Apocalypse

Apocalypse Ransomware

ApocalypseVM Ransomware

(шифровальщик-вымогатель)

Как удалить? Как расшифровать? Как вернуть данные? 
По ссылке выберите Управление "К" МВД России и подайте онлайн-заявление. 
См. также статьи УК РФ: 
ст. 159.6 "Мошенничество в сфере компьютерной информации"
ст. 272 "Неправомерный доступ к компьютерной информации" 
ст. 273 "Создание, использование и распространение вредоносных компьютерных программ"

Информация о шифровальщике

   Этот крипто-вымогатель шифрует данные пользователей с помощью алгоритма XOR, а затем требует связаться с вымогателями для получения Bitcoin-адреса для оплаты. Нужно заплатить 1 биткоин, чтобы получить дешифровщик. Англоязычные пострадавшие сообщают о сумме в $100 долларов. Цели шифрования: базы данных, документы, PDF, фотографии, музыка, видео, общие сетевые папки и пр. Зашифрованные файлы получают расширение .encrypted. Оригинальное название: Apocalypse. Вымогатели из Украины, но у них могут быть помощники в других странах. 

© Генеалогия: Apocalypse > ApocalypseVM, Dr. Jimbo, SecureCryptor, Apocalypse-Unavailable, Al-Namrood, Esmeralda, Kangaroo, Missing и другие. 

  Записка о выкупе называется .How_To_Decrypt.txt (Как дешифровать).
Предлагаемый в записке контактный email: decryptionservice@mail.ru

Записка о выкупе и экран блокировки

Содержание записки о выкупе:
IF YOU ARE READING THIS MESSAGE, ALL THE FILES IN THIS COMPUTER HAVE BEEN CRYPTED!!
documents, pictures, videos, audio, backups, etc
IF YOU WANT TO RECOVER YOUR DATA, CONTACT THE EMAIL BELOW.
EMAIL: decryptionservice@mail.ru
WE WILL PROVIDE DECRYPTION SOFTWARE TO RECOVER YOUR FILES.
IF YOU DONT CONTACT BEFORE 72 HOURS, ALL DATA WILL BE LOST FOREVER

Перевод записки на русский язык:
ЕСЛИ ВЫ ЧИТАЕТЕ ЭТО СООБЩЕНИЕ, ВСЕ ФАЙЛЫ В ЭТОМ КОМПЬЮТЕРЕ ЗАШИФРОВАНЫ
документы, изображения, видео, аудио, бэкапы и т.д.
ЕСЛИ ВЫ ХОТИТЕ ВОССТАНОВИТЬ ДАННЫЕ, ПИШИТЕ НА ПОЧТУ.
E-MAIL: decryptionservice@mail.ru
МЫ ПРИШЛЕМ ДЕШИФРОВЩИК ДЛЯ ВОССТАНОВЛЕНИЯ ВАШИХ ФАЙЛОВ.
ЕСЛИ ВЫ НЕ ОТВЕЧАЕТЕ ДО 72 ЧАСОВ, ВСЕ ДАННЫЕ БУДУТ НАВСЕГДА ПОТЕРЯНЫ

В записке в разных версиях указаны разные email:
decryptionservice@mail.ru - в Apocalypse 
decryptservice@inbox.ru - в ApocalypseVM

  Примечательно, что записка с требованием выкупа создается для каждого зашифрованного файла. Например, если Apocalypse шифрует файл с именем test.jpg, то будет создан зашифрованный файл test.jpg.encrypted и файл-записка с именем test.jpg.encrypted.How_To_Decrypt.txt .

Технические детали

  Apocalypse устанавливается в C:\Program Files (x86)\windowsupdate.exe 
Прописывается в автозагрузку Windows под именем Windows Update Svc, чтобы запускаться всякий раз, когда пользователь входит в систему. После запуска он отображает экран блокировки с текстом, как в записке о выкупе. 

Удаляет теневые копии файлов командой:
cmd.exe /c vssadmin delete shadows /all /quiet 

  При первом и последующих запусках Apocalypse будет шифровать все найденные файлы, за исключением тех, что находятся в папке Windows, и тех, которые имеют расширения: .encrypted, .dat, .bat, .bin, .ini, .tmp, .lnk, .com, .msi, .sys, .dll, .exe. 

  Когда вымогатель закончит шифрование файлов, будет отображаться экран блокировки, который блокирует доступ к рабочему столу Windows.

  Вы можете перезагрузить систему в безопасном режиме, чтобы обойти экран блокировки и запустить декриптер для дешифровки файлов.

Файл, связанный с Apocalypse Ransomware:
C:\Program Files (x86)\windowsupdate.exe

Запись реестра, связанная с Apocalypse Ransomware:
HKCU\Software\Microsoft\Windows\CurrentVersion\Run\Windows Update Svc     C:\Program Files (x86)\windowsupdate.exe

Сетевые подключения и связи:
Разные email-адреса вымогателей:
decryptionservice@mail.ru
decryptservice@mail.ru
decryptionservice@inbox.ru
decryptservice@inbox.ru
decryptdata@inbox.ru
ransomware.attack@list.ru
cryptcorp@inbox.ru
recovery@mail15.com

Степень распространенности: высокая, включая клоны.
Подробные сведения собираются регулярно.

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Дополнение от 18 июня 2016:
Новая версия: ApocalypseVM использует VMProtect для своей защиты. 
Записка о выкупе: [filename].How_To_Get_Back.txt
Добавляемые расширения: .encrypted и .locked
Email: decryptionservice@inbox.ru и decryptdata@inbox.ru
Вымогатели изменили ключи шифрования.
Emsisoft выпустили декриптер для ApocalypseVM.

Дополнение от 30 июня 2016:
Добавляемые расширения: .FuckYourData и .SecureCrypted
Новая записка о выкупе для каждого файла .Contact_Here_To_Recover_Your_Files.txt
Теперь шифровальщик не трогает файлы с расширением .SecureCrypted и текстовую записку .Contact_Here_To_Recover_Your_Files.txt
Подробнее >> 

Дополнение от 7 июля 2016:

Добавляемое расширение: .bleepYourFiles
Новая записка о выкупе для каждого файла .Where_my_files.txt

Дополнение от 10 июля 2016:
Новая версия: Apocalypse-Unavailable
Добавляемое расширение: .unavailable
Новая записка о выкупе для каждого файла Read_Me.txt

Дополнение от 6 августа:
Добавляемое расширение: .Encryptedfile
Почта вымогателей: ransomware.attack@list.ru

Обновление от 4 декабря 2016:
Пост в Твиттере >>
Записка: [md5].txt (пример: 48D353168099CBAF04D6BB52FE1CDAC5.TXT)
Email: cryptservice@inbox.ru
Расширение: .[random_7_chars]
Шаблон расширения: [filename].ID-[8chars]+[countrycode]+[cryptservice@inbox.ru].[random_7_chars] (пример: 48D353168099CBAF04D6BB52FE1CDAC5.TXT)

Обновление от 19 декабря 2016:
Пост в Твиттере >>
Примеры расширений: .ghwht7ghahgpo, .nqazadyanaa
Шаблон зашифрованного файла: filename.ID-[A-F0-9]{8}+countrycode[cryptcorp@inbox.ru].[a-z0-9]{13}
Примеры зашифрованных файлов: 
Document.P0LRBE2RUK[cryptcorp@inbox.ru].ghwht7ghahgpo
Papier.docx.ID-4823B406FRNI[decryptservice@mail.ru].nqazadyanaa
Email: decryptservice@mail.ru
Jabber: decryptservice@jabber.ua
Примеры записок о выкупе: 
48D353168099CBAF04D6BB52FE1CDAC5.TXT
E7DEC816A382C6214F45184823B406FRNI.txt

➤ Содержание записки:
All your files was encrypted with strong algorithm AES256 and unique key.
Do not worry, all your files in the safety, but are anavailable at the moment.
To recover the files you need to get special decryption software and your personnal key.
You can contact us via Email:
decryptservice@mail.ru
Your Personnal ID: 4823B406F***
Please use public mail service like gmail or yahoo to contact use, because messages can be not
If you do not receive an answer within 24 hours, it means our email has been blocked.
Dont panic and write us to Jabber (It is not Email !!!): decryptservice@jabber.ua
How to register a jabber account: http://www.wikihow.com/Create-a-Jabber-Account
You have 3 working days
Regards

Обновление от 20 декабря 2016:
Пост в Твиттере >>

Записка: [md5].txt (пример: 48D353168099CBAF04D6BB52FE1CDAC5.TXT)
Email: cryptcorp@inbox.ru
Расширение: .[random_13_chars] или .[a-z0-9]{13} - это одно и тоже
Шаблон расширения: [filename].ID-[8chars]+[countrycode]+[cryptcorp@inbox.ru].[random_13_chars] (пример: 48D353168099CBAF04D6BB52FE1CDAC5G6HJC8.TXT)
иначе и короче
filename.ID-[A-F0-9]{8}+countrycode[cryptcorp@inbox.ru].[a-z0-9]{15}

Обновление от 26 апреля 2017:
См. статью Apocalypse-Missing Ransomware
Расширение: .missing 
Записка: <note_title>.txt / добавляется к названию каждого файла как составное расширение: .<note title>.txt
Email: recovery@mail15.com
Результаты анализов: HA + VT

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

Внимание!
Для зашифрованных файлов есть дешифровщики
Скачать ApocalypseDecrypter для дешифровки >>
Скачать ApocalypseVMDecrypter для дешифровки >>
Скачать дешифровщик от Avast по ссылке >>
Для более новых версий дешифровка может не сработать.

 Read to links: 
 ID Ransomware (Apocalypse, Apocalypse VM, Apocalypse (New Variant))
 Write-up, Topic of Support

 Thanks: 
 Fabian Wosar, Lawrence Abrams
 Michael Gillespie
 Andrew Ivanov (article author)
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

RAA

RAA (RAA SEP) Ransomware

(шифровальщик-вымогатель)

Как удалить? Как расшифровать? Как вернуть данные? 
По ссылке выберите Управление "К" МВД России и подайте онлайн-заявление. 
См. также статьи УК РФ: 
ст. 272 "Неправомерный доступ к компьютерной информации" 
ст. 273 "Создание, использование и распространение вредоносных компьютерных программ"

Информация о шифровальщике

   Этот криптовымогатель шифрует данные пользователей с помощью AES-256, а затем требует выкуп в 0,39 биткоина (250 долларов), чтобы вернуть файлы обратно. Ориентирован на русскоязычных пользователей. К зашифрованным файлам добавляется расширение .locked. 

  Вымогатели сами называют свое детище вирусом RAA. Он на 100% написан на языке JavaScript, но т.к. в стандартной реализации JavaScript нет расширенных функций шифрования, то разработчики RAA использовали библиотеку CryptoJS, чтобы можно было использовать для шифрования алгоритм AES.

  Распространяется по email в виде вредоносных вложений, замаскированных под doc-файлы со случайными именами файлов типа mgJaXnwanxlS_doc_.js. При открытии JS-файла для отвлечения внимания демонстрируется некий документ Word (на русском языке), который автоматически генерируется вредоносом в папке "Мои документы". Cодержимое документа отображается как повреждённое. Пока пользователь это видит, начинается процесс сканирования дисков и шифрование целевых файлов. 

  Основной JS-файл будет добавлен в автозагрузку, чтобы при каждом входе пользователя в систему запускаться и шифровать его новые файлы. Попутно ставится вредонос Pony, ворующий пароли жертвы, который встраивается в Javascript-файл в качестве закодированной строки. И он тоже будет запускаться вместе с основным файлом шифровальщика, чтобы воровать информацию пользователя. Подробнее о Pony читайте ниже. 

  Теневые копии файлов удаляются вместе со службой, отвечающей за их работу.

  Жертве присваивается ID, который нужно выслать на email вымогателей raa-consult1@keemail.me вместе с несколькими зашифрованными файлами. Если ответа нет в течении 3-х часов, то нужно связаться с вымогателями через Bitmessage. 

Записка о выкупе называется !!!README!!!<ID>.rtf

Список файловых расширений, подвергающихся шифрованию:
.cd, .cdr, .csv, .dbf, .doc, .dwg, .jpg, .lcd, .mdb, .pdf, .png, .psd, .rar, .rtf, .xls, .zip (16 расширений).

При шифровании пропускаются только файлы с расширением .locked, и со знаками ~ и $ в имени. 

При шифровании пропускаются следующие пути:
Windows, RECYCLER, Program Files, Program Files (x86), Recycle.Bin, APPDATA, TEMP, ProgramData, Microsoft

Описание в энциклопедии TrendMicro >>

Файлы, связанные с RAA Ransomware:
%Desktop%\!!!README!!![id].rtf
%MyDocuments%\doc_attached_[random_chars]
%MyDocuments%\st.exe

Записи реестра, связанные с RAA Ransomware:
HKCU\RAA\Raa-fnl
HKCU\Software\Microsoft\Windows\CurrentVersion\Run @ = "[path_to_JS_file]"

Подробнее о работе трояна Pony

1. Pony находится закодированном в Base64 исполняемом файле, запускающемся после шифрования. 
Он ворует следующую конфиденциальную информацию:
- сохраненные в браузере пароли; 
- логин-пароли для FTP-клиентов;
- учетные данные почтовых клиентов;
- информацию о кошельках криптовалют;
- установленные цифровые сертификаты;
- список распространенных паролей.

2. Собранную информацию Pony шифрует с помощью алгоритма RC4 и отправляет на C&C-сервер злоумышленников. При этом он фиксирует контрольные суммы всех полученных данных, выполняя действия в определённой последовательности:
1) подсчет контрольной суммы от незашифрованных данных;
2) добавление полученного значения к входным данным;
3) шифрование входных данных алгоритмом RC4 с заданным преступниками ключом;
4) подсчет контрольной суммы от зашифрованных данных;
5) добавление полученного значения к входным данным;
6) генерация случайного ключа длиной в 4 байта;
7) шифрование входных данных алгоритмом RC4, используя сгенерированный ключ;
8) формирование готовых к отправке данных.

***

Обновление от 30 августа 2016
1. Новая записка о выкупе

2. Изменения в коде
 Источник

3. Изменения в реестре:
Ключ реестра HKCU\RAA\Raa-fnl заменен на HKCU\Hff\Hff-fnl
4. Другие изменения >> 
5. Детекты: 
Детект на вложение Счет+штрафные санкции.doc >>
Детект на JS Payload >>
Детект на вредонос Pony >>


Степень распространённости: низкая. 
Подробные сведения собираются.

Takahiro Locker

Takahiro Locker Ransomware

(шифровальщик-вымогатель)

   Этот криптовымогатель шифрует данные якобы за нелегальную передачу файлов, а затем требует выкуп в 3 биткоина за дешифровку. Пик его распространения пришёлся на май 2016 г.

  Экран блокировки и управления оплатой написан на японском языке, потому криптовымогатель ориентирован только на японских пользователей и знающих японский язык. 

  После заражения жертва видит всплывающее сообщение "WARNING RUNNING KILL ME!!!!!!!". 

  После нажатия на кнопку ОК открывается окно с сообщением о причинах блокировки и условиями выкупа файлов на японском языке. Я перевёл информацию с этого окна на русский язык. 

Перевод записки на русский язык:
Это защитник Танг. 
Вы сделали нелегальную передачу файлов...
Поэтому я заблокировал ваш компьютер.
Чтобы разблокировать файлы, нужно заплатить 3 биткоина в течении 3-х дней.
Вам нужно иметь 30000 иен, чтобы перевести их в биткоины и передать их мне.
Через 3 дня ключ шифрования будет удален и данные уже нельзя будет вернуть.
Кнопка "Далее" 

В этом окне нужно ввести Bitcoin-адрес для перевода выкупа. В нижнем левом углу кнопка "Помощь", а в нижнем правом углу две кнопки "Назад" (левая) и "Оплата" (правая). 

В следующем окне "Help Form" есть ссылки и информация о том, как передать выкуп. 

Распространяется через email-спам с вредоносными вложениями и с загруженными файлами при посещении вредоносных сайтов. 

При первом запуске прописывается в автозагрузку и создает следующие папки: 
%User Temp%\Google
%User Temp%\Google\Chrome
И сохраняет свою копию в %User Temp%\Google\Chrome\Update.exe

Список файловых расширений, подвергающихся шифрованию:
.txt .jpg .png .bmp .zip .rar .7z .sql .torrent .pdf .tar .mp3 .mp4 .flv .lnk .html .php

Пропускает шифрование файлов, находящихся в директориях:
Windows, Origin, Steam, Recycle Bin, Program Files

Перевод скриншотов с японского выполнил автор блога Amigo-A. 

Название в вирусной базе Trend Micro RANSOM_TAKALOCKER.A
Образец на VT >>>

Степень распространенности: низкая.
Подробные сведения собираются. 

Crysis XTBL

Crysis XTBL Ransomware

(шифровальщик-вымогатель) 

Translation into English

   Семейство вымогателей Crisis способно шифровать файлы на жёстких, съёмных и сетевых дисках с помощью AES-256 (CBC-режим, RSA-ключ). CrySiS и Crysis XTBL созданы и распространялись из Украины. Программным приемником CrySiS Ransomware является вымогательский проект Dharma Ransomware и некоторые другие. 

Обнаружения:
Dr.Web -> Trojan.Encoder.3953

© Генеалогия: CrySiS > Crysis XTBL, Dharma, Phobos

Этимология названия:
Название получил от Crysis — популярная компьютерная игра, научно-фантастический шутер от первого лица, разработанный немецкой компанией Crytek и изданный Electronic Arts в 2007 году. В аббревиатуре XTBL можно угадать некоторые фразы русскоязычной обсценной лексики, в том числе англизированной, типа hyu_tebe_bleat.  

Зашифрованные файлы получают расширение .xtbl, которое дополняется email-адресом вымогателей. Таким образом, фактически стало использоваться составное расширение по шаблонам 
.ID%variable%.{email_address}.xtbl
.centurion_legion@aol.com.xtbl

Позже стали известны как минимум 4 модификации вариаций этого семейства вымогателей, отличающиеся способом шифрования файлов, и 5 версий, различающиеся способом именования:
*.{email}.ext
*.ID*.email.xtbl
*.ID*.{email}.xtbl
*.id-*.{email}.ext
*.{email}.xtbl

Записка с требованием выкупа называется: How to decrypt your files.txt

В некоторых случаях используется еще изображение DECRYPT.jpg с текстом, заменяющее обои Рабочего стола. В изображениях обыгрываются темы чернобыльской катастрофы, игры Crysis, фотографии спецназа и прочее. 

Технические детали

  Распространяется Crysis XTBL с февраля 2016 с помощью email-спама и вредоносного вложения, содержащего файлы с двойным расширением. Также может распространяться под видом установщиков для различных легитимных приложений. 

  По данным СМИ CrySiS вместе с "продолжением" Crysis XTBL занял девятую позицию в топ-10 вымогателей 2016 года. Жертвами шифровальщика в основном стали жители России, Японии, Южной Кореи, Бразилии и других стран. 

➤ Чтобы закрепиться в системе прописывается в автозагрузку. После запуска в системе он шифрует 185 типов файлов и файлы без расширений на локальных и съемных дисках (USB и внешних), на сетевых ресурсах, оставляя нетронутыми только файлы, нужные операционной системе и файлы вредоносной программы. После шифрования все теневые копии файлов удаляются. 

Crisis отправляет имя компьютера и несколько зашифрованных файлов на удаленный сервер, подконтрольный злоумышленникам. В некоторых версиях ОС Windows, он также пытается запустить себя с правами администратора, таким образом, расширяя список файлов, которые будут зашифрованы. Crisis также собирает с зараженного ПК информацию о логин-паролях, сгенерированных программами данных, из мессенджеров, адресной книги, из браузеров, веб-камеры, буфера обмена и также оправляет их на удаленный сервер. 

  После завершения своих вредоносных намерений, создается текстовый файл How to decrypt your files.txt и сохраняется на Рабочем столе. В некоторых случаях используется еще файл DECRYPT.jpg, который заменяет обои рабочего стола, показывая сообщение с требованием. 

Вот примеры таких изображений. 

  Информация из записки о выкупе ограничена двумя email-адресами вымогателей. После отправки письма вымогателям жертва получает дальнейшие инструкции. Ответ включает в себя стоимость декриптора (от 400 до 900 евро), указание купить биткоины и отправить их на Bitcoin-адрес вымогателей.

Вот известные электронные адреса вымогателей:
dalailama2015@protonmail.ch
Vegclass@aol.com
a_princ@aol.com
TREE_OF_LIFE@INDIA.COM
redshitline@india.com
milarepa.lotos@aol.com
Ecovector3@aol.com
Eco_vector@aol.com
Eco_vector@india.com
sub_zero12@aol.com
gerkaman@aol.com
freetibet@india.com
cyber_baba2@aol.com
siddhiup2@india.com
gruzinrussian@aol.com
ramachandra7@india.com
goldman0@india.com
centurion_legion@aol.com
legioner_seven@aol.com

Степень распространённости: высокая
Подробные сведения собираются. 

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter + Tweet + myTweet
 ID Ransomware (ID as CrySiS)
 Write-up, Topic of Support
 * 

 Thanks: 
 Michael Gillespie, BleepingComputer
 Andrew Ivanov (author), Emmanuel_ADC-Soft
 CyberSecurity GrujaRS
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles.

MM Locker

MM Locker Ransomware

(шифровальщик-вымогатель)

   Этот крипто-вымогатель шифрует данные с помощью AES-256, а затем требует от 0.501049 до 1.011 биткоина (или $200), чтобы вернуть файлы обратно. На уплату выкупа пострадавшим даётся 72 часа. 

© Генеалогия: EDA2 >> Pompous (SkidLocker) >> MM Locker

 По всему видно, что MM Locker является дальнейшим развитием Pompous (SkidLocker). 

Ко всем зашифрованным файлам добавляется расширение .locked. 

 Записка с требованием выкупа называется READ_IT.txt. Обои заменяются изображением вымогателя ransom.jpg.
  

Содержание этой довольно обширной записки о выкупе: 
(If you are in Notepad, please click the Format menu above ^^^^ and click Word Wrap)
Uh oh.  It looks like your data has been the victim of the encryption thief.  Your files have been encrypted with AES.  Go look it up if you like, it is some impressive technology.  Unfortunately you're going to have to pay some money to get your data back and your fee is approximately $400.  I'll get right to the gory details for that:
     * You have 72 hours to make this happen.  Otherwise, your data is effectively lost for good.  One keystroke will remove the necessary password for all time, and I don't even have to revisit your machine to do it.
     * You will be paying by bitcoin.  Your fee is 1.011.  Pay this amount precisely, or I might not know who it was that paid in order to rescue them.
     * You'll be using LocalBitcoins.com.  There are numerous ways to pay for my bitcoins on there, and most importantly, it is fast.  Did I mention you have 72 hours?
     * The address you will be sending the bitcoins to is [Redacted].
     * Then you will wait for me to get the unlock code for you.  Your code will be shown here, [hxxp://let-me-help-you-with-that.webnode.com/], under the amount you paid.  This may take a day or so: you are on my schedule now :P
     * Once you have the code, you can unlock your data as follows:
           *** Go to your Start Menu
           *** In the search field, type "cmd".
           *** Right click the cmd program.
           *** Click Run As Administrator
           *** Click Yes to allow it to run like that.
           *** Type "cd /Users/[user]/"
                     *** Type "Decrypter.exe <Your Code>
           *** Other people's codes will not work for you, obviously.
           That is basically it.  The rest of this document is a mini encouragement to get you to pay, so you can read it or not.  F*** [redacted by editor] if I care.
     * You'll never be able to find me.  Police will never be able to find me.  Go ahead and try them if you like, but don't expect your data back. They will be concerned about helping the community, not with helping you meet your deadline. If they say they need to keep your desktop for a few days, well lol, you probably won't be seeing your machine again soon, let alone your data.  Certain things my look like they would be easy to trace back to me, but believe me, they aren't. I've been doing this for five years now and haven't been caught yet.
     * Best Buy will have no ability to undo the encryption.  Hell, even the NSA probably couldn't undo it. Well maybe they could, but I suspect you won't be a high priority for their computation clusters for at least a couple of years.
     * In 72 hours, I will consider you lost.  Hell, I may even visit you again and delete the encrypted versions just for kicks.
So just be thankful that it wasn't worse. I could have asked for more money.  I could be working for ISIS and saving that money to behead children.  I 
could be a mean SOB and just destroy your data outright.  Am I those things?  No.  I just need the money to live off of (true story) and don't give a f*** 
[redacted] about the hacker "community".  So there isn't anyone you will be protecting by sacrificing yourself. I'll just encrypt more people's data to make up for the loss.
So you have your instructions. I'll even tell you how you could have prevented this:
     * Install a good antivirus and keep it up to date.  This is basically where you fell down.
     * Don't click on any file from the internet that isn't a piece of data like (jpg, txt, doc) or you better really know where that file came from.
     * Back up your data in case the encryption thief visits you :P          
Better luck to you in the future.

 Неполный список файловых расширений, подвергающихся шифрованию: 
.txt, .doc, .docx, .xls, .xlsx, .pdf, .pps, .ppt, .pptx, .odt, .gif, .jpg, .png, .db, .csv, .sql, .mdb, .sln, .php, .asp, .aspx, .html, .xml, .psd, .frm, .myd, .myi, .dbf, .mp3, .mp4, .avi, .mov, .mpg, .rm, .wmv, .m4a, .mpa, .wav, .sav, .gam, .log, .ged, .msg, .myo, .tax, .ynab, .ifx, .ofx, .qfx, .qif, .qdf, .tax2013, .tax2014, .tax2015, .box, .ncf, .nsf, .ntf, .lwp (59 расширений). 

См. также технические подробности в Pompous (SkidLocker) Ransomware. 

Степень распространённости: низкая.
Подробные сведения собираются. 

CryptFIle2

CryptFIle2 Ransomware

(шифровальщик-вымогатель) 

Translation into English

   Этот криптовымогатель шифрует данные пользователей с помощью RSA, а затем требует написать на email вымогателей, чтобы узнать условия дешифровки файлов. Сумма выкупа может различаться, от 0.5 до 1.5 биткоина. 

© Генеалогия: CryptoMix > CryptFIle2

CryptFIle2  распространялся с середины марта 2016 года с помощью наборов эксплойтов Nuclear и Neutrino. 

  К зашифрованым файлам добавляется составное расширение .id_[personal_ID]_[ransom_email].scl, на конце которого .scl. 

Где "personal_ID" — это 16-символьная строка, состоящая из строчных букв и цифр, а "ransom_email" — электронная почта, на которую пострадавший пользователь должен написать, чтобы дешифровать файлы. 

Примеры зашифрованных и переименованных файлов см. ниже:

file.txt.id_a0d01d07e030f060_email_xerx@usa.com.scl

settings.xml.id_a0d01d07e030f060_email_xerx@usa.com.scl

  Записки с требованием выкупа называются HELP_YOUR_FILES.HTML и HELP_YOUR_FILES.TXT и сохраняются на рабочем столе и в папках с зашифрованными файлами.

Содержание TXT-записки о выкупе:

NOT YOUR LANGUAGE? USE hxxps://translate.google.com

What happened to your files?

All of your files were protected by a strong encryption with RSA-2048. More information about the encryption keys RSA-2048 can be found here: hxxp://en.wikipedia.org/wiki/RSA_(cryptosystem)

How did this happen?

!!!Specially foryour PC was generated personal RSA-2048 KEY, both public and private.

!!! ALL YOUR FILES were encrypted with the public key, which has been transferred to your computer via the Internet.

!!! Decrypting of your files is only possible with the help of the private key and decrypt program, which is on our Secret Server.

What do I do?

So, there are two ways you can choose: wait for a miracle and get your pride doubled, or start obtaining BITCOIN NOW!, and restore your data easy way. If You have really valuable data, you better not waste your time, because there is no other way to get your files, except make a payment.

For more specific instructions:

Contact is by email only, send us an email along with your ID number and wait for further instructions. Our specialist will contact you within 12 hours. For you to be sure, that we can decrypt your files - you can send us a single encrypted file and we will send you back it in a decrypted form. This will be your guarantee.

E-MAILi: pchelp_@_post.com

E-MAIL2: xerx_@_usa.com

YOURJD: ***

Перевод записки на русский язык:

НЕ ТВОЙ ЯЗЫК? ИСПОЛЬЗУЙ https://translate.google.com 

Что случилось с файлами?

Все ваши файлы защищены сильным шифрованием RSA-2048. Подробную информацию об использовании ключей шифрования RSA-2048 можно найти здесь: http://en.wikipedia.org/wiki/RSA_ (cryptosystem) 

Как это случилось? 

!!! Специально для вашего ПК был создан личный RSA-2048 ключ, публичный и частный. 

!!! Все ваши файлы зашифрованы с помощью открытого ключа, который передан на компьютер через Интернет. 

!!! Дешифровка возможна только с помощью секретного ключа и декриптера, который находится на нашем секретном сервере. 

Что мне делать? 

Итак, есть два способа, которые можно выбрать: ждать чуда и увеличения цены в 2 раза, или начать получать Bitcoin Now!, и легко вернуть данные. Если у Вас есть очень ценные данные, то лучше не тратить свое время, т.к. нет иного пути, чтобы получить ваши файлы, кроме оплаты выкупа. 

Более подробные инструкции: 

Свяжитесь с нами по email, отправив письмо с номером ID и ждите дальнейших указаний. Наш специалист свяжется с вами в течение 12 часов. Для вашей уверенности, что мы можем расшифровать ваши файлы - вы можете отправить нам 1 зашифрованный файл, и мы вышлем Вам его в расшифрованной форме. Это будет ваша гарантия. 

E-Mail1: pchelp_@_post.com 

E-Mail2: xerx_@_usa.com

Ваш_ID: ***

Технические детали

CryptFIle2 начал распространяться с середины марта 2016 года с помощью наборов эксплойтов Nuclear и Neutrino. Как и во вредоносных кампаниях с предыдущими итерациями, поставщиками шифровальщика могут выступать ботнеты, например, Kelihos (Waledac).

Удаляет теневые копии файлов, отключает функции восстановления и исправления Windows на этапе загрузки командами:
 cmd.exe /C vssadmin Delete Shadows /For=A: /All /Quiet
 vssadmin.exe vssadmin Delete Shadows /For=A: /All /Quiet
 cmd.exe /C net stop vss
 net.exe net stop vss
 net1.exe %WINDIR%\system32\net1 stop vss
 cmd.exe /C bcdedit /set {default} recoveryenabled No
 bcdedit.exe bcdedit /set {default} recoveryenabled No
 cmd.exe /C bcdedit /set {default} bootstatuspolicy ignoreallfailures
 bcdedit.exe bcdedit /set {default} bootstatuspolicy ignoreallfailures
 cmd.exe bcdedit /set {default} recoveryenabled No
 cmd.exe bcdedit /set {default} bootstatuspolicy ignoreallfailures
 cmd.exe bcdedit /set bootstatuspolicy ignoreallfailures

 Шифруются файлы всех популярных форматов: документы, аудио-видео, изображения и мн. др., всего 1207 расширений: 

Неполный список файловых расширений, подвергающихся шифрованию:

.1bf, .3g2, .3gp, .7z, .ab4, .ach, .adb, .ads, .ait, .al, .apj, .apk, .arch00, .asf, .asm, .asp, .asset, .asx, .back, .bank, .bar, .bc6, .bc7, .bgt, .big, .bik, .bkf, .bkp, .blob, .bpw, .bsa, .c, .cas, .cdf, .cdr, .cdx, .ce1, .ce2, .cer, .cfp, .cfr, .cgn, .class, .cnt, .cpi, .cpp, .craw, .crt, .crw, .cs, .csh, .csl, .csu, .d3dbsp, .dac, .das, .dazip, .db0, .dba, .dbr, .dcs, .ddd, .der, .des, .desc, .dgc, .dng, .dnp, .drf, .dtd, .dxg, .ebd, .els, .enl, .epk, .esn, .exf, .ff, .ffd, .fff, .fh, .fhd, .fla, .flac, .flu, .fn, .forge, .fos, .fpk, .fsh, .gho, .gray, .grey.grw, .gry., .h, .hkdb, .hkx, .hplg, .hpp., .hupl, .ibd, .icxs, .iif, .indd, .itdb, .itl, .itn, .iwd, .jaua, .js, .key, .laccdb, .layout, .litenod, .lrf, .lua, .lul, .m, .m2, .m4a, .m4u, .maf, .man, .mar, .maw, .mcmeta, .mdc, .mde, .mfu, .mix-kf, .mniw, .mp4, .mpg, .mpp, .mpqge, .n3u, .nap, .ncf, .ndbackup, .ndd, .nddata, .nef, .nenu, .nk2, .nou, .nrw, .nsd, .nsg, .nsh, .nso, .ntjb, .ntl, .nx1, .nx2, .ode, .odf, .odg, .odp, .ods, .oil, .one, .oth, .otp, .ots, .p12, .p7b, .p7c, .pak, .pas, .pat, .pbo, .pcd, .pen, .pet, .pfx, .php, .pi, .pic, .pip, .pkpass, .pot, .potn, .potx, .ppan, .pps, .ppsn, .ppsx, .prf, .ps, .psafe3, .psk, .pspinage, .pub, .puz, .py, .qba, .qbw, .qdf, .r3d, .raf, .rar, .rat, .raw, .rb, .re4, .rgs, .rim, .rn, .rof1, .rwz, .s3a, .sas7bdat, .say, .sb, .scan, .sd0, .sda, .sid, .sidd, .sidn, .sie, .sin, .sis, .snp, .snx, .srf, .srt, .srw, .st4, .st5, .st6, .st7, .st8, .stc, .std, .sti, .stx, .sun, .sxc, .sxi, .sxm, .syncdb, .t12, .t13, .tax, .tor, .ucf, .udf, .ufs0, .unrec, .uob, .upk, .upppc, .usd, .usx, .utf, .utx, .w3x, .wallet, .wau, .wb2, .wll, .wma, .wmu, .wno, .wotreplay, .wpd, .x11, .xla, .xlan, .xlb, .xlc, .xll, .xlm, .xlr, .xlsb, .xlsm, .xlt, .xltm, .xltx, .xlw, .xpp, .xsn, .xxx, .yuu, .zip, .ztnp (287 расширений в раннем образце). 

Наиболее полный список файловых расширений:

.0, .1cd, .1pa, .1st, .2bp, .36, .3dm, .3ds, .3fr, .3g2, .3gp, .411, .4db, .4dl, .4mp, .73i, .7z, .8xi, .9png, .a3d, .aaa, .ab4, .abm, .abs, .abw, .accdb, .accdc, .accde, .accdr, .accdt, .accdw, .access_denied, .accft, .ach, .act, .adb, .adn, .adp, .ads, .aesir, .af2, .af3, .aft, .afx, .agif, .agp, .ahd, .ai, .ai, .aic, .aif, .aim, .ait, .al, .albm, .alf, .ani, .ans, .apd, .apj, .apk, .apm, .apng, .aps, .apt, .apx, .arch00, .art, .artwork, .arw, .asc, .ascii, .ase, .asf, .ask, .asm, .asp, .asset, .asw, .asx, .asy, .aty, .avatar, .awdb, .awp, .awt, .aww, .axx, .azz, .back, .backup, .bad, .bak, .bank, .bar, .bay, .bbs, .bc6, .bc7, .bd, .bdb, .bdp, .bdr, .bean, .better_call_saul, .bgt, .bib, .big, .bik, .bkf, .bkp, .blend, .blkrt, .blob, .bm2, .bmp, .bmx, .bmz, .bna, .bnd, .boc, .bok, .bpw, .breaking_bad, .brk, .brn, .brt, .bsa, .bss, .btd, .bti, .btr, .byu, .bzabw, .c, .c4, .c4d, .cal, .cals, .can, .cas, .ccc, .cd5, .cdb, .cdc, .cdf, .cdg, .cdmm, .cdmt, .cdmtz, .cdmz, .cdr, .cdr3, .cdr4, .cdr6, .cdrw, .cdt, .cdx, .ce1, .ce2, .cer, .cerber, .cerber2, .cerber3, .cerber4, .cerber5, .cf, .cfg, .cfp, .cfr, .cfu, .cgm, .chart, .chord, .cimg, .cin, .cit, .ckp, .class, .clkw, .cls, .cma, .cmt, .cmx, .cnm, .cnt, .cnv, .colz, .coverton, .cpc, .cpd, .cpg, .cpi, .cpp, .cps, .cpt, .cpx, .cr2, .craw, .crd, .crt, .crw, .crwl, .cryp1, .crypt, .crypted, .cryptolocker, .cryptowall, .crypz, .crysis, .cs, .csh, .csl, .css, .csv, .csy, .ct, .cv5, .cvg, .cvi, .cvs, .cvx, .cwt, .cxf, .cyi, .d3dbsp, .dac, .daconnections, .dacpac, .dad, .dadiagrams, .daf, .das, .daschema, .dat, .dazip, .db, .db0, .db2, .db3, .dba, .dbc, .dbf, .dbk, .dbr, .dbs, .db-shm, .dbt, .dbv, .db-wal, .dbx, .dc2, .dca, .dcb, .dcr, .dcs, .dct, .dcx, .ddd, .ddl, .ddoc, .dds, .ded, .der, .des, .desc, .design, .df1, .dgc, .dgn, .dgs, .dgt, .dharma, .dhs, .dib, .diz, .djv, .djvu, .dm3, .dmi, .dmo, .dmp, .dnc, .dne, .dng, .doc, .docm, .docx, .docxml, .docz, .dot, .dotm, .dotx, .dp1, .dpp, .dpx, .dqy, .drf, .drw, .drz, .dsk, .dsn, .dsv, .dt, .dt2, .dta, .dtd, .dtsx, .dtw, .dvi, .dvl, .dwg, .dx, .dxb, .dxf, .dxg, .dxl, .ebd, .ecc, .ecml, .eco, .ecw, .ecx, .edb, .efd, .egc, .eio, .eip, .eit, .email, .emd, .emf, .eml, .emlx, .enciphered, .encrypt, .encrypted, .enigma, .ep, .epf, .epk, .epp, .eps, .epsf, .eql, .erf, .err, .esm, .etf, .etx, .euc, .exf, .exr, .exx, .ezz, .fadein, .fal, .faq, .fax, .fb2, .fb3, .fbl, .fbx, .fcd, .fcf, .fdb, .fdf, .fdr, .fds, .fdt, .fdx, .fdxt, .fes, .ff, .ffd, .fff, .fft, .fh, .fh10, .fh11, .fh3, .fh4, .fh5, .fh6, .fh7, .fh8, .fhd, .fic, .fid, .fif, .fig, .fil, .fim, .fla, .flac, .flc, .fli, .flr, .flv, .fm, .fm5, .fmp, .fmp12, .fmpsl, .fmv, .fodt, .fol, .forge, .fos, .fountain, .fp3, .fp4, .fp5, .fp7, .fpk, .fpos, .fpt, .fpx, .frt, .fsh, .ft10, .ft11, .ft7, .ft8, .ft9, .ftn, .fwdn, .fx0, .fx1, .fxc, .fxg, .fxr, .fzb, .fzv, .g3, .gcdp, .gdb, .gdoc, .gdraw, .gem, .geo, .gfb, .gfie, .ggr, .gho, .gif, .gih, .gim, .gio, .glox, .gmbck, .gmspr, .good, .gpd, .gpn, .gray, .grey, .gro, .grob, .grs, .grw, .gry, .gsd, .gthr, .gtp, .gv, .gwi, .gz, .h, .hbk, .hdb, .hdp, .hdr, .heisenberg, .hht, .his, .hkdb, .hkx, .hpg, .hpgl, .hpi, .hpl, .hplg, .hpp, .hs, .htc, .html, .hvpl, .hwp, .hz, .i3d, .ib, .ibd, .icn, .icpr, .icxs, .idc, .idea, .idx, .igt, .igx, .ihx, .iif, .iil, .iiq, .imd, .indd, .info, .ink, .int, .ipf, .ipx, .itc2, .itdb, .itl, .itm, .itw, .iwd, .iwi, .j, .j2c, .j2k, .jarvis, .jas, .java, .jb2, .jbig, .jbig2, .jbmp, .jbr, .jfif, .jia, .jis, .jng, .joe, .jp1, .jp2, .jpe, .jpeg, .jpg, .jpg2, .jps, .jpx, .jrtf, .js, .jtf, .jtx, .jwl, .jxr, .k2p, .kdb, .kdbx, .kdc, .kdi, .kdk, .kes, .key, .kf, .kic, .klg, .knt, .kon, .kpg, .kwd, .laccdb, .latex, .layout, .lbf, .lbm, .lbt, .lechiffre, .lgb, .lgc, .lis, .lit, .litemod, .ljp, .lmk, .lnt, .locked, .locky, .log, .lol!, .lp2, .lrc, .lrf, .lst, .ltr, .ltx, .lua, .lue, .luf, .lvl, .lwo, .lwp, .lws, .lxfml, .lyt, .lyx, .m, .m2, .m3d, .m3u, .m4a, .m4v, .ma, .mac, .maf, .mam, .man, .map, .maq, .mar, .mat, .maw, .max, .mb, .mbm, .mbox, .mcl, .mcmeta, .md5txt, .mdb, .mdbackup, .mdbhtml, .mdc, .mddata, .mde, .mdf, .mdn, .mdt, .me, .mef, .mell, .menu, .mft, .mfw, .mgcb, .mgmf, .mgmt, .mgmx, .mgtx, .micro, .min, .mkv, .mlx, .mmat, .mmw, .mng, .mnr, .mnt, .mobi, .mos, .mov, .movie, .mp3, .mp4, .mpf, .mpg, .mpo, .mpp, .mpqge, .mrg, .mrw, .mrwref, .mrxs, .msg, .mso, .mt9, .mte, .mud, .mwb, .mwp, .mx0, .mxl, .myd, .myl, .ncf, .ncr, .nct, .nd, .ndd, .ndf, .nef, .nfo, .njx, .nk2, .nlm, .notes, .now, .nrw, .ns2, .ns3, .ns4, .nsd, .nsf, .nsg, .nsh, .ntl, .nv2, .nwb, .nwctxt, .nx1, .nx2, .nyf, .nzb, .obj, .oc3, .oc4, .oc5, .oce, .oci, .ocr, .odb, .odc, .odf, .odg, .odin, .odm, .odo, .odp, .ods, .odt, .ofl, .oft, .oil, .omf, .one, .openbsd, .oplc, .oqy, .ora, .orf, .ort, .orx, .ota, .otg, .oth, .oti, .otp, .ots, .ott, .ovp, .ovr, .owc, .owg, .oyx, .ozb, .ozj, .ozt, .p12, .p7b, .p7c, .p7s, .p96, .p97, .pages, .pak, .pal, .pan, .pano, .pap, .pas, .pat, .pbm, .pbo, .pc1, .pc2, .pc3, .pcd, .pcd, .pcs, .pct, .pcx, .pdb, .pdd, .pdf, .pdm, .pdn, .pe4, .pef, .pem, .pfd, .pff, .pfi, .pfs, .pfv, .pfx, .pgf, .pgm, .phm, .php, .pi1, .pi2, .pi3, .pic, .pict, .pip, .pix, .pjpeg, .pjpg, .pjt, .pkpass, .pl, .pl, .plantuml, .plc, .plt, .pm, .pmg, .png, .pni, .pnm, .pntg, .pnz, .pobj, .pop, .pot, .potm, .potx, .pp4, .pp5, .ppam, .ppm, .pps, .ppsm, .ppsx, .ppt, .pptm, .pptx, .prf, .prt, .prw, .ps, .psafe3, .psd, .psdx, .pse, .psid, .psk, .psp, .pspbrush, .pspimage, .pst, .psw, .ptg, .pth, .ptx, .pu, .pub, .puz, .pvj, .pvm, .pvr, .pwa, .pwi, .pwr, .px, .pxr, .py, .pz3, .pza, .pzp, .pzs, .qba, .qbbackup, .qbi, .qbo, .qbp, .qbr, .qbsdk, .qbt, .qbw, .qbwin, .qby, .qdf, .qdl, .qmg, .qpd, .qpx, .qry, .qsm, .qss, .qst, .qvd, .qwc, .r3d, .r5a, .rad, .raf, .rar, .ras, .rat, .raw, .raw, .rb, .rctd, .rcu, .rdb, .rdl, .re4, .readme, .rft, .rgb, .rgf, .rgss3a, .rib, .ric, .riff, .rim, .ris, .rix, .rle, .rli, .rm, .rng, .rofl, .rpd, .rpf, .rpt, .rri, .rrk, .rs, .rsb, .rsd, .rsr, .rst, .rt, .rtd, .rtf, .rtp, .rtx, .run, .rw2, .rwl, .rwz, .rzk, .rzn, .s2mv, .s3m, .saf, .safetext, .sai, .sam, .sas7bdat, .save, .say, .sb, .sbf, .scad, .scan, .scc, .sci, .scm, .scriv, .scrivx, .sct, .scv, .scw, .sd0, .sda, .sdb, .sdf, .sdm, .sdoc, .sdw, .sep, .set, .sfc, .sfera, .sfw, .sgm, .sid, .sidd, .sidn, .sie, .sig, .sis, .sk1, .sk2, .skcard, .skm, .sla, .slagz, .sld, .sldasm, .slddrt, .sldprt, .slm, .sls, .smf, .smil, .sms, .snagitstamps, .snagstyles, .snp, .snx, .sob, .spa, .spe, .sph, .spj, .spp, .spq, .spr, .sqb, .sql, .sqlite, .sqlite3, .sqlitedb, .sr2, .srf, .srt, .srw, .ssa, .ssfn, .ssk, .st, .st4, .st5, .st6, .st7, .st8, .stc, .std, .ste, .sti, .stm, .stn, .stp, .str, .strings, .stw, .stx, .sty, .sub, .sum, .sumo, .sva, .svf, .svg, .svgz, .swf, .sxc, .sxd, .sxg, .sxi, .sxm, .sxw, .syncdb, .syncmanagerlogger, .t12, .t13, .t2b, .tab, .tar, .tax, .tb0, .tbn, .tcx, .tdf, .tdt, .te, .teacher, .temp1234, .tex, .text, .tfc, .tg4, .tga, .thm, .thp, .thumb, .tif, .tiff, .tjp, .tlb, .tlc, .tm, .tm2, .tmd, .tmp, .tmv, .tmx, .tn, .tne, .tor, .tpc, .tpi, .trelby, .trm, .ttt, .tvj, .txt, .u3d, .u3i, .udb, .ufo, .ufr, .uga, .unauth, .unity, .unrec, .unx, .uof, .uot, .upd, .upk, .usertile-ms, .usr, .utf8, .utxt, .v12, .v30, .vault, .vbr, .vcf, .vct, .vda, .vdb, .vdf, .vec, .vff, .vfs0, .vml, .vnt, .vob, .vpd, .vpe, .vpk, .vpp_pc, .vrml, .vrp, .vsd, .vsdm, .vsdx, .vsm, .vst, .vstm, .vstx, .vsx, .vtf, .vtx, .vue, .vvv, .vw, .w3x, .wallet, .wav, .wb1, .wb2, .wbc, .wbd, .wbk, .wbm, .wbmp, .wbz, .wcf, .wdb, .wdp, .webdoc, .webp, .wflx, .wgz, .wire, .wll, .wma, .wmdb, .wmf, .wmo, .wmv, .wn, .wotreplay, .wp, .wp4, .wp5, .wp6, .wp7, .wpa, .wpb, .wpd, .wpe, .wpg, .wpl, .wps, .wpt, .wpw, .wri, .wsc, .wsd, .wsh, .wtx, .wvl, .x, .x11, .x3d, .x3f, .xar, .xbdoc, .xbplate, .xdb, .xdl, .xf, .xhtm, .xla, .xlam, .xlb, .xlc, .xld, .xlf, .xlgc, .xll, .xlm, .xlr, .xls, .xlsb, .xlsm, .xlsx, .xlt, .xltm, .xltx, .xlw, .xmind, .xml, .xmlx, .xmmap, .xpm, .xpp, .xps, .xsn, .xtbl, .xwp, .xxx, .xxx, .xy3, .xyp, .xyw, .y, .yal, .ybk, .yml, .ysp, .ytbl, .yuv, .z3d, .zabw, .zcrypt, .zdb, .zdc, .zepto, .zif, .zip, .ztmp, .zw, .zzzzz (1255 расширений).  

Вполне вероятно, что этот вымогатель стоит в одном ряду клонов криптовымогателя CrypBoss, среди которых HydraCrypt и UmbreCrypt. Находится много сходств при сравнении кода CryptFIle2 с образцом HydraCrypt, но большая часть кода всё же различна. 

Вот некоторые из сходств: 
- сетевой протокол (ключ передается в качестве разделенных запятыми байтов, с проверкой подключения к google.com);
- строка запутывания;
- зашифрованные расширения файлов;
- записка о выкупе (говорится о "гарантии" для получения файлов обратно, предложение расшифровывать один файл, "Email1" и "Email2"  также используются в UmbreCrypt). 

Степень распространённости: средняя. 
Подробные сведения собираются.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

CryptoMix Ransomware
CryptFIle2 Ransomware

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Образец, найденный 12 июня 2019:
Штамп времени: 1 сентября 2019.
Пост в Твиттере >>
Расширение: .scl
Составное расширение: .id_******_email_enc2@dr.com_.scl
Примеры зашифрованных файлов: 
desert.jpg.id_c209caae5e988ade_email_enc2@dr.com_.scl
desktop background.png.id_c23482ca5e988ade_email_enc2@dr.com_.scl
Записки: HELP_DECRYPT_YOUR_FILES.HTML
HELP_DECRYPT_YOUR_FILES.TXT
Email: enc2@dr.com
Результаты анализов: VT + HA + VMR

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter 
 ID Ransomware (ID as CryptoMix)
 Write-up, Topic of Support
 * 

 Thanks: 
 Michael Gillespie
 Andrew Ivanov (author)
 *
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles.

CryFile

CryFile Ransomware

(шифровальщик-вымогатель)

   Этот крипто-вымогатель шифрует (скорее портит) файлы, а затем вымогает $100, чтобы их восстановить. Шифрование проводится со случайным числом байт из интервала [0-9], которые просто перемещаются с одного места в другое. 

К зашифрованным файлам добавляются следующие расширения: .criptiko, .criptoko, .criptokod, .cripttt, .aga. Ориентирован на русскоязычных пользователей и их адресатов. 

Записки с требованием выкупа называются SHTODELATVAM.txt (Што делать вам) и Instructionaga.txt (Инструкция, ага). 

Текст файла SHTODELATVAM.txt:
Напишите нам для разблокировки
Ваших файлов: dsuoufygfdt@ro.ru

Текст файла Instructionaga.txt:
Для разблокировки Ваших файлов
напишите: odododo@ro.ru

  Распространяется с 2015 года через email-спам и вредоносные вложения, фишинговые сообщения и ссылки на зараженные сайты. 


Шифруются только пользовательские файлы: документы MS Office, pdf, djvu и другие файлы электронных книг, архивы, файлы 1С и другие базы данных, изображения, аудио, видео и пр. 

  Не стоит платить вымогателям, т.к. этот крипто-вымогатель уже дешифруем. 

Есть дешифровщик для зашифрованных CryFile файлов. 

Еще один дешифровщик от Лаборатории Касперского. 

© Amigo-A (Andrew Ivanov): All blog articles. 

Russian EDA2

Russian EDA2 Ransomware

(шифровальщик-вымогатель)

Как удалить? Как расшифровать? Как вернуть данные? 
По ссылке выберите Управление "К" МВД России и подайте онлайн-заявление. 
См. также статьи УК РФ: 
ст. 272 "Неправомерный доступ к компьютерной информации" 
ст. 273 "Создание, использование и распространение вредоносных компьютерных программ"

Информация о шифровальщике

   Этот криптовымогатель шифрует данные пользователей с помощью AES-256, а затем требует выкуп в 0,1 биткоина, чтобы вернуть файлы обратно. К зашифрованным файлам добавляется расширение .locked. Как ясно из названия, криптовымогатель собран на основе криптоконструктора EDA2. 

  Обои рабочего стола заменяются на фоновое изображение от вымогателей с надписью "Файлы на вашем компьютере заблокированы. Инструкцию по расшифровке вы можете найти на своем рабочем столе в файле README.html". 

  Записка с требованием выкупа называется README.html и размещается, как ясно их фразы выше, на рабочем столе. 

Список файловых расширений, подвергающихся шифрованию:
.pdf, .psd, .txt, .rtf, .odt, .doc, .docx, .docm, .djvu, .djv, .rb, .epub, .html, .htm, .asp, .aspx, .php, .phtml, .xls, .xlsx, .xlsm, .csv, .ods, .asm, .c, .h, .cpp, .cxx, .h, ,hpp, .pas, .dpr, .bas, .bbc, .java, .js, .cs, .resx, .ml, .pl, .pm, .php3, .py, .rb, .rbw, .sd7

Степень распространённости: низкая. 
Подробные сведения собираются.