Ranion RaaS

Ranion Ransomware

(шифровальщик-вымогатель, RaaS) 

Translation into English

Этот вымогательский Ranion RaaS даёт потенциальным преступникам возможность создавать и распространять своих собственных вымогателей, без необходимости иметь навыки в программировании. Название оригинальное. В оригинале используется шифрование AES-256. 

Обнаружения:
DrWeb -> Trojan.Packed2.40715, Trojan.Siggen7.35275, Trojan.Siggen7.56250, Trojan.Siggen7.49009

ALYac -> Trojan.Ransom.Ranion

Avira (no cloud) -> TR/Dropper.MSIL.zfkla, TR/Hesv.wcoir, TR/Kryptik.bwbps
BitDefender -> Trojan.GenericKD.4943908, Trojan.RansomKD.6264463, Trojan.GenericKD.3017097, Trojan.GenericKD.31147075, Gen:Variant.Ransom.Ranion.1

ESET-NOD32 -> A Variant Of MSIL/Filecoder.JQ, MSIL/Filecoder.FU
Kaspersky -> Trojan.Win32.Bcex.kfm, Trojan.Win32.Hesv.awzl
Malwarebytes -> Ransom.Ranion, Backdoor.FakePDF

Microsoft -> Trojan:Win32/Dynamer!ac, Trojan:Win32/Occamy.B
Symantec -> Backdoor.Ratenjay, Trojan.Gen, Trojan.Gen.2, Infostealer.Atesla, ML.Attribute.HighConfidence

© Генеалогия: Ranion Raas >> производные варианты

К зашифрованным файлам добавляется настраиваемое расширение.
Записки с требованием выкупа тоже настраиваются. Текст на английском содержит ошибки. 

Начало работы этого крипто-вымогательского сервиса пришлось на конец января - начало февраля 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Содержание страницы BUY на сайте Tor:
RANION - The Better & Cheapest FUD Ransomware + C&C on Darknet
BUY - FAQ - CONTACT
We provide an already configured and compiled FUD Ransomware + Decrypter
We are the only that provide a FREE Anonymous C&C Dashboard via Onion to manage your Clients
We also provide additional FREE Customizations and DON'T take Fees from your Clients
DISCLAIMER: Our Products are for EDUCATIONAL PURPOSES ONLY.
Don't use them for illegal activities. You are the only responsable for your actions!
Our Products/Services are sold with NO WARRANTY and AS ARE.
*** ranionjgot5cud3p.onion ***
...
-= CHOOSE YOUR PACKAGE =-
[PACKAGE #1] - 1 YEAR C&C Dashboard (RaaS) - Price: 0.95 btc
    FUD Ransomware (AES 256 Encryption with a 30 chars long uncrackable key)
    Decrypter
    1 Year C&C Dashboard (to receive the AES keys from Clients)
    We take NO FEES from your Clients
    Optional: additional Crypter adding 0.1 btc
    Optional: additional file types to encrypt for free (for all file types encrypted see FAQ)
    Optional: additional client banner in your language for free (already present eng, rus, ger, fra, esp, ita)
[PACKAGE #2] - 6 MONTHS C&C Dashboard (RaaS) - Price: 0.60 btc
    FUD Ransomware (AES 256 Encryption with a 30 chars long uncrackable key)
    Decrypter
    6 Months C&C Dashboard (to receive the AES keys from Clients)
    We take NO FEES from your Clients
    Optional: additional Crypter adding 0.1 btc
    Optional: additional file types to encrypt for free (for all file types encrypted see FAQ)
    Optional: additional client banner in your language for free (already present eng, rus, ger, fra, esp, ita)
-= HOW TO BUY =-
    Send the Package's price to following Bitcoin address: 1Lr9k7***
    Write us an email to ranion(at)sigaint.org telling us:
    - Chosen package
    - Your Bitcoin address used to send us money
    - Your own Bitcoin address to receive money from your Clients
    - Your price to receive from your Clients (ie. 0.20 btc)
    - Your email address to get contacted from your Clients
    - Optional additions
    Wait until we check your payment
    You will receive an email with 2 links:
    - The first one with your files (Ransomware + Decrypter)
    - The second one with your dashboard
Your satisfaction is important! Contact us for any need.
Copyright (c) 2016-2017 - Ranion (RaaS)

Перевод страницы BUY на русский язык: 
RANION - самое лучшее и самое дешевое FUD Ransomware + C&C на Darknet
КУПИТЬ - FAQ - Контакты
Мы предлагаем уже настроенный и скомпилированный FUD Ransomware + Decrypter
Мы единственные, кто обеспечивают бесплатный анонимный C&C Dashboard с Onion для управления вашими клиентами
Мы также предоставляем дополнительные бесплатные настройки и НЕ принимаем платежи от своих клиентов
ОТКАЗ ОТ ОТВЕТСТВЕННОСТИ: Наши продукты предназначены для образовательных целей.
Не используйте их для незаконной деятельности. Только вы несете ответственность за свои действия!
Наши продукты / услуги продаются без гарантии и как есть.
*** ranionjgot5cud3p.onion ***
...
-= ВЫБЕРИТЕ ЛИЦЕНЗИЮ =-
[ПАКЕТ # 1] - 1 ГОД C&C Dashboard (RaaS) - Цена: 0,95 BTC
    FUD Ransomware (AES-256 шифрование с 30-ти символьным невзламываемым ключом)
    Decrypter
    1 год C&C Dashboard (получить ключи AES от клиентов)
    Мы не берем сборы от ваших клиентов
    Опционально: дополнительный Crypter - добавочные 0,1 BTC
    Опционально: дополнительные типы файлов для шифрования бесплатно (для всех типов зашифрованных файлов см. FAQ)
    Опционально: дополнительный клиент баннер на вашем языке для свободного (уже есть eng, rus, ger, fra, esp, ita)
[ПАКЕТ # 2] - 6 МЕСЯЦЕВ C&C Dashboard (RaaS) - Цена: 0,60 BTC
    FUD Ransomware (AES-256 шифрование с 30-ти символьным невзламываемым ключом)
    Decrypter
    6 месяцев C & C Dashboard (получить ключи AES от клиентов)
    Мы не берем сборы от ваших клиентов
    Опционально: дополнительный Crypter - добавочные 0,1 BTC
    Опционально: дополнительные типы файлов для шифрования бесплатно (для всех типов зашифрованных файлов см. FAQ)
    Опционально: дополнительный клиент баннер на вашем языке для свободного (уже есть eng, rus, ger, fra, esp, ita)
-= КАК КУПИТЬ =-
    Отправить цену пакета, чтобы следующие Bitcoin адресу: 1Lr9k7***
    Напишите нам на email ranion(at)sigaint.org и сообщите:
    - Выбранный пакет
    - Ваш Bitcoin-адрес, используемый для отправки нам денег
    - Ваш собственный адрес Bitcoin, чтобы получить деньги от своих клиентов
    - Ваша цена получить от своих клиентов (т.е. 0,20 BTC).
    - Ваш адрес email для контактов с вашими клиентами
    - Необязательные дополнения
    Подождите, пока мы не проверим вашу оплату
    Вы получите письмо с 2-мя ссылками:
    - Первый из них с файлами (Ransomware + Decrypter)
    - Второй с приборной панелью.
Ваше удовлетворение очень важно! Свяжитесь с нами для любых разъяснений.
Copyright (c) 2016-2017 - Ranion (RaaS)

