Erebus 2017

Erebus 2017 Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует посетить Tor-сайт и уплатить выкуп в 0,085 биткоинов, чтобы вернуть файлы. На уплату выкупа даётся 96 часов. 

Оригинальное название: EREBUS. Но в нашей базе уже есть крипто-вымогатель с таким названием - Erebus Ransomware. Много различий говорит о том, что они могут быть не связаны. Поживём — увидим. 

© Генеалогия: Erebus (ранний вариант) > Erebus 2017

К зашифрованным файлам заготовленное расширение не добавляется, но вместо этого оригинальное расширение файла шифруется с помощью ROT-23.

Примеры расширений:
.grf
.msj
.sqj

Активность этого крипто-вымогателя пришлась на начало февраля 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записки с требованием выкупа называются: README.HTML
Размещаются на рабочем столе и в папке документов. 

Содержание записки  о выкупе (реконструкция):
Data crypted
Every important file (documents, photos, videos etc) on this computer has been encrypted using an unique key for this computer. 
It is impossible to recover your files without this key. You can try to open them they won't work and will stay that way. 
That is, unless you buy a decryption key and decrypt your files. 
Click 'recover my files' below to go to the website allowing you to buy the key. 
From now on you have 96 hours to recover the key after this time it will be deleted and your files will stay unusable forever
Your id is : [***]
You can find this page on your desktop and document folder 
Use it to if the button below doesn't work you need to download a web browser called 'tor browser' download by clicking here then install the browser, it's like chrome, firefox or internet explorer except it allows you to browse to special websites.
Once it's launched browse to xxxx://erebus5743lnq6db.onion
button 'Recover my files'
Crypted Files :
[list of encrypted files]

Перевод записки на русский язык:
Данные зашифрованы
Каждый важный файл (документы, фото, видео и т.д.) на этом компьютере был зашифрован с уникальным ключом для этого компьютера.
Невозможно восстановить ваши файлы без этого ключа. Вы можете пробовать открыть их, они не будут работать, и так останутся.
Но если вы купите ключ дешифровки, то дешифруете свои файлы.
Нажмите кнопку "recover my files" ниже, чтобы открыть сайт для покупки ключа.
Теперь у вас есть 96 часов для получения ключа, после этого времени он будет удален, а ваши файлы пропадут навсегда 
Ваш ID: [***]
Вы можете найти эту страницу на рабочем столе и в папке документов. 
Используйте это, если кнопка ниже не работает, вам нужно загрузить веб-браузер Tor-браузер, скачать, нажав здесь, затем установить браузер, это как Chrome, Firefox или Internet Explorer, но позволяет просматривать специальные сайты.
Тогда начните просмотр xxxx://erebus5743lnq6db.onion
кнопка 'Recover my files' (Восстановить мои файлы)
Зашифрованные файлы:
[список зашифрованных файлов]

После шифрования файлов жертва оповещается о случившимся еще и диалоговым окном с содержанием:
Every important file on this computer was crypted. Please look on your document or desktop folder for a file called README.html for instructions on how to decrypt them.

Перевод на русский:
Каждый важный файл на этом компьютере зашифрован. Смотрите в ваших документах или на рабочем столе файл README.html для инструкций по расшифровке.

Страница сайта оплаты до ввода ID

Страница сайта оплаты после ввода ID и входа

Содержание текста с сайта оплаты:
Hello, please enter your id
'Submit'
---
Your files are still Encrypted
Your files have been Encrypted and are unusable unless you purchase a decryption key. The key will be deleted in 96 hours.
you still have 95 hours 59 minutes 50 seconds before the key deletion, once the key is destroyed, you will not be able to recover your files
Pay via Bitcoin
To buy the private key (decryption key) and decrytor you will need some bitcoins.
Bitcoin is a currency, just like dollars and euros but entirely on the internet.
1 : Get a wallet
Just like in real life you need a wallet to hołd your coins when you'll buy them
we suggest https://blockchain.info/ it's a website easy to use, you'll be set in no time!
2 : Buy some bitcoins
Depending on your country you can buy them using various ways (paypal/credit card/ cash etc).
Look at this website https://www.buybitcoinworldwide.com to find where to buy some or just search on google yourslef.
Note that one of the fastest and easiest way is via https://localbitcoins.com/ because you buy bitcoins directly to other people.
you could have a meeting tomorrow and buy them using cash instantly.
3 : Payment
you need to buy 0,085 btc (bitcoins) and send them to this address : [redacted]
once you've paid, wait a bit. the process can take up to 24 hours for us to check the payment. Then, you will recieve on this same page your private key and a link to the decryption program that will automatically decrypt all your files so you can use them as before
You still have 0.085 bitcoins left to pay

