Ranion RaaS

Ranion Ransomware

(шифровальщик-вымогатель, RaaS) 

Translation into English

Этот вымогательский Ranion RaaS даёт потенциальным преступникам возможность создавать и распространять своих собственных вымогателей, без необходимости иметь навыки в программировании. Название оригинальное. В оригинале используется шифрование AES-256. 

Обнаружения:
DrWeb -> Trojan.Packed2.40715, Trojan.Siggen7.35275, Trojan.Siggen7.56250, Trojan.Siggen7.49009

ALYac -> Trojan.Ransom.Ranion

Avira (no cloud) -> TR/Dropper.MSIL.zfkla, TR/Hesv.wcoir, TR/Kryptik.bwbps
BitDefender -> Trojan.GenericKD.4943908, Trojan.RansomKD.6264463, Trojan.GenericKD.3017097, Trojan.GenericKD.31147075, Gen:Variant.Ransom.Ranion.1

ESET-NOD32 -> A Variant Of MSIL/Filecoder.JQ, MSIL/Filecoder.FU
Kaspersky -> Trojan.Win32.Bcex.kfm, Trojan.Win32.Hesv.awzl
Malwarebytes -> Ransom.Ranion, Backdoor.FakePDF

Microsoft -> Trojan:Win32/Dynamer!ac, Trojan:Win32/Occamy.B
Symantec -> Backdoor.Ratenjay, Trojan.Gen, Trojan.Gen.2, Infostealer.Atesla, ML.Attribute.HighConfidence

© Генеалогия: Ranion Raas >> производные варианты

К зашифрованным файлам добавляется настраиваемое расширение.
Записки с требованием выкупа тоже настраиваются. Текст на английском содержит ошибки. 

Начало работы этого крипто-вымогательского сервиса пришлось на конец января - начало февраля 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Содержание страницы BUY на сайте Tor:
RANION - The Better & Cheapest FUD Ransomware + C&C on Darknet
BUY - FAQ - CONTACT
We provide an already configured and compiled FUD Ransomware + Decrypter
We are the only that provide a FREE Anonymous C&C Dashboard via Onion to manage your Clients
We also provide additional FREE Customizations and DON'T take Fees from your Clients
DISCLAIMER: Our Products are for EDUCATIONAL PURPOSES ONLY.
Don't use them for illegal activities. You are the only responsable for your actions!
Our Products/Services are sold with NO WARRANTY and AS ARE.
*** ranionjgot5cud3p.onion ***
...
-= CHOOSE YOUR PACKAGE =-
[PACKAGE #1] - 1 YEAR C&C Dashboard (RaaS) - Price: 0.95 btc
    FUD Ransomware (AES 256 Encryption with a 30 chars long uncrackable key)
    Decrypter
    1 Year C&C Dashboard (to receive the AES keys from Clients)
    We take NO FEES from your Clients
    Optional: additional Crypter adding 0.1 btc
    Optional: additional file types to encrypt for free (for all file types encrypted see FAQ)
    Optional: additional client banner in your language for free (already present eng, rus, ger, fra, esp, ita)
[PACKAGE #2] - 6 MONTHS C&C Dashboard (RaaS) - Price: 0.60 btc
    FUD Ransomware (AES 256 Encryption with a 30 chars long uncrackable key)
    Decrypter
    6 Months C&C Dashboard (to receive the AES keys from Clients)
    We take NO FEES from your Clients
    Optional: additional Crypter adding 0.1 btc
    Optional: additional file types to encrypt for free (for all file types encrypted see FAQ)
    Optional: additional client banner in your language for free (already present eng, rus, ger, fra, esp, ita)
-= HOW TO BUY =-
    Send the Package's price to following Bitcoin address: 1Lr9k7***
    Write us an email to ranion(at)sigaint.org telling us:
    - Chosen package
    - Your Bitcoin address used to send us money
    - Your own Bitcoin address to receive money from your Clients
    - Your price to receive from your Clients (ie. 0.20 btc)
    - Your email address to get contacted from your Clients
    - Optional additions
    Wait until we check your payment
    You will receive an email with 2 links:
    - The first one with your files (Ransomware + Decrypter)
    - The second one with your dashboard
Your satisfaction is important! Contact us for any need.
Copyright (c) 2016-2017 - Ranion (RaaS)

Перевод страницы BUY на русский язык: 
RANION - самое лучшее и самое дешевое FUD Ransomware + C&C на Darknet
КУПИТЬ - FAQ - Контакты
Мы предлагаем уже настроенный и скомпилированный FUD Ransomware + Decrypter
Мы единственные, кто обеспечивают бесплатный анонимный C&C Dashboard с Onion для управления вашими клиентами
Мы также предоставляем дополнительные бесплатные настройки и НЕ принимаем платежи от своих клиентов
ОТКАЗ ОТ ОТВЕТСТВЕННОСТИ: Наши продукты предназначены для образовательных целей.
Не используйте их для незаконной деятельности. Только вы несете ответственность за свои действия!
Наши продукты / услуги продаются без гарантии и как есть.
*** ranionjgot5cud3p.onion ***
...
-= ВЫБЕРИТЕ ЛИЦЕНЗИЮ =-
[ПАКЕТ # 1] - 1 ГОД C&C Dashboard (RaaS) - Цена: 0,95 BTC
    FUD Ransomware (AES-256 шифрование с 30-ти символьным невзламываемым ключом)
    Decrypter
    1 год C&C Dashboard (получить ключи AES от клиентов)
    Мы не берем сборы от ваших клиентов
    Опционально: дополнительный Crypter - добавочные 0,1 BTC
    Опционально: дополнительные типы файлов для шифрования бесплатно (для всех типов зашифрованных файлов см. FAQ)
    Опционально: дополнительный клиент баннер на вашем языке для свободного (уже есть eng, rus, ger, fra, esp, ita)
[ПАКЕТ # 2] - 6 МЕСЯЦЕВ C&C Dashboard (RaaS) - Цена: 0,60 BTC
    FUD Ransomware (AES-256 шифрование с 30-ти символьным невзламываемым ключом)
    Decrypter
    6 месяцев C & C Dashboard (получить ключи AES от клиентов)
    Мы не берем сборы от ваших клиентов
    Опционально: дополнительный Crypter - добавочные 0,1 BTC
    Опционально: дополнительные типы файлов для шифрования бесплатно (для всех типов зашифрованных файлов см. FAQ)
    Опционально: дополнительный клиент баннер на вашем языке для свободного (уже есть eng, rus, ger, fra, esp, ita)
-= КАК КУПИТЬ =-
    Отправить цену пакета, чтобы следующие Bitcoin адресу: 1Lr9k7***
    Напишите нам на email ranion(at)sigaint.org и сообщите:
    - Выбранный пакет
    - Ваш Bitcoin-адрес, используемый для отправки нам денег
    - Ваш собственный адрес Bitcoin, чтобы получить деньги от своих клиентов
    - Ваша цена получить от своих клиентов (т.е. 0,20 BTC).
    - Ваш адрес email для контактов с вашими клиентами
    - Необязательные дополнения
    Подождите, пока мы не проверим вашу оплату
    Вы получите письмо с 2-мя ссылками:
    - Первый из них с файлами (Ransomware + Decrypter)
    - Второй с приборной панелью.
Ваше удовлетворение очень важно! Свяжитесь с нами для любых разъяснений.
Copyright (c) 2016-2017 - Ranion (RaaS)

Содержание страницы FAQ на сайте Tor:
[начало как на странице BUY]
-= FAQ =-
Who are you?
We are a little group of people involved for more than 10 years with cyber security and hacking underground.
What do you sell?
We sell a FUD customizable and already configured Ransomware (x86 & x64 for Windows machines) managed via an Onion C&C Dashboard with the aim in mind to show for "EDUCATIONAL PURPOSES ONLY" a Ransomware in action via an Onion C&C Dashboard. Please don't use this Ransomware for illegal purposes. You are the only responsable for your actions.
How your Ransomware works?
When you will execute the Ransomware.exe it will encrypt any configured file type within PC (searching for files on C-Z HDDs) using an AES 256 key generated that will be sent to your C&C Dashboard. When finished it will create some README files on Desktop (in different languages) and a banner message that will be executed to every Boot (providing details for payment to your Client). Our Ransomware doesn't destroy your PC by encrypting exe files. Exes files will be not encrypted unless you want to do it.
Why do you sell to lowered prices?
Our aim is selling good pieces of software and raising security awareness. We know many other sites that claim to sell similar products are scam. We give the possibility to test our product to a lower price.
What file types does your Ransomware encrypt?
These file types: ".txt", ".rtf", ".doc", ".docx", ".xls", ".xlsx", ".ppt", ".pptx", ".odt", ".ods", ".jpg", ".jpeg", ".png", ".bmp", ".csv", ".sql", ".mdb", ".db", ".accdb", ".sln", ".php", ".jsp", ".asp", ".aspx", ".html", ".htm", ".xml", ".psd", ".cs", ".java", ".cpp", ".cc", ".cxx", ".zip", ".pst", ".ost", ".pab", ".oab", ".msg". You can request us other additional file types/extensions to encrypt for free.
How big is the AES 256 decryption key?
It is a 30 chars long uncrackable alphanumeric passphrase. Every time the ransomware is executed it creates a new and unique AES key.
How can I decrypt my files?
Put the file Decrypter.exe on Desktop and execute it. Insert the AES key used for encryption and wait some time.
Is your Ransomware FUD?
Our Ransowmare results clean for 90% of AVs. For 10% it is recognised by some AVs like a potential unwanted program. However you can buy a totally Crypted version. Remember if you want to keep your Ransomware FUD more time not scan it with AVs and not send it to online AVs.
Can I use my own Crypter with your Ransomware?
Yes you can.
Do you get fees from my Clients?
Absolutly No. We don't take money from you. You pay us only the price for the bought Package.
Is your C&C Dashboard free?
We give you access to our simple C&C Dashboard for free.
What data I can see on C&C Dashboard?
Computer ID, Username, AES decryption key of all Clients.
Can I test your Ransomware on my Virtual Machine?
Yes.
Do you take care of my privacy?
Yes, of course! We keep no logs on Server and we are an onion/darknet service.

Перевод страницы FAQ на русский язык: 
[начало как на странице BUY]
-= FAQ =-
Кто мы?
Мы небольшая группа людей, вовлеченных более 10 лет в кибер-безопасность и хакерское подполье.
Что вы продаете?
Мы продаем настраиваемый и уже настроенный FUD Ransomware (x86 и x64 для машин c Windows), управляемый с помощью Onion C&C Dashboard с "образовательской целью" Ransomware, работающий через Onion C&C Dashboard. Пожалуйста, не используйте этот вымогатель в незаконных целях. Только вы несете ответственность за свои действия.
Как ваш Ransomware работает?
Когда вы запустите Ransomware.exe, он будет зашифровать любой заданный тип файлов на ПК (поиск файлов на C-Z дисков), с помощью ключа AES-256 генерируется, который будет отправлен на ваш C&C Dashboard. Когда закончите, это создаст некоторые README-файлы на рабочем столе (на разных языках) и сообщение баннера, который будет запускаться при каждой загрузке (предоставляя реквизиты для оплаты вашему клиенту). Наш Ransomware не разрушает ваш компьютер путем шифрования исполняемых файлов. Exe-файлы не будут зашифрованы, если вы не хотите делать это.
Почему вы продаете по сниженным ценам?
Наша цель продать хороший софт и повысить осведомленность в безопасности. Мы знаем, что многие другие сайты, которые утверждают, что продают подобные продукты, являются аферой. Мы даем возможность протестировать наш продукт по более низкой цене.
Какие типы файлов может ваш Ransomware шифровать?
Эти типы файлов: ".txt", ".rtf", ".doc", ".docx", ".xls", ".xlsx", ".ppt", ".pptx", ".odt", ".ods", ".jpg", ".jpeg", ".png", ".bmp", ".csv", ".sql", ".mdb", ".db", ".accdb", ".sln", ".php", ".jsp", ".asp", ".aspx", ".html", ".htm", ".xml", ".psd", ".cs", ".java", ".cpp", ".cc", ".cxx", ".zip", ".pst", ".ost", ".pab", ".oab", ".msg". Вы можете заказать нам другие дополнительные типы файлов / расширения для шифрования бесплатно.
Какой длины ключ дешифрования AES-256?
Это длинная 30-ти символьная невзламываемая буквенно-цифровая ключевая фраза. Каждый раз, когда вымогатель выполняется, это создает новый и уникальный ключ AES.
Как я могу расшифровать мои файлы?
Поместите файл Decrypter.exe на рабочий стол и выполнить его. Вставьте ключ AES, используемый для шифрования, и подождте некоторое время.
Является ли ваш Ransomware FUD?
Наш Ransowmare имеет чистые на 90% результаты у AV. На 10% она признана некоторыми AV как потенциально-нежелательная программа. Тем не менее, вы можете купить полностью зашифрованную версию. Помните, если вы хотите сохранить ваш Ransomware FUD дольше недетектируемым среди AV, то не отправляйте его в онлайн AV.
Могу ли я использовать свой собственный Crypter с Ransomware?
Да, можешь.
Вы получаете вознаграждение от моих клиентов?
Абсолютно нет. Мы не берем деньги с вас. Вы платите нам только за купленный пакет.
Является ли ваш C&C Dashboard бесплатным?
Мы даем вам доступ к нашей простой C&C Dashboard бесплатно.
Какие данные я могу видеть на C&C Dashboard?
Компьютерный ID, имя пользователя, AES-ключ дешифрования всех клиентов.
Могу ли я протестировать Ransomware на моей виртуальной машине?
Да.
Позаботились ли вы заботиться о моей приватности?
Да, конечно! Мы не держим журналы на сервере и наш сервис на onion/darknet.