Содержание страницы FAQ на сайте Tor:
[начало как на странице BUY]
-= FAQ =-
Who are you?
We are a little group of people involved for more than 10 years with cyber security and hacking underground.
What do you sell?
We sell a FUD customizable and already configured Ransomware (x86 & x64 for Windows machines) managed via an Onion C&C Dashboard with the aim in mind to show for "EDUCATIONAL PURPOSES ONLY" a Ransomware in action via an Onion C&C Dashboard. Please don't use this Ransomware for illegal purposes. You are the only responsable for your actions.
How your Ransomware works?
When you will execute the Ransomware.exe it will encrypt any configured file type within PC (searching for files on C-Z HDDs) using an AES 256 key generated that will be sent to your C&C Dashboard. When finished it will create some README files on Desktop (in different languages) and a banner message that will be executed to every Boot (providing details for payment to your Client). Our Ransomware doesn't destroy your PC by encrypting exe files. Exes files will be not encrypted unless you want to do it.
Why do you sell to lowered prices?
Our aim is selling good pieces of software and raising security awareness. We know many other sites that claim to sell similar products are scam. We give the possibility to test our product to a lower price.
What file types does your Ransomware encrypt?
These file types: ".txt", ".rtf", ".doc", ".docx", ".xls", ".xlsx", ".ppt", ".pptx", ".odt", ".ods", ".jpg", ".jpeg", ".png", ".bmp", ".csv", ".sql", ".mdb", ".db", ".accdb", ".sln", ".php", ".jsp", ".asp", ".aspx", ".html", ".htm", ".xml", ".psd", ".cs", ".java", ".cpp", ".cc", ".cxx", ".zip", ".pst", ".ost", ".pab", ".oab", ".msg". You can request us other additional file types/extensions to encrypt for free.
How big is the AES 256 decryption key?
It is a 30 chars long uncrackable alphanumeric passphrase. Every time the ransomware is executed it creates a new and unique AES key.
How can I decrypt my files?
Put the file Decrypter.exe on Desktop and execute it. Insert the AES key used for encryption and wait some time.
Is your Ransomware FUD?
Our Ransowmare results clean for 90% of AVs. For 10% it is recognised by some AVs like a potential unwanted program. However you can buy a totally Crypted version. Remember if you want to keep your Ransomware FUD more time not scan it with AVs and not send it to online AVs.
Can I use my own Crypter with your Ransomware?
Yes you can.
Do you get fees from my Clients?
Absolutly No. We don't take money from you. You pay us only the price for the bought Package.
Is your C&C Dashboard free?
We give you access to our simple C&C Dashboard for free.
What data I can see on C&C Dashboard?
Computer ID, Username, AES decryption key of all Clients.
Can I test your Ransomware on my Virtual Machine?
Yes.
Do you take care of my privacy?
Yes, of course! We keep no logs on Server and we are an onion/darknet service.

Перевод страницы FAQ на русский язык: 
[начало как на странице BUY]
-= FAQ =-
Кто мы?
Мы небольшая группа людей, вовлеченных более 10 лет в кибер-безопасность и хакерское подполье.
Что вы продаете?
Мы продаем настраиваемый и уже настроенный FUD Ransomware (x86 и x64 для машин c Windows), управляемый с помощью Onion C&C Dashboard с "образовательской целью" Ransomware, работающий через Onion C&C Dashboard. Пожалуйста, не используйте этот вымогатель в незаконных целях. Только вы несете ответственность за свои действия.
Как ваш Ransomware работает?
Когда вы запустите Ransomware.exe, он будет зашифровать любой заданный тип файлов на ПК (поиск файлов на C-Z дисков), с помощью ключа AES-256 генерируется, который будет отправлен на ваш C&C Dashboard. Когда закончите, это создаст некоторые README-файлы на рабочем столе (на разных языках) и сообщение баннера, который будет запускаться при каждой загрузке (предоставляя реквизиты для оплаты вашему клиенту). Наш Ransomware не разрушает ваш компьютер путем шифрования исполняемых файлов. Exe-файлы не будут зашифрованы, если вы не хотите делать это.
Почему вы продаете по сниженным ценам?
Наша цель продать хороший софт и повысить осведомленность в безопасности. Мы знаем, что многие другие сайты, которые утверждают, что продают подобные продукты, являются аферой. Мы даем возможность протестировать наш продукт по более низкой цене.
Какие типы файлов может ваш Ransomware шифровать?
Эти типы файлов: ".txt", ".rtf", ".doc", ".docx", ".xls", ".xlsx", ".ppt", ".pptx", ".odt", ".ods", ".jpg", ".jpeg", ".png", ".bmp", ".csv", ".sql", ".mdb", ".db", ".accdb", ".sln", ".php", ".jsp", ".asp", ".aspx", ".html", ".htm", ".xml", ".psd", ".cs", ".java", ".cpp", ".cc", ".cxx", ".zip", ".pst", ".ost", ".pab", ".oab", ".msg". Вы можете заказать нам другие дополнительные типы файлов / расширения для шифрования бесплатно.
Какой длины ключ дешифрования AES-256?
Это длинная 30-ти символьная невзламываемая буквенно-цифровая ключевая фраза. Каждый раз, когда вымогатель выполняется, это создает новый и уникальный ключ AES.
Как я могу расшифровать мои файлы?
Поместите файл Decrypter.exe на рабочий стол и выполнить его. Вставьте ключ AES, используемый для шифрования, и подождте некоторое время.
Является ли ваш Ransomware FUD?
Наш Ransowmare имеет чистые на 90% результаты у AV. На 10% она признана некоторыми AV как потенциально-нежелательная программа. Тем не менее, вы можете купить полностью зашифрованную версию. Помните, если вы хотите сохранить ваш Ransomware FUD дольше недетектируемым среди AV, то не отправляйте его в онлайн AV.
Могу ли я использовать свой собственный Crypter с Ransomware?
Да, можешь.
Вы получаете вознаграждение от моих клиентов?
Абсолютно нет. Мы не берем деньги с вас. Вы платите нам только за купленный пакет.
Является ли ваш C&C Dashboard бесплатным?
Мы даем вам доступ к нашей простой C&C Dashboard бесплатно.
Какие данные я могу видеть на C&C Dashboard?
Компьютерный ID, имя пользователя, AES-ключ дешифрования всех клиентов.
Могу ли я протестировать Ransomware на моей виртуальной машине?
Да.
Позаботились ли вы заботиться о моей приватности?
Да, конечно! Мы не держим журналы на сервере и наш сервис на onion/darknet.

Содержание страницы CONTACT на сайте Tor:
[начало как на странице BUY]
-= CONTACT =-
ranion(at)sigaint.org
Bitcoin Address: 1Lr9k7jh8jW2rfEuP6ayUt6vtCvefsBSGA
It is highly recomended using PGP when you write us an email using our following PGP key:
-----BEGIN PGP PUBLIC KEY BLOCK-----
mQINBFh1EDYBEADP****************
-----END PGP PUBLIC KEY BLOCK-----

Перевод страницы CONTACT на русский язык: 
[начало как на странице BUY]
-= КОНТАКТ =-
ranion(at)sigaint.org
Bitcoin-адрес: 1Lr9k7jh8jW2rfEuP6ayUt6vtCvefsBSGA
Очень рекомендуем использовать PGP, когда вы пишите нам на email, используя наш следующий ключ PGP:
----- НАЧАЛО PGP PUBLIC KEY BLOCK-----
mQINBFh1EDYBEADP****************
----- КОНЕЦ PGP PUBLIC KEY BLOCK-----

Технические детали

Распространяется RaaS c помощью onion-сайта в сети Tor, но клиентами-партнёрами может начать распространяться с помощью email-спама и вредоносных вложений, эксплойтов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:

.accdb, .asp, .aspx, .bmp, .cc, .cpp, .cs, .csv, .cxx, .db, .doc, .docx, .htm, .html, .java, .jpeg, .jpg, .jsp, .mdb, .msg, .oab, .ods, .odt, .ost, .pab, .php, .png, .ppt, .pptx, .psd, .pst, .rtf, .sln, .sql,.txt, .xls, .xlsx, .xml, .zip (39 расширений). 

Это документы MS Office, OpenOffice, текстовые файлы, базы данных, фотографии и пр. Создатели RaaS заявляют, что готовы расширить список расширений по желаю своих клиентов, чтобы затронуть шифрованием больше данных пользователей.

Файлы, связанные с этим Ransomware:
Ransomware.exe
Decrypter.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
***ranionjgot5cud3p.onion
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>


Степень распространённости: средняя, но потенциально высокая.
Подробные сведения собираются регулярно.

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновление от 27 апреля 2017:
Пост в Твиттере >>
Сумма выкупа: 0.1 BTC
Email: ssdt3@protonmail.com
Скриншот записки:

Скриншоты ресурса:

Результаты анализов: VT

Обновление от 11 сентября 2017:
Пост в Твиттере >>
Сумма выкупа: 0.1 BTC
Расширение: .ransom
Email: ToEasyyy4u@protonmail.com
BTC: 1FnERg6NMCZeB9jgUtJT6G9uqfwQ3uJYpj
Файлы: MineCraft Hack + Setup TuT.exe (custom-2017.exe)
Результаты анализов: VT
Записки на разных языках:
README_TO_DECRYPT_FILES.txt
README_TO_DECRYPT_FILES.html
PROCHTI_MENYA_DLYA_RASSHIFROVKI_FAYLOV.txt
LESEN_SIE_MICH_UM_DATEIEN_ZU_ENTSCHLUSSELN.txt
LISEZ-MOI_POUR_DECHIFFRER_LES_FICHIERS.txt
LEAME_PARA_DESCIFRAR_ARCHIVOS.txt
LEGGIMI_PER_DECIFRARE_I_FILES.txt
LEESMIJ-BESTAND_VOOR_HET_DECODEREN_VAN_BESTANDEN.txt

Обновление от 3 ноября 2017:
Пост в Твиттере >>
Версия: 1.07
Расширение: .ransom
Файл: custom-2017.exe
Фальш-имя: Adobe Acrobat Reader
Сумма выкупа: 0.06 BTC
URL: ranionjgot5cud3p.onion.link
Email: secondgroupe@mail2tor.com
BTC: 199EPfkH6t1iXZNp5H8QYwHwHELLWxARRh
Результаты анализов: VT + HA + IA + AR

Обновление от 10 декабря 2017: 
Email: alka@protonmail.com
BTC: 1NTKmeeLp52y9oZVfVZEdUCJBK9xhTcZNW

Обновление от 30 января 2018:
Пост в Твиттере >>
Версия: 1.08
Файл: custom-2017.exe
Фальш-имя: Adobe Acrobat Reader
Результаты анализов: VT


Обновление от 24 февраля 2018:

Пост в Твиттере >>
Версия: 1.08
Расширение: .Ransom
Сумма выкупа: $999 в BTC
Проверяет IP-адрес жертв.
Результаты анализов: VT




Обновление от 9 августа 2018:
Пост в Твиттере >>
Версия: 1.09
Email: chimera@secmail.pro
BTC: 1Pyy5WHoqQeGk9zKn9f72uL4hbF5mhf7ec
Сумма выкупа: 0.10
Файл: pedo-child-porn-downloader.exe
Результаты анализов: VT

Обновление от 20 ноября 2018:
Пост в Твиттере >>
Расширение: .ransom
Email: ransunlock@protonmail.com
BTC: 1LSstcRAu1xGueBJRuyUgHi18PEPHxztvR
Результаты анализов: VT + VT

Обновление от 15 марта 2020:
Пост на форуме >>
Расширение: .r44s
Записка: README_TO_DECRYPT_FILES.html

 

Ссылки на текстовые записки: 
README_TO_DECRYPT_FILES.txt
PROCHTI_MENYA_DLYA_RASSHIFROVKI_FAYLOV.txt
LESEN_SIE_MICH_UM_DATEIEN_ZU_ENTSCHLUSSELN.txt
LISEZ-MOI_POUR_DECHIFFRER_LES_FICHIERS.txt
LEAME_PARA_DESCIFRAR_ARCHIVOS.txt
LEGGIMI_PER_DECIFRARE_I_FILES.txt
LEESMIJ-BESTAND_VOOR_HET_DECODEREN_VAN_BESTANDEN.txt
شروع_رمزگ_شایی.txt
重新解密文件.txt
Email: pc.master@aol.com
BTC: 1X3eCf1JriycNiWwpNHyQamZS1pApE8XX
Результаты анализов: VT 

Вариант от 21 июня 2021: 

Сообщение >>

Записка: README_TO_DECRYPT_FILES.html

Файл: custom-2017.exe

На файле написано: Adobe Acrobat Reader

Результаты анализов: VT

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter
 ID Ransomware (ID as Ranion)
 Write-up
 *

 Thanks: 
 Daniel Smith, Catalin Cimpanu
 S!Ri, Andrew Ivanov (author)
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

DUMB

DUMB Ransomware

Ramsomeer Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью XOR/AES, а затем требует выкуп в 0,3169 биткоинов, чтобы вернуть файлы. Название оригинальное.

Обнаружения: 
DrWeb -> Trojan.Encoder.10266
ALYac -> Trojan.Ransom.DUMB
Avira (no cloud) -> TR/FileCoder.atnvj
BitDefender -> Trojan.AgentWDCR.JKI
ESET-NOD32 -> MSIL/Filecoder.EP
Kaspersky -> Trojan-Ransom.Win32.Gen.cmq
Qihoo-360 -> Win32/Trojan.Ransom.786
Rising -> Trojan.Win32.Filecoder.bb (CLOUD)
Symantec -> Trojan.Gen.2
Tencent -> Win32.Trojan.Gen.Pfto
TrendMicro -> Ransom_DUMB.C
VBA32 -> Hoax.Gen

© Генеалогия: Koolova > DUMB

К зашифрованным файлам никакое расширение не добавляется.

Активность этого крипто-вымогателя пришлась на начало февраля 2017 г. Ориентирован на англоязычных и турецкоязычных пользователей, что не мешает распространять его по всему миру.

Записки с требованием выкупа называются: oku_beni.txt
Размещаются в каждой папке с зашифрованными файлами. Тот же текст написан также на экране блокировки. 

Реконструкция записки о выкупе

Скриншот экрана блокировки

Содержание записок о выкупе:
На английском: 
You have been struck with Ramsomeer
1CYEW6eG8TL5RfsH22C91ByeRhcE5vsfpQ
Your files have been encrypted, in fourty-eight hours the key to decrypt your files will be deleted unless you deposit 0.3169 bitcoins into our private bitcoin wallet. Do not shutdown your pc. When we received the bitcoin amount, your files will be recovered.
Send bitcoins to this address: 1CYEW6eG8TL5RfsH22C91ByeRhcE5vsfpQ

На турецком: 
Dosyalariniz sifrelendi, 48 saat icinde 0.3169 bitcoins gondermezsen dosyalariniz silinecek. Bitcoins asagidaki adrese gonder. Biz bitcoins alinca program dosyalari geri verecek otomatik.
Bu adrese bitcoins gonder: 1CYEW6eG8TL5RfsH22C91ByeRhcE5vsfpQ

Перевод записки на русский язык:
Вы были поражены Ramsomeer
Ваши файлы зашифрованы, через 48 часов ключ дешифрования ваших файлов будет удален, если вы не переведёте 0.3169 биткоина на наш Bitcoin-кошелек. Не отключайте ваш компьютер. Когда мы получим биткоины, ваши файлы будут восстановлены.

Технические детали

Распространяется или может распространяться с помощью email-спама и вредоносных вложений, эксплойтов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
.asp, .cs, .css, .doc, .docx, .gif, .htm, .html, .ico, .jpeg, .jpg, .js, .png, .ppt, .pptx, .psd, .rar, .rtf, .txt, .vb, .xls, .xlsx, .zip (23 расширения).

Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, архивы и пр.