Перевод текста на русский язык:
Привет, введите ваш ID
кнопка 'Submit' (Ввести)
---
Ваши файлы все еще зашифрованы
Ваши файлы зашифрованы и непригодны для использования, если вы не купите ключ дешифрования. Ключ удалится через 96 часов.
У вас есть 95 часов 59 минут 50 секунд до начала удаления ключа, после того, как ключ будет уничтожен, вы не сможете восстановить файлы.
Оплатить через Bitcoin
Чтобы купить секретный ключ (ключ дешифрования) и декриптор вам нужно немного биткоинов.
Bitcoin является валютой, так же, как доллары и евро, но полностью в Интернете.
1: Получить бумажник
Так же, как и в реальной жизни вам нужен бумажник для хранения ваших монет, когда их купите
мы предлагаем https://blockchain.info/ это простой в использовании сайт, вы настроите быстро!
2: Купить биткоины
В зависимости от вашей страны можно купить их разными способами (PayPal/кредитная карта/наличные и т.д.).
Посмотрите на этом сайте https://www.buybitcoinworldwide.com как найти, где купить немного или просто поищите в Google.
Заметьте, один из самых быстрых и простой способ это через https://localbitcoins.com/, т.к. вы купите биткойны у других людей.
Вы могли бы прямо завтра купить их, используя наличные деньги, мгновенно.
3: Оплата
Вам нужно купить 0,085 Btc (Bitcoins) и отправить их по этому адресу: [скрыт]
Как только вы заплатили, немного подождите. Процесс может занять до 24 часов у нас, чтобы проверить оплату. Тогда вы получите на этой же странице ваш секретный ключ и ссылку на декриптор, который автоматом расшифрует все ваши файлы, вы сможете их использовать, как раньше
Вам всего 0,085 биткоина осталось заплатить

Технические детали

Был замечен в распространении с помощью зараженного дистрибутива VLC медиа-плеера (см. ниже Hybrid Analysis и ссылку на сайт videolan в зоне UA). Также может распространяться с помощью email-спама и вредоносных вложений, эксплойтов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

➤ Удаляет теневые копии файлов командой:
cmd.exe /C vssadmin delete shadows /all /quiet && exit

➤ Примечательно, что этот вредонос обходит UAC. Метод обхода UAC заключается в следующем. Сначала вредонос копирует самого себя как файл со случайным именем <random>.exe в системную папку. Затем вносит изменения в реестр Windows, чтобы украсть ассоциацию для файлового расширения .msc и запустить этот файл со случайным именем и выполнить. Захваченные ключи реестра см. ниже. Затем запускает файл eventvwr.exe (Просмотр событий), который автоматически откроет файл eventvwr.msc. Т.к. msc-файл больше не связан с mmc.exe (Консоль управления), то теперь будет запущен <random>.exe файл вымогателя. Просмотр событий работает в режиме с повышенными правами, потому исполняемый файл <random>.exe будет иметь те же привилегии. Это позволяет ему обойти UAC (контроль учетных записей пользователей).

➤ Erebus 2017 нерестит много процессов, чтобы скрыть работу своего основного файла.  

➤ После запуска крипто-вымогатель Erebus 2017 подключается к ipecho.net/plain и ipinfo.io/country, чтобы определить IP-адрес и страну жертвы. Затем скачивает TOR-клиент и использует его для подключения к своему C&C-серверу.

➤ Когда Erebus 2017 шифрует файл, то он ещё с целью запутывания шифрует расширение с помощью ROT-23. Например, файл с именем test.jpg будет зашифрован и переименован в test.gmd. 

Тест для файлов популярных расширений в ROT-23

Похожий же способ шифрования использовался недавно другим шифровальщиком CryptoShield Ransomware, только тогда шифровалось имя файла с помощью ROT-13, а сейчас шифруется только его расширение с помощью ROT-23. 