Содержание страницы CONTACT на сайте Tor:
[начало как на странице BUY]
-= CONTACT =-
ranion(at)sigaint.org
Bitcoin Address: 1Lr9k7jh8jW2rfEuP6ayUt6vtCvefsBSGA
It is highly recomended using PGP when you write us an email using our following PGP key:
-----BEGIN PGP PUBLIC KEY BLOCK-----
mQINBFh1EDYBEADP****************
-----END PGP PUBLIC KEY BLOCK-----

Перевод страницы CONTACT на русский язык: 
[начало как на странице BUY]
-= КОНТАКТ =-
ranion(at)sigaint.org
Bitcoin-адрес: 1Lr9k7jh8jW2rfEuP6ayUt6vtCvefsBSGA
Очень рекомендуем использовать PGP, когда вы пишите нам на email, используя наш следующий ключ PGP:
----- НАЧАЛО PGP PUBLIC KEY BLOCK-----
mQINBFh1EDYBEADP****************
----- КОНЕЦ PGP PUBLIC KEY BLOCK-----

Технические детали

Распространяется RaaS c помощью onion-сайта в сети Tor, но клиентами-партнёрами может начать распространяться с помощью email-спама и вредоносных вложений, эксплойтов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:

.accdb, .asp, .aspx, .bmp, .cc, .cpp, .cs, .csv, .cxx, .db, .doc, .docx, .htm, .html, .java, .jpeg, .jpg, .jsp, .mdb, .msg, .oab, .ods, .odt, .ost, .pab, .php, .png, .ppt, .pptx, .psd, .pst, .rtf, .sln, .sql,.txt, .xls, .xlsx, .xml, .zip (39 расширений). 

Это документы MS Office, OpenOffice, текстовые файлы, базы данных, фотографии и пр. Создатели RaaS заявляют, что готовы расширить список расширений по желаю своих клиентов, чтобы затронуть шифрованием больше данных пользователей.

Файлы, связанные с этим Ransomware:
Ransomware.exe
Decrypter.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
***ranionjgot5cud3p.onion
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>


Степень распространённости: средняя, но потенциально высокая.
Подробные сведения собираются регулярно.

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновление от 27 апреля 2017:
Пост в Твиттере >>
Сумма выкупа: 0.1 BTC
Email: ssdt3@protonmail.com
Скриншот записки:

Скриншоты ресурса:

Результаты анализов: VT

Обновление от 11 сентября 2017:
Пост в Твиттере >>
Сумма выкупа: 0.1 BTC
Расширение: .ransom
Email: ToEasyyy4u@protonmail.com
BTC: 1FnERg6NMCZeB9jgUtJT6G9uqfwQ3uJYpj
Файлы: MineCraft Hack + Setup TuT.exe (custom-2017.exe)
Результаты анализов: VT
Записки на разных языках:
README_TO_DECRYPT_FILES.txt
README_TO_DECRYPT_FILES.html
PROCHTI_MENYA_DLYA_RASSHIFROVKI_FAYLOV.txt
LESEN_SIE_MICH_UM_DATEIEN_ZU_ENTSCHLUSSELN.txt
LISEZ-MOI_POUR_DECHIFFRER_LES_FICHIERS.txt
LEAME_PARA_DESCIFRAR_ARCHIVOS.txt
LEGGIMI_PER_DECIFRARE_I_FILES.txt
LEESMIJ-BESTAND_VOOR_HET_DECODEREN_VAN_BESTANDEN.txt

Обновление от 3 ноября 2017:
Пост в Твиттере >>
Версия: 1.07
Расширение: .ransom
Файл: custom-2017.exe
Фальш-имя: Adobe Acrobat Reader
Сумма выкупа: 0.06 BTC
URL: ranionjgot5cud3p.onion.link
Email: secondgroupe@mail2tor.com
BTC: 199EPfkH6t1iXZNp5H8QYwHwHELLWxARRh
Результаты анализов: VT + HA + IA + AR

Обновление от 10 декабря 2017: 
Email: alka@protonmail.com
BTC: 1NTKmeeLp52y9oZVfVZEdUCJBK9xhTcZNW

Обновление от 30 января 2018:
Пост в Твиттере >>
Версия: 1.08
Файл: custom-2017.exe
Фальш-имя: Adobe Acrobat Reader
Результаты анализов: VT


Обновление от 24 февраля 2018:

Пост в Твиттере >>
Версия: 1.08
Расширение: .Ransom
Сумма выкупа: $999 в BTC
Проверяет IP-адрес жертв.
Результаты анализов: VT




Обновление от 9 августа 2018:
Пост в Твиттере >>
Версия: 1.09
Email: chimera@secmail.pro
BTC: 1Pyy5WHoqQeGk9zKn9f72uL4hbF5mhf7ec
Сумма выкупа: 0.10
Файл: pedo-child-porn-downloader.exe
Результаты анализов: VT

Обновление от 20 ноября 2018:
Пост в Твиттере >>
Расширение: .ransom
Email: ransunlock@protonmail.com
BTC: 1LSstcRAu1xGueBJRuyUgHi18PEPHxztvR
Результаты анализов: VT + VT

Обновление от 15 марта 2020:
Пост на форуме >>
Расширение: .r44s
Записка: README_TO_DECRYPT_FILES.html

 

Ссылки на текстовые записки: 
README_TO_DECRYPT_FILES.txt
PROCHTI_MENYA_DLYA_RASSHIFROVKI_FAYLOV.txt
LESEN_SIE_MICH_UM_DATEIEN_ZU_ENTSCHLUSSELN.txt
LISEZ-MOI_POUR_DECHIFFRER_LES_FICHIERS.txt
LEAME_PARA_DESCIFRAR_ARCHIVOS.txt
LEGGIMI_PER_DECIFRARE_I_FILES.txt
LEESMIJ-BESTAND_VOOR_HET_DECODEREN_VAN_BESTANDEN.txt
شروع_رمزگ_شایی.txt
重新解密文件.txt
Email: pc.master@aol.com
BTC: 1X3eCf1JriycNiWwpNHyQamZS1pApE8XX
Результаты анализов: VT 

Вариант от 21 июня 2021: 

Сообщение >>

Записка: README_TO_DECRYPT_FILES.html

Файл: custom-2017.exe

На файле написано: Adobe Acrobat Reader

Результаты анализов: VT

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter
 ID Ransomware (ID as Ranion)
 Write-up
 *

 Thanks: 
 Daniel Smith, Catalin Cimpanu
 S!Ri, Andrew Ivanov (author)
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

DUMB

DUMB Ransomware

Ramsomeer Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью XOR/AES, а затем требует выкуп в 0,3169 биткоинов, чтобы вернуть файлы. Название оригинальное.

Обнаружения: 
DrWeb -> Trojan.Encoder.10266
ALYac -> Trojan.Ransom.DUMB
Avira (no cloud) -> TR/FileCoder.atnvj
BitDefender -> Trojan.AgentWDCR.JKI
ESET-NOD32 -> MSIL/Filecoder.EP
Kaspersky -> Trojan-Ransom.Win32.Gen.cmq
Qihoo-360 -> Win32/Trojan.Ransom.786
Rising -> Trojan.Win32.Filecoder.bb (CLOUD)
Symantec -> Trojan.Gen.2
Tencent -> Win32.Trojan.Gen.Pfto
TrendMicro -> Ransom_DUMB.C
VBA32 -> Hoax.Gen

© Генеалогия: Koolova > DUMB

К зашифрованным файлам никакое расширение не добавляется.

Активность этого крипто-вымогателя пришлась на начало февраля 2017 г. Ориентирован на англоязычных и турецкоязычных пользователей, что не мешает распространять его по всему миру.

Записки с требованием выкупа называются: oku_beni.txt
Размещаются в каждой папке с зашифрованными файлами. Тот же текст написан также на экране блокировки. 

Реконструкция записки о выкупе

Скриншот экрана блокировки

Содержание записок о выкупе:
На английском: 
You have been struck with Ramsomeer
1CYEW6eG8TL5RfsH22C91ByeRhcE5vsfpQ
Your files have been encrypted, in fourty-eight hours the key to decrypt your files will be deleted unless you deposit 0.3169 bitcoins into our private bitcoin wallet. Do not shutdown your pc. When we received the bitcoin amount, your files will be recovered.
Send bitcoins to this address: 1CYEW6eG8TL5RfsH22C91ByeRhcE5vsfpQ

На турецком: 
Dosyalariniz sifrelendi, 48 saat icinde 0.3169 bitcoins gondermezsen dosyalariniz silinecek. Bitcoins asagidaki adrese gonder. Biz bitcoins alinca program dosyalari geri verecek otomatik.
Bu adrese bitcoins gonder: 1CYEW6eG8TL5RfsH22C91ByeRhcE5vsfpQ

Перевод записки на русский язык:
Вы были поражены Ramsomeer
Ваши файлы зашифрованы, через 48 часов ключ дешифрования ваших файлов будет удален, если вы не переведёте 0.3169 биткоина на наш Bitcoin-кошелек. Не отключайте ваш компьютер. Когда мы получим биткоины, ваши файлы будут восстановлены.

Технические детали

Распространяется или может распространяться с помощью email-спама и вредоносных вложений, эксплойтов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
.asp, .cs, .css, .doc, .docx, .gif, .htm, .html, .ico, .jpeg, .jpg, .js, .png, .ppt, .pptx, .psd, .rar, .rtf, .txt, .vb, .xls, .xlsx, .zip (23 расширения).

Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, архивы и пр.

Файлы, связанные с этим Ransomware:
DUMB.exe
oku_beni.txt
fatura_bilgi_2016_1921680123.pdf.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
BTC: 1CYEW6eG8TL5RfsH22C91ByeRhcE5vsfpQ
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Intezer анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновление от 19 июня 2017:
Пост в Твиттере >>
Польский вариант
Файл: DUMB.exe
Сумма выкупа: 1880 zl
Результаты анализов: VT


Обновление от 16 октября 2017:
Иранский вариант
Файл: DUMB.exe
Сумма выкупа: $15
Результаты анализов: VT
См. статью Tyrant Ransomware >>





Обновление от 9 января 2018:
Пост в Твиттере >>
Файл: DUMB.exe
На файле написано: CRYPTWALKER
Результаты анализов: VT + VB + IA
Тестовая версия, шифрует только в папке "Documents/TEST/". Имена файлов не меняются. Не шифрует, если в папке есть файл с именем "crypted".

Обновление от 8 июля 2020:
Пост в Твиттере >>
Файл проекта: %USERPROFILE%\Desktop\DUMB-master\DUMB\obj\Release\DUMB.pdb
Файл EXE: DUMB.exe
Результаты анализов: VT + HA + IA

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter
 Write-up 
 ID Ransomware
 *

 Thanks: 
 Karsten Hahn
 Tomas Meskauskas (pcrisk.com)
 Andrew Ivanov (author)
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

CryptoShield 1.0

CryptoShield 1.0 Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью AES-256, а затем требует выкуп, чтобы вернуть файлы. Название оригинальное, версия записана как CryptoShield 1.0. Фальш-имя: Windows Winlog. 

© Генеалогия: CryptoMix > CryptoShield 1.0 > CryptoShield 2.0

К зашифрованным файлам добавляется расширение .CRYPTOSHIELD

Записки о выкупе и зашифрованные файлы

Более того, имена файлов шифруются используя ROT-13, а уже затем к зашифрованному и переименованному таким образом файлу добавляется расширение .CRYPTOSHIELD

Например, файл с именем test.jpg будет зашифрован и переименован в grfg.wct.CRYPTOSHIELD 

Вы можете расшифровать имена файлов с помощью любого РОТ-13 онлайн-шифратора, например, rot13.com

Активность этого крипто-вымогателя пришлась на конец января 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записки с требованием выкупа называются: 
# RESTORING FILES #.txt
# RESTORING FILES #.html

Содержание записки о выкупе:
NOT YOUR LANGUAGE? USE http://translate.google.com
What happened to you files?
All of your files were encrypted by a strong encryption with RSA-2048 using CryptoShield 1.0.
More information about the encryption keys using RSA-2048 can be found here: https://en.wikipedia.org/wiki/RSA_(cryptosystem)
How did this happen ?
Specially for your PC was generated personal RSA-2048 KEY, both public and private.
ALL your FILES were encrypted with the public key, which has been transferred to your computer via the Internet.
Decrypting of your files is only possible with the help of the private key and decrypt program, which is on our secret server.
What do I do ?
So, there are two ways you can choose: wait for a miracle and get your price doubled, or start send email now for more specific instructions, and restore your data easy way.
If You have really valuable data, you better not waste your time, because there is no other way to get your files, except make a payment.
To receive your private software:
Contact us by email , send us an email your (personal identification) ID number and wait for further instructions.
Our specialist will contact you within 24 hours.
For you to be sure, that we can decrypt your files - you can send us a single encrypted file and we will send you back it in a decrypted form. 
This will be your guarantee.
Please do not waste your time! You have 72 hours only! After that The Main Server will double your price!
So right now You have a chance to buy your individual private SoftWare with a low price!
CONTACTS E-MAILS:
restoring_sup@india.com - SUPPORT;
restoring_sup@computer4u.com - SUPPORT RESERVE FIRST;
restoring_reserve@india.com - SUPPORT RESERVE SECOND;
ID (PERSONAL IDENTIFICATION): *****

Перевод записки на русский язык:
НЕ ТВОЙ ЯЗЫК? ИСПОЛЬЗУЙ http://translate.google.com
Что случилось с вашими файлы?
Все файлы были зашифрованы CryptoShield 1.0 с помощью надежного шифрования RSA-2048.
Подробную информацию о ключах шифрования с RSA-2048 можно найти здесь: https://en.wikipedia.org/wiki/RSA (криптосистема)
Как это произошло?
Специально для вашего ПК был создан личный RSA-2048 ключ, открытый и закрытый.
Все ваши файлы были зашифрованы с помощью открытого ключа, который был передан на ваш компьютер через Интернет.
Дешифрование файлов возможно только с помощью секретного ключа и программы дешифровки, которая есть на нашем секретном сервере.
Что мне делать?
Есть два способа, на ваш выбор: ждать чуда и увеличить цену в два раза, или отправить email для получения подробных инструкций...

Распространяется или может распространяться с помощью email-спама и вредоносных вложений, JavaScript и эксплойтов (в данном случае с помощью RIG и EITest) на взломанных сайтах, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Также используется известная цепочка заражений EITest, когда злоумышленниками сначала компрометируется большое количество сайтов (под управлением WordPress и Joomla), эксплуатируя известные уязвимости, затем небольшая часть трафика с зараженных ресурсов перенаправляется на вредоносные страницы, подвергая посетителей атакам наборами эксплойтов и заражая их различными вредоносами. 

После шифрования отключаются опции восстановления системы на этапе загрузки и точки восстановления системы, и удаляются теневые копии файлов, командами:
cmd.exe /C bcdedit /set {default} recoveryenabled No
cmd.exe /C bcdedit /set {default} bootstatuspolicy ignoreallfailures
C:\Windows\System32\cmd.exe" /C vssadmin.exe Delete Shadows /All /Quiet
"C:\Windows\System32\cmd.exe" /C net stop vss

Добавляет себя в Автозагрузку системы. Нерестит много процессов.

CryptoShield будет отображать поддельные оповещения об ошибке в Explorer.exe. Если внимательно прочитать предупреждение, то можно увидеть орфографические ошибки и ломаный английский. Об этом сообщили Лоуренс Адамс в статье о CryptoShield. 

Список файловых расширений, подвергающихся шифрованию:
.1CD, .3DM, .3DS, .3FR, .3G2, .3GP, .3PR, .7Z, .7ZIP, .AAC, .AB4, .ABD, .ACC,.ACCDB, .ACCDE, .ACCDR, .ACCDT, .ACH, .ACR, .ACT, .ADB, .ADP, .ADS, .AGDL, .AI, .AIFF, .AIT, .AL, .AOI, .APJ, .APK, .ARW, .ASCX, .ASF, .ASM, .ASP, .ASPX, .ASSET, .ASX, .ATB, .AVI, .AWG, .BACK, .BACKUP, .BACKUPDB, .BAK, .BANK, .BAY, .BDB, .BGT, .BIK, .BIN, .BKP, .BLEND, .BMP, .BPW, .BSA, .C, .CASH, .CDB, .CDF, .CDR, .CDR3, .CDR4, .CDR5, .CDR6, .CDRW, .CDX, .CE1, .CE2, .CER, .CFG, .CFN, .CGM, .CIB, .CLASS, .CLS, .CMT, .CONFIG, .CONTACT, .CPI, .CPP, .CR2, .CRAW, .CRT, .CRW, .CRY, .CS, .CSH, .CSL, .CSS, .CSV, .D3DBSP, .DAC, .DAS, .DAT, .DB .DB_JOURNAL, .DB3, .DBF, .DBX, .DC2, .DCR, .DCS, .DDD, .DDOC, .DDRW, .DDS, .DEF, .DER, .DES, .DESIGN, .DGC, .DGN, .DIT, .DJVU, .DNG, .DOC, .DOCM, .DOCX, .DOT, .DOTM, .DOTX, .DRF, .DRW, .DTD, .DWG, .DXB, .DXF, .DXG, .EDB, .EML, .EPS, .ERBSQL, .ERF, .EXF, .FDB, .FFD, .FFF, .FH, .FHD, .FLA, .FLAC, .FLB, .FLF, .FLV, .FLVV, .FORGE, .FPX, .FXG, .GBR, .GHO, .GIF, .GRAY, .GREY, .GROUPS, .GRY, .H, .HBK, .HDD, .HPP, .HTML, .IBANK, .IBD, .IBZ, .IDX, .IIF, .IIQ, .INCPAS, .INDD, .INFO, .INFO_, .IWI, .JAR, .JAVA, .JNT, .JPE, .JPEG, .JPG, .JS, .JSON, .K2P, .KC2, .KDBX, .KDC, .KEY, .KPDX, .KWM, .LACCDB, .LBF, .LCK, .LDF, .LIT, .LITEMOD, .LITESQL, .LOCK, .LTX, .LUA, .M, .M2TS, .M3U, .M4A, .M4P, .M4V, .MA, .MAB, .MAPIMAIL, .MAX, .MBX, .MD, .MDB, .MDC, .MDF, .MEF, .MFW, .MID, .MKV, .MLB, .MMW, .MNY, .MONEY, .MONEYWELL, .MOS, .MOV, .MP3, .MP4, .MPEG, .MPG, .MRW, .MSF, .MSG, .MTS, .MYD, .ND, .NDD, .NDF, .NEF, .NK2, .NOP, .NRW, .NS2, .NS3, .NS4, .NSD, .NSF, .NSG, .NSH, .NVRAM, .NWB, .NX2, .NXL, .NYF, .OAB, .OBJ, .ODB, .ODC, .ODF, .ODG, .ODM, .ODP, .ODS, .ODT, .OGG, .OIL, .OMG, .ONE, .ORF, .OST, .OTG, .OTH, .OTP, .OTS, .OTT, .P12, .P7B, .P7C, .PAB, .PAGES, .PAS, .PAT, .PBF, .PCD, .PCT, .PDB, .PDD, .PDF, .PEF, .PFX, .PHP, .PIF, .PL, .PLC, .PLUS_MUHD, .PM!, .PM, .PMI, .PMJ, .PML, .PMM, .PMO, .PMR, .PNC, .PND, .PNG, .PNX, .POT, .POTM, .POTX, .PPAM, .PPS, .PPSM, .PPSX, .PPT, .PPTM, .PPTX, .PRF, .PRIVATE, .PS, .PSAFE3, .PSD, .PSPIMAGE, .PST, .PTX, .PUB, .PWM, .PY, .QBA, .QBB, .QBM, .QBR, .QBW, .QBX, .QBY, .QCOW, .QCOW2, .QED, .QTB, .R3D, .RAF, .RAR, .RAT, .RAW, .RDB, .RE4, .RM, .RTF, .RVT, .RW2, .RWL, .RWZ, .S3DB, .SAFE, .SAS7BDAT, .SAV, .SAVE, .SAY, .SD0, .SDA, .SDB, .SDF, .SH, .SLDM, .SLDX, .SLM, .SQL, .SQLITE, .SQLITE3, .SQLITEDB, .SQLITE-SHM, .SQLITE-WAL, .SR2, .SRB, .SRF, .SRS, .SRT, .SRW, .ST4, .ST5, .ST6, .ST7, .ST8, .STC, .STD, .STI, .STL, .STM, .STW, .STX, .SVG, .SWF, .SXC, .SXD, .SXG, .SXI, .SXM, .SXW, .TAX, .TBB, .TBK, .TBN, .TEX, .TGA, .THM, .TIF, .TIFF, .TLG, .TLX, .TXT, .UPK, .USR, .VBOX, .VDI, .VHD, .VHDX, .VMDK, .VMSD, .VMX, .VMXF, .VOB, .VPD, .VSD, .WAB, .WAD, .WALLET, .WAR, .WAV, .WB2, .WMA, .WMF, .WMV, .WPD, .WPS, .X11, .X3F, .XIS, .XLA, .XLAM, .XLK, .XLM, .XLR, .XLS, .XLSB, .XLSM, .XLSX, .XLT, .XLTM, .XLTX, .XLW, .XML, .XPS, .XXX, .YCBCRA, .YUV, .ZIP (453 расширения). 

Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов и пр.

Файлы и папки, связанные с этим Ransomware:
# RESTORING FILES #.html
# RESTORING FILES #.txt
CryptoShield.tmp.exe
da98d21ebd555c4b_rada5971.tmp.exe
net1.exe
<random>.exe
<random>.tmp.exe
<random>.temp
recovery.js.tmp
recovery.js
C:\ProgramData\MicroSoftWare\
C:\ProgramData\MicroSoftWare\SmartScreen\
C:\ProgramData\MicroSoftWare\SmartScreen\SmartScreen.exe
%AppData%\Roaming\1FAAXB2.tmp
<encrypted_file_name>.CRYPTOSHIELD
%ALLUSERSPROFILE%\Mozilla\logs\znvagranaprfreivpr-vafgnyy.ybt.XAXAX0X0
%ALLUSERSPROFILE%\Sun\Java\Java Update\wnhertyvfg.kzy.XAXAX0X0
%APPDATA%\Microsoft\Windows\Recent\CustomDestinations\0DYVMIYVVT5ZUKSM3LJB.temp
%APPDATA%\Microsoft\Windows\Recent\CustomDestinations\3ASNQR8YK4UJIPIZSGPI.temp
и другие. 

Записи реестра, связанные с этим Ransomware:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run "Windows SmartScreen" = "C:\ProgramData\MicroSoftWare\SmartScreen\SmartScreen.exe"
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: restoring_sup@india.com
restoring_sup@computer4u.com
restoring_reserve@india.com
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>

Обновление от 3 и 7 февраля 2017:
Версия: CryptoShield 1.1
Файл: <random>.tmp.exe, jquery.exe
Фальш-имена:  ScreenSmarts, Windows Winlog SoftWare
Результаты анализов: VT, VT

Обновление от 14 февраля 2017:
CryptoShield 2.0 Ransomware >> 

Степень распространённости: средняя.
Подробные сведения собираются регулярно.

 Read to links: 
 Tweet on Twitter + Tweet
 ID Ransomware (ID as CryptoShield)
 Write-up + Tweet (add. February 6, 2017)

Внимание, файлы в некторых случаях можно расшифровать!  
Скачать дешифроващик от Avast по ссылке >>
---
Скачать дешифровщик от CERT-PL по ссылке >>

Added later:
Write-up (add. February 1, 2017)
Video review (add. February 2, 2017)

 Thanks: 
 James, GrujaRS
 Michael Gillespie, Lawrence Abrams
 Karsten Hahn
 

© Amigo-A (Andrew Ivanov): All blog articles.