Файлы, связанные с этим Ransomware:
DUMB.exe
oku_beni.txt
fatura_bilgi_2016_1921680123.pdf.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
BTC: 1CYEW6eG8TL5RfsH22C91ByeRhcE5vsfpQ
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Intezer анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновление от 19 июня 2017:
Пост в Твиттере >>
Польский вариант
Файл: DUMB.exe
Сумма выкупа: 1880 zl
Результаты анализов: VT


Обновление от 16 октября 2017:
Иранский вариант
Файл: DUMB.exe
Сумма выкупа: $15
Результаты анализов: VT
См. статью Tyrant Ransomware >>





Обновление от 9 января 2018:
Пост в Твиттере >>
Файл: DUMB.exe
На файле написано: CRYPTWALKER
Результаты анализов: VT + VB + IA
Тестовая версия, шифрует только в папке "Documents/TEST/". Имена файлов не меняются. Не шифрует, если в папке есть файл с именем "crypted".

Обновление от 8 июля 2020:
Пост в Твиттере >>
Файл проекта: %USERPROFILE%\Desktop\DUMB-master\DUMB\obj\Release\DUMB.pdb
Файл EXE: DUMB.exe
Результаты анализов: VT + HA + IA

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter
 Write-up 
 ID Ransomware
 *

 Thanks: 
 Karsten Hahn
 Tomas Meskauskas (pcrisk.com)
 Andrew Ivanov (author)
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

CryptoShield 1.0

CryptoShield 1.0 Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью AES-256, а затем требует выкуп, чтобы вернуть файлы. Название оригинальное, версия записана как CryptoShield 1.0. Фальш-имя: Windows Winlog. 

© Генеалогия: CryptoMix > CryptoShield 1.0 > CryptoShield 2.0

К зашифрованным файлам добавляется расширение .CRYPTOSHIELD

Записки о выкупе и зашифрованные файлы

Более того, имена файлов шифруются используя ROT-13, а уже затем к зашифрованному и переименованному таким образом файлу добавляется расширение .CRYPTOSHIELD

Например, файл с именем test.jpg будет зашифрован и переименован в grfg.wct.CRYPTOSHIELD 

Вы можете расшифровать имена файлов с помощью любого РОТ-13 онлайн-шифратора, например, rot13.com

Активность этого крипто-вымогателя пришлась на конец января 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записки с требованием выкупа называются: 
# RESTORING FILES #.txt
# RESTORING FILES #.html

Содержание записки о выкупе:
NOT YOUR LANGUAGE? USE http://translate.google.com
What happened to you files?
All of your files were encrypted by a strong encryption with RSA-2048 using CryptoShield 1.0.
More information about the encryption keys using RSA-2048 can be found here: https://en.wikipedia.org/wiki/RSA_(cryptosystem)
How did this happen ?
Specially for your PC was generated personal RSA-2048 KEY, both public and private.
ALL your FILES were encrypted with the public key, which has been transferred to your computer via the Internet.
Decrypting of your files is only possible with the help of the private key and decrypt program, which is on our secret server.
What do I do ?
So, there are two ways you can choose: wait for a miracle and get your price doubled, or start send email now for more specific instructions, and restore your data easy way.
If You have really valuable data, you better not waste your time, because there is no other way to get your files, except make a payment.
To receive your private software:
Contact us by email , send us an email your (personal identification) ID number and wait for further instructions.
Our specialist will contact you within 24 hours.
For you to be sure, that we can decrypt your files - you can send us a single encrypted file and we will send you back it in a decrypted form. 
This will be your guarantee.
Please do not waste your time! You have 72 hours only! After that The Main Server will double your price!
So right now You have a chance to buy your individual private SoftWare with a low price!
CONTACTS E-MAILS:
restoring_sup@india.com - SUPPORT;
restoring_sup@computer4u.com - SUPPORT RESERVE FIRST;
restoring_reserve@india.com - SUPPORT RESERVE SECOND;
ID (PERSONAL IDENTIFICATION): *****

Перевод записки на русский язык:
НЕ ТВОЙ ЯЗЫК? ИСПОЛЬЗУЙ http://translate.google.com
Что случилось с вашими файлы?
Все файлы были зашифрованы CryptoShield 1.0 с помощью надежного шифрования RSA-2048.
Подробную информацию о ключах шифрования с RSA-2048 можно найти здесь: https://en.wikipedia.org/wiki/RSA (криптосистема)
Как это произошло?
Специально для вашего ПК был создан личный RSA-2048 ключ, открытый и закрытый.
Все ваши файлы были зашифрованы с помощью открытого ключа, который был передан на ваш компьютер через Интернет.
Дешифрование файлов возможно только с помощью секретного ключа и программы дешифровки, которая есть на нашем секретном сервере.
Что мне делать?
Есть два способа, на ваш выбор: ждать чуда и увеличить цену в два раза, или отправить email для получения подробных инструкций...

Распространяется или может распространяться с помощью email-спама и вредоносных вложений, JavaScript и эксплойтов (в данном случае с помощью RIG и EITest) на взломанных сайтах, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Также используется известная цепочка заражений EITest, когда злоумышленниками сначала компрометируется большое количество сайтов (под управлением WordPress и Joomla), эксплуатируя известные уязвимости, затем небольшая часть трафика с зараженных ресурсов перенаправляется на вредоносные страницы, подвергая посетителей атакам наборами эксплойтов и заражая их различными вредоносами. 

После шифрования отключаются опции восстановления системы на этапе загрузки и точки восстановления системы, и удаляются теневые копии файлов, командами:
cmd.exe /C bcdedit /set {default} recoveryenabled No
cmd.exe /C bcdedit /set {default} bootstatuspolicy ignoreallfailures
C:\Windows\System32\cmd.exe" /C vssadmin.exe Delete Shadows /All /Quiet
"C:\Windows\System32\cmd.exe" /C net stop vss

Добавляет себя в Автозагрузку системы. Нерестит много процессов.

CryptoShield будет отображать поддельные оповещения об ошибке в Explorer.exe. Если внимательно прочитать предупреждение, то можно увидеть орфографические ошибки и ломаный английский. Об этом сообщили Лоуренс Адамс в статье о CryptoShield. 

Список файловых расширений, подвергающихся шифрованию:
.1CD, .3DM, .3DS, .3FR, .3G2, .3GP, .3PR, .7Z, .7ZIP, .AAC, .AB4, .ABD, .ACC,.ACCDB, .ACCDE, .ACCDR, .ACCDT, .ACH, .ACR, .ACT, .ADB, .ADP, .ADS, .AGDL, .AI, .AIFF, .AIT, .AL, .AOI, .APJ, .APK, .ARW, .ASCX, .ASF, .ASM, .ASP, .ASPX, .ASSET, .ASX, .ATB, .AVI, .AWG, .BACK, .BACKUP, .BACKUPDB, .BAK, .BANK, .BAY, .BDB, .BGT, .BIK, .BIN, .BKP, .BLEND, .BMP, .BPW, .BSA, .C, .CASH, .CDB, .CDF, .CDR, .CDR3, .CDR4, .CDR5, .CDR6, .CDRW, .CDX, .CE1, .CE2, .CER, .CFG, .CFN, .CGM, .CIB, .CLASS, .CLS, .CMT, .CONFIG, .CONTACT, .CPI, .CPP, .CR2, .CRAW, .CRT, .CRW, .CRY, .CS, .CSH, .CSL, .CSS, .CSV, .D3DBSP, .DAC, .DAS, .DAT, .DB .DB_JOURNAL, .DB3, .DBF, .DBX, .DC2, .DCR, .DCS, .DDD, .DDOC, .DDRW, .DDS, .DEF, .DER, .DES, .DESIGN, .DGC, .DGN, .DIT, .DJVU, .DNG, .DOC, .DOCM, .DOCX, .DOT, .DOTM, .DOTX, .DRF, .DRW, .DTD, .DWG, .DXB, .DXF, .DXG, .EDB, .EML, .EPS, .ERBSQL, .ERF, .EXF, .FDB, .FFD, .FFF, .FH, .FHD, .FLA, .FLAC, .FLB, .FLF, .FLV, .FLVV, .FORGE, .FPX, .FXG, .GBR, .GHO, .GIF, .GRAY, .GREY, .GROUPS, .GRY, .H, .HBK, .HDD, .HPP, .HTML, .IBANK, .IBD, .IBZ, .IDX, .IIF, .IIQ, .INCPAS, .INDD, .INFO, .INFO_, .IWI, .JAR, .JAVA, .JNT, .JPE, .JPEG, .JPG, .JS, .JSON, .K2P, .KC2, .KDBX, .KDC, .KEY, .KPDX, .KWM, .LACCDB, .LBF, .LCK, .LDF, .LIT, .LITEMOD, .LITESQL, .LOCK, .LTX, .LUA, .M, .M2TS, .M3U, .M4A, .M4P, .M4V, .MA, .MAB, .MAPIMAIL, .MAX, .MBX, .MD, .MDB, .MDC, .MDF, .MEF, .MFW, .MID, .MKV, .MLB, .MMW, .MNY, .MONEY, .MONEYWELL, .MOS, .MOV, .MP3, .MP4, .MPEG, .MPG, .MRW, .MSF, .MSG, .MTS, .MYD, .ND, .NDD, .NDF, .NEF, .NK2, .NOP, .NRW, .NS2, .NS3, .NS4, .NSD, .NSF, .NSG, .NSH, .NVRAM, .NWB, .NX2, .NXL, .NYF, .OAB, .OBJ, .ODB, .ODC, .ODF, .ODG, .ODM, .ODP, .ODS, .ODT, .OGG, .OIL, .OMG, .ONE, .ORF, .OST, .OTG, .OTH, .OTP, .OTS, .OTT, .P12, .P7B, .P7C, .PAB, .PAGES, .PAS, .PAT, .PBF, .PCD, .PCT, .PDB, .PDD, .PDF, .PEF, .PFX, .PHP, .PIF, .PL, .PLC, .PLUS_MUHD, .PM!, .PM, .PMI, .PMJ, .PML, .PMM, .PMO, .PMR, .PNC, .PND, .PNG, .PNX, .POT, .POTM, .POTX, .PPAM, .PPS, .PPSM, .PPSX, .PPT, .PPTM, .PPTX, .PRF, .PRIVATE, .PS, .PSAFE3, .PSD, .PSPIMAGE, .PST, .PTX, .PUB, .PWM, .PY, .QBA, .QBB, .QBM, .QBR, .QBW, .QBX, .QBY, .QCOW, .QCOW2, .QED, .QTB, .R3D, .RAF, .RAR, .RAT, .RAW, .RDB, .RE4, .RM, .RTF, .RVT, .RW2, .RWL, .RWZ, .S3DB, .SAFE, .SAS7BDAT, .SAV, .SAVE, .SAY, .SD0, .SDA, .SDB, .SDF, .SH, .SLDM, .SLDX, .SLM, .SQL, .SQLITE, .SQLITE3, .SQLITEDB, .SQLITE-SHM, .SQLITE-WAL, .SR2, .SRB, .SRF, .SRS, .SRT, .SRW, .ST4, .ST5, .ST6, .ST7, .ST8, .STC, .STD, .STI, .STL, .STM, .STW, .STX, .SVG, .SWF, .SXC, .SXD, .SXG, .SXI, .SXM, .SXW, .TAX, .TBB, .TBK, .TBN, .TEX, .TGA, .THM, .TIF, .TIFF, .TLG, .TLX, .TXT, .UPK, .USR, .VBOX, .VDI, .VHD, .VHDX, .VMDK, .VMSD, .VMX, .VMXF, .VOB, .VPD, .VSD, .WAB, .WAD, .WALLET, .WAR, .WAV, .WB2, .WMA, .WMF, .WMV, .WPD, .WPS, .X11, .X3F, .XIS, .XLA, .XLAM, .XLK, .XLM, .XLR, .XLS, .XLSB, .XLSM, .XLSX, .XLT, .XLTM, .XLTX, .XLW, .XML, .XPS, .XXX, .YCBCRA, .YUV, .ZIP (453 расширения). 

Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов и пр.

Файлы и папки, связанные с этим Ransomware:
# RESTORING FILES #.html
# RESTORING FILES #.txt
CryptoShield.tmp.exe
da98d21ebd555c4b_rada5971.tmp.exe
net1.exe
<random>.exe
<random>.tmp.exe
<random>.temp
recovery.js.tmp
recovery.js
C:\ProgramData\MicroSoftWare\
C:\ProgramData\MicroSoftWare\SmartScreen\
C:\ProgramData\MicroSoftWare\SmartScreen\SmartScreen.exe
%AppData%\Roaming\1FAAXB2.tmp
<encrypted_file_name>.CRYPTOSHIELD
%ALLUSERSPROFILE%\Mozilla\logs\znvagranaprfreivpr-vafgnyy.ybt.XAXAX0X0
%ALLUSERSPROFILE%\Sun\Java\Java Update\wnhertyvfg.kzy.XAXAX0X0
%APPDATA%\Microsoft\Windows\Recent\CustomDestinations\0DYVMIYVVT5ZUKSM3LJB.temp
%APPDATA%\Microsoft\Windows\Recent\CustomDestinations\3ASNQR8YK4UJIPIZSGPI.temp
и другие. 

Записи реестра, связанные с этим Ransomware:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run "Windows SmartScreen" = "C:\ProgramData\MicroSoftWare\SmartScreen\SmartScreen.exe"
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: restoring_sup@india.com
restoring_sup@computer4u.com
restoring_reserve@india.com
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>

Обновление от 3 и 7 февраля 2017:
Версия: CryptoShield 1.1
Файл: <random>.tmp.exe, jquery.exe
Фальш-имена:  ScreenSmarts, Windows Winlog SoftWare
Результаты анализов: VT, VT

Обновление от 14 февраля 2017:
CryptoShield 2.0 Ransomware >> 

Степень распространённости: средняя.
Подробные сведения собираются регулярно.

 Read to links: 
 Tweet on Twitter + Tweet
 ID Ransomware (ID as CryptoShield)
 Write-up + Tweet (add. February 6, 2017)

Внимание, файлы в некторых случаях можно расшифровать!  
Скачать дешифроващик от Avast по ссылке >>
---
Скачать дешифровщик от CERT-PL по ссылке >>

Added later:
Write-up (add. February 1, 2017)
Video review (add. February 2, 2017)

 Thanks: 
 James, GrujaRS
 Michael Gillespie, Lawrence Abrams
 Karsten Hahn
 

© Amigo-A (Andrew Ivanov): All blog articles.

Netflix

Netflix Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью AES-256, а затем требует выкуп биткоинах, равнозначный $100 (~0,18 BTC), чтобы вернуть файлы. Название указано в обзоре TrendMicro. Среда разработки: Visual Studio 2015. Фальш-имя: Netflix Login Generator v1.1

© Генеалогия: выясняется.

Netflix — американская компания, поставщик фильмов и сериалов на основе потокового мультимедиа. Netflix работает на различных устройствах и приложениях: Smart TV, Windows Phone, Android, iOS, PC, Mac OS, Nintendo Wii, Nintendo Wii U, PlayStation 3, Xbox 360, PlayStation Vita, Nintendo 3DS, PlayStation 4 и Xbox One. Netflix имеет 93 миллиона абонентов в более чем 190 странах мира, потому киберпреступники захотели "кусок от пирога". Компания Netflix предлагает бесплатный просмотр фильмов в течение месяца со дня регистрации. Потом нужно приобрести подписку и ввести код. На этом сыграли вымогатели, распространяющие под видом генератора кода вредоносные приложения, в числе Netix (Netflix) Ransomware. 

Ранее я уже рассказывал о подобном использовании известного бренда для распространения крипто-вымогателя PopcornTime Ransomware. 

К зашифрованным файлам добавляется расширение .se

Активность этого крипто-вымогателя пришлась на конец января 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записки с требованием выкупа называются Instructions.txt и размещаются на рабочем столе жертвы. 

Также используется скринлок, встающий обоями рабочего стола. 

Содержание записки о выкупе:
#########################
#****************************#
#########################
All of your files have been encrypted with a military-grade encryption algorithm (AES 256)
The only way to get your files back is to visit in *** your web browser to buy the decryption key.
To purchase Bitcoin, please register an account with a Bitcoin wallet such as the
Coinbase iPhone and Android app and buy $100 worth of Bitcoin, which is -0.18 BTC.
When you visit the website, enter this ID: 17 to get your decryption key.
After you have received your decryption key, open the SE Decrypter program and enter the key that you received. Your files will then be decrypted.

Перевод записки на русский язык:
Все файлы были зашифрованы с алгоритмом шифрования военного класса (AES 256)
Единственный способ получить файлы обратно, это открыть *** в вашем веб-браузер, чтобы купить ключ дешифрования.
Для покупки биткоинов, пожалуйста, зарегистрируйте Bitcoin-кошелёк, такие как Coinbase iPhone и Android app и купить Bitcoin на сумму $100, которая ~0,18 BTC.
Когда вы посетите веб-сайт, введите этот ID: 17, чтобы получить ключ дешифрования.
После того, как вы получили ключ дешифрования, откройте программу SE Decrypter и введите ключ, который вы получили. Ваши файлы будут расшифрованы.

Распространяется или может распространяться с помощью email-спама и вредоносных вложений, эксплойтов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Окно вымогателя, выдающим себя за генератор

Результат работы "генератора"

Разумеется, он ничего на самом деле не генерирует, т.к. в него вшита только одна учетная запись. А в это время производится реальное шифрование файлов жертвы. 

Примечательно, что этот крипто-вымогатель завершает работу, если ОС не является Windows 7 или Windows 10.

Список файловых расширений, подвергающихся шифрованию:
.ai, .asp, .aspx, .avi, .bmp, .csv, .doc, .docx, .epub, .flp, .flv, .gif, .html, .itdb, .itl, .jpg, .m4a, .mdb, .mkv, .mp3, .mp4, .mpeg, .odt, .pdf, .php, .png, .ppt, .pptx, .psd, .py, .rar, .sql, .txt, .wma, .wmv, .xls, .xlsx, .xml, .zip (39 расширений). 

Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, архивы и пр.

Файлы, связанные с этим Ransomware:
Netflix Login Generator v1.1.exe (Netflix Gen.exe) - исполняемый файл вымогателя;
netprotocol.exe - копия исполняемого файла;
Instructions.txt - записка о выкупе;
man.log - лог работы;
SE Decrypter - декриптер от вымогателей.
Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
108.61.173.155:80 - США
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Malwr анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

 Read to links: 
 Tweet on Twitter
 Write-up  + Write-up
 ID Ransomware (ID as Netix)

 Thanks: 
 Karsten Hahn
 Trend Micro
 Catalin Cimpanu
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

SureRansom

SureRansom Ransomware

(фейк-шифровальщик)

Этот крипто-вымогатель якобы шифрует жёсткий диск с помощью AES-256, а затем требует выкуп в £50, чтобы вернуть файлы. Название оригинальное.

© Генеалогия: выясняется.

Обман. Файлы не шифруются.

Активность этого крипто-вымогателя пришлась на январь 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Запиской с требованием выкупа выступает экран блокировки.

Содержание записки о выкупе:
Hard Drive Encrypted
Your files have been encrypted with AES256 and cannot be recovered without the key.
To purchase the key click the link below
TURNING OFF THE WORKSTATION WILL RENDER ALL DATA UNREADABLE!
---
Confirm Payment
Using stored passwords, £50 will be charged to one of your accounts
Purchase Key (£50)
I don't want mv data
:)
---
Thanks!
Payment has now been taken and your files have been unencrypted.
:)

Перевод записки на русский язык:
Жёсткий диск зашифрован
Ваши файлы зашифрованы с AES256 и не могут быть восстановлены без ключа.
Для покупки ключа нажмите на ссылку ниже
ВЫКЛЮЧЕНИЕ РАБОЧЕЙ МАШИНЫ СДЕЛАЕТ ВСЕ ДАННЫЕ НЕЧИТАЕМЫМИ!
---
Подтверждение оплаты
Используйте сохраненные пароли, £50 будут сняты с одного вашего аккаунта
Покупка ключа (£ 50)
Мне не нужны мои данные
:)
---
Благодарим!
Оплата была принята и ваши файлы уже в незашифрованном виде.
:)

Распространяется или может распространяться с помощью email-спама и вредоносных вложений, эксплойтов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
Это могут быть документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, общие сетевые папки и пр., если файлы действительно будут шифроваться. 

Файлы, связанные с этим Ransomware:
SureRansom.exe
sure.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
xxxx://46.101.30.120/*** (Нидерланды)
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Malwr анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

 Read to links: 
 Tweet on Twitter + Video review
 Tweet on Twitter
 Write-up (n/a)
 *
 *

 Thanks: 
 GrujaRS
 BleepingComputer
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

Zyka

Zyka Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в 170 USD / 170 EUR, чтобы вернуть файлы. Название оригинальное, указано в тексте экрана блокировки. Другое на файле: DO NOT OPEN THE FUCKIN RANSOMWARE.exe. Разработчик: Ferial. 

© Генеалогия: EnkripsiPC <=> Manifestus  > Zyka

К зашифрованным файлам добавляется расширение .lock

Активность этого крипто-вымогателя пришлась на январь 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Запиской с требованием выкупа выступает экран блокировки. 

Содержание текста о выкупе:
You are the victim of Zyka
Your important files encryption produced on this computer: photos, videos, documents etc. Here is a complete list of encrypted files, and you can personally verify this.
Encryption was produced using a unique public key AES that generated for this computer. To decrypt your files you need to obtain the private key. 
The single copy of the private key, which will allow you to decrypt the files, located on a secret server on the Internet, the server will destroy the key after 72 hours. 
After that nobody and never will be able to restore files. 
To obtain the private key for this computer which will automatically decrypt files, you need to pay 170 USD /170 EUR to the bitcoin wallet below. 
1GmGBH9ra2dqA8C***
It you do not have bitcoins you can buy them from localbitcoins.com
Thank you!

Перевод текста на русский язык:
Вы стали жертвой Zyka
Ваши важные файлы зашифрованные на этом компьютере: фото, видео, документы и т.д. Здесь вы можете найти полный перечень зашифрованных файлов и лично убедиться в этом.
Шифрование было произведено с уникальным открытым AES-ключом, созданным для этого компьютера. Для расшифровки файлов вам нужно получить закрытый ключ.
Единственный экземпляр открытого ключа, который позволит вам расшифровать файлы, находится на секретном сервере в сети Интернет, сервер уничтожит ключ через 72 часа.
После этого никто и никогда не сможет восстановить файлы.
Для получения секретного ключа для этого компьютера, который автоматически расшифрует файлы, вам придется заплатить 170 USD / 170 EUR на Bitcoin-бумажник ниже.
1GmGBH9ra2dqA8C ***
Если у вас нет биткоинов, вы можете купить их на localbitcoins.com
Спасибо!

Распространяется или может распространяться с помощью email-спама и вредоносных вложений, эксплойтов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, общие сетевые папки и пр.

Файлы, связанные с этим Ransomware:
DO NOT OPEN THE FUCKIN RANSOMWARE.exe
<random>.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Malwr анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

 Read to links: 
 Tweet on Twitter + Video review
 ID Ransomware (n/a)
 Write-up (n/a)

 Thanks: 
 GruyaRS
 *
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.