Список файловых расширений, подвергающихся шифрованию:
.accdb, .arw, .bay, .cdr, .cer, .crt, .crw, .dbf, .dcr, .der, .dng, .doc, .docm, .docx, .dwg, .dxf, .dxg, .eps, .erf, .indd, .jpe, .jpg, .kdc, .mdb, .mdf, .mef, .mrw, .nef, .nrw, .odb, .odm, .odp, .ods, .odt, .orf, .pdd, .pef, .pem, .pfx, .png, .ppt, .pptm, .pptx, .psd, .pst, .ptx, .raf, .raw, .rtf, .rwl, .srf, .srw, .txt, .wpd, .wps, .xlk, .xls, .xlsb, .xlsm, .xlsx (60 расширений). 

Это документы MS Office, MS Works, OpenOffice, PDF, прикладные программы Adobe, текстовые файлы, базы данных, фотографии, файлы образов, сертификаты и пр.

Файлы, связанные с этим Ransomware:
%UserProfile%\AppData\Local\Temp\tor\
%UserProfile%\AppData\Local\Temp\tor\Data\
%UserProfile%\AppData\Local\Temp\tor\Data\Tor\
%UserProfile%\AppData\Local\Temp\tor\Data\Tor\geoip
%UserProfile%\AppData\Local\Temp\tor\Data\Tor\geoip6
%UserProfile%\AppData\Local\Temp\tor\Tor\
%UserProfile%\AppData\Local\Temp\tor\Tor\libeay32.dll
%UserProfile%\AppData\Local\Temp\tor\Tor\libevent-2-0-5.dll
%UserProfile%\AppData\Local\Temp\tor\Tor\libevent_core-2-0-5.dll
%UserProfile%\AppData\Local\Temp\tor\Tor\libevent_extra-2-0-5.dll
%UserProfile%\AppData\Local\Temp\tor\Tor\libgcc_s_sjlj-1.dll
%UserProfile%\AppData\Local\Temp\tor\Tor\libssp-0.dll
%UserProfile%\AppData\Local\Temp\tor\Tor\ssleay32.dll
%UserProfile%\AppData\Local\Temp\tor\Tor\tor-gencert.exe
%UserProfile%\AppData\Local\Temp\tor\Tor\tor.exe
%UserProfile%\AppData\Local\Temp\tor\Tor\zlib1.dll
%UserProfile%\AppData\Local\Temp\tor.zip
%UserProfile%\AppData\Roaming\tor\
%UserProfile%\AppData\Roaming\tor\cached-certs
%UserProfile%\AppData\Roaming\tor\cached-microdesc-consensus
%UserProfile%\AppData\Roaming\tor\cached-microdescs.new
%UserProfile%\AppData\Roaming\tor\lock
%UserProfile%\AppData\Roaming\tor\state
%UserProfile%\AppData\Roaming\tor\state\state.tmp
%UserProfile%\Desktop\test\xor-test.pdf
%UserProfile%\Desktop\README.html
%UserProfile%\Documents\README.html
%UserProfile%\[random].exe

Записи реестра, связанные с этим Ransomware:
HKEY_CLASSES_ROOT\.msc
HKCU\Software\Classes\mscfile
HKCU\Software\Classes\mscfile\shell
HKCU\Software\Classes\mscfile\shell\open
HKCU\Software\Classes\mscfile\shell\open\command
HKCU\Software\Classes\mscfile\shell\open\command\ %UserProfile%\[random].exe
См. ниже результаты анализов.

Сетевые подключения и связи:
xxxx://erebus5743lnq6db.onion/
xxxx://torproject.ip-connect.vn.ua (91.218.89.74 - Украина)
xxxx://ipecho.net/plain
xxxx://ipinfo.io/country
xxxx://videolan.ip-connect.vn.ua/vlc/2.1.3/win32/vlc-2.1.3-win32.exe***
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
IntezerAnalyze >>
ANY.RUN анализ >>

Степень распространённости: средняя.
Подробные сведения собираются регулярно.

 Read to links: 
 Tweet on Twitter
 ID Ransomware (n/a)
 Write-up, Topic of Support

Added later:
Write-up on BC (add. January 8, 2017)
Write-up other

 Thanks: 
 MalwareHunterTeam
 Lawrence Abrams
 Andrew Ivanov
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

Ransomuhahawhere

Cyber Drill Exercise

Ransomuhahawhere Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей, а затем просит прислать немного биткоинов, чтобы вернуть файлы. Оригинальное название Ransomuhahawhere, т.е. "Ransom u-ha-ha where". Создано якобы для обучения и упражнений в Cyber Drill. Фальш-имя: AdobeInstaller. Пока в разработке, т.к. шифрует файлы только в специальной папке. 

© Генеалогия: HiddenTear >> Ransomuhahawhere

К зашифрованным файлам добавляется расширение .locked

Активность этого крипто-вымогателя пришлась на январь 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: READ_IT.txt
Размещается на рабочем столе в специальной папке cyberdrill. 

Содержание записки о выкупе:
Files has been encrypted with Ransomuhahawhere (Cyber Drill Exercise)
Send me some bitcoins!!
excon@cyberdrillexercise. com
And Please Analyze Me Well Ya..
Incase of emergency used this:
ckQ2U***

Перевод записки на русский язык:
Файлы были зашифрованы Ransomuhahawhere (Cyber Drill Exercise)
Пришли мне немного биткоинов!!
excon@cyberdrillexercise. com
И пожалуйста анализируйте меня..
В особом случае используй это:
ckQ2U***

В конце записки указан ключ дешифрования (15 байт). 
Биткоин-адрес не указан. 

Распространяется или может распространяться с помощью email-спама и вредоносных вложений (фальшивый AdobeInstaller), эксплойтов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:

.asp, .aspx, .csv, .doc, .docx, .html, .jpg, .mdb, .odt, .pdf, .php, .png, .ppt, .pptx, .psd, .sln, .sql, .txt, .xls, .xlsx, .xml (21 расширение). 

Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии и пр.

Файлы, связанные с этим Ransomware:
AdobeInstaller.exe
Ransomuhahawhere.exe
\Desktop\cyberdrill\READ_IT.txt

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
xxxx://ransomuhahawhere.cyberdrillexercise.com  (128.199.240.181:80 - Великобритания)
excon@cyberdrillexercise.com
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Malwr анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

 Read to links: 
 Tweet on Twitter
 ID Ransomware
 Write-up

 Thanks: 
 Karsten Hahn
 BleepingComputer
 Alex Svirid
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

Cancer

Cancer Ransomware

(фейк-шифровальщик)

Этот крипто-вымогатель якобы шифрует данные пользователей, а затем даже не требует выкуп, чтобы вернуть файлы. Название оригинальное. Фальш-имя: VirusTotal.exe

© Генеалогия: выясняется.

К фейк-зашифрованным файлам и папкам добавляется расширение .cancer

Активность этого крипто-вымогателя пришлась на начало февраля 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Обои заменяются на изображение ewwwwww~cancer.png от вымогателей с надписями по экрану "I HAVE CANCER".

Cancer UAC не обходит. При получении доступа ищет и завершает процессы, которые содержат любую из следующих строк: 
alarm, anti, antivirus, av, avast, avg, avira, cheat, cheatengine, clam, cloud, comodo, dbg, debug, debug, defend, dumpcap, engine, eset, falcon, f-secure, hunter, IDAq, idaq, immunity, kasp, malware, malwarebytes, monitor, nod, norton, OllyDbg, panda, protect, qihoo, quard, regshot, root,  Sandboxie, SandboxieDcomLaunch, SandboxieRpcSs, secur, secure, shark, spy, strike, vmtool, vmtools, vmware, zone.

Убедившись, никакая защита не может его обнаружить и остановить, этот вредонос начинает свистопляску на вашем компьютере, открывая и закрывая в бешеном темпе множество разных окон с процессами, одновременно запустив анимационное троллирование. 

 

Затем переименовывает диск C: в "CANCERRRRRRRRRRRRRRRRRRRRRRRRR".

Распространяется или может распространяться с помощью email-спама и вредоносных вложений, эксплойтов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, которые могут подвергнуться шифрованию, если оно вообще когда-то будет прикручено:
Это могут быть документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
VirusTotal.exe
<random>.exe
<random>.tmp
CANCER~91477.exe
CANCER~73110.exe
CANCER~53884.exe
CANCER~80569.exe
CANCER~85005.exe
CANCER~66139.exe
%LOCALAPPDATA%\ewwwwww~cancer.png

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
***hostingonline.desi (162.218.48.104:80 - США)
arran.bishop89@aol.com
Skype: jquery.finland
XMPP: jqueryxmpp@exploit.im

Контакты можно вынуть только из кода. Вымогатель видимо не доделан и не требует выкуп. 


Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Malwr анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

 Read to links: 
 Tweet on Twitter + Tweet by BC
 ID Ransomware (ID as Cancer)
 Video review + Video review by BC
 Write-up on BC

 Thanks: 
 Michael Gillespie
 GrujaRS
 Lawrence Abrams, Catalin Cimpanu 
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

UpdateHost

UpdateHost Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в биткоинах, чтобы вернуть файлы. