Шифровальщики-вымогатели The Digest "Crypto-Ransomware"

Шифровальщик (вирус-шантажист). Защита от программ-шифровальщиков. Как удалить вирус-шифровальщик?
Шифровальщики — это вредоносные программы, которые шифруют файлы и требуют выкуп за их расшифровку.
Данный сайт — это ДАЙДЖЕСТ и ПЕРВОИСТОЧНИК информации о шифровальщиках и всевозможных вымогателях.
Авторские статьи, инструкции для пострадавших, рекомендации по защите и профилактике угрозы Ransomware.

понедельник, 19 декабря 2016 г.

CryptoBlock

CryptoBlock Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью RSA-2048, а затем требует выкуп в 0,3 биткоинов, чтобы вернуть файлы. Название оригинальное. Фальш-имя: Adobe Systems, Incorporated.

© Генеалогия: выясняется.

Изображение не относится к шифровальщику

К зашифрованным файлам добавляется случайное расширение и сами файлы тоже переименовываются случайным набором букв, цифр и символов. Прочитать ничего невозможно. Как-то опознать файл можно только по размеру. См. пример.

Активность этого криптовымогателя пришлась на декабрь 2016 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Запиской с требованием выкупа выступает экран блокировки.

Содержание текста с экрана блокировки:
CryptoBlock
Your personal files are encrypted!
Your personal files encryption produced on this computer: photos, videos, documents, etc. Encryption was produced using a unique public key RSA-2048 generated for this computer.
To decrypt files you need to obtain the private key.
The single copy of the private key, which will allow to decrypt the files, located on a secret server on the Internet; the server will destroy the key after a time specified in this window. After that, nobody and never will be able to restore files...
To obtain the private key for this computer, which will automatically decrypt files, you need to pay 0.3 bitcoin (~210 USD).
You can easily delete this software, but know that without it, you will never be able to get your original files back.
Disable your antivirus to prevent the removal of this software.
For more information on how to buy and send bitcoins, click "How to pay"
Do not delete this list, it will be used for decryption. And do not move your files.
Each time the timer expires, the total cost will raise.
After the purchase is made, wait 1-3 hour for our confirmation of the bitcoins.
After that click on "Decrypt Files" to Decrypt your files.

Текст с правой части экрана:
First send the bitcoin to this adress and then
click on the blue button
Send exactly 0.3 BTC to this address:
Note: You should send the bitcoins to this adress
Click here if you send the bitcoins
Note: You can purchase bitcoins from this sites for yourself
xxxs://localbitcoins.com
xxxs://www.coinbase.com
xxxs://cex.io (UK)
xxxs://paxful.com

Перевод текста на русский язык:
CryptoBlock
Ваши личные файлы зашифрованы!
Ваши личные файлы шифрование произведено на этом компьютере: фото, видео, документы и т.д. Шифрование было произведено с уникальным открытым ключом RSA-2048 созданным для этого компьютера.
Для расшифровки файлов вам нужно получить закрытый ключ.
Единственная копия секретного ключа, который может расшифровать файлы, находится на секретном сервере в Интернет; сервер уничтожит ключ после указанного срока в этом окне. После этого никто и никогда не сможет восстановить файлы...
Для получения секретного ключа для этого ПК, который автоматически расшифрует файлы, вам нужно заплатить 0,3 биткоина (~210 USD).
Вы можете легко удалить эту программу, но знайте, что без неё, вы никогда не сможете получить исходные файлы обратно.
Отключите антивирус, чтобы предотвратить удаление этой программы.
Для информации о том, как купить и отправить биткоины, жмите "How to pay"
Не удаляйте этот список, он нужен для дешифрования. И не перемещайте ваши файлы.
Каждый раз, когда таймер обнуляется, сумма повышается.
После сделанной покупки ждите 1-3 часа для подтверждения приема биткоинов.
Потом жмите "Decrypt Files" для расшифровки своих файлов.

Перевод текста с правой части экрана:
Сначала отправьте биткоин на этот адрес, а затем нажмите на синюю кнопку
Пошлите ровно 0,3 BTC по этому адресу:
Примечание: Вы должны отправить биткоины на этот адрес
Жмите здесь, если вы посылаете биткоины
Примечание: Вы можете купить биткоины на этих сайтах для себя
xxxs://localbitcoins.com
xxxs://www.coinbase.com
xxxs://cex.io (UK)
xxxs://paxful.com

Распространяется с помощью email-спама и вредоносных вложений, эксплойтов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, PDF, базы данных, фотографии, музыка, видео, общие сетевые папки и пр.

Файлы, связанные с этим Ransomware:
dynamiclinkmediaserver.exe
Ndamin.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения:
***www.filecrypter.in (138.201.207.84:80)

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >> Ещё >>
Malwr анализ >>

Обновление от 10 марта 2017:
Новое название: FileCrypter
Открыли FileCrypter Shop
Разрабатывают RaaS

Сайт: xxxx://filecrypter.in (138.201.207.84:80)
Статья MalwarebytesLabs >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

 Read to links: 
 Tweet on Twitter
 ID Ransomware (n/a)
 Write-up (n/a)
 *
 *

 Thanks: 
 R0bert R0senb0rg
 Andrew Ivanov (author)
 *
 *

воскресенье, 18 декабря 2016 г.

AES-NI

AES-NI Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью AES-256 (ECB-режим) + RSA-2048, а затем требует написать на email вымогателей, чтобы выкупить секретный ключ и вернуть файлы. Сначала название дано по логину из email вымогателей, потом подтвердилось.

© Генеалогия: AES-NI. Начало.

К зашифрованным файлам добавляется расширение:
.aes256
.aes_ni
.aes_ni_gov - для атак на госучреждения (спец. сборка);
.lock - используется тем, кто перешёл с Globe.

Активность этого криптовымогателя пришлась на декабрь 2016 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записки с требованием выкупа называются:
!!! READ THIS - IMPORTANT !!!.txt

Содержание записки о выкупе:
< YOUR FILES ARE ENCRYPTED! >
SORRY! All personal files on your computer are encrypted.
File contents are encrypted with random key (AES-256; ECB mode).
Random key is encrypted with RSA public key (2048 bit).
We STRONGLY RECOMMEND you NOT to use any "decryption tools".
These tools can damage your data, making recover IMPOSSIBLE.
If you want to decrypt your files, you have to get RSA private key.
In order to get private key, write here:
aes-ni@protonmail.com
aes-ni@tuta.io
Also you can write to BitMsg (https://bitmsg.me) address
if you did not receive any answer on e-mail:
BM-2cVgoJS8HPMkjzgDMVNAGg5TG3bb1TcfhN
You will receive instructions of what to do next.
You MUST refer this ID in your message:
*****
< YOUR FILES ARE ENCRYPTED! >

Перевод записки на русский язык:
< ТВОИ ФАЙЛЫ ЗАШИФРОВАНЫ! >
ПРОСТИ! Все личные файлы на твоем компьютере зашифрованы.
Содержимое файла зашифровано со случайным ключом (AES-256, режим ECB).
Случайный ключ шифруется с помощью открытого ключа RSA (2048 бит).
Мы убедительно не советуем использовать "инструменты дешифрования".
Эти инструменты могут привести к повреждению данных, что сделает восстановление НЕВОЗМОЖНЫМ.
Если хочешь расшифровать свои файлы, то должен получить RSA секретный ключ.
Для заказа секретного ключа, пиши сюда:
aes-ni@protonmail.com
aes-ni@tuta.io
Также можешь написать на BitMsg-адрес (https://bitmsg.me)
если ты не получил никакого ответа на email:
BM-2cVgoJS8HPMkjzgDMVNAGg5TG3bb1TcfhN
Ты получишь инструкции о том, что делать дальше.
Ты должен передать этот ID в своем сообщении:
*****
< ТВОИ ФАЙЛЫ ЗАШИФРОВАНЫ! >

Распространяется с помощью email-спама и вредоносных вложений, эксплойтов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

AES-NI определяет локальный язык и страну пользователей, подключаясь в адресу ipinfo.io, поэтому шифровальщик не работает у пользователей из России и стран СНГ (защита от запуска).
Использует антиреверсинг, определяет запуск в песочнице.
Использует C&C-сервер в Tor-сети.

Использует инжект в выполняющиеся процессы.

Шифруются все файлы, кроме тех, что имеют расширения:
.dll, .exe, .lnk, .mui, .sys

Таким образом документы MS Office, PDF, базы данных, фотографии, музыка, видео, архивы наверняка будут зашифрованы, а система будет работать.

Файлы, связанные с этим Ransomware:
!!! READ THIS - IMPORTANT !!!.txt
<random>.exe
C:\ProgramData\[PC_NAME#ID].key.lock - оффлайн-ключи

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
aes-ni@protonmail.com
aes-ni@tuta.io
0xc030@protonmail.ch
frogobigens@india.com (ранее был замечен в Globe2)

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Malwr анализ >>

Обновление от 27 февраля 2017:

Файлы с ключами: .key.aes_ni_gov
Email: 0xc030@protonmail.ch
0xc030@tuta.io
aes-ni@sigaint.org
<< Скриншот записки (реконструкция)

Обновление от 9 февраля / 13 марта:
Новая тема поддержки пользователей на BC
Расширение: .lock
Записка: !!! READ THIS - IMPORTANT !!!.txt

Email: frogobigens@india.com (перешли на AES-INI после использования Globe).

Идентификация ПК жертвы по шаблону:
Your ID: PC_NAME#HASH style ID [random_A-Z0-9]{32}
Содержание записки о выкупе:
Your ID: COMP#0B090BFB5147AAE38F4CF1F1F507935D
Also check for .key.lock files in the C:\ProgramData directory and send them to support.
Translation at the expense of Bitcoin address
1HyasSC2VifTZo7YkUNn33udnWXw3*****
Buy Bitcoin here https://localbitcoins.com or
https://www.buybitcoinworldwide.com/find-exchange/ or
https://www.coinbase.com or
https://www.xmlgold.eu or
any other exchanger
or
write to Google how to buy Bitcoin in your country?
after payment you will receive a program that automatically decrypts all your files
mail support frogobigens@india.com
NO money = NO decryption

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

Обновление 20 июня 2017:
КЛЮЧИ и ДЕКРИПТЕР от РАЗРАБОТЧИКА AES-NI для ДЕШИФРОВКИ
------------------------------------------------------
IN ENGLISH
-------------------------
keys: https://www.sendspace.com/file/8co1k2
pass: dT3FfWkaOKaWGLk
MD5: 269802A70BEC0D74DA42D74DB7EEDE6F
SHA-256: 72CD9E37779910B9CCDA99489455FAF0A44EDA823DE1AF2376F5589DE8194E15
---
Decrypter and private keys
https://www.sendspace.com/file/n3ha1w
password: 6bvlWD9yz3yBtQyOhtAqFheg
MD5 D0187361E5E893D1CF23EA1877F340C2
---
RSA 2048 private master key for offline AES-NI keys.
https://www.sendspace.com/file/fz133k
pass: 85W0vhRkPbqcvaTafHknhMRP
---
We wish you a successful decrypting!
---------------------------------------------------
НА РУССКОМ ЯЗЫКЕ
-------------------------
ключи: https://www.sendspace.com/file/8co1k2
пароль: dT3FfWkaOKaWGLk
MD5: 269802A70BEC0D74DA42D74DB7EEDE6F
SHA-256: 72CD9E37779910B9CCDA99489455FAF0A44EDA823DE1AF2376F5589DE8194E15
---
Декриптер и закрытые ключи
https://www.sendspace.com/file/n3ha1w
пароль: 6bvlWD9yz3yBtQyOhtAqFheg
MD5 D0187361E5E893D1CF23EA1877F340C2
---
RSA 2048 закрытый мастер-ключ оффлайн ключей AES-NI.
https://www.sendspace.com/file/fz133k
пароль: 85W0vhRkPbqcvaTafHknhMRP
---
Желаем вам успешной дешифровки!

------------------------------------------------------

 Read to links: 
 Tweet on Twitter
 ID Ransomware (ID as AES-NI)
 Topic on BC / Now Topic on BC

 Thanks: 
 Michael Gillespie
 BleepingComputer
 *
 *

Koolova

Koolova Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует файлы с помощью AES-256, а затем отображает экран блокировки, в котором текст медленно двигается. Этот текст гласит, что жертва должна прочитать две статьи BleepinComputer статью по Jigsaw и Google статью по онлайн-безопасности, прежде чем получит ключ дешифрования.

Затем пострадавшему сообщается, что если он так ленив, чтобы не может прочитать две статьи пока таймер не досчитал до нуля, то как в случаем Jigsaw, он будет удалять зашифрованные файлы. Название оригинальное, другие названы в тексте требований: Nice Jigsaw и Jigsaws twin. Разработчик: Koolova Paul

© Генеалогия: Jigsaw + HiddenTear >> Koolova > DUMB

К зашифрованным файлам добавляется расширение .encrypted

Активность этого криптовымогателя пришлась на декабрь 2016 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру. Предыдущая версия была недоработанной и называлась Runsome (Ransomeware).
👮 Заметили ошибки?
Да, именно так: одна ошибка на файле, другая в тексте требований. В словарь вымогателю заглянуть невдомёк.

Запиской с требованием выкупа выступает экран блокировки

Содержание текста требований на экране:
Hello, I’m nice Jigsaw or more commonly known as Jigsaws twin.
Unfortunately all of your personal files (pictures, documents, etc...) have been encrypted by me, an evil computer virus know as 'Ransomeware'.
Now now, not to worry I'm going to let you restore them but only if you agree to stop downloading unsafe applications off the internet.
lf you continue to do so may end up with a virus way worse than me! You might even end up meeting my infamous brother Jigsaw :(
While you're at it, you can also read the small article below by Google’s security team on how to stay safe online.
Oh yeah I almost forgot! In order for me to decrypt your files you must read the two articles below, nonce you have click the "Get My Decryption Key" button.
Then enter in your decryption key and click the "Decrypt My Files" button.
Eventually all of your files will be decrypted :)
If the timer reaches zero then all of your personal files will be deleted because you were too lazy to read two articles.
So User do you want to play a game?

Перевод текста на русский язык:
Привет, я хороший Jigsaw или более известный как двойник Jigsaw.
К сожалению, все твои личные файлы (фото, документs и т.д...) были зашифрованы мною, злым компьютерным вирусом известным как 'Ransomeware'.
Но не беспокойся, я собираюсь позволить тебе восстановить их, но только если ты согласишься остановить загрузку небезопасных приложений из Интернета.
Если ты по-прежнему это делаешь, то можешь столкнуться с вирусом гораздо худшим, чем у меня! Ты мог бы даже в конечном итоге встретить моего брата - печально известного Jigsaw :(
Пока это не произошло, ты можешь прочитать небольшую статью ниже по безопасности от компании Google о том, как оставаться в безопасности в Интернете.
Ах да, чуть не забыл! Для того, чтобы я расшифровал твои файлы, ты должен прочитать две статьи ниже, а потом нажать кнопку "Get My Decryption Key".
Затем ввести ключ дешифрования и нажать кнопку "Decrypt My Files".
В конце концов, все твои файлы будут расшифрованы :)
Если таймер дойдёт до нуля, то все твои личные файлы будут удалены, потому что ты был слишком ленив, чтобы прочитать две статьи.
Так что, пользователь, хочешь сыграть?

Это не пустая угроза, файлы на самом деле удаляются. После того, как пользователь прочитает эти статьи, кнопки в блоке "Decriptazione" становятся активными и пользователь, нажав на них, может запустить процесс получения ключа и дешифровки файлов.

После нажатия на кнопку "Decrypt My Files" Koolova подключится к C&C-серверу и получит ключ дешифрования. Потом отобразит его в диалоговом окне с заголовком "Nice Jigsaw": Sorry for the inconvenice. :)

После чего пользователь сможет использовать полученный ключ, чтобы ввести его в поле для расшифровки файлов.

Технические детали

Распространяется или может распространяться с помощью email-спама и вредоносных вложений, эксплойтов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
Шифруются почти все файлы, остаются нетронутыми только важные системные файлы и файл вымогателя с требованиями о выкупе.

Файлы, связанные с этим Ransomware:
Koolova_Ransomware.exe
Runsome.exe
<random>.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
***

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
VirusTotal анализ v.2 >>
VirusTotal анализ v.1 >>
Malwr анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

 Read to links: 
 Tweet on Twitter + Tweet
 ID Ransomware (n/a)
 Write-up

 Thanks: 
 Michael Gillespie, Lawrence Abrams
 Andrew Ivanov (author)
 *

суббота, 17 декабря 2016 г.

GlobeImposter 1.0, 2.0

Fake Globe Ransomware:

GlobeImposter, GlobeImposter 2.0

GlobeImposter NextGen, FakeGlobeImposter,

FakeGlobeImposter NextGen, GlobeImposterImitator

GlobeImposter 'cut-to-use', 'cut-to-confuse'

(семейство шифровальщиков-вымогателей, все итерации)

Translation into English

Как удалить? Как расшифровать? Как вернуть данные?

По ссылке выберите Управление "К" МВД России и подайте онлайн-заявление.

См. также статьи УК РФ:
ст. 159.6 "Мошенничество в сфере компьютерной информации" (подробнее)

ст. 272 "Неправомерный доступ к компьютерной информации"

ст. 273 "Создание, использование и распространение вредоносных компьютерных программ"

Информация о шифровальщике

Этот крипто-вымогатель шифрует данные пользователей с помощью AES/RSA или RC4/RSA, а затем требует выкуп в 1 биткоин, чтобы вернуть файлы (сумма варьируется). Название получил из-за подражания крипто-вымогателю Globe. Среда разработки: Visual C++/ Visual Studio.

Обнаружения:
DrWeb -> Trojan.Encoder.7325, Trojan.Encoder.7262, Trojan.Encoder.10737, Trojan.Encoder.11539, Trojan.PWS.Steam.12700, Trojan.PWS.Steam.14631, Trojan.Encoder.15047, Trojan.Encoder.16208, Trojan.Encoder.19577, Trojan.Encoder.22685, Trojan.Encoder.23652, Trojan.Encoder.24094, Trojan.Encoder.24095 --- Trojan.Encoder.32542

BitDefender -> Generic.Ransom.Crypren.*, Generic.Ransom.GlobeImposter.*

ESET-NOD32 -> A Variant Of Win32/Filecoder.FV
Kaspersky -> Trojan.Win32.Deshacop.fog, Trojan-Ransom.Win32.Purgen.aho
Malwarebytes -> Ransom.GlobeImposter, Trojan.MalPack
Symantec -> Ransom.GlobeImposter, Trojan Horse, Ransom.CryptXXX
TrendMicro -> Ransom_FAKEPURGE.A и другие

Этимология названия:
Название GlobeImposter (Globe-самозванец) было дано в сервисе идентификации крипто-вымогателей "ID-Ransomware" из-за присвоения вымогателями "фирменной" записки о выкупе у семейства Globe.
Цель: запугать жертв, запутать исследователей, дискредитировать программы дешифрования, выпущенные для Globe-семейства. Таким образом, все подражатели под Globe, которые не дешифруются утилитами дешифрования, выпущенными для Globe 1-2-3, получили условное название GlobeImposter, а после — GlobeImposter 2.0.

© Генеалогия: ✂ Globe > Fake Globe: GlobeImposter, GlobeImposter 2.0 > ✂️ по коду и запискам > Alco, Maoloa

Изображение является логотипом статьи

К зашифрованным файлам добавляется расширение .crypt

У других итераций семейства GlobeImposter к зашифрованным файлам добавляются также следующие расширения:
.bad
.BAG
.FIX
.FIXI
.legally
.keepcalm
.pizdec
.virginlock
.[byd@india.com]SON
.[xalienx@india.com]
.<[ransom_email]>
.<random_numbers{3-4}>
.<random_chars{3-5}>

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. Из-за отсутствия подробных исследований этого семейства (подсемейства) вымогателей, в списке обновлений и расширений возможны неточности и даже ошибки.

Ранняя активность этого криптовымогателя пришлась на декабрь 2016 г. и продолжилась в 2017, 2018, 2019 годах. Ориентирован на англоязычных и русскоязычных пользователей, что не мешает распространять его по всему миру.

Записки с требованием выкупа позаимствованы вымогателями у Globe Ransomware и называются также HOW_OPEN_FILES.hta. Разбрасываются в каждой папке с зашифрованными файлами.
Содержание записки может копироваться из других вымогателей, чтобы запутать идентификацию.

Fake Globe Ransomware шифровальщик HOW_OPEN_FILES.hta

Содержание записки о выкупе:
Your files are encrypted!
Your personal ID
***
All your important data has been encrypted. To recover data you need decryptor.
To get the decryptor you should:
pay for decrypt:
site for buy bitcoin:
Buy 1 BTC on one of these sites
1. https://localbitcoins.com
2. https://www.coinbase.com
3. https://xchange.cc
bitcoin adress for pay:
jlHqcdC83***:
Send 1 BTC for decrypt
After the payment:
Send screenshot of payment to alex_pup@list.ru . In the letter include your personal ID (look at the beginning of this document).
After you will receive a decryptor and instructions
Attention!
• No Payment = No decryption
• You realy get the decryptor after payment
• Do not attempt to remove the program or run the anti-virus tools
• Attempts to self-decrypting files will result in the loss of your data
• Decoders other users are not compatible with your data, because each user's unique encryption key

Перевод записки на русский язык:
Ваши файлы зашифрованы!
Ваш личный ID
***
Все ваши важные данные были зашифрованы. Для восстановления данных вам нужен дешифратор.
Чтобы получить дешифратор вы должны:
заплатить за расшифровку:
сайт для покупки Bitcoin:
Купить 1 BTC на одном из этих сайтов
1. https://localbitcoins.com
2. https://www.coinbase.com
3. https://xchange.cc
Bitcoin-адрес для оплаты:
jlHqcdC83***:
Отправить 1 BTC за расшифровку
После оплаты:
Отправить скриншот оплаты на alex_pup@list.ru . В письме указать свой личный ID (смотрите в начале этого документа).
После этого как вы получите дешифратор и инструкции
Внимание!
• Нет оплаты = Нет дешифрования
• Вы реально получаете декриптор после оплаты
• Не пытайтесь удалить программу или запустить антивирусные инструменты
• Попытки самостоятельного дешифрования данных приведут к потере ваших данных
• Декодеры других пользователей не совместимы с вашими данными, т.к. у каждого пользователя уникальный ключ шифрования

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

ВНИМАНИЕ! В качестве дополнительного средства злоумышленниками может использоваться легитимная программа Process Hacker или ей подобная. Проверьте, не появилась ли папка "Process Hacker 2" в директориях Пользователя: "Документы", "Музыка", "Видео".

➤ О шифровании:
GlobeImposter 2.0 использует AES и шифрует блоки 0x2000 (шифрование, пропуск, шифрование и т.д.).

Список некоторых файловых расширений, подвергающихся шифрованию:
.bat, .bmp, .chm, .dat, .db, .DeskLink, .dll, .doc, .docx, .dtd, .exe, .h, .ico, .ini, .jpg, .jpeg, .lnk, .log, .MAPIMail, .msi, .ppt, .pptx, .py, .shw, .txt, .url, .wav, .wb2, .wma, .wmdb, .wpl, .xls, .xlsx, .xml (34 расширения).
Это могут быть документы MS Office, PDF, базы данных, фотографии, музыка, видео и пр.

Пропускаются файлы с расширениями:
.hta, .wpd, .csv, .bin

Файлы, связанные с этим Ransomware:
<random>.bat
<random>.exe
HOW_OPEN_FILES.hta
подтверждение.exe - вредоносное вложение с названием на русском языке

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения:
Email: alex_pup@list.ru
Email в обновлениях:
keepcalmpls@india.com
happydaayz@aol.com
strongman@india.com
byd@india.com
xalienx@india.com
511_made@cyber-wizard.com
btc.me@india.com

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Intezer Analyze >>

Степень распространённости: высокая.
Подробные сведения собираются регулярно.

Примечание № 1.
Не сверяясь с лентой многочисленных обновлений, можно дополнить её следующим списком расширений записок о выкупе, используемых вымогателями, распространяющими разные варианты Ransomware, которые мы здесь называем GlobeImposter, GlobeImposter 2.0 их ответвлениями.

=== БЛОК ДОПОЛНЕНИЙ === BLOCK OF ADDITIONS ===

Список некоторых расширений, ранее пропущеных:
..doc, .[dsupport@protonmail.com], .[<email>@cock.li].arena, .[<email>@qq.com].crypt, .{email@aol.com}BIT, .2cXpCihgsVxB3, .3ncrypt3d, .402, .4035, .4090, .4091, .452, .707, .725, .726, .911, .A1CRYPT, .ALCO, .ACTUM, .apk, .ASTRA, .au1crypt, .BIG1, .BIIT, .black, .blcrypt, .bleep, .BONUM, .BRT92, .btc, .BUNNY+, .BUSH, .C8B089F, .CHAK, .clinTON, .CRYPT, .crypt, .cryptall, .cryptch, .crypted_yoshikada@cock_lu, .crypted_zerwix@airmail_cc, .decoder, .doc, .encen, .encencenc, .fuck, .f1crypt, .f41o1, .FIX, .FIXI, .foste, .FREEMAN, .freeman, .fuck, .GORO, .goro, .GOTHAM, .gotham, .GRAF, .GRANNY, .granny, .HAIZ, .HAPP, .happ, .help, .hNcyrpt, .ihelperpc, .Ipcrestore, .irestorei, .JEEP, .keepcalm, .LEGO, .LIN, .lock, .MAKGR, .MAKB, .medal, .MIXI, .MORT, .mtk118, .nCrypt, .needdecrypt, .needkeys, .NIGGA, .nopasaran, .Nutella, .nWcrypt, .ocean, .PANDA+, .paycyka, .pizdec, .PLIN, .PSCrypt, .pscrypt, .ReaGAN, .RECT, .rumblegoodboy, .s1crypt, .scorp, .sea, .SEXY, .SEXY3, .skunk, .SKUNK+, .STG, .suddentax, .THIRD, .third, .TROY, .TRUE, .TRUE1, .Trump, .txt, .UNLIS, .Uridzu, .VAPE, .vdul, .Virginlock, .waiting4keys, .wallet, .write_me_[email], .write_on_email, .write_us_on_email, .XLS, .YAYA, .zuzya, .$Codificado$

Под <email> в расширении находится email-адрес вымогателей, который может быть разным на одном и том же почтовом сервере.

Список некоторых пар email, ранее пропущеных:
alcohol_walker@aol.com, alcohol_walker@india.com при расширении .ALCO
bigbig_booty@aol.com, bigbig_booty@india.com - при расширении .BIG1
blacksupp@aol.com, black_healer@india.com - при расширении .BLACK, .black
crazyfoot_granny@aol.com, crazyfoot_granny@india.com - при расширении .GRANNY, .granny
freeman.dor@aol.com, freeman.dor11@india.com - при расширении .FREEMAN, .freeman
gotham_back@aol.com, gotham_back@india.com - при расширении .GOTHAM
makgregorways@aol.com, makgregorways@india.com - при расширении .MAKGR
mr_chack@aol.com, mr_chack33@india.com - при расширении .CHAK
skunkwoman_next@aol.com, skunkwoman@india.com - при расширении .SKUNK
third_work@aol.com, third3_work@india.com - при расширении .THIRD, .third
vya_technology@aol.com, vya_technology33@india.com
yaya_captain@aol.com, yaya_captain999@india.com - при расширении .YAYA

Список разных записок о выкупе:

!!!README!!!

!back_files!.html

!SOS!.html

#DECRYPT_FILES#.html

#HOW_DECRYPT_ALL#.html

#HOW_DECRYPT_FILES#.html

FILES ENCRYPTED.html
here_your_files!.html
HOW TO DECRYPT FILES.TXT
How to restore your files.hta
HOW_OPEN_FILES.hta
HOW_TO_BACK_FILES.html
how_to_back_files.html
HOW_TO_RECOVER_FILES.html
how_to_recover_files.html

instruction.html

Instructions.txt
paxynok.html
Paxynok.html

Read___ME.html

READ__ME.html

Read_For_Restore_File.html

READ_IT.html

Read_Me.html

Read_ME.txt

RECOVER-FILES.html

Как_вернуть_файлы.html

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

=== 2017 === Russian + English ===

Обновление от 15 февраля 2017:
Файл: 2-0.5.exe
Результаты анализов: VT

Обновление от 12 января 2017:
Записка: how_to_back_files.html
Email: overrldeloop@mail-on.us
overrldeloop@tuta.io

Обновление от 13 марта 2017:

Пост в Твиттере >>
Файлы: <random>.exe, %TEMP%\qfjgmfgmkj.tmp
Записка: how_to_recover_files.html
Расширение: .pizdec
Результаты анализов: HA+VT
Проверяет наличие антивирусов:
COMODO, Kaspersky Lab, McAfee, Avira, Avast, Symantec
<< Скриншот записки

Обновление от 11 апреля 2017:
Считается как GlobeImposter 2.0 (здесь и далее)
Расширение: .FIX
Email: happydaayz@aol.com и strongman@india.com
Записка: how_to_recover_files.html
Тема поддержки >>
GlobeImposter 2.0 зашифровывает в файлах первые 8192 байта.
➤ Содержание записки:
YOUR FILES ARE ENCRYPTED!
Your personal ID
*****
All your files have been encrypted due to a security problem with your PC.
To restore all your files, you need a decryption.
If you want to restore them, write us to the e-mail happydaayz@aol.com.
Or you can, write us to the e-mail strongman@india.com.
In a letter to send Your personal ID (see In the beginning of this document).
You have to pay for decryption in Bitcoins.
The price depends on how fast you write to us.
After payment we will send you the decryption tool that will decrypt all your files.
In the letter, you will receive instructions to decrypt your files!
In a response letter you will receive the address of Bitcoin-wallet, which is necessary to perform the transfer of funds.
HURRY! Your personal code for decryption stored with us only 72 HOURS!
Our tech support is available 24 \ 7
Do not delete: Your personal ID
Write on e-mail, we will help you!
Free decryption as guarantee
Before paying you can send to us up to 3 files for free decryption.
Please note that files must NOT contain valuable information and their total size must be less than 10Mb.
When the transfer is confirmed, you will receive interpreter files to your computer.
After start-interpreter program, all your files will be restored.
Attention!
Do not rename encrypted files.
Do not try to decrypt your data using third party software, it nay cause permanent data loss.
Decryption of your files with the help of third parties nay cause increased price (they add their fee to our) or you can become a uictim of a scam.
Do not attempt to remoue the program or run the anti-uirus tools
Attempts to self-decrypting files will result in the loss of your data
Decoders are not compatible with other users of your data, because each user’s unique encryption key

Обновление от 1 мая 2017:
Пост в Твиттере >>
Считается как GlobeImposter 2.0 (здесь и далее)
Расширение: .keepcalm
Email: keepcalmpls@india.com
Результаты анализов: VT

Обновление от 2 мая 2017:
Считается как GlobeImposter 2.0 (здесь и далее)
Расширение: .FIXI
Email: happydaayz@aol.com и strongman@india.com
Записка: HOW TO DECRYPT FILES.TXT
Содержание записки:
*текст аналогичен, как в записке от 11 апреля* (см. выше).

Обновление от 3 мая 2017:

Пост в Твиттере >>
Записка: how_to_back_files.html
Расширение: .crypt
Примеры зашифрованных файлов:
eWQUeJ.docx.crypt
EvYOiAGP.xlsx.crypt
eEx8lzjWqStr2.pdf.crypt
<< Скриншот записки

Обновление от 9 мая 2017:
Пост в Твиттере >>
GlobeImposter 2.0
Расширение: .vdul и .2cXpCihgsVxB3
Записка: how_to_back_files.html
Email-1: 511_made@cyber-wizard.com
Email-2: btc.me@india.com, BM-2cXpCihgsVxB31uLjALsCzAwt5xyxr467U@bitmessage.ch
BTC-1: 1GvgRRnLpUP7KsLZLE23ridD45MUxHoAJ4
BTC-2: 1MDfQMYSF586GMjwEYxnesAcRhsobEd4BD
Результаты анализов: HA + VT / HA + VT

Обновление от 9 мая 2017:
Пост в Твиттере >>
GlobeImposter 2.0
Расширение: .2cXpCihgsVxB3
Записка: how_to_back_files.html
Email: btc.me@india.com, BM-2cXpCihgsVxB31uLjALsCzAwt5xyxr467U@bitmessage.ch
BTC: 1MDfQMYSF586GMjwEYxnesAcRhsobEd4BD
Результаты анализов: HA + VT

Обновление от 10 мая 2017:
Пост в Твиттере >>
GlobeImposter 2.0
Записка: how_to_back_files.html
Email: chines34@protonmail.ch

Обновление от 29 мая 2017:
Расширение: .hNcrypt
Записка: how_to_back_files.html
Описание у Dr.Web >>

Обновление от 18 июня 2017:
Пост в Твиттере >>
Расширение: .virginprotection
Записка: how_to_back_files.html
Email: filesopen@yahoo.com
openingfill@hotmail.com
Результаты анализов: VT
Скриншоты записки >>

Обновление от 30 июня 2017:

Расширение: .crypt
Записка: how_to_back_files.html
Email: zuzya_next@aol.com и zuzyacrypt@india.com
Пример темы на форуме >>
<< Скриншот записки

Обновление от 6 июля 2017:

Пост в Твиттере >>
Расширение: .oni
Записка: !!!README!!!
Email: hyakunoonigayoru@yahoo.co.jp
Результаты анализов: VT

Обновление от 11 июля 2017:
Расширение: .707
Пост в Твиттере >>
Записка: RECOVER-FILES.html
Результаты анализов: VT

Обновление от 17 июля 2017:

Пост в Твиттере >>
Расширение: .s1crypt
Email: laborotoria@protonmail.ch
Записка: how_to_back_files.html
Результаты анализов: VT, VT
<< Скриншот записки и заш-файлы.

Обновление от 17 июля:

Пост в Твиттере >>
Расширение: .au1crypt
Записка: how_to_back_files.html
<< Скриншот записки и заш-файлы
Примеры файлов:
Июль - новый документ.scr
Копия за июль.scr
DOCU11072017 - отчет.scr
Email: summerteam@tuta.io и summerteam@india.com
Результаты анализов: HA+VT

Обновление от 21 июля 2017:
Пост в Твиттере >>
Расширение: .GOTHAM
Записка: how_to_back_files.html
Файлы: <random>.tmp.bat
Результаты анализов: HA+VT

Обновление от 21 июля 2017:

Пост в Твиттере >>
Расширение: .crypt
Записка: how_to_back_files.html
Email: support24@india.com
support24_02@india.com
Результаты анализов: HA+VT

Обновление от 21 июля 2017:

Пост в Твиттере >>
Расширение: .HAPP
Записка: how_to_back_files.html
Email: happydaayz@aol.com
strongman@india.com
Результаты анализов: HA+VT

Обновление от 24 июля 2017:

Пост в Твиттере >>
Расширение: .{asnaeb7@india.com}.BRT92
Записка: #HOW_DECRYPT_FILES#.html
Email: asnaeb7@india.com
asnaeb7@yahoo.com
Результаты анализов: HA+VT
<< Скриншот экрана с запиской и файлами

Обновление от 29 июля 2017:
Пост в Твиттере >>
Расширение: .725
Записка: RECOVER-FILES.HTML

Обновление от 30 июля 2017:
Пост в Твиттере >>
Email: oceannew_vb@protonmail.com

Обновление от 31 июля 2017:
Статья на английском >>
Записка: !back_files!.html
Расширение: .crypt
Email: oceannew_vb@protonmail.com
Email-вложение: EMAIL_[RandomNumbers]_[RecipientName].zip
Например: EMAIl_877821_Bleeping.zip
Содержание архива: EMAIL_877821_Bleeping.zip -> 871231.zip -> msaSh.js
Exe-файл подписан ворованным сертификатом, выданным на thawte.
Вредоносная кампания: Blank Slate
URLs: xxxx://filmcoffee.win/support.php?f=1.dat
xxxx://cabeiriscout.faith/support.php?f=1.dat
xxxx://scenetavern.win/support.php?f=1.dat
xxxx://hallvilla.win/support.php?f=1.dat
Содержание записки:

All your files have been encrypted!
All your files have been encrypted due to a security problem with your PC. If you want to restore them, write us to the e-mail oceannew_vb@protonmail.com in body of your message write your ID
You have to pay for decryption in Bitcoins. The price depends on how fast you write to us. After payment we will send you the decryption tool that will decrypt all your files.
Free decryption as guarantee
Before paying you can send us up to 1 file for free decryption. The total size of files must be less than 1Mb (non archived), and files should not contain valuable information. (databases, backups, large excel sheets, etc.)
How to obtain Bitcoins
The easiest way to buy bitcoins is LocalBitcoins site. You have to register, click 'Buy bitcoins', and select the seller by payment method and price.
https://localbitcoins.com/buy_bitcoins
Also you can find other places to buy Bitcoins and beginners guide here:
http://www.coindesk.com/information/how-can-i-buy-bitcoins/
Attention!
Do not rename encrypted files.
Do not try to decrypt your data using third party software, it may cause permanent data loss.
Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.
Your personal ID
76 DC F5 69 B5 7B F2 22 57 ***

Обновление от 1 августа 2017:

Расширение: .skunk
Записка: how_to_back_files.html
Email: skunkwoman_next@aol.com
skunkwoman@india.com

Обновление от 6 августа 2017:

Пост в Твиттере >>
Расширение: .mtk118
Записка: how_to_back_files.html
Email: Lockyhelper@cyber-wizard.com
lockyhelper@protonmail.com
Результаты анализов: HA+VT
<< Скриншот записки

Обновление от 7 августа 2017:

Пост в Твиттере >>
Расширение: .crypt
Записка на русском языке: how_to_back_files.html
Email: alfatozulu@tutanota.com
alfatozulu@mail.ru
<< Скриншот записки

Обновление от 7 августа 2017:

Пост в Твиттере >>
Расширение: .coded
Записка: how_to_back_files.html
Email: Decoder_master@aol.com
Decoder_master@india.com
Файл: HPLaserJetService.exe
Результаты анализов: HA+VT
<< Скриншот записки

Обновление от 7 августа 2017:

Пост в Твиттере >>
Расширение: .astra
Записка: here_your_files!.html
Tor: xxxx://cr7icbfqm64hixta.onion
Результаты анализов: HA+VT
<< Скриншот записки

Обновление от 7 августа 2017:

Пост в Твиттере >>
Расширение: .492
Записка: here_your_files!.html
Email: file_free@protonmail.com
koreajoin69@tutanota.com
<< Скриншот записки

Обновление от 8 августа 2017:

Ссылка на MTA >>
Расширение: ..txt
Записка: Read_ME.html
<< Скриншот записки
Еще скриншоты в Твиттере >>
Результаты анализов: HA+VT
Видеоролик от GrujaRS CyberSecurity‏ >>

Обновление от 10 августа 2017:

Пост в Твиттере >>
Расширение: .rumblegoodboy
Файл: System.exe
Результаты анализов: HA+VT
<< Скриншот записки

Обновление от 12 августа 2017:

Пост в Твиттере >>
Расширение: .0402
Записка: !SOS!.html
URL: xxxx://dancediner.trade***
Tor: xxxx://cr7icbfqm64hixta.onion
xxxxs://cr7icbfqm64hixta.onion.to
xxxxs://cr7icbfqm64hixta.onion.link
xxxx://cr7icbfqm64hixta.onion.rip
Результаты анализов: HA+VT

Обновление от 12 августа 2017:

Пост в Твиттере >>
Расширение: .trump
Email: Donald_Trump@derpymail.org
happydaayz@aol.com

Обновление от 14 августа 2017:
Пост в Твиттере >>
Расширения: .D2550A49BF52DFC23F2C013C5, .zuzya, .UNLIS, .LEGO

Обновление от 14 августа 2017:

Пост в Твиттере >>
Расширения: .GRANNY, .granny
Email: crazyfoot_granny@aol.com
crazyfoot_granny@india.com

Обновление от 17 августа 2017:

Пост в Твиттере >>
Расширение: .{saruman7@india.com}.BRT92
Записка: #DECRYPT_FILES#.html
Email: saruman1@india.com
saruman1@yahoo.com
Результаты анализов: VT (это образец CryptoMix, видимо Лоуренс дал ссылку на другой образец).

Обновление 22 августа 2017:

Расширение: .rumblegoodboy
Записка: how_to_back_files.html
Файлы: System.exe
Email: BlackMajor@protonmail.com
Результаты анализов: HA+VT

Обновление от 26 августа 2017:
Расширение: .lock
Результаты анализов: VT

Обновление от 26 августа:
Расширения: .needdecrypt и .write_on_email
Пост в Твиттере >>

Обновление от 31 августа 2017:
Пост в Твиттере >>
Расширение: .BUSH
Email: George_Bush@derpymail.org

Обновление от 1 сентября:
Расширение: .f1crypt

Обновление от 4 сентября:

Пост в Твиттере >>
Расширение: .clinTON
Email: Bill_Clinton@derpymail.org
Сумма выкупа: 0.5 BTC
Дешифровщик даже после оплаты не присылают.
Тема на форуме BC >>

Обновление от 5 сентября:
Расширение: .nopasaran
Email: youdecrypted@india.com
Используется системная утилита wevtutil.exe

Обновление от 5 сентября:

Расширение: .crypted_steffevendeng@post_com
Email: steffevendeng@post.com
Записка: how_to_back_files.html
Выдаёт себя за Steffevendeng Cryptolocker
Требует купить: STEFFEVENDENG DECRYPTOR
<< Скриншот записки

Обновление от 6 сентября 2017:
Пост в Твиттере >>
Расширение: .911
Записка: !SOS!.html

Обновление от 6 сентября 2017:

Пост в Твиттере >>
Вредонос подписан ЭЦП, выданной Comodo.
Расширение: .f41o1
Записка: READ_IT.html
Tor: cr7icbfqm64hixta.onion
<< Скриншот записки

Обновление от 8 сентября 2017:
Пост в Твиттере >>
Расширения: .YAYA, .needkeys, .nWcrypt

Обновление от 10 сентября 2017:

Расширение: .foste
Записка: how_to_back_files.html
Email: fostecrypt@aol.com
Сумма оплаты: 0,5 BTC
<< Скриншот записки

Обновление от 11 сентября 2017:
Расширение: .crypt
Email: overrideloop@mail-on.us
overrideloop@tuta.io
Топик на форуме >>

Обновление от 12 сентября 2017:

Пост в Твиттере >>
Расширения: .reaGAN, .ReaGan
Записка: how_to_back_files.html
Email: Ronald_Reagan@derpymail.org
omnoomnoomf@aol.com
<< Скриншот записки

Обновление от 22 сентября 2017:

Расширение: .MAKGR
Email: makgregorways@aol.com
makgregorways@india.com
<< Скриншот записки (реконструкция)

Обновление от 6 октября 2017:
Расширение: .pliNGY
Email: plingyfiles@aol.com
Сумма выкупа: 2 BTC.

Обновление от 6 октября 2017:
Пост в Твиттере >>
Расширение: .POHU
Email: andrey.gorlachev@aol.com
Результаты анализов: VT

Обновление от 12 октября 2017:
Расширение: .crypt
Email: toolsent@tuta.io и toolsent@india.com

Обновление от 14 октября 2017:

Расширение: .foster
Записка: how_to_back_files.html
Email: fostecrypt@aol.com
<< Скриншот записки

Обновление от 15 октября 2017:
Расширение: .fuck
Записка: how_to_back_files.html

Обновление от 16 октября 2017:

Пост в Твиттере >>
Фальш-имя: Chartogy
Расширение: .Chartogy

Записка: how_to_back_files.html
Email: zuzya_next@aol.com
zuzyacrypt@india.com

<< Скриншот записки
Результаты анализов: VT

Обновление от 17 октября 2017:
Самоназвание: URIDZU DECRYPTOR
Расширение: .crypted_urid@aaathats3as.com
Записка: how_to_back_files.html
Email: uridzu@aaathats3as.com

Обновление от 17 октября 2017:

Пост в Твиттере >>
Фальш-имя: CHAK
Расширение: .CHAK
Записка: how_to_back_files.html
Email: mr_chack@aol.com и mr_chack33@india.com
Результаты анализов: VT

Обновление от 18 октября:

Пост в Твиттере >>
Фальш-имя: LIN
Расширение: .LIN
Записка: how_to_back_files.html
Email: lin_chao1@aol.com и lin_chao1@india.com
Результаты анализов: VT

Обновление от 25 октября 2017:

Пост в Твиттере >>
Расширение: .fuck
Записка: how_to_back_files.html
Email: decoder_master@india.com
decoder_master@aol.com

Обновление от 30 октября:

Пост в Твиттере >>
Расширение: ...doc
Записка: Read___ME.html
Tor: n224ezuhg4sgyamb.onion

Результаты анализов: VT
*

Обновление от 30 октября 2017:

Пост в Твиттере >>
Расширение: .decoder
Фальш-имя: Isoc Littlest
Записка: Instructions.txt
Email: decoder@keemail.me и decoder@expressmail.dk
Файлы: Desktop background.png
Результаты анализов: HA+VT
<< Скриншот записки

Обновление от 10 ноября 2017:
Расширение: .crypted_yoshikada@cock_lu
Записка: how_to_back_files.html
Файл: _yosKa4_.exe
Результаты анализов: VT + HA + AR

Обновление от 11 ноября 2017:

Пост в Твиттере >>
1) Расширение: .<lxgiwyl@india.com>.AK47
Записка: #HOU_DECRYPT_ALL#.html
Email: lxgiwyl7@yahoo.com и lxgiwyl@india.com
Шифры: RC4 + RSA-2048
2) Расширение: .btc
Записка: instruction.html
Email: BM-2cWuBiTDADEdbDBqpSwkCin9yDprcbobjp@bitmessage.ch
BitMessage: BM-2cWuBiTDADEdbDBqpSwkCin9yDprcbobjp
Шифры: RC4 + RSA-2048
Результаты анализов: VT

Обновления от 11 ноября 2017:
Расширение: .{omnoomnoomf@aol.com}BIT
Email: omnoomnoomf@aol.com и Ronald_Reagan@derpymail.org
Записка: how_to_back_files.html
Результаты анализов: VT

Обновления от 11 ноября 2017:

Расширение: .TRUE
Записка: how_to_back_files.html
Email: true_offensive@aol.com
true_offensive777@india.com
Результаты анализов: VT
<< Скриншот записки о выкупе
-
Расширение: .[proof3200@tutanota.com]
Результаты анализов: VT
-
Расширение: .[kps228@yandex.com]
Результаты анализов: VT

Обновление от 13 ноября 2017:
Расширение: .kimchenyn
Записка: how_to_back_files.html
Email: staer@cock.li и kimchenyn@india.com
Результаты анализов: VT + VT

Обновление от 14 ноября 2017:

Пост в Твиттере >>
Расширение: .SEXY
Записка: how_to_back_files.html
Email: sexy_chief@aol.com и sexy_chief18@india.com

<< Скриншот записки

Обновление от 16 ноября 2017:

Пост в Твиттере >>
Расширение: .PANDA
Записка: how_to_back_files.html
Email: greenpeace_wtf@aol.com и greenpeace_28@indoa.com
<< Скриншот записки

***

Пост в Твиттере >>
Расширение: .<colin_farel@aol.com>BIT
Записка: how_to_back_files.html
Email: colin_farel@aol.com
Результаты анализов: VT
<< Код из ресурсов

Обновление от 21 ноября 2017:

Пост в Твиттере >>
Расширение: .Ipcrestore
Записка: how_to_back_files.html
Email: Ipcrestore@outlook.com
Результаты анализов: VT
<< Скриншот записки

Обновление от 22 ноября 2017:

Пример темы на форуме >>
Расширение: .deryptme
Записка: how_to_back_files.html
Email: sbgpork@tuta.io, sbgpork@india.com
Файлы: %AppData%\19 11_09 35.scr
Результаты анализов: HA+VT
<< Скриншот записки

Обновление от 1 декабря 2017:
Пост в Твиттере >>
Расширение: .abc
Дешифруется с Globe2 Decrypter >>
Результаты анализов: VT

Обновление от 1 декабря 2017:
Пост в Твиттере >>
🎥 Видеообзор >> Спасибо GrujaRS
Расширение: .doc
Записка: Read___ME.html
URL: xxxx://troyriser.com/UYTd46732
Tor: n224ezvhg4sgyamb.onion/sup.php
n224ezvhg4sgyamb.onion.rip/shfgealjh.php
Сумма выкупа: 0.094-0.188 ($1000-$2000)
Файлы: <random>.exe, tmp<random>.tmp.bat
Результаты анализов: HA + VT + AR
Комбинированный скриншот записки и страниц onion-сайта

Обновление от 6 декабря 2017:

Пост в Твиттере >>
🎥 Видеообзор >> Спасибо GrujaRS
Расширение: .crypt
Записка: how_to_back_files.html
Email: toolsent@india.com и toolsent@tuta.io
Файлы: 06.12.scr, <random>.exe, uafxg.zxs.crypt, tmpF9F6.tmp.bat, tmpF9F6.tmp
Результаты анализов: HA + VT

Обновление от 8 декабря 2017:
Пост в Твиттере >>
Расширение: .arena
Составное расширение: .[paradisecity@cock.li].arena
Записка: FILES ENCRYPTED.html
Email: paradisecity@cock.li и paradisecity1@protonmail.com
Результаты анализов: VT

Обновление от 19 декабря 2017:

Пост в Твиттере >>
Расширение: .wallet
Записка: how_to_back_files.html
Email: BM-2cXpCihgsVxB31uLjALsCzAwt5xyxr467U@bitmessage.ch
BitMessage: BM-2cXpCihgsVxB31uLjALsCzAwt5xyxr467U

Обновление от 20 декабря 2017:

Записка: instructions.html
Заголовок записки: HOW TO DECRYPT YOUR FILES
Email: helpforyou@airmail.cc
Расширение: .btc

Обновление от 20 декабря 2017:

Расширение: ..doc
Записка: Read___ME.html
URL: xxxx://www.upperlensmagazine.com/tOldHSYW??DVTCGAtym=DVTCGAtym
Tor: n224ezvhg4sgyamb.onion/sup.php
Email: server5@mailfence.com
Подробная статья на BC >>
Результаты анализов: HA + VT

Обновление от 20 декабря 2017:
Расширение:
Записка: how_to_back_files.html
Email: lin_chao1@aol.com, lin_chao1@india.com

Обновление декабря без даты:

Расширения: .BIG2 и .big2
Email: bigbig_booty@aol.com и bigbig_booty@india.com
Записка: how_to_back_files.html
<< Скриншот записки
Содержание записки:
Your personal ID
***
English
☣ Your files are encrypted! ☣
To decrypt, follow the instructions below.
To recover data you need decryptor.
To get the decryptor you should:
Send 1 crypted test image or text file or document to bigbig_booty@aol.com
(Or alternate mail bigbig_booty@india.com )
In the letter include your personal ID (look at the beginning of this document).
We will give you the decrypted file and assign the price for decryption all files
After we send you instruction how to pay for decrypt and after payment you will receive a decryptor and instructions We can decrypt one file in quality the evidence that we have the decoder.
MOST IMPORTANT!!!
Do not contact other services that promise to decrypt your files, this is fraud on their part! They will buy a decoder from us, and you will pay more for his services. No one, except bigbig_booty@aol.com, will decrypt your files.
•Only bigbig_booty@aol.com can decrypt your files
•Do not trust anyone besides bigbig_booty@aol.com
•Antivirus programs can delete this document and you can not contact us later.
•Attempts to self-decrypting files will result in the loss of your data
•Decoders other users are not compatible with your data, because each user's unique encryption key

=== 2018 ===

Обновление от 3 января 2018:
См. отдельную статью: Yoshikada Ransomware >>
Топик на форуме / Topic of Support >>
Название / Name in note: YOSHIKADA DECRYPTOR
Расширение / Extension: .crypted_yoshikada@cock_lu
Email: yoshikada@cock.lu
Записка / Ransom-note: how_to_back_files.html

Обновление от 5 января 2018 / Update on January 5, 2018:
Расширение / Extension: .{bentleysali@india.com}XX
Email: bentleysali@india.com
Записка / Ransom-note: how_to_back_files.html
Топик на форуме / Topic >>

Обновление от 16 января 2018 / Update on January 16, 2018:
Расширение / Extension: .encen
Email: brons@airmail.cc
Записка / Ransom-note: how_to_back_files.html
Пост на форуме / Topic >>

Обновление от 23 января 2018 / Update on January 23, 2018:

Пост в Твиттере / Tweet >>
Видеообзор / Video review >>
Расширение / Extension: .crypted!
Email: parbergout@keemail.me,
parbergout@india.com,
sbgpork@tuta.io
Записка / Ransom-note: how_to_back_files.html
Результаты анализов / Analyzes: HA + VT

<< Скриншот записки

Обновление от 27 января 2018 / Update on January 27, 2018:
Расширение / Extension: .{BrabusDangers@india.com}XX
Email: BrabusDangers@india.com
Записка / Ransom-note: how_to_back_files.html
Топик на форуме / Topic >>

Обновление от 28 января 2018 / Update on January 27, 2018:
Расширение / Extension: .{mixifightfiles@aol.com}BIT
Email: mixifightfiles@aol.com
Записка / Ransom-note: how_to_back_files.html
Результаты анализов / Analyzes: VT

Обновление от 29 января 2018 / Update on January 29, 2018:
Пост в Твиттере / Tweet >>
Расширение / Extension: .DREAM
Записка / Ransom-note: how_to_back_files.html
Email: dream_dealer@aol.com и dream_dealer@india.com

Обновление от 31 января 2018 / Update on January 31, 2018:
Расширение / Extension: .crypt
Результаты анализов / Analyzes: HA + VT

Обновление от 2 февраля 2018:
См. отдельную статью: Yoshikada Ransomware >>
Топик на форуме / Topic of Support >>
Название / Name in note: ZERWIX DECRYPTOR
Расширение / Extension: .crypted_zerwix@airmail_cc
Email: zerwix@airmail.cc
Записка / Ransom-note: how_to_back_files.html

Обновление от 15 февраля 2018 / Update on February 15, 2018:

Пост в Твиттере >>
Расширение / Extension: .suddentax
Выкуп за всю сеть организации / Sum of ransom: - 2 BTC
Email: fileredeemer@protonmail.com
feleredeemer@tuta.io
BTC: 1NNMSMtmPEVg6HBF6NxvPrymHLAEkaXwGK
<< Скриншот записки / Screenshot of note:
Результаты анализов: VT

Обновление от 2 марта 2018 / Update on 2 March, 2018:
Расширение / Extension: .$kunk
Записка / Ransom-note: how_to_back_files.html
Файл / File: IntelManagerService.exe
Результаты анализов: VT

Обновление от 2 марта 2018 / Update on 2 March, 2018:

🎥 Видеообзор от GrujaRS >>
Пост в Твиттере >>
Расширение / Extension: .encrypt
Записка / Ransom-note: instructions.html
Заголовок записки: HOW TO DECRYPT YOUR FILES
Email: decryptingyourfiles@firemail.cc
Результаты анализов: VT
Однотипная версия представлена 20 декабря 2017 (см. выше).
<< Скриншот записки

Обновление 3 марта 2018:
Расширения: .BIG4 и .big4

Обновление от 3 марта 2018:
Расширение: .[jakartatv@india.com]
Записка: how_to_back_files.html
Результаты анализов: VT

Обновление от 4 марта 2018:
Расширение: .MENTO$
Записка: how_to_back_files.html
Результаты анализов: VT

Обновление от 6 марта 2018:
Расширение: .gif или другое
Записки: Read_ME.txt и/или READ__ME.html
Вложенный вредоносный документ: Resume.doc
Используются макросы в документах MSOffice и проводится DDE-атака.

Tor-URL: xxxx://djfl3vltmo36vure.onion/sdlskglkehhr
BTC: 3FsUnCs3ffr99nhVDXSQo5oih7Y643VokR
BTC: 38D15QFm7HMCcxgng5jhDqHYaMZDqrDFKu

Скриншот Tor-сайта вымоагтелей

➤ Содержание txt-записки:
Your files are Encrypted!
For data recovery needs decryptor.
How to buy decryptor:
1. Download "Tor Browser" from hxxps://www.torproject.org/ and install it.
2. Open this link In the "Tor Browser"
hxxp://djfl3vltmo36vure.onion/sdlskglkehhr
Note! This link is available via "Tor Browser" only.
Your PERSONAL ID: 9F 0F 51 F3 82 7B 40 60 C2 14 32 54 51 79 8A F1 ***
➤ Содержание html-записки:
Your files are Encrypted!
For data recovery needs decryptor.
How to buy decryptor:
1. Download "Tor Browser" from https://www.torproject.org/ and install it.<br>
2. Open this link In the "Tor Browser"
http://djfl3vltmo36vure.onion/sdlskglkehhr
Note! This link is available via "Tor Browser" only.
9F 0F 51 F3 82 7B 40 60 C2 14 32 54 51 79 8A F1 ***

Скриншот записки без ID, который по умолчанию скрыт и загружается онлайн на ПК жертвы. Справа пример ID.
Результаты анализов: HA + VT

Обновление от 9 марта 2018:
Пост в Твиттере >>
Расширение: .Nutella
Записка: how_to_back_files.html
Результаты анализов: VT

Обновление от 13 марта 2018:

Записка: FILES ENCRYPTED
Email: decrpt@tuta.io,
decrypthelp@protonmail.com
<< Скриншот записки

Обновление от 14 марта 2018:

Расширение: .{GALAXYGUARDS@PROTONMAIL.COM}IQ
Записка: how_to_back_files.html
Результаты анализов: VT

Обновление от 14 марта 2018:
Расширение: .{GALAXYGUARDS@PROTONMAIL.COM}IQ
Email: GALAXYGUARDS@PROTONMAIL.COM
Результаты анализов: VT

Обновление от 15 марта 2018:
Расширение: .blockchain
Email: helpforyou@airmail.cc

Обновление от 20 февраля 2018:
Расширение: .waiting4keys
Записка: how_to_back_files.html
Результаты анализов: VT

Обновление от 25 февраля 2018:
Расширение: .CRYPTED
Записка: how_to_back_files.html
Результаты анализов: VT

Обновление от 23 марта 2018:
Расширение: .lock
Записка: doc.html (на украинском языке)
Сумма выкупа: 185$ в BTC
BTC: 17DLQHDd7uxoHqeLJUGj4igohoSiaA76Xb

Email:
systems32x@gmail.com
systems32x@yahoo.com
systems32x@tutanota.com
help32xme@usa.com
Additional.mail@mail.com
Адрес:
Unlock files LLC
33530 1st Way South Ste. 102
Federal Way, WA 98003
United States

URL для обмена денег на биткоины:
xxxs://e-btc.com.ua/
xxxs://btcu.biz/main/how_to/buy
xxxs://www.bestchange.ru/privat24-uah-to-bitcoin.html
Топик на форуме >>

Обновление от 28 марта 2018:

Расширение: .crypted
Файл: IntelTheasurusService.exe
Записка: how_to_back_files.html
Email: crypto.support@aol.com
crypto.support@india.com
Топик на форуме >>
<< Скриншот записки

Обновление от 28 марта 2018:

Пост в Твиттере >>
Расширение: .SEXY3
Записка: how_to_back_files.html
Email: sexy_chief11@aol.com
sexy_chief18@india.com
Результаты анализов: VT
<< Скриншот записки

Обновление от 28 марта 2018:
Расширение: .[swon50@inbox.ru]
Записка: Как_вернуть_файлы.html
Email: swon50@inbox.ru
restor@tuta.io
Топик на форуме >>
Содержание записки:
Ваши файлы зашифрованы!
Ваше личное ID
4C 21 ***** 5D
Ваши важные документы, базы данных, программы, сохранение игр, документов, сетевые папки зашифрованы.
Никакие данные с вашего компьютера не были украдены или удалены.
Чтобы восстановить файлы, следуйте инструкциям.
Как получить автоматический дешифратор:
1) Создайте Кошелек и купите Bitcoins
Создайте Биткойн Кошелек из этих сайтов:
• https://blockchain.info/wallet
Купить BTC на одном из этих сайтов:
1. https://localbitcoins.com
2. https://www.coinbase.com
3. https://www.bestchange.com
2) Свяжитесь с нами по email : swon50@inbox.ru. и : restor@tuta.io В письме указывается ваш личный идентификатор (смотрите начало этого документа) и ip-адрес компьютера, на котором находятся файлы.
3) После ответа на ваш запрос наш оператор даст вам дальнейшие инструкции, которые будут показаны, что делать дальше (ответ вы получите как можно скорее)
* Чтобы удостовериться в расшифровке, вы можете отправить 1-2 зашифрованных файла в swon50@inbox.ru В письме укажите свой личный идентификатор ID (посмотрите на начало этого документа).
** Напишите здесь по почте для более быстрого ответа: restor@tuta.io
Внимание!
• Не пытайтесь удалить программу или запустить антивирусные инструменты.
• Попытки самодешифрования файлов приведут к потере ваших данных.
• Мы не лжецы и мошенники. Вы платите - мы помогаем.

--- *** ---

Небольшое отступление:
Только что заметил, что в этой записке используются слова и предложения из моих переводов из английских записок. Например, это предложение скопировано полностью: "Попытки самодешифрования файлов приведут к потере ваших данных.2
И, как оказалось при сравнении, эта записка не первая — этот текст начали копировать раньше, начиная с июня прошлого года. Причем, не только распространители этого шифровальщика. При желании можете сами поискать эту фразу в Интернете или по этому сайту (см. в верхнем левом углу поле поиска.

--- *** ---

Обновление от 3 апреля 2018:

Расширение / Extension: .SAMBUKA
Email: sambuka_star@aol.com
sambuka_star@india.com
Записка: HOW_TO_BACK_FILES.html
Топик на форуме >>
<< Скриншот записки

Обновление от 10 апреля 2018:
Расширение / Extension: .TRUE1
Записка: HOW_TO_BACK_FILES.html
Email: true_offensive@aol.com
true_offensive777@india.com

Обновление от 12 апреля 2018:
Расширение: .CRYPTED
Записка: HOW_TO_BACK_FILES.html
Email: crypto.supportt@aol.com
crypto.support@india.com
Топик на форуме >>

Обновление от 15 апреля 2018:

Расширение: .xxxxx или .XXXXX
Записка: HOW_TO_BACK_FILES.html
Email: x_mister@aol.com
x_mister@india.com
Топик на форуме >>
<< Скриншот записки

Обновление от 17 апреля 2018:

Расширение: .SKUNK+
Email: skunkwoman_next@aol.com
skunkwoman@india.com
Записка: how_to_back_files.html
<< Скриншот записки

Обновление от 17 апреля 2018:
Пост в Твиттере >>
Расширения:
.ALCO2+
.ALCO4+
.BUNNY+
.CRAZY+
.LIN+
Наметилась тенденция добавлять знаки "+" к ранее использованным расширениям.
Видимо словарный запас у вымогателей уже исчерпан. Теперь уже знаки добавляют.

Апрель-май 2018:
Возможно, что были пропущены некоторые варианты.
У меня нет информации за этот период времени.
Сверяйтесь по сервису ID Ransomware >>

Обновление от 28 мая 2018:
Самоназвание: AOKI DECRYPTOR
Расширение: .crypted_aoki@airmail_cc
Записка: how_to_back_files.html
Email: aoki@airmail.cc
Скриншот записки >>

Обновление от 1 июня 2018:

Расширение: ..readme
Email: allfilereturn@outlook.com, allfilerereturn@cock.li
Telegram: @decryptionfiles
Пост на форуме >>
<< Скриншот записки

Обновление от 6 июня 2018:

Расширение: .ihelperpc
Email: irestorei@cock.li
Записка: Read_Me.html
Топик на форуме >>
<< Скриншот записки

Обновление от 6 июня 2018:

Расширение: .emilysupp
🎥 Видеообзор >>
Email: emilysupp@outlook.com
supp7@india.com
Топик на форуме >>
Пост в Твиттере >>
<< Скриншот записки

Обновление от 8 июня 2018:

Расширение: .CRYPTED
Email-1: crypto.support@aol.com
Email-2: crypto.support@india.com)
Записка: how_to_back_files.html
Скриншот записки

Топик на форуме >>

Обновление от 8 июня 2018:
Расширение: .billingsupp
Email: 3170537163@qq.com

Обновление от 10 июня 2018:

Расширение: .Alkohol
Email-1: diesel_space@aol.com
Email-2: diesel_space@india.com
Записка: how_to_back_files.html
Топик на форуме >>

Обновление от 14 июня 2018:

Пост в Твиттере >>
Видеообзор от GrujaRS >>
Расширение: .BIG4+
Записка: how_to_back_files.html
Email-1: bigbig_booty@aol.com
Email-2: bigbig_booty@inda.com

Обновление от 14 июня 2018:

Расширение: .ONYX
Записка: how_to_back_files.html

Email-1: skunk_girl@aol.com
Email-2: skunk_girl@india.com

Обновление от 18 июня 2018:

Расширение: .MARK или .mark
Email-1: decoder_master@aol.com
Email-2: decoder_master@india.com
Записка: how_to_back_files.html
Результатыт анализов: VT
Топик на форуме >>

Обновление от 27 июня 2018:
Пост в Твиттере >>
Расширение: .BOOTY

Обновление от 1 июля 2018:
Расширение: .crypto
Записка: how_to_back_files.html
Email: x_mister@aol.com, x_mister@india.com

Обновление от 2 июля 2018:
Пост в Твиттере >>
Расширение: .BUNNY
Записка: how_to_back_files.html
Email: smarty_bunny@aol.com, smarty_bunny22@india.com
Результаты анализов: VT + AR

Обновление от 5 июля 2018:
Расширение: .CODED
Email: diesel_space@aol.com, diesel_space@india.com
Записка: how_to_back_files.html
Топик на форуме >>

Обновление от 9 июля 2018:
Расширение: .Gust
Email: diesel_space@aol.com, diesel_space@india.com
Записка: how_to_back_files.html
Топик на форуме >>

Обновлениеот 10 июля 2018:
Расширение: .irestorei
Записка: Read_For_Restore_File.html
Email: encryptedhelp@outlook.com, encryptedhelp@cock.li
Топик на форуме >>

Обновление от 16 июля 2018:
Расширение: .STG
Email: assistance@airmail.cc, aid1@cock.li

Обновление от 16 июля 2018:
Расширение: .[dsupport@protonmail.com]
Email: dsupport@protonmail.com
Записка: How to restore your files.hta
Топик на форуме >>

Обновление от 20 июля 2018:
Расширение: .f49idjty
Tor-URL: xxxx://cr7icbfqm64hixta.onion - засветился также в BTCWare-Nuclear Ransomware (15 февраля 2018 г.)
xxxx://cr7icbfqm64hixta.onion.link
xxxx://cr7icbfqm64hixta.onion.to
Записка: READ_IT.html

Файл: 勒索.exe
Штамп времени: 1 августа 2017 года. Видимо к тому времени и относится.
Результаты анализов: VT + HA + IA + AR

Обновление от 26 июля 2018:
Расширение: .siliconex или .SILICONEX
Записка: how_to_back_files.html
Топик на форуме >>

Обновление от 30 июля 2018:
Расширение: .[backfiles2018@qq.com].crypt
Записка: HOW_TO_RECOVER_FILES.html
Топик на форуме >>

Обновление от 1 августа 2018:
Расширение: .FORESTGUST (или ..FORESTGUST)
Записка: how_to_back_files.html
Email: sambuka_star@aol.com, sambuka_star@india.com
Топик на форуме >>

Обновление от 13 августа 2018:
Расширение: .ms
Сумма выкупа: $150
Записка: doc.html
Email: systems32x@gmail.com
systems32x@yahoo.com
systems32x@tutanota.com
help32xme@usa.com
Additional.mail@mail.com

Обновление от 22 августа 2018:
Расширение: .crypted_okumura@firemail_cc
Записка: how_to_back_files.html
Email: okumura@firemail.cc, okumura@tutamail.com

Обновление от 25 августа 2018:
Расширение: .{incredible0ansha@tuta.io}.ARA
Записка: $DECRYPT$.html
Email: incredible0ansha@tuta.io, incredible0ansha@cock.lu
Файл: lock.exe
Сумма выкупа: 0.2 - 0.4 BTC
BTC: 1FGhy7Jfo51ubjVQhFE9JdyBRDCtg8JuiC
➤ Содержание записки:
YOUR PERSONAL ID
***
ENGLISH
☠ YOUR FILES ARE ENCRYPTED! ☠
ALL YOUR IMPORTANT DATA HAS BEEN ENCRYPTED.
To recover data you need decryptor.
To get the decryptor you should:
SAVE THE ID BEFORE DOING ANYTHING ON THE COMPUTER!!!
BE SURE TO SAVE THIS ID, WITHOUT IT DECRYPTION IS IMPOSSIBLE!!!
Send 3 test image or text file incredible0ansha@tuta.io or incredible0ansha@cock.lu.
In the letter include your personal ID (look at the beginning of this document).
We will give you the decrypted file and assign the price for decryption all files
After we send you instruction how to pay for decrypt and after payment you will receive a decryptor and instructions We can decrypt one file in quality the evidence that we have the decoder.
Attention!
Only incredible0ansha@tuta.io or incredible0ansha@cock.lu can decrypt your files
Do not trust anyone incredible0ansha@tuta.io or incredible0ansha@cock.lu
Do not attempt to remove the program or run the anti-virus tools
Attempts to self-decrypting files will result in the loss of your data
Decoders other users are not compatible with your data, because each user's unique encryption key
Топик на форуме >>

Обновление от 27 августа 2018:
Расширение: .crypted_iwasaki@420blaze_it
Записка: how_to_back_files.html
Email: iwasaki@420blaze.it, iwasaki@tutanota.de
Топик на форуме >>

Обновление от 29 августа:
Расширение: .RESERVE
Записка: how_to_back_files.html
Email: reserve_player11@india.com

Обновление от 3 октября 2018:
Расширение: .crypted_agreciano@india_com
Email: crypted_agreciano@india_com

Обновление от 4 октября 2018:
Расширение: .GUST
Записка: how_to_back_files.html
Email: sambuka_star@aol.com, sambuka_star@india.com
Топик на форуме >>

Обновление от 19 октября 2018:
Пост в Твиттере >>
Email: assistance@airmail.cc, aid1@cock.li

Обновление от 29 октября 2018:
Расширение: .[janetcurley]
Email: JanetCurley1986@outlook.com, janetcurley@cock.li
Записка: How_to_decrypt_files.html
Топик на форуме >>

Обновление от 30 октября 2018:
Расширение: .readme
Записка: Readme.html
Email: ihelperpc@outlook.com.
Топик на форуме >>

Обновление от 6 ноября 2018:
Пост в Твиттере >>
Новая идентификация: статья Maola Ransomware >>
Расширение: .Ox4444
Записка: HOW_TO_BACK_FILES.txt
China.Helper@aol.com
China.Helper@india.com
Файл: svhost.exe
Результаты анализов: VT + VMRay

Обновление от 30 ноября 2018:
Пост в Твиттере >>
Расширение: .crypted_bizarrio@pay4me_in
Записка: how_to_back_files.html
Email: bizarrio@pay4me.in, bizarrio@venom.io

Обновление от 11 декабря 2018:
Расширение: .write_me[supp_24_7@outlook.com]
Самоназвание: CYBER CORSAIR
Записка: How_to_decrypt_files.html
Email: supp_24_7@outlook.com, supp247@cock.li

Обновление от 18 декабря 2018:
Расширение: .healforyou
Записка: how_to_back_files.html
Emails: healforyou@outlook.com, healforyou@cock.li

➤ Содержание записки:
ALL YOUR IMPORTANT DATA HAS BEEN ENCRYPTED.
The only method of recovering files is to purchase an unique private decryptor.
Only we can give you this decryptor and only we can recover your files.
For fast data recovery and vulnerability removal, contact us by e-mail:
healforyou@outlook.com
healforyou@cock.li
We guarantee full recovery after payment. To confirm the ability to return files, we decrypt one file for free. Attach to your email 1 test file. In the letter include your personal ID (look at the beginning of this document).
We will give you the decrypted file and assign the price for decryption all files.
After we send you instruction how to pay for decrypt and after payment you will receive a decryptor and instructions.
Attention!
Only healforyou@outlook.com or healforyou@cock.li can decrypt your files.
Do not attempt to remove the program or run the anti-virus tools.
Attempts to self-decrypting files will result in the loss of your data.
Modify encrypted files will result in the loss of your data.
Decoders other users are not compatible with your data, because each encryption key unique and will result in the loss of your data.

Обновление от 19 декабря 2018:
Расширение: .{Benjamin_Jack2811@aol.com}.AOL
Записка: how_to_back_files.html
Email: Benjamin_Jack2811@aol.com

➤ Содержание записки:
☠ YOUR FILES ARE ENCRYPTED! ☠
ALL YOUR IMPORTANT DATA HAS BEEN ENCRYPTED.
To recover data you need decryptor.
To get the decryptor you should:
Send 1 test image or text file Benjamin_Jack2811@aol.com.
In the letter include your personal ID (look at the beginning of this document).
We will give you the decrypted file and assign the price for decryption all files
After we send you instruction how to pay for decrypt and after payment you will receive a decryptor and instructions We can decrypt one file in quality the evidence that we have the decoder.
Attention!
Only Benjamin_Jack2811@aol.com can decrypt your files
Do not trust anyone Benjamin_Jack2811@aol.com
Do not attempt to remove the program or run the anti-virus tools
Attempts to self-decrypting files will result in the loss of your data
Decoders other users are not compatible with your data, because each user's unique encryption key

=== 2019 ===

Обновление от 3 января 2019:
Расширение: .SATANA
Записка: how_to_back_files.html
Email: satana@keemail.me, zyxel@cock.li
➤ Содержание записки о выкупе:
YOUR PERSONAL ID
-
ENGLISH
☠ YOUR FILES ARE ENCRYPTED! ☠
ALL YOUR IMPORTANT DATA HAS BEEN ENCRYPTED.
To recover data you need decryptor.
To get the decryptor you should:
Send 1 test image or text file satana@keemail.me or zyxel@cock.li.
In the letter include your personal ID (look at the beginning of this document).
We will give you the decrypted file and assign the price for decryption all files
After we send you instruction how to pay for decrypt and after payment you will receive a decryptor and instructions We can decrypt one file in quality the evidence that we have the decoder.
Attention!
Only satana@keemail.me can decrypt your files
Do not trust anyone satana@keemail.me
Do not attempt to remove the program or run the anti-virus tools
Attempts to self-decrypting files will result in the loss of your data
Decoders other users are not compatible with your data, because each user's unique encryption key

Обновление от 10 января 2019:
Пост на форуме >>
Расширение: .happycrypto
Записка: how_to_back_files.html
Email: happykeys2day@protonmail.com, happykeys2day@tuta.io
BTC: 1P6nKiKQpGoxLAVxYMCd5w7vbqVJE7AXmS

Обновление от 10 января 2019:
Пост на форуме >>
Расширение: .writeme
Записка: how_to_back_files.html

Обновление от 11 января 2018:
Расширение: .pptm
URL-1: xxxx://huhighwfn4jihtlz.onion/sdlsnhtjwbhr
URL-2: xxxx://isb5f7dxc6gjpprt.onion/sdlsnhtjwbhr
Email: fileshelp@cock.li
Вредоносный файл: ttf.js
Записка: Restore-My-Files.txt

➤ Содержание записки:
Your files are Encrypted!
For data recovery needs decryptor.
How to buy decryptor:
1. Download "Tor Browser" from https://www.torproject.org/ and install it.
2. Open this link In the "Tor Browser"
http://huhighwfn4jihtlz.onion/sdlsnhtjwbhr
Note! This link is available via "Tor Browser" only.
------------------------------------------------------------
Free decryption as guarantee.
Before paying you can send us 2 file for free decryption.
------------------------------------------------------------
alternate address - http://isb5f7dxc6gjpprt.onion/sdlsnhtjwbhr
You unique ID: 18 9F 77 *****
#####
➤ BTC (постоянно меняются):
3P4HRqVUcr3YYsvphMMefgZFiWqnP3WZPP
31p8ZVmsZ1J27tAX3xyj7k7PavQ4qrCdVV
3GS1ZDxrqFJuU6touSxeCHGU8tHiDFX9ZG
3Ka5VvdX52ejKqUVcfUQd658uWNsJcnic8
3NTQh5CaYd1g6vNq9c4SovDLHd8yk5K4SA
3LcGatGMCwWP3UucGN6aPZVM5Ud3x62VpE
3D9nxm5kJ81jNLk5iz4T6apqFPW4WztEX2
33NKUj7ekPQDXQ9b95fAXWFJEw8tcyHfDD
3MxKz2N53pdtv7wsEE1iDEWD7QDH8HAMPD
3BARhyQhi54k6WKsZWLuCUJ4A6XdroM6yw
3FUcaukikZX2hfkDPPbkr8eTw5jAwJgWuh
3JVt66zTqNUEtJZfNEEg28HECUhLgpDaEK
39eYvrGuje3ZhaJmMPufPrXMEP3nC1UcNF
3GkMRitRhdMeTsMNZoF7E93qWo8MisiKGs
36ZicA6oZZgYCg4gWHhic1QueV82Ge2LiC
3BGznHLK4opnzA8awUnVCq1phWbdeJQMr8
38s8e4ikHWjiPCggqKFPKCYvPNdcgTJU3c
3Fd8CjYqetmD3X4JaonSnK9iUmM6R8dgi7
31qUZxipQmHN2Whx5FeK6awVM9Sm2gQpPp
325J2nAeBzvAExPJjBBcSKoHT3AKSVtUZa

Скриншоты страниц сайта оплаты
➤ Содержание первой страницы сайта:
Buy Decryptor
To buy the decryptor, you must pay the cost of: 0.192 Bitcoin ($ 700)
You have 2 days for payment
time left :
after finishing offer, decryptor cost will be 0.384 Bitcoin
You can buy bitcoin on one of these sites:
blockchain.info
localbitcoins.com
google.com
send 0.192 bicoin on the Bitcoin address: 31p8ZVmsZ1J27tAX3xyj7k7PavQ4qrCdVV
after payment click HERE
Free decryption as guarantee.
Before paying you can send us 2 files for free decryption.
click HERE

---

Страница, где предлагается зарегистрироваться.

Обновление от 14 января 2019:
Пост в Твиттере >>
Расширение: .ppam
Записка: Restore-My-Files.txt
URL: xxxx://huhighwfn4jihtlz.onion/sdlsnhtjwbhr
xxxx://isb5f7dxc6gjpprt.onion/sdlsnhtjwbhr
Результаты анализов: VT + AR

В принципе, тоже самое, что и в обновлении от 11 января 2019.

Обновление от 3 февраля 2019:
Пост в Твиттере >>
Расширение: .forcrypt
Записка: how_to_back_files.html
Email: ???
Файл EXE: bad_b.exe

Обновление от 3 февраля 2019:
Расширение: .crypted_luedtkis@feudtory_com
Записка: how_to_back_files.htm
Email: luedtkis@feudtory.com, luedtkis@bejants.com

➤ Содержание записки:
HOW TO DECRYPT YOUR FILES
---
Your files are encrypted!
Your documents, photos, databases and all the rest files encrypted cryptographically strong algoritm.
Without a secret key stored with us, the restoration of your files is impossible
----------------------------------------------------------
To start the recovery process:
Send an email to: luedtkis@feudtory.com with your personal ID in the message body.
In response, we will send you further instructions on decrypting your files.
---------------------------------------------------------
Your personal ID:
C7 67 F6 72 8F 67 9E 85 B5 91 DD AB 0F 65 ***
----------------------------- P.S. ----------------------------------
• It is in your interest to respond as soon as possible to ensure the recovery of your files, because we will not store your decryption keys on our server for a long time.
• Be sure to add our email addresses to the trusted list, in your email client's settings. And also check the folder "Spam" when waiting for an email from us.
• If we do not respond to your message for more than 48 hours, write to the backup email : luedtkis@bejants.com
-----------
Q: Did not receive an answer?
A: Check the SPAM folder.
Q: My spam folder is empty, what should I do?
A: Write us with a new email, with protonmail.com text data

Обновление от 10 февраля 2019 (был также 4 декабря 2018):
Пост в Твиттере >>
Расширение: .ANAMI
Записка: how_to_back_files.html
Email: reverso@qq.com, reverso@cock.li
Результаты анализов: VT + HA + HA (4 декабря 2018))

Обновление от 23 февраля 2019:
Расширение: .SAMBO
Email: decryptorxxx@aol.com, decryptorxxx@india.com

Обновление от 1 марта 2019:
Пост в Твиттере >>
Новая идентификация: статья Maola Ransomware >>
Расширение: .Alco4444
Записка: HOW TO BACK YOUR FILES.txt
Email: Ñhina.helper@aol.com
Ñhina.helper@india.com

➤ Содержание записки:
YOUR FILES ARE ENCRYPTED !!!
TO DECRYPT, FOLLOW THE INSTRUCTIONS:
To recover data you need decrypt tool.
To get the decrypt tool you should:
1.In the letter include your personal ID! Send me this ID in your first email to me!
2.We can give you free test for decrypt few files (NOT VALUE) and assign the price for decryption all files!
3.After we send you instruction how to pay for decrypt tool and after payment you will receive a decryption tool!
4.We can decrypt few files in quality the evidence that we have the decoder.
DO NOT TRY TO DO SOMETHING WITH YOUR FILES BY YOURSELF YOU WILL BRAKE YOUR DATA !!! ONLY WE ARE CAN HELP YOU! CONTACT US:
Ñhina.helper@aol.com
Ñhina.helper@india.com
ATTENTION !!! THIS IS YOUR PERSONAL ID WICH YOU HAVE TO SEND IN FIRST LETTER:
S/oR50rtft/2yT81cpZXZEdzhmaktbMclM2w]uksSsP3DV***
Результаты анализов: VT

Обновление от 4 марта 2019:
Пост в Твиттере >>
Расширение: .{mattpear@protonmail.com}MTP
Записка: how_to_back_files.html
Email: mattpear@protonmail.com
Результаты анализов: VT

Обновление от 5 марта 2019:
Пост на форуме >>
Расширение: .writeme
Записка: how_to_back_files.html
Fruttella1@cock.li
Fruttella1@protonmail.com
Fruttella1@outlook.com
➤ Содержание записки:
YOUR PERSONAL ID
D0 EA B1 60 CA 71 52 A0 37 9F EF 2F CD 9D 07 76
43 68 29 D2 65 79 46 6C A6 25 81 E9 C3 92 A6 7E
***
ENGLISH
☠ YOUR FILES ARE ENCRYPTED! ☠
ALL YOUR IMPORTANT DATA HAS BEEN ENCRYPTED.
To recover data you need decryptor.
To get the decryptor you should:
Send 1 test image or text file Fruttella1@outlook.com.
In the letter include your personal ID (look at the beginning of this document).
We will give you the decrypted file and assign the price for decryption all files
After we send you instruction how to pay for decrypt and after payment you will receive a decryptor and instructions We can decrypt one file in quality the evidence that we have the decoder.
Attention!
BACKUP EMAIL Fruttella1@cock.li (reserv email) Second backup email Fruttella1@protonmail.com
Do not trust anyone Window controlAbout Get support Fruttella1@outlook.com
Do not attempt to remove the program or run the anti-virus tools
Attempts to self-decrypting files will result in the loss of your data
Decoders other users are not compatible with your data, because each user's unique encryption key

Обновление от 12 марта 2019 (был также в феврале):
Пост в Твиттере >>
Расширение: .SATANA
Записка: how_to_back_files.html
Email: Midnightt@cock.li, zyxel@cock.li
Результаты анализов: VT + JSB + VMR

Обновление от 14 марта 2019:
Пост на форуме >>
Записка: how_to_back_files.html
Email: TonnyMonro@cock.li, Trampapam@cock.li

Обновление от 17 марта 2019:
Пост на форуме >>
Расширение: .san
Записка: how_to_back_files.html
Email: dkcruptmaster@aol.com, dkcruptmaster@india.com

Обновление от 18 марта 2019:
Пост на форуме >>
Расширение: .[Coffix@Tuta.Io]
Записка: DECRYPT FILES.TXT
Email: coffix@tuta.io, coffix@india.com
Вполне возможно, что это Jaffe Ransomware >>

Обновление от 18 марта 2019:
Пост в Твиттере >>
Расширение: .{CALLMEGOAT@PROTONMAIL.COM}CMG
Записка: how_to_back_files.html
Email: CALLMEGOAT@PROTONMAIL.COM
Результаты анализов: VT + VMR

Обновление от 19 марта 2019:
Пост в Твиттере >>
Расширение: .crypt_sherhagdomski@godzym_bid
Записка: how_to_back_files.html
Email: sherhagdomski@godzym.bid
Результаты анализов: VT

Обновление от 20 марта 2019:
Пост в Твиттере >>
Расширение: .IGAMI
Записка: how_to_back_files.html
Email: firstouch@qq.com, firstouch@cock.li

Результаты анализов: VT

Обновление от 26 марта 2019:
Пост в Твиттере >>
Расширение: .STG
Записка: how_to_back_files.html
Email: assistance@airmail.cc, aid1@cock.li
Результаты анализов: VT

Обновление от 27 марта 2019 или неделей раньше:
Тoпик на форуме >>
Пост на форуме >>

Расширение: .crypt или другое
Записка: how_to_back_files.html
Email-1: wixomd@ymolt.com
Email-2: wixomd@pyvenom.com
➤ Содержание записки:
YOUR FILES ARE ENCRYPTED!
Your documents, photos, databases and all the rest files encrypted cryptographically strong algoritm.
Without a secret key stored with us, the restoration of your files is impossible
----------------------------------------------------------
To start the recovery process:
Send an email to: wixomd@ymolt.com with your personal ID in the message body.
In response, we will send you further instructions on decrypting your files.
---------------------------------------------------------
Your personal ID: ***
----------------------------- P.S. ----------------------------------
It is in your interest to respond as soon as possible to ensure the recovery of your files, because we will not store your decryption keys on our server for a long time.
Be sure to add our email addresses to the trusted list, in your email client's settings. And also check the folder "Spam" when waiting for an email from us.
If we do not respond to your message for more than 48 hours, write to the backup email : wixomd@pyvenom.com
-----------
Q: Did not receive an answer?
A: Check the SPAM folder.
Q: My spam folder is empty, what should I do?
A: Write us with a new email, with protonmail.com
---

Перевод записки на русский язык:
Ваши файлы зашифрованы!
Ваши документы, фото, базы данных и все остальные файлы зашифрованы криптографически сильным алгоритмом.
Без сохраненного у нас секретного ключа восстановление ваших файлов невозможно
-------------------------------------------------- --------
Чтобы начать процесс восстановления:
Отправьте email по адресу: wixomd@ymolt.com, указав свой личный ID в теле сообщения.
В ответ мы вышлем вам дальнейшие инструкции по расшифровке ваших файлов.
-------------------------------------------------- -------
Ваш личный ID: ***
----------------------------- P.S. ----------------------------------
В ваших интересах ответить как можно скорее, чтобы обеспечить восстановление ваших файлов, потому что мы не будем долго хранить ваши ключи дешифрования на нашем сервере.
Обязательно добавьте наши адреса email в список доверенных в настройках вашего почтового клиента. А также проверьте папку "Spam" при ожидании письма от нас.
Если мы не ответим на ваше сообщение в течение более 48 часов, напишите на резервный email: wixomd@pyvenom.com
-----------
В: Не получили ответ?
A: Проверьте папку СПАМ.
Q: Моя папка спам пуста, что мне делать?
A: Напишите нам с новым email-адресом, с protonmail.com

Обновление от 1 апреля 2019:
Пост на форуме >>
Пост на другом форуме >>
Расширение: .ciphered
Записка: how_to_back_files.html
Email: Kim_Chen_Yn@protonmail.com
bathed1212@cock.li

Обновление от 1 апреля 2019:
Расширение: .restorefiles666
Записка: how_to_back_files.html
Email: restorefiles666@cock.li, restorefiles666@protonmail.com
Результаты анализов: HA + VT

Обновление от 9 апреля 2019:
Пост на форуме >>
Расширение: .cryptopay12
Email: cryptopay12@protonmail.com, cryptopay12@cock.li

Обновление от 10 апреля 2019:
Топик на форуме >>
Расширение: .ciphered
Записка: how_to_back_files.html
Email: ???

Обновление от 10 апреля 2019:
Пост в Твиттере >>
Расширение: .[velasquez.joeli@aol.com]
Записка: HOW_RECOVER.html
Email: velasquez.joeli@aol.com
Файл EXE: velasquez.joeli.exe
Штамп времени относится к 2018 году.
Результаты анализов: VT

Обновление от 10 апреля 2019:
Новая идентификация: статья Maola Ransomware >>
Расширение: .Tiger4444
Email: bivisfiles@protonmail.com

Обновление от 11 апреля 2019:
Новая идентификация: статья Maola Ransomware >>
Топик на форуме >>
Расширение: .tabufa
Email: tabufa@protonmail.com, tabufa@airmail.cc

*
Обновление от 11 апреля 2019:
Топик на форуме >>
Расширение: .forcrypt
Записка: how_to_back_files.html
Email: ???
Файл EXE: bad_b.exe

Обновление от 17 апреля 2019:
Новая идентификация: статья Maola Ransomware >>
Расширение: .systems32x
Записка: HOW TO BACK YOUR FILES.TXT
Email: systems32x@gmail.com
systems32x@yahoo.com
systems32x@tutanota.com
help32xme@usa.com
additional.mail@mail.com

Обновление от 22 апреля 2019:
Топик на форуме >>
Расширение: .eztop
Записка: how_to_back_files.html

Обновление от 24 апреля 2019:
Пост в Твиттере >>
Расширение: .DOCM
Записка: Restore-My-Files.txt
Tor-URL: alcx6zctcmhmn3kx.onion

Обновление от 27 апреля 2019:
Пост в Твиттере >>
Новая идентификация: статья Maola Ransomware >>
Расширение: .Pig4444
Записка: HOW TO BACK YOUR FILES.txt
Результаты анализов: VT + VMR

Обновление от 6 мая 2019:
Пост в Твиттере >>
Пост в Твиттере >>
Расширение: .{Killback@protonmail.com}KBK
Email: Killback@protonmail.com
Записка: decrypt_files.html
Результаты анализов: VT + VMR + IA

Обновление от 9 мая 2019:
Пост на форуме >>
Расширение: .[blellockr@godzym.me].bkc
Записка: HowToBackFiles.html
Email: blellockr@godzym.me, blellockr@inqwari.com

Обновление от 10 мая 2019:
Топик на форуме >>
Расширение: .SECURE
Записка: how_to_back_files.html
Email: spysecurelab@airmail.cc, securehunter@airmail.cc

Обновление от 15 мая 2019:
Пост в Твиттере >>
Расширение: .xxxxx
Записка: how_to_back_files.html
Email: decrypt_data@aol.com, decrypt_data2@protonmail.com
Результаты анализов: VT + VMR

Обновление от 15 мая 2019:
Топик на форуме >>
Расширение: .DOCM
Записка: Restore-My-Files.txt
Email: fileshelp@cock.li
Результаты анализов: VT + VMR + VT
Tor URL: xxxx://decrmbgpvh6kvmti.onion/
xxxx://helpinfh6vj47ift.onion/

➤ Содержание записки:
All your files are Encrypted!
For data recovery needs decryptor.
How to buy decryptor:
----------------------------------------------------------------------------------------
| 1. Download Tor browser - https://www.torproject.org/ and install it.
| 2. Open link in TOR browser - http://decrmbgpvh6kvmti.onion/
| 3. Follow the instructions on this page
----------------------------------------------------------------------------------------
Note! This link is available via "Tor Browser" only.
------------------------------------------------------------
Free decryption as guarantee.
Before paying you can send us 1 file for free decryption.
------------------------------------------------------------
alternate address - http://helpinfh6vj47ift.onion/
DO NOT CHANGE DATA BELOW
###s6dlsnhtjwbhr### A0 3F 63 27 F9 A0***

Обновление от 16 мая 2019:
Расширение: .[cartmelsutton@venom.io].crypt
Записка: how_to_back_files.html
Email: cartmelsutton@venom.io, barddolling@pipestcontrol.com
Результаты анализов: VT + VMR
На этом скриншоте видно, что в записке это названо Globelmposter 2.
Кажется это слово впервые было использовано (за 2,5 года!). Смотрите этимологию названия в начале статьи.

➤ Содержание записки:
YOUR FILES ARE ENCRYPTED!
------------------------------------------------------------
Your documents, photos, databases and all the rest files encrypted cryptographically strong algoritm
Globelmposter 2.
Without a secret key stored with us, the restoration of your files is impossible
------------------------------------------------------------
To start the recovery process:
• Register email box to protonmail.com or cock li (do not waste time sending letters from your standard
email address, they will all be blocked).
• Send a email from your new email address to: cartmelsutton@venom.io with your personal ID.
• In response, we will send you further instructions on decrypting your files.
------------------------------------------------------------
Your personal ID:
1C 58 42 5E 8D F7 55 52 27 8E FC 01 9A 3C DC 01
******************************************
------------------------------ PS. ------------------------------
• It is in your interest to respond as soon as possible to ensure the recovery of your files, because we will
not store your decryption keys on our server for a long time.
• Check the folder "Spam" when waiting for an email from us.
• If we do not respond to your message for more than 48 hours, write to the backup email:
barddolling@pipestcontrol.com
• ------------
• Q: Did not receive an answer?
• A: Check the SPAM folder.
• Q: My spam folder is empty, what should I do?
• A: Register email box to protonmail.com or cock h and do the steps above.

Обновление от 16 мая 2019:
Расширение: .z1 или .z1.crypt
Записка: how_to_back_files.html
Email: mr.Pewterschmidt@protonmail.com
mr.Pewterschmidt@gmx.com

Обновление от 28 мая 2019:
Расширение: .[lindsherrod@taholo.co].btc
Записка: HowToBackFiles.html
Email: lindsherrod@taholo.co
Результаты анализов: VT + VMR

Обновление от 3 июня 2019:
Пост в Твиттере >>
Расширение: .[frazeketcham@cnidia.com].eth
Записка: Read_For_Restore_File.html
Email: frazeketcham@cnidia.com, frazeketcham@chadfarrcreations.com

Обновление от 3 июня 2019 (см. также обновление от 15 мая):
Топик на форуме >>
Расширение: .DOCM
Записка: Restore-My-Files.txt
Email: fileshelp@cock.li
Результаты нализов: VT + VMR + VT
Tor URL: xxxx://decrmbgpvh6kvmti.onion/
xxxx://helpinfh6vj47ift.onion/

Текст на альтернативной сайте:
If you want to buy a decryptor
send e-mail to fileshelp@cock.li

Обновление от 3 июня 2019:
Пост в Твиттере >>
Пост в Твиттере >>
Расширение: .luboversova148
Записка: Read_Me.html
Email: luboversova148@outlook.com, luboversova148@protonmail.com
Результаты анализов: VT + VMR

Обновление от 6 июня 2019:
Пост в Твиттере >>
Расширение: .{dresdent@protonmail.com}DDT
Записка: how_to_back_files.html
Email: dresdent@protonmail.com
Результаты анализов: VT + AR

Обновление от 11 июня 2019:
Топик на форуме >>
Расширение: .shelbyboom

Обновление от 3 июля 2019:
Расширение: .docx.[a.wyper@bejants.com].xrp
Записка: Read_For_Restore_File.html
Email: a.wyper@bejants.com
a.wyper@worldtravelnotebook.com

Обновление от 13 августа 2019:
Пост в Твиттере >>
Расширение: .SATANA
Записка: how_to_back_files.html
Email: sv.goro@aol.com, mr.goro@keemail.me
Результаты анализов: VT

Обновление от 25 августа 2019:
Пост в Твиттере >>
Расширение: .makkonahi

Обновление от 25 августа 2019:
Новая идентификация: статья Maola Ransomware >>
Расширение: .decrypt019
Записка: how_to_back_files.html
Email: decrypt019@protonmail.com, decrypt2019@outlook.com

Обновление от 25 августа 2019:
Расширение: .[gustafkeach@johnpino.com].ad
Записка: Read_For_Restore_File.html
Email: gustafkeach@johnpino.com, gustafkeach@tohaveandtohold.us

Обновление от 28-29 августа 2019:
Топик на форуме >>
Расширение: .tanos

Обновление от 29 августа 2019:
Пост на форуме >>
Расширение: .gustafkeach@johnpino.ad
Записка: Read_For_Restore_File.html
Email: gustafkeach@johnpino.ad

Обновление от 3 сентября 2019:
Пост в Твиттере >>
Расширение: .tanos
Записка: how_to_back_files.html
Email: tanoss@protonmail.ch, valakas@cock.li
Результаты анализов: VT

Обновление от 7 сентября 2019:
Пост на форуме >>
Расширение: .bestdecoder
Записка: How_to_open_files.html
Email: bestdecoder@protonmail.com, bestdecoder@cock.li

Обновление от 8 сентября 2019:
Пост в Твиттере >>
Расширение: .Erenahen
Записка: How_to_open_files.html
Email: Erenahen@cock.li, Kishemez@tutanova.com
Результаты анализов: VT

Обновление от 10 сентября 2019:
Пост на форуме >>
Расширение: .[gustafkeach@johnpino.com].ad
Записка: read_for_restore_file.html
Email: gustafkeach@johnpino.com
Результаты анализов: VT

Обновление от 10 сентября 2019:
Пост на форуме >>
Расширение: .[a.wyper@bejants.com].xrp
Записка: read_for_restore_file.html
Email: a.wyper@bejants.com
Результаты анализов: VT

Обновление от августа-сентября-октября 2019:
Записка: How_to_open_files.html
Email: helper666@cock.li, helper666@tutanota.com
Группа расширений:
.666decrypt666
.AsabHadare
.ciphered
.Coockish
.decrypt019
.decrypt2019
.Gamgamga
.helper66
.helper666
.helpinc
.helprobot
.hotprice8
.libertoned
.rescuerr
.saveyoudata
.Saveyourdata
.saveyourdata
.shelbyboom
.supporthelpgood
.tabufa
.telcomsupp2351
.unlockassistant
Результаты анализов: VT + HA / VT + HA + IA

Обновление сентября-октября 2019 (или раньше):
Записка: How_to_open_files.html
Email: Erenahen@cock.li, Kishemez@tutanota.com
Группа расширений:
.AsabHadare
.ciphered
.Coockish
.decrypt019
.decrypt2019
.Erenahen - см. также выше 8 сентября
.Gamgamga
.helpinc
.helprobot
.hotprice8
.libertoned
.saveyoudata
.Saveyourdata
.saveyourdata
.shelbyboom
.supporthelpgood
.tabufa
.telcomsupp2351
.unlockassistant
Результаты анализов: VT + HA + IA

Обновление от сентября - октября 2019 (на самом деле было раньше):
Записка: How_to_open_files.html
Email: rescuerr@protonmail.com, rescuer@cock.li
Email: mrromber@cock.li, mrromber@tutanota.com
Группа расширений:
.666decrypt666
.AsabHadare
.ciphered
.Coockish
.decrypt019
.decrypt2019
.Gamgamga
.helpinc
.helprobot
.hotprice8
.libertoned
.rescuerr
.saveyoudata
.Saveyourdata
.saveyourdata
.shelbyboom
.supporthelpgood
.tabufa
.telcomsupp2351
.unlockassistant
Результаты анализов: VT + HA + IA

Обновление от 1 октября 2019:
Пост в Твиттере >>
Расширение: .badday
Записка: how_to_back_files.html
Email: redteamoperation@protonmail.com, redteamoperation@seznam.cz
Результаты анализов: VT + HA + AR + IA + VMR

Обновление от 7 октября 2019:
Пост в Твиттере >>
Расширение: .[sill@tuta.io]
Записка: help you.txt
Email: sill@tuta.io, sills@protonmail.ch
Результаты анализов: VT + HA + AR + IA

➤ Содержание записки:
Hello!
your personal id
3E 7D 1F F6 71 C9 13 7D D7 50 A2 B2 01 60 EA EE
30 62 46 DD 9B 01 4B 00 85 A8 45 CF F5 E7 99 07
***
Want to recover your data? write to us by mail and send us your
personal id and domain of your computer sill@tuta.io and copie sills@protonmail.ch

Обновление от 23 октября 2019:
Пост в Твиттере >>
Расширение: .btc
Записка: Readme.html
Email: Rockettte@tutanota.com, Raisin@cock.li
Результаты анализов: VT

Обновление от 24 октября 2019:
Топик на форуме >>
Расширение: .crypt
Записка: Readme.html
Email: StuardRitchi@tutanota.com

Обновление от 30 октября 2019:
Пост в Твиттере >>
Расширение: .sanders4
Записка: How_to_open_files.html
Email: mrromber@cock.li, mrromber@tutanota.com
Результаты анализов: VT + HA + AR + IA

Обновление от 27-29 ноября 2019:
Или Maoloa Ransomware >>
Топик на форуме >>
Пост на форуме >>
Расширение: .[kingsleygovan@krnas.com].crypt
Записка: how_to_back_files.html
Email: kingsleygovan@krnas.com, kingsleygovan@imeetpower.com

Обновление от 2 декабря 2019:
Топик на форуме >>
Идентификация в ID Ransomware >>
Расширение: .CILLA
Записка: how_to_back_files.html
Email: blackcilla@qq.com, blackcilla@cock.li

=== 2020 ===

Обновление от 5 января 2020:
Пост в Твиттере >>
Расширение: .[ponce.lorena@aol.com]
Записка: HOW_RECOVER.html
Email: ponce.lorena@aol.com
Результаты анализов: VT + VMR

Обновление от 1 февраля 2020:
Пост на форуме >>
Расширение: .SATANA
Email: icanhelpyou@tutanota.com, pristonklav@tutanota.com

Обновление от 5 февраля 2020:
Пост в Твиттере >>
Расширение: .happythreechoose
Записка: Decryption INFO.html
Email: happychoose@cock.li, happychoose2@cock.li
Файл: HAPPYTHREE.EXE.exe
Результаты анализов: VT + VMR

➤ Обнаружения:
DrWeb -> Trojan.MulDrop11.37980
BitDefender -> Generic.Ransom.GlobeImposter.6F8B4862
ESET-NOD32 -> A Variant Of Win32/Filecoder.FV
Microsoft -> Ransom:Win32/Filecoder.RB!MSR
Rising -> Ransom.GlobeImposter!1.A538 (CLOUD)
TrendMicro -> Ransom_FAKEGLOBE.SMB

Обновление от 6-7 февраля 2020:
Пост в Твиттере >>
Расширение: .{indus37098@india.com}ZYX
Записка: how_to_back_files.html
Результаты нализов: VT + AR

➤ Обнаружения:
DrWeb -> Trojan.Encoder.24833
ALYac ->Trojan.Ransom.GlobeImposter
BitDefender ->Generic.Ransom.GlobeImposter.*
Rising ->Ransom.Purgen!1.AC62 (CLOUD)
TrendMicro ->Mal_FakeGlobe

Обновление от 25 февраля 2020:
Пост на форуме >>
Записка: Decryption INFO.html
Расширение: .happychoose

Email: happychoose@cock.li, happychoose2@cock.li

Обновление от 9 марта 2020:
Пост на форуме >>
Расширение: .[taargo@olszyn.com].taargo
Записка: how_to_back_files.html
Email: taargo@iran.ir, taargo@feecca.com, taargo@olszyn.com
Файл EXE: _aro.exe
Результаты анализов: VT + AR

Обновление от 8 апреля 2020:
Расширение: .[damerg@wothi.com].damerg
Записка: how_to_back_files.html
Email: damerg@wothi.com

Обновление от 12 апреля 2020:
Расширение: .ERROR
Записка: how_to_back_files.html
Email: bucsbannyb@aol.com, bucksbanny@mail.ee

Обновление от 21 июля 2020:
Топик на форуме >>
Расширение: .MORT
Записка: how_to_back_files.html
Email: mortalis_certamen@aol.com

Обновление от 12 сентября 2020:

Пост в Твиттере >>

Расширение: .doc

Записка: Read___ME.html

Результы анализов: VT + IA

Обновление от 27 сентября 2020:

Идентификация >>

Топик на форуме >>

Расширение: .crypt

Записка: how_to_recover_files.html

Email: server2@mailfence.com

BTC: 1JA2f7F1JE3faUzavH89iDiZxtZqV1bB82

Обновление от 4 ноября 2020:

Пост в Твиттере >>

Расширение: .CC4H

Записка: Decryption INFO.htm

Обновление от 23 ноября 2020:

Пост в Твиттере >>

Расширение: .xls

Email: filessupport@cock.li

Этот адрес также используется в Bit Ransomware (с октября 2020) >>

Записка: My_Files.txt

=== 2021 ===

Вариант от 28 апреля 2021:

Сообщение >>

Расширение: .crypted_monkserenen@tvstar_com

Название дешифровщика: MONKSERENEN DECRYPTOR

Записка: how_to_back_files.html

Email: monkserenen@tvstar.com

Результаты анализов: VT + AR

➤ Обнаружения:

DrWeb -> Trojan.Encoder.11539

ESET-NOD32 -> Win32/Filecoder.FV

Rising -> Trojan.Ransom.GlobeImposter!1.AF70 (CLOUD)

Symantec -> Ransom.GlobeImposter

Tencent -> Malware.Win32.Gencirc.10b3d26b

TrendMicro -> Ransom_FAKEGLOBE.SMA

Вариант от 16 сентября 2021:

Сообщение >>

Расширение: .lockis

Файл: lockisdog.exe

Записка: how_to_back_files.html

Результаты анализов: VT + AR

➤ Обнаружения:

DrWeb -> Trojan.Encoder.34352

Вариант от 2 ноября 2021:

Сообщение >>

Расширение: .[Merlen@Keemail.Me]

Email: merlen@keemail.me, merlens@protonmail.com, merlen@dr.com

Результаты анализов: VT + IA

=== 2022 ===

Вариант от 4 января 2022:

Расширение: .restore@goat.si

Записки: how_to_back_files.html

Email: restore@goat.si, restore@dr.com

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

Внимание!
Для файлов, зашифрованных GlobeImposter, есть дешифровщик
Скачать GlobeImposter Decrypter и использовать по инструкции >>
***

К сожалению...
Файлы, зашифрованные GlobeImposter-2, не дешифруются.
Для каждого ПК генерируется уникальный приватный (закрытый) 
ключ, который есть только у вымогателей. 
Но в любом случае, обращайтесь к Майклу по этой ссылке. 
****
Некоторые файлы можно восстановить ручной коррекцией кода.

 Read to links: 
 Tweet on Twitter
 ID Ransomware (ID as GlobeImposter, GlobeImposter 2.0)
 Write-up
 *

 Thanks: 
 MalwareHunterTeam, Lawrence Abrams
 Michael Gillespie, Marcelo Rivero, xXToffeeXx
 Andrew Ivanov, Alex Svirid, TauKita, Mihay Ace, zuh
 Emmanuel_ADC-Soft, CyberSecurity GrujaRS
 *

Шифровальщики-вымогатели The Digest "Crypto-Ransomware"

понедельник, 19 декабря 2016 г.

CryptoBlock

CryptoBlock Ransomware

(шифровальщик-вымогатель)

воскресенье, 18 декабря 2016 г.

AES-NI

AES-NI Ransomware

(шифровальщик-вымогатель)

Koolova

Koolova Ransomware

(шифровальщик-вымогатель)

суббота, 17 декабря 2016 г.

GlobeImposter 1.0, 2.0

Fake Globe Ransomware:

GlobeImposter, GlobeImposter 2.0

GlobeImposter NextGen, FakeGlobeImposter,

FakeGlobeImposter NextGen, GlobeImposterImitator

GlobeImposter 'cut-to-use', 'cut-to-confuse'

(семейство шифровальщиков-вымогателей, все итерации)

Translation into English

Информация о шифровальщике

Постоянные читатели

My tweet feed

My profile on BC

Форма для связи / Contact

понедельник, 19 декабря 2016 г.

CryptoBlock

CryptoBlock Ransomware

(шифровальщик-вымогатель)

воскресенье, 18 декабря 2016 г.

AES-NI

AES-NI Ransomware

(шифровальщик-вымогатель)

Koolova

Koolova Ransomware

(шифровальщик-вымогатель)

суббота, 17 декабря 2016 г.

GlobeImposter 1.0, 2.0

Fake Globe Ransomware:

GlobeImposter, GlobeImposter 2.0

GlobeImposter NextGen, FakeGlobeImposter,

FakeGlobeImposter NextGen, GlobeImposterImitator

GlobeImposter 'cut-to-use', 'cut-to-confuse'

(семейство шифровальщиков-вымогателей, все итерации)

Translation into English

Информация о шифровальщике

Постоянные читатели

My tweet feed

My profile on BC

Форма для связи / Contact

понедельник, 19 декабря 2016 г.

воскресенье, 18 декабря 2016 г.

суббота, 17 декабря 2016 г.