Encryptss77, SFX Monster

Encryptss77 Ransomware 

SFX Monster Ransomware 

(шифровальщик-вымогатель)

Как удалить? Как расшифровать? Как вернуть данные? 

По ссылке выберите Управление "К" МВД России и подайте онлайн-заявление. 

См. также статьи УК РФ: 

ст. 272 "Неправомерный доступ к компьютерной информации" 

ст. 273 "Создание, использование и распространение вредоносных компьютерных программ"

Информация о шифровальщике

   Этот крипто-вымогатель шифрует данные пользователей и помещает их в самораспаковывающийся (SFX) архив с помощью файла WinRar и специального пароля, а затем требует выкуп, чтобы вернуть файлы. 

Названия получил от email вымогателей и из-за возможностей используемого ПО WinRar по созданию SFX-архива с паролем. Несколько антивирусных движков на VT выдали в графе "Результат" слово InstallMonster на созданный вредоносом файл SFX-архива.

© Генеалогия: неизвестна

К зашифрованным с помощью WinRar файлам добавляется расширение .exe, которое даётся всем SFX-файлам.

Из файлов получаются такие портянки
encryptss77@gmail.com.e0cryptss77@gmail.com.e0cr2ptss77@gmail.com.30cr0ptss77@gmail.com.00cr1ptss77@gma4l.co1.91cr6pt0477@g1531Cv8.exe 

encryptss77_gmail.com.e0cryptss77_gmail.com.e0cr2ptss77_gmail.com.10cr0ptss77_gmail.com.70cr1ptss77_gma0l.co0.31cr6pt2377_g623Check2016.exe


Активность этого криптовымогателя пришлась на июнь-август 2016 г. Ориентирован на русскоязычных пользователей.

Записки с требованием выкупа называются: 
КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt

Содержание записки о выкупе:
ВАШИ ФАЙЛЫ ЗАШИФРОВАНЫ
ЧТОБЫ ИХ РАСШИФРОВАТЬ
НАПИШИТЕ НАМ НА encryptss77@gmail.com
В СООБЩЕНИИ УКАЖИТЕ IP АДРЕСС КОМПЬЮТЕРА
НА КОТОРОМ УВИДЕЛИ ЭТО СООБЩЕНИЕ
ЕГО ВЫ СМОЖЕТЕ УЗНАТЬ НА 2ip.ru
МЫ ОТВЕТИМ ВАМ В ТЕЧЕНИИ 24 ЧАСОВ

Перевод на английский язык:
YOUR FILES ARE ENCRYPTED
THAT THEIR DECRYPT
SEND EMAIL US AT encryptss77@gmail.com
IN MESSAGE INDICATE IP ADDRESS OF COMPUTER
WHERE YOU SAW THIS MESSAGE
YOU CAN FIND IT ON 2IP.RU
WE WILL REPLY TO YOU WITHIN 24 HOURS

Несколько пострадавших сообщили о взломе сервера по протоколу RDP и далее по локальной сети. По большей части атака ориентирована на повреждение баз 1С-Бухгалтерии и всего документооборота компании или учреждения, в том числе страдают подключенные облачные диски (Яндекс-диск и пр.) и неотображаемые сетевые ресурсы. 

После такой атаки НЕОБХОДИМО поменять ВСЕ пароли. Облачные диски необходимо пересоздать и удалить с жёсткого диска использованные папки, автоматически передающие файлы в этот облачный диск. Вообще технология автоматической онлайн-передачи файлов ошибочна и только наруку шифровальщикам. 

Может также распространяться с помощью email-спама и вредоносных вложений, фальшивых обновлений, перепакованных и заражённых инсталляторов с использованием методов социальной инженерии. См. также "Основные способы распространения криптовымогателей" на вводной странице блога. 

После шифрования удаляются исходные файлы, тома теневых копий и точки восстановления системы. В автозагрузку добавляется ссылка на файл WindowsDrivers.exe.

Список файловых расширений, подвергающихся шифрованию и архивированию:
 .111, .1cd, .1cl,.7z, .aga, .backup, .bak, .bas, .bkf, .bkp, .bpl, .cab, .cdr, .cdx, .cer, .cf, .cf, .cfg, .clme1, .config, .crt, .cs, .csv, .cub, .dat, .db, .dbf, .dd, .df7, .djvu, .doc, .docx, .dt, .efd, .eml, .epf, .erf, .ert, .fbk, .fdb, .fit, .fpt, .gbk, .gdb, .hbi, .hfld, .html, .idx, .ifo, .jpeg, .jpg, .jrxml, .key, .kwm, .lck, .ldf, .lgb, .lgd, .lgf, .lst, .md, .mdb, .mdf, .mir, .mira, .mkb, .mlg, .mp3, .mp4, .mst, .mxl, .nd, .ndf, .nup, .ods, .odt, .ord, .p12, .pck, .pdf, .pf, .pfx, .php, .png, .ppt, .pptx, .prm, .psd, .pwm, .rar, .raw, .rcd, .resx, .rpl, .rtf, .scx, .sec, .sldprt, .sql, .srx, .st, .tar, .tar, .tcb, .tgr, .tib, .tif, .tip, .trn, .txt, .ubs, .udb, .umpts, .vbox, .vdi, .vhd, .vhdx, .vmdk, .vob, .xfld, .xls, .xlsx, .xml, .xsd, .xtbl, .zbk, .zip, .zs2, .ztp (129 расширений).

Файлы, связанные с Encryptss77 Ransomware:
C:\Users\User\AppData\Roaming\System.exe
C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\WindowsDrivers.exe

Записи реестра, связанные с Encryptss77 Ransomware:
***
Сетевые подключения:
***

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>

Степень распространённости: низкая.
Подробные сведения собираются.

 Read to links: 
 *
 *
 *

 Thanks: 
 Thyrex
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

WinRarer

WinRarer Ransomware 

(шифровальщик-вымогатель, rar-вымогатель)

   Этот вымогатель помещает данные пользователей в специальный архив YourFilesHere-0penWithWinrar.ace с помощью файла WinRar и пароля, а затем требует выкуп, чтобы вернуть файлы. 

Название получил от из-за использования возможностей ПО WinRar. На добавляемых на Рабочий стол обоях написано WINRARER.

 Таким образом файлы оказываются зашифрованными с использованием возможностей архиватора WinRar, когда помещенные в архив под паролем файлы становятся зашифрованы (см. справку WinRar). 

Обнаружения:
DrWeb - > Trojan.MulDrop7.22019
BitDefender -> Trojan.GenericKD.3618907
Microsoft -> Trojan:Win32/Dynamer!ac

© Генеалогия: предыдущие zip-rar-вымогатели > WinRarer

Примечательно, что расширение у такого архивного файла .ace, а не rar, zip или exe. 

Активность этого вымогателя пришлась на конец октября - начало ноября 2016 г. Согласно некоторым данным активность также была в мае-июне 2016. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру. 

Записки с требованием выкупа называются: 
RECOVERYOURFILES.HTM - записка  в виде веб-файла;
RecoverYourFiles.jpg - скринлок, встающий обоями.

Содержание записки о выкупе:
Attention : YOUR FILES were LOCKED
What happened ?
Your important files were LOCKED with Winrar so its now unusable and unreadable,
The only way to get your files back is to pay us.
Otherwise, your files will be useless
How can I get my files back?
The only way to restore them to a normal condition is to use our site to decrypt your key to get the password follow the flowing steps to enter our site :
1. Download and install tor-browser: http://www.torproject.org/projects/torbrowser.html.en
2. After a successful installation, run the browser and wait for initialization.
3. Go to this site ( paste it in the url address ) : pgzhzhje5v7dzrcr.onion
4. Copy your id from the bottom of the page to paste in the site.
your id is : *****************
done

Перевод на русский язык:
Внимание: Ваши файлы блокированы
Что случилось?
Ваши важные файлы блокированы с Winrar потому теперь непригодны и нечитаемы,
Есть один способ, чтобы получить ваши файлы обратно это заплатить нам.
В противном случае ваши файлы будут бесполезны
Как я могу вернуть мои файлы?
Только один способ вернуть их в нормальное состояние, это на нашем сайте получить ключ дешифровки и пароль, надо проделать шаги для входа на наш сайт:
1. Скачать и установить tor-браузер: http://www.torproject.org/projects/torbrowser.html.en
2. После успешной установки запуститm браузер и ждать инициализацию.
3. Перейти на этот сайт (вставьте его в URL адрес): pgzhzhje5v7dzrcr.onion
4. Скопировать id из нижней части страницы, чтобы вставить на сайте.
Ваш id: *****************
готово

Содержание текста со скринлока:
WINRARER
YOUR FILES LOCKED
WITH WINRAR
WHAT HAPPENED ?
YOUR IMPORTANT FILES WERE LOCKED WITH WINRAR
SO ITS NOW UNUSABLE AND UNREADABLE.
THE ONLY WAY TO GET YOUR FILES BACK IS TO PAY US.
OTHERWISE, YOUR FILES WILL BE LOST.
HOW CAN I GET MY FILES BACK?
THE ONLY WAY TO RESTORE THEM TO A NORMAL CONDITION IS TO USE OUR
SITE TO DECRYPT YOUR KEY TO GET THE PASSWORD
FOLLOW THE FLOWING STEPS TO ENTER OUR SITE:
1. DOWNLOAD AND INSTALL TOR-BROWSER: HTTP://WWW.TORPROJECT.ORG
2. AFTER A SUCCESSFUL INSTALLATION, RUN THE BROWSER AND WAIT FOR INITIALIZATION.
3. GO TO THIS SITE USING TOR BROWSER ONLY: PGZHZHJE5V7DZRCR.ONION
4. COPY YOUR ID FROM RECOVERYOURFILES.HTM FILE AND PASTE IT IN THE SITE
IF YOU ARE LOOKING FOR A JOB ENTER THE SITE AND GET YOUR OWN LOCKER

Перевод текста на русский язык:
WINRARER
Ваши файлы заблокированы
С помощью WinRAR
Что случилось?
Ваши важные файлы были заблокированы с помощью WinRAR
Потому они теперь непригодны для использования и нечитаемы.
Только один способ вернуть ваши файлы — это заплатить нам.
Иначе ваши файлы будут потеряны.
Как я могу получить мои файлы обратно?
Только один восстановить их в нормальное состояние — использовать наш сайт для получения вашего ключа дешифровки и пароля
Выполните плавные шаги, чтобы войти в наш сайт:
1. Скачайте и установите Tor-браузер: http://www.torproject.org
2. После успешной установки, запустите браузер и дождитесь инициализации.
3. Перейдите на этот сайт, используя только Tor-браузер: pgzhzhje5v7dzrcr.onion
4. Скопируйте ваш ID из файла RECOVERYOURFILES.HTM и вставьте его на сайте
Если вы ищете работу, зайдите на сайт и получить свой собственный Локер.

Распространяется с помощью email-спама и вредоносных вложений, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога. 

После шифрования удаляются исходные файлы, тома теневых копий и точки восстановления системы. В автозагрузку добавляется ссылка на файл WindowsDrivers.exe. 

Список файлов и папок, подвергающихся шифрованию и архивированию:
Все файлы и папки, находящиеся в корне каждого диска. 

Файлы, связанные с WinRarer Ransomware:

YourFilesHere-0penWithWinrar.ace
Runners.exe
RECOVERYOURFILES.HTM
RecoverYourFiles.jpg
RecoverYourFiles3.jpg
RecoverYourFiles4.htm
RecoverYourFiles3.rtf
RecoverYourFiles.bmp
C:\YOUR-locked-FILES\

Результаты анализов:
Гибридный анализ >> 
VirusTotal анализ >>

Степень распространённости: средняя.
Подробные сведения собираются.

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновление от 2 декабря 2019:
Фактически то же самое, но ранее у меня не было образца и некоторых файлов. 
Поcт в Твиттере >>
Результаты анализов: VT

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 ID Ransomware
 Topic on Kaldata
 *

 Thanks: 
 Michael Gillespie, Thyrex, icotonev
 Andrew Ivanov (author)
 CyberSecurity GrujaRS

© Amigo-A (Andrew Ivanov): All blog articles.

Russian Globe

Russian Globe Ransomware 

(шифровальщик-вымогатель)

Как удалить? Как расшифровать? Как вернуть данные? 

По ссылке выберите Управление "К" МВД России и подайте онлайн-заявление. 

См. также статьи УК РФ: 

ст. 272 "Неправомерный доступ к компьютерной информации" 

ст. 273 "Создание, использование и распространение вредоносных компьютерных программ"

Информация о шифровальщике

   Этот крипто-вымогатель шифрует данные пользователей с помощью AES-256, а затем требует выкуп от 0,5 до 1 биткоинов, чтобы вернуть файлы. Название получил от использования новой русскоязычной версии шифровальщика Globe (он же Purge). 

© Генеалогия: Globe > Russian Globe

К зашифрованным файлам добавляется расширение .blackblock.

Активность этого криптовымогателя пришлась на октябрь 2016 г. Ориентирован на русскоязычных пользователей.

Записки с требованием выкупа называются: 
Read Me Please.hta 

Содержание записки о выкупе:
YOUR FILES HAVE BEEN ENCRYPTED!
Your personal ID
*****
Your file have been encrypted with a powerful strain of a virus called ransomware.
Your files are encrypted using the same methods banks and the military use. There is currently no possible way to decrypt files with the private key.
Lucky for you, we can help. We are willing to sell you a decryptor UNIQUELY made for your computer (meaning someone else's decryptor will not work for you). Once you pay a small fee, we will instantly send you the software/info necessary to decrypt all your files, quickly and easily.

Перевод записки на русский язык:
Ваши файлы зашифрованы!
Ваш личный ID
*****
Ваш файл был зашифрован с помощью мощного штамма вируса называемый вымогатель.
Ваши файлы зашифрованы с использованием методов банков и военных. Сейчас нет никакой возможности для расшифровки файлов с помощью закрытого ключа.
К счастью для вас, мы можем помочь. Мы готовы продать вам декриптор ОДНОЗНАЧНО сделанный для вашего компьютера (т. е. чей-то еще декриптор не будет у вас работать). После вашего платежа небольшой суммы мы сразу же вышлем вам программу / информацию, необходимую для расшифровки всех файлы, быстро и легко.

Email вымогателей: svetlanasuvorenko@india.com

Распространяется с помощью email-спама и вредоносных вложений, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога. 

Список файловых расширений, подвергающихся шифрованию:
.avi, .csv, .dat, .database, .db, .doc, .docb, .docm, .docx, .dot, .dotm, .dotx, .gif, .h, .ico, .jpe, .jpeg, .jpg, .log, .mp1, .mp2, .mp3, .mp4, .mp4v, .mpa, .mpe, .mpeg, .mpg, .pdf, .pps, .ppsm, .ppsx, .ppt, .pptm, .pptx, .py, .pyc, .rar, .txt, .url, .wav, .wave, .wb2, .wma, .wmv, .wpd, .xls, .xlsb, .xlsm, .xlsx, zip... и многие другие, см. Globe и Globe2.

Файлы, связанные с Russian Globe Ransomware:
locker.exe
Read Me Please.hta 

Записи реестра, связанные с Russian Globe Ransomware:
***
Сетевые подключения:
***
Результаты анализов:
Гибридный анализ >> 
VirusTotal анализ >>

Степень распространённости: низкая.
Подробные сведения собираются.

 Read to links: 
 *
 *
 *

 Thanks: 
 Michael Gillespie
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

ZeroCrypt

ZeroCrypt Ransomware 

(шифровальщик-вымогатель)

   Этот крипто-вымогатель шифрует данные пользователей с помощью RSA-1024, а затем требует выкуп в 10 биткоинов (~$7300) за секретный ключ и 100 биткоинов за программу дешифрования файлов на несколько машин. Название получил от email-адреса вымогателей. 

© Генеалогия: выясняется

К зашифрованным файлам добавляется расширение .zn2016.

Активность этого криптовымогателя пришлась на конец октября 2016 г. Ориентирован на англоязычных пользователей.

Записка с требованием выкупа бросается на рабочий стол и называется: 
ZEROCRYPT_RECOVER_INFO.txt

Содержание записки о выкупе:
!!! IMPORTANT INFORMATION !!!!
All of your files are encrypted with RSA-1024 and some secret ciphers.
Decrypting of your files is only possible with the secret key or decryption program, which is on our secret server.
To receive your secret key send 10 BTC on this bitcoin-address:
1KCqVgHEXMw8mhSuz1LWmPSNskARRivY57
The secret key can decrypt the data on a single computer.
To receive your decryption program send 100 BTC on this bitcoin-address:
1KCqVgHEXMw8mhSuz1LWmPSNskARRivY57
The decryption program can decrypt the data on all of your computers.
When you send money, please contact us at this email address:
zerocrypt2016@gmail.com
And attach one of the encrypted file to the letter.

Перевод записки на русский язык:
!!! ВАЖНАЯ ИНФОРМАЦИЯ !!!!
Все ваши файлы зашифрованы с помощью RSA-1024 и некоторых секретных шифров.
Дешифрование файлов возможно только с помощью секретного ключа или программы дешифрования, которая есть на нашем секретном сервере.
Чтобы получить секретный ключ отправьте 10 BTC на этот Bitcoin-адрес:
1KCqVgHEXMw8mhSuz1LWmPSNskARRivY57
Секретный ключ может расшифровать данные на одном компьютере.
Для получения вашей программы дешифрования отправьте 100 BTC на этот Bitcoin-адрес:
1KCqVgHEXMw8mhSuz1LWmPSNskARRivY57
Программа дешифрования может расшифровать данные на всех ваших компьютерах.
Когда вы отправите деньги, пожалуйста, свяжитесь с нами по этому email:
zerocrypt2016@gmail.com
И прикрепите один из зашифрованных файлов к письму.

Распространяется с помощью email-спама и вредоносных вложений, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога. 

Список файловых расширений, подвергающихся шифрованию:
***

Файлы, связанные с ZeroCrypt Ransomware:
ManBeCareful.exe
%LOCALAPPDATA%\ZeroCrypt\ManBeCareful.exe
%USERPROFILE%\Desktop\ZEROCRYPT_RECOVER_INFO.txt

Записи реестра, связанные с ZeroCrypt Ransomware:
См. ниже гибридный анализ.

Сетевые подключения:
***

Результаты анализов:
Гибридный анализ >> 
VirusTotal анализ >>

Степень распространённости: низкая.
Подробные сведения собираются.

 Read to links: 
 Tweet on Twitter
 ID Ransomware
 *

 Thanks: 
 Michael Gillespie
 Daniel Gallagher
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

Ishtar

Ishtar Ransomware 

(шифровальщик-вымогатель)

Как удалить? Как расшифровать? Как вернуть данные? 
По ссылке выберите Управление "К" МВД России и подайте онлайн-заявление. 
См. также статьи УК РФ: 
ст. 272 "Неправомерный доступ к компьютерной информации" 
ст. 273 "Создание, использование и распространение вредоносных компьютерных программ"

Подробнее >>>

Информация о шифровальщике

   Этот крипто-вымогатель шифрует данные пользователей с помощью AES-256 + RSA-2048, а затем требует связаться с вымогателями по email, чтобы вернуть файлы. В среднем сумма выкупа, по сообщениям пострадавших, составляет 15 тысяч рублей. Название получил от используемого вымогателем слова ISHTAR. 

© Генеалогия: Ishtar. Начало.

К зашифрованным файлам добавляется приставка ISHTAR- . Таким образом файл image.jpg после шифрования станет файлом ISHTAR-image.jpg

Первая активность этого криптовымогателя пришлась на конец октября 2016 г., но продолжается на протяжении ноября. Ориентирован на русскоязычных и англоязычных пользователей, что не мешает ему атаковать и иноязычных пользователей. 

Записка с требованием выкупа написана сразу на двух языках (русском и английском) и называется: README-ISHTAR.txt

Если вам нужны оригинал-скриншоты без водяных знаков и в высоком разрешении, напишите автору блога. 
If you need the original screenshots without watermarks and in high resolution, please contact to author of blog.

Содержание записки о выкупе:
 ДЛЯ РАСШИФРОВКИ ФАЙЛОВ ОБРАТИТЕСЬ НА ПОЧТУ youneedmail@protonmail.com
 ЛИБО НА
 BM-NBYR3ctSgr67iciT43rRNmHdHPAYBBK7 ИСПОЛЬЗУЯ BITMESSAGE DESKTOP ИЛИ https://bitmsg.me/

 БАЗОВЫЕ ТЕХНИЧЕСКИЕ ДЕТАЛИ:
 > Стандартный порядок шифрования: AES 256 + RSA 2048.
 > Для каждого файла создается уникальный AES ключ.
 > Расшифровка невозможна без файла ISHTAR.DATA (см. директорию %APPDATA%).
 -----
 TO DECRYPT YOUR FILES PLEASE WRITE TO youneedmail@protonmail.com
 OR TO
 BM-NBYR3ctSgr67iciT43rRNmHdHPAYBBK7 USING BITMESSAGE DESKTOP OR https://bitmsg.me/

 BASIC TECHNICAL DETAILS:
 > Standart encryption routine: AES 256 + RSA 2048. 
 > Every AES key is unique per file.
 > Decryption is impossible without ISHTAR.DATA file (see %APPDATA% path).

Распространяется с помощью email-спама и вредоносных вложений, в том числе под видом документов MS Office с макросами, фальшивых обновлений, перепакованных и заражённых инсталляторов.

Ishtar Ransomware заставляет пользователя "исправить" документ

После шифрования теневые копии файлов удаляются командой:
cmd.exe /c vssadmin delete shadows /all /quiet

Список файловых расширений, подвергающихся шифрованию:

.001, .3fr, .accdb, .apk, .arch00, .arw, .asset, .avi, .bar, .bay, .bc6, .bc7, .big, .bik, .bkf, .bkp, .blob, .bsa, .cas, .cdr, .cer, .cfr, .cr2, .crt, .crw, .css, .csv, .d3dbsp, .das, .dazip, .db0, .dbfv, .dcr, .der, .desc, .dmp, .dng, .doc, .docm, .docx, .dwg, .dxg, .epk, .eps, .erf, .esm, .flv, .forge, .fos, .fpk, .fsh, .gdb, .gho, .hkdb, .hkx, .hplg, .hvpl, .ibank, .icxs, .indd, .itdb, .itl, .itm, .iwd, .iwi, .jpeg, .jpg, .kdb, .kdc, .layout, .lbf, .lrf, .ltx, .lvl, .m3u, .m4a, .map, .mcgame, .mcmeta, .mdb, .mddata, .mdf, .mef, .menu, .mlx, .mpqge, .mrwref, .ncf, .nrw, .ntl, .odb, .odc, .odm, .odp, .ods, .odt, .orf, .p12, .p7b, .p7c, .pak, .pdd, .pdf, .pef, .pem, .pfx, .pkpass, .png, .ppt, .pptm, .pptx, .psd, .psk, .pst, .ptx, .qdf, .qic, .r3d, .raf, .rar, .raw, .re4, .rgss3a, .rim, .rofl, .rtf, .rw2, .rwl, .sav, .sid, .sidn, .sie, .sis, .slm, .snx, .sr2, .srf, .srw, .sum, .svg, .syncdb,.t12, .t13, .tax, .tor, .txt, .upk, .vdf, .vfs0, .vpk, .vpp_pc, .vtf, .w3x, .wb2, .wma, .wmo, .wmv, .wpd, .wps, .x3f, .xlk, .xls, .xlsb, .xlsm, .xlsx, .xxx, .zip, .ztmp (168 расщирений).

Файлы, связанные с Ishtar Ransomware:
%User_name%/AppData/Roaming/winishtar.exe - исполняемый файл шифровальщика
ishtar_ransomware.exe - исполняемый файл шифровальщика (23-24 ноября)
%User_name%/AppData/Roaming/<ransom_name>.exe - копия исполняемого файла
%User_name%/AppData/Roaming/<ransom_name>.tmp
%APPDATA%\<random>.exe - копия исполняемого файла
%APPDATA%\<random>.tmp
C:\README-ISHTAR.txt - записка о выкупе
%AppData%\Roaming\README-ISHTAR.txt - копия записки о выкупе
C:\ISHTAR.DATA - уникальный файл-ключ для ПК с Windows 7 и выше
%AppData%\ISHTAR.DATA - тот же уникальный файл-ключ для ПК с Windows 7 и выше
%AppData%\Roaming\ISHTAR.DATA - копия уникального ключа для ПК с Windows 7 и выше
C:\Documents and Settings\<USER>\Application Data\ISHTAR.DATA - файл-ключ для ПК с Windows XP
%USERPROFILE%\Desktop\Ishtar_ransomware.docx
%APPDATA%\Microsoft\Templates\~$Normal.dotm
Anketa sotrudnikov pretend na povushenie.exe - пример вредоносного вложения
Счет_отправлено_контрагенту_22_11.exe - пример вредоносного вложения

Записи реестра, связанные с Ishtar Ransomware:
См. ниже гибридный анализ. 

Сетевые подключения и связи:
хттп://5.189.156.184/files_rec/gate_rec.php
хттпs://bitly.com (67.199.248.11:80) (США)
www.google.ru (216.58.210.3) (США)
хттп://46.45.138.138/pw/gate.php (Турция) - 23-24 ноября

Результаты анализов:
Гибридный анализ >> 
Гибридный анализ от 23-24 ноября >>
VirusTotal анализ >>
VirusTotal анализ ещё >>
VirusTotal анализ от 24 ноября >>
Гибридный анализ от 15 декабря >>
VirusTotal анализ от 15 декабря >>

Степень распространённости: высокая.
Подробные сведения собираются.

---

Обновление от 2 февраля:
Email: youneedmail@bitmai.la
Записка: 
# TO DECRYPT YOUR FILES PLEASE WRITE TO youneedmail@bitmai.la
# OR TO
# BM-NB29yqgNJsWrWJT5fQR1JC5uoz2EoAGV 

USING BITMESSAGE DESKTOP OR https://bitmsg.me/ 

Злоумышленники не отвечают пострадавшим. 

---

Обновление от 27 февраля 2017:
Email: youneedhelp@mail2tor.com

---

Обновление от 30 мая 2017:
Записка: 
Email: support4you@protonmail.#

---

Обновление от 10 мая 2017:

Записка: README-ISHTAR.txt
Email: youneedhelp@mail2tor.com
BM-NB29yqgNJsWrWJT5fQR1JC5uoz2EoAGV
<< Скриншот записки о выкупе

---

Обновление от 30 мая 2017:
Записка: README-ISHTAR.txt
Email: support4you@protonmail.com
BM-NB29yqgNJsWrWJT5fQR1JC5uoz2EoAGV
<< Скриншот записки о выкупе

---

 Read to links: 
 Tweet on Twitter
 Topic of Support
 *

 Thanks: 
 Michael Gillespie
 Jakub Kroustek
 mike 1 (за список расширений)
 

© Amigo-A (Andrew Ivanov): All blog articles.

MasterBuster

MasterBuster Ransomware 

(шифровальщик-вымогатель)

   Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует заполнить онлайн-форму в Google Docs, чтобы вернуть файлы. В течении 10 дней нужно заплатить выкуп в 3500 рупий. Если пройдёт больше времени, то сумма выкупв возрастёт до 5000 или 10000 рупий. Оригинальное название: MasterBuster. Разработка: DarkWing020 

© Генеалогия: HiddenTear >> MasterBuster

К зашифрованным файлам добавляется расширение .hcked.
Активность этого криптовымогателя пришлась на октябрь 2016 г. Ориентирован на бенгалоязычных пользователей (бенгальцы живут в Индии и Бангладеш).

Записки с требованием выкупа называются: 
READ_THIS_FILE_IMPORTANT.txt 

Содержание записки о выкупе:
IMPORTANT!!!!
Apnar Computer er shokol gurottopurno file encrypt kora hoyeche. 
KONO FILE TOUCH KORBEN NA!
Amra shokol file recover kore dibo.
Jebhabe apnar file recover korben: -
1) Ei link e jan: 
- http://goo.gl/forms/VftoBRppkJ
2) Form fill-up korun.
3) 24 hours er moddhe apnar email + mobile SMS a shokol dhoroner instructions chole jabe.
Thank you!
DarkWing020

Перевод записки на русский язык (перевод Автора блога):
ВАЖНО!!!!
Все ваши компьютерные файлы были зашифрованы.
НЕ ИЗМЕНЯЙТЕ НИКАКИЕ ФАЙЛЫ!
Мы можем восстанавить все файлы.
Как восстановить файлы: -
1) Перейдите по этой ссылке:
- http://goo.gl/forms/VftoBRppkJ
2) Заполните форму выше.
3) За 24 часа на ваш email + мобильный SMS придут инструкции по решению проблемы. 
Спасибо!
DarkWing020

Требуется также заполнить онлайн-форму в Google Docs (на бенгальском и частично английском языках).

Содержание (основная часть):
Files Recovery Process - DarkWing020
আপনাকে যদি এই ফর্মটি ফিলাপ করতে বলা হয়ে থাকে, তাহলে আপনার কম্পিউটার এর সকল ফাইল আমাদের সফটওয়্যার দ্বারা লক হয়েছে। ভয় পাবেন না!! এই ফর্মটি পূরণ করার মাধ্যমে আপনি আপনার ফাইলগুলো খুব সহজেই কোনো সমস্যা ছাড়াই ফিরে পেতে পারেন!! English/Bangla অথবা Banglish এ (ইংরেজি অক্ষরে বাংলা লেখা) ফর্মটি ফিলাপ করুন। আপনাকে জরিমানার মোট পরিমাণ এবং টাকা জমা দেয়ার নিয়ম ইমেইল এবং মোবাইলে জানানো হবে।
* মূল জরিমানার পরিমাণ ৩,৫০০ টাকা।
* ১০ দিনের বেশি অতিবাহিত হলে অতিরিক্ত ৫,০০০ থেকে ১০,০০০ টাকা জরিনামা করা হবে।
* ২০ দিনের বেশি অতিবাহিত হলে ফাইল রিকভার করা সম্ভব নয়।
## অসম্পুর্ণ অথবা ভুল তথ্য দিয়ে পূরণ করা ফর্ম বাতিল বলে গণ্য হবে।
## যেখান থেকে আক্রান্ত হয়েছেন সেখানে বাজে কমেন্ট করবেন না। আবারও বলছি, সেখানে বাজে কমেন্ট করবেন না। বাজে কমেন্ট করা হলে আমরা কোনোভাবেই ফাইল ফিরিয়ে দেব না। ভালো কমেন্ট করবেন। না পারলে দুরে থাকবেন।
## ফর্ম পূরণ এর ২৪ ঘন্টার মধ্যে আপনার সাথে ইমেইলে এবং মোবাইল ফোনে যোগাযোগ করা হবে। যোগাযোগের 24 ঘন্টার মধ্যে উল্লেখ করা মাধ্যমে টাকা প্রেরণ করা না হলে ভবিষ্যতে ফাইল রিকভার করা হবে না। রিকভার করা হলেও ২০,০০০ টাকা জরিমানা করা হবে।* Required
আপনার ফাইল কত দিন আগে লক করা হয়েছে? *
"আজকেই" অথবা যতদিন আগে লক করা হয়েছে তা লিখুন। (যেমনঃ- ৭ দিন)
আপনার কম্পিউটারের নাম কি? *
"Windows Key এবং R" একসাথে চাপুন -> বক্স এ cmd লিখে enter চাপুন -> hostname লিখে enter চাপুন। আপনার কম্পিউটারের নাম পেয়ে যাবেন।
আনুমানিক কত Gigabyte (GB) ফাইল লক করা হয়েছে? *
আপনার ফাইলগুলো কতটুকু গুরুত্বপুর্ন? *
  মোটামোটি
 বেশি
 খুবই বেশি
কিভাবে পেমেন্ট করতে চান? *
আমরা আমাদের সুবিধামত পেমেন্ট মেথড চেঞ্জ করব।
  Bkash
  Dutch-Bangla Mobile Bank
  Other: 
আপনার মোবাইল নাম্বার *
আগামী ২৪ ঘন্টা খোলা রাখবেন। SMS অথবা Phone Call দেয়া হবে।
আপনার Email Address *
আগামী ২৪ ঘন্টার মধ্যে চেক করবেন।
আমাদেরকে কি আর কিছু জানাতে চান?
আপনার অনুরোধ, বক্তব্য, অভিযোগ লিখুন।
Done

Перевод онлайн-формы на русский язык:
Процесс восстановления файлов - DarkWing020
Если вас просят заполнить эту форму, то все файлы на вашем компьютере были заблокировани нашим программным обеспечением. Не бойтесь!! Заполнив эту форму, вы можете  легко получить ваши файлы обратно, без каких-то проблем!! Английский / Bangla или Banglish (латинские буквы, написанные на бенгальском языке) и заполнив форму. Вы размещаете общую сумму штрафа и будете уведомлены по email и телефону.
* Сумма первоначального штрафа в размере 3500 рупий. 
* Если вы потратили больше 10 дней, оплата возрастет от 5000 до 10000 рупий. 
* 0 дней прошло, не представляется возможным восстановить файл.
## Неполная или неправильная информация заполненная в форме будет отклонена. 
## Плохие комментарии не комментируем. Принимаем неплохие комментарии. Если мы не восстановим файл в любом случае плохой комментарий. Хороший комментарий, если вы не можете остаться в стороне. 
## 4 часа, чтобы заполнить форму с вашим email и мобильным телефоном для связи. Сообщения, отправленные за 24 часа, если вы не укажете деньги не будут восстановлены в будущем файле. 0,000 восстановления, но будет оштрафован.
* Обязательно
Как долго ваши файлы заблокированы? *
"Сегодня" или введите "Дни блокировки". (Пример: 7 дней)
Какое имя вашего компьютера? *
Нажмите вместе Windows Key и R" -> в поле введите CMD и нажмите Enter -> введите hostname и нажмите Enter. Вы получите имя вашего компьютера.
Сколько гигабайтов (ГБ) файлов заблокировано? *
Сколько важных файлов? *
 немного 
 много
 очень много 
Как оплатить? *
Можно выбрать способ оплаты.
 Bkash
 Dutch-Bangla Mobile Bank
 Другое: 
Номер вашего мобильного телефона *
Проверяйте ближайшие 4 часа. Будет послана SMS или звонок.
Ваш email-адрес
Проверяйте почту следующие 4 часа.
Что еще вы хотите рассказать нам?
Ваш запрос, например, написать жалобу.
 Готово

Распространяется с помощью email-спама и вредоносных вложений, в том числе под видом PDF-документов, фальшивых обновлений, перепакованных и заражённых инсталляторов.

Шифрованию подвергаются файлы в следующих директориях:
%DriveLetter%
%SystemDrive%\users\public
%UserProfile%\Documents
%UserProfile%\Downloads

%UserProfile%\Desktop

Список файловых расширений, подвергающихся шифрованию:
.3dm, .3ds, .3gp, .7z, .accdb, .apk, .app, .asp, .aspx, .avi, .bat, .bin, .bmp, .css, .csv, .dmg, .doc, .docx, .dwg, .dxf, .fla, .flac, .flv, .gem, .html, .ipa, .iso, .jar, .jpeg, .jpg, .js, .m4a, .mdb, .mdf, .mov, .mp3, .mp4, .mpeg, .mpg, .odt, .ogg, .pdf, .php, .png, .pps, .ppt, .pptx, .psd, .py, .rar, .rom, .rtf, .sav, .sln, .sql, .swf, .swift, .txt, .vb, .wav, .wmv, .xls, .xlsx, .xml, .zip (65 расширений). 

Файлы, связанные с MasterBuster Ransomware:
MasterBuster.exe
READ_THIS_FILE_IMPORTANT.txt 

Записи реестра, связанные с MasterBuster Ransomware:
См. ниже в гибридном анализе. 

Сетевые подключения:
хттп://decrypt.ez.lv/
decrypt.ez.lv/ddrt/write.php?info=

хттп://goo.gl/forms/VftoBRppkJ
docs.google.com/forms/d/1dUrtnhlouJBZKyJjPU4x_nvbXO2jkd8vf7nkI_7DOl0/viewform


Результаты анализов:
Гибридный анализ >> 
VirusTotal анализ >>
Ransom.Masterbuster >>

Степень распространённости: пока не определена.
Подробные сведения собираются.

 Read to links: 
 Tweet on Twitter
 Symantec Security Response
 *

 Thanks: 
 Karsten Hahn
 Michael Gillespie
 Amigo-A :)
 Symantec Security Response

© Amigo-A (Andrew Ivanov): All blog articles.