: 15gbE7z9cbxg5Gvh2rDFPdU1a1VLu9rnBa
Tor: ***qjvah4btqkppaudo.onion/gclass007/
Результаты анализов: VT

Обновление от 14 декабря 2016:
Файл: barbimos2.exe
Записка: READ-FOR-HELLPP.html
Расширение: .checkdiskenced
BTC: 15zpJyi4DaqRhTS2PRDHt4z1WQiGm5gsMZ
Tor: ***qjy2f3q45elp2tlc.onion/33fiveman/
Результаты анализов: VT

Обновление от 14 декабря 2016:
Пост в Твиттере >>
Файл: sobusy.exe
Фальш-имя: Contact MSoffice
Записка: 000-PLEASE-READ-WE-HELP.html
Расширение: .VforVendetta
BTC: 12Z7QctstwkxxfWdrFJs1oEpDLT3jpqcPq
Tor: ***qjy2f3q45elp2tlc.onion/sking01/
Результаты анализов: VT

Обновление от 23 декабря 2016:
Файлы: WinDir.exe (Desktop Windows Manager)
anabella2.exe
Записка: READ-FOR-HELLPP.html
Расширение: .checkdiskenced
BTC: 1Ar31oJp7ALcErh61KGiu18WsmjWpHc9pi
Tor: ***qjy2f3q45elp2tlc.onion/stackoverflow42/
Результаты анализов: VT

Обновление от 25 декабря 2016:
Пост в Твиттере >>
Записка: 002-HAPPEN-ENCED-FILES.html
Расширение: .happenencedfiles

Обновление от 30 декабря 2016:
Пост в Твиттере >>
Записка: WHERE-YOUR-FILES.html
Расширение: .Whereisyourfiles

Обновление от 1 января 2017:
Пост в Твиттере >>
Записка: HELP-ME-ENCED-FILES.html
Расширение: .helpmeencedfiles
Tor: ***heyvkn3uty2irsjx.onion/xmanx665
BTC: 1DyCVs9fBcxvd56R7tPRG1ENY1hZ4NZGcZ
Результаты анализов: VT

Обновление от 4 января 2017:
Пост в Твиттере >>
Записка: 001-PLS-DEC-MY-FILES.html
Расширение: .wowwhereismyfiles

Обновление от 10 января 2017:
Пост в Твиттере >>
Записка: 000-WOW-READ-FOR-DECRYP.html
Расширение: .wowreadfordecryp

Обновление от 14 января 2017:
Пост в Твиттере >>
Записка: WE-MUST-DEC-FILES.html
Расширение: .powerfulldecrypt
BTC: 1CMJGvv6usQ5tz4z8miDngQeRzrgvBuz8H
Tor: ***heyvkn3uty2irsjx.onion/shield221/
Результаты анализов: HA+VT

Обновление от 25 января 2017:
Пост в Твиттере >>
Записка: 000-IF-YOU-WANT-DEC-FILES.html
Расширение: .otherinformation

Обновление от 1 февраля 2017:
Пост в Твиттере >>
Записка: LET-ME-TRY-DEC-FILES.html
Расширение: .letmetrydecfiles

Обновление от 13 февраля 2017:
Пост в Твиттере >>
Записка: 001-READ-FOR-DECRYPT-FILES.html
Расширение: .encryptedyourfiles

Обновление от 21 февраля 2017:
Пост в Твиттере >>
Файл: preguess2.exe
Записка: READ-READ-READ.html
Расширение: .weencedufiles
Tor: ***v45y2fwx5ugpegmi.onion/11preguess990/
Результаты анализов: VT

Обновление от 3 марта 2017:
Пост в Твиттере >>
Записка: PLEASE-READIT-IF_YOU-WANT.html
Расширение: .filegofprencrp

Обновление от 11 марта 2017:
Пост в Твиттере >>
Файл: emetic45.exe
Записка: IF_WANT_FILES_BACK_PLS_READ.html
Расширение: .iaufkakfhsaraf
Tor: http://v45y2fwx5ugpegmi.onion/246526744emetic76453434/
BTC: 1Lmio7ee8nBk98ZWBEWi98NL3qBCWvshuJ
Результаты анализов: VT

Обновление от 20 марта 2017:
Пост в Твиттере >>
Записка: READ_READ_DEC_FILES.html
Расширение: .cifgksaffsfyghd

Обновление от 23 марта 2017:
Расширение: .checkdiskenced
Записка: READ-FOR-HELLPP.html
BTC: 1DA1gyQNpCRM1292nV3xY53tkDzeJ7SgZ4
Tor: ***qjy2f3q45elp2tlc.onion/22ultra/
Результаты анализов: HA+VT

Обновление от 24 марта 2017:
Записка: WE-CAN-HELP-U.html
Расширение: .vekanhelpu
BTC: 1G8CNAevnbz4iu2PUGMU65FyoNgZeNVYQY
Tor: ***pt7ow5kk6dxkobcq.onion/6petro33/
Результаты анализов: VT

Обновление от 26 июня 2017:
Пост в Твиттере >>
Расширение: .moments2900

Обновление от 14 июля 2017:
Расширение: .country82000

Обновление от 19 июля 2017:
Пост в Твиттере >>
Расширения: .breeding123 и .mention9823

Обновление от 30 июля 2017:
Пост в Твиттере >>
Расширение: .supported2017
Файлы: cheerful2.exe (2768784_cheerful2.exe)
BTC: 1NWDgpimwWxmsVysjdzd3udEUKmFjN7pnN
C2 URL: xxxx://fxn5ao5mmaktpsug.onion/19732remarkably84561/
Результаты анализов: VT, VT

Обновление от 26 августа 2017:
Записка: PLEASE-README-AFFECTED-FILES.html
Расширение: .prosperous666
Файлы: convinced2.exe
Tor: xxxx://fxn5ao5mmaktpsug.onion/assistance9294637472/
BTC: 1NFpwYEw4DvFrMLaHAV3gP4awuWZe2o4Yw
Результаты анализов: HA+VT

Обновление от 8 сентября 2017:
Пост в Твиттере >>
Расширение: .disposed2017
Записка: PLEASE-README-HOWTO-RECOVERY.html
Tor-URL: fxn5ao5mmaktpsug.onion/existence748563853/
BTC: 1AMEyf3sDK1HtYpCYbiqQ8n7GtXxHwDxM
BTC: 1PNNAA8eD1o6hSp879PKzoakXxyQnx9NiP
Результаты анализов: VT, VT

Обновление от 18 сентября 2017: 
Пост в Твиттере >>
Расширение: .myransext2017
Записка: 005-DO-YOU-WANT-FILES.html
Tor-URL: fxn5ao5mmaktpsug.onion

Обновление от 18 сентября 2017: 
Пост в Твиттере >>
Расширение: .areyoulovemyrans
Записка: 0000-DO-YOU-WANT-FILES. html
Tor-URL: fxn5ao5mmaktpsug.onion

Обновление от 28 декабря 2017:
Пост в Твиттере >>
Расширение: .weapologize
Записка: 0000-SORRY-FOR-FILES.html
0009-SORRY-FOR-FILES.html
Статья от 19 января 2018 >>
Статья от 22 января 2018 >>



ПРЕДПОЛОЖИТЕЛЬНО! 
Обновление от 20 апреля 2018 / Updated April 20, 2018:
Расширение / Extension: .greystars@protonmail.com
Email: greystars@protonmail.com
BTC: 1JnRP8UsTDLRjzCTaJXYPr5oYkKc7bLY2Q
Сумма выкупа / Sum of ransom: 0.08
Записка / Ransom note: HOW-TO-RECOVER-YOUR-FILES.HTML
или How-To-Recover-Your-Files.html
 
Пример записки о выкупе
 
Целевые расширения 
Зашифрованное в директории jboss-4.2.2 GA/bin
Это обновление, как не относящееся к SamSam выделено в отдельную статью Greystars Ransomware. Возможно, что оно будет стёрто. 



Обновление от 6 июля 2019:
Пост в Твиттере >>
Результаты анализов: VT + VT

Обновление от 28 октября 2019:
Пост в Твиттере >>
Расширение: .JayTHL
Записка: FuckYouJayTHL_HELP_ENCRYPTED_FILES.TXT
Email: steamgamer99@gmail.com
BTC: 1LS32VsvWhWU6ud9h3xEDuJzgEbRtBnymE
Результат анализов: VT + AR + IA


Сообщение от 29 ноября 2018: 
В ноябре 2018 года Управление по контролю за иностранными активами (OFAC) Министерства финансов США и Министерство юстиции США предъявили обвинения двум находящимся в Иране лицам Али Хорашадизаде и Мохаммаду Горбаниян. Обвиняемым было предъявлено обвинение в обмене выкупов в биткойнах, полученных в результате вымогательтсва с помощью Samsam Ransomware, на иранский риал и депонировании риала в иранские банки. Хорашадизаде и Горбаниян предоставляли финансовую, материальную или технологическую поддержку для хакерских атак SamSam.
Экспертам OFAC удалось идентифицировать Биткоин-адреса подозреваемых, чуть позже они были обнародованы. Как оказалось, через их кошельки прошло около 7000 биткоинов с транзакциями с 40 крупнейших бирж. Даже с учётом сегодняшней цены криптовалюты это больше 25 миллионов долларов.
Министерство юстиции США подозревает Хорашадизаде и Горбаняна в атаке на 200 сетей в США, Великобритании и Канаде с 2015 года. Руководство одного из госпиталей в Индиане было вынужденно выплатить выкуп мошенникам, чтобы их базы данных вновь заработали.

Таким образом, официальные органы США впервые наложили санкции на адрес кошелька с криптовалютами и впервые попытались привязать адреса к личности отдельных людей. К тому же теперь криптовалюту Хорашадизаде и Горбаняна официально признали собственностью OFAC, подлежащей изъятию. Представители Управления по контролю над иностранными активами США также заверили, что будут пресекать все попытки Ирана использовать цифровые активы, чтобы уйти от санкций.





=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
 Read to links: 
 Write-up, Write-up, Write-up, Write-up
 ID Ransomware
 Topic of Support
 Added later:
SamSam ransomware: controlled distribution for an elusive malware (on June 19, 2018 by MalwareBytes Labs)
 Thanks: 
 авторам статей из раздела "Write-up"
 Michael Gillespie
 MalwareBytes Labs
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

четверг, 10 марта 2016 г.

Pompous

Pompous Ransomware 

SkidLocker Ransomware 

(шифровальщик-вымогатель)


   Этот крипто-вымогатель шифрует данные пользователей с помощью AES-256 + RSA-2048, а затем требует выкуп в ~0,5 биткоинов, чтобы вернуть файлы (каждый раз сумма другая, например, 0,500437). Сумма менялась неслучайно, так вымогатель номеровал своих жертв. На уплату выкупа им давалось 72 часа. Название получил от напыщенного сообщения разработчика-вымогателя к своим жертвам во второй части запсики о выкупе. Другое название: SkidLocker

© Генеалогия: EDA2 >> Pompous (SkidLocker) >> MM Locker

К зашифрованным файлам добавляется расширение .Locked
Примечательно, что в системной папке Windows шифровальщик добавляет к файлам, не имеющим своих расширений, специальное расширение .mp4

Активность этого крипто-вымогателя пришлась на март-апрель 2016 г. Примечательно, что он сумел за один день зашифровать файлы у 700 жертв. Ориентирован на англоязычных пользователей.

Записки с требованием выкупа называются: READ_IT.txt
Вторым уведомлением о зашифрованных файлах является скринлок, т.е. изображение ransom.jpg, встающее обоями рабочего стола. Там только короткая фраза, указывающая на вышеназванный текстовый файл. 

Содержание части текстовой записки о выкупе:
Uh oh.  It looks like your data has been the victim of the encryption thief.  Your files have been encrypted with AES: search your drive for "locked" if you don't believe me .  Unfortunately you're going to have to pay some money to get your files back and your fee is approximately $200 in US Dollars.  I'll get right to the ugly details for that:
* You have 72 hours to make this happen as of 08/03/2016 22:57:36.  Otherwise, your files are lost for good.  I will delete the necessary code for all time and I don't even have to revisit your machine to do it.
* You will be paying by Bitcoin.  Don't worry, it is easy to figure out.  Your fee is 0.500437 BTC.  Pay this amount precisely, or I might not know who it was that paid in order to rescue them.
* Use LocalBitcoins.com.  It isn't hard to use, there are numerous ways to pay for my bitcoins on there, and most importantly, it is fast.  Did I mention you have 72 hours?
* The address you will be sending the bitcoins to is 192awRvM4V8LS24GSHj6o3v2fVQ5QYh4pB .
* Then you will wait for me to get the unlock code for you.  Your code will be shown here, http://let-me-help-you-with-that.webnode.com/ , under the amount you paid.  This may take a day or so: you are on my schedule now :P
* Once you have the code, you can unlock your files as follows:
*** Go to your Start Menu
*** In the search field, type "cmd".
*** Right click the cmd program.
*** Click Run As Administrator (doesn't have to be but files might be missed otherwise)
*** Click Yes to allow it to run like that.
*** Type "cd C:\Users\Wiwi"
*** Type "Decrypter.exe <Your Code>"
*** Other people's codes will not work for you, obviously.

That is basically it.  The rest of this document is a further description about your situation...

Перевод части записки на русский язык:
Ой-ой. Похоже, что ваши данные стали жертвой шифрования. Ваши файлы зашифрованы с помощью AES: поищите на диске "locked", если вы мне не верите мне. К сожалению, вы будете должны заплатить определенную сумму денег, чтобы получить ваши файлы обратно и эта сумма составляет около $200 в долларах США. Я имеют право сообщить неприятные деталей этого:
* У вас есть 72 часа, с момента когда это произошло, по состоянию на 08/03/2016 22:57:36. Иначе ваши файлы будут потеряны навсегда. Я удалю необходимый код после этого времени, и мне не состави труда, чтобы сделать это.
* Вы должны платить в биткоинах. Не волнуйтесь, это нетрудно. Ваш взнос составляет 0.500437 BTC. Заплатить надо точно эту сумму, или я не смогу узнать, кто что заплатил, чтобы спасти их.
* Используйте LocalBitcoins.com. Это не трудно. Есть много способов оплаты моих биткоинов там, и самое главное, это быстро. Я уже говорил, у вас есть 72 часа?
* Адрес, на который вы должны посылать биткоины это 192awRvM4V8LS24GSHj6o3v2fVQ5QYh4pB.
* Вы будете ждать меня, чтобы получить ваш код разблокировки. Ваш код будет показан здесь, http://let-me-help-you-with-that.webnode.com/, под сумму, которую вы заплатили. Это может занять день или больше...
* После того, как у вас будет код, вы можете разблокировать ваши файлы следующим образом: 
*** Перейдите в меню Пуск
*** В поле поиска введите "cmd".
*** Щелкните правой кнопкой мыши по "cmd" в меню.
*** Нажмите "Запуск от имени администратора"...
*** Нажмите Да, чтобы разрешить ему работать...
*** Тип "cd C:\Users\User_name"
*** Тип "Decrypter.exe <Ваш код>"
*** Чужие коды не будут работать у вас, наверное.

Это основное. Остальная часть этого документа относится к описанию вашей ситуации...

   Далее в записке разработчик-вымогатель, создавший Pompous Ransomware, ведет себя дерзко, бахвалится и злорадствует, для чего написал своим жертвам целую петицию следующего содержания (привожу его текст лишь частично):
"Вы никогда не сможете найти меня. Полиция никогда не сможет найти меня... Можете обращаться куда хотите, но тогда не ждите ваши данные обратно... Через 72 часа вы уже не сможете получить эти файлы обратно...Так что будьте благодарны, чтобы не стало хуже. Я мог бы попросить больше денег... "

Распространяется этот шифровальщик с помощью email-спама и вредоносных вложений, фальшивых обновлений, перепакованных и заражённых инсталляторов.

Пропускаются файлы с размером более 1 Гб и каталог Windows. 

Благодаря бэкдору, внедрённому Ютку Сеном в EDA2, ему с помощником Demonslay335, удалось получить множество ключей дешифрования и выложить список в открытый доступ (имя ПК, имя пользователя, AES-ключ), чтобы помочь пострадавшим дешифровать их файлы. Сейчас список уже удалён за ненадобностью. 

После уплаты выкупа и запуска декриптера от вымогателей, он заменяет обои вымогателя на новые: Thank You...

Список файловых расширений, подвергающихся шифрованию:
 .asp, .aspx, .avi, .box, .csv, .db, .dbf, .doc, .docx, .frm, .gam, .ged, .gif, .html, .ifx, .jpg, .log, .lwp, .m4a, .mdb,  .mov, .mp3, .mp4, .mpa, .mpg, .msg, .myd, .myi, .myo, .ncf, .nsf, .ntf, .odt, .ofx, .pdf,.php, .png, .pps, .ppt, .pptx, .psd, .qdf, .qfx, .qif, .rm, .sav,.sln,  .sql, .tax, .tax2013, .tax2014, .tax2015,.txt, .wav, .wmv, .xls, .xlsx, .xml, .ynab (59 расширений). 

Файлы, связанные с Pompous Ransomware:
 ransom.exe
 mm.exe
 C:\Users\User_name\Desktop\READ_IT.txt
 C:\Users\User_name\Desktop\ransom.jpg
 C:\Users\User_name\Desktop\Decrypter.exe
 C:\Users\User_name\WindowsUpdate.bat

Записи реестра, связанные с Pompous Ransomware:
См. ниже гибридный анализ.

Сетевые подключения:
хттп://i.imgur.com/By3yCwd.jpg
хттп://i.imgur.com/eROA81P.jpg
23.227.199.175 (США)
23.227.199.83 (США)

Результаты анализов:
Гибридный анализ >> 
VirusTotal анализ >>
VirusTotal анализ ещё >>

Степень распространённости: низкая.
Подробные сведения собираются.

 Read to links: 
 Write-up on BC
 Nyxbone Analysis
 *
 Thanks: 
 Lawrence Abrams
 Michael Gillespie (Demonslay335)
 Mosh on Nyxbone
 

Постоянные читатели

My tweet feed

My tweet feed
Follow me!

My profile on BC

My profile on BC
Follow me!

Форма для связи / Contact

Имя

Электронная почта *

Сообщение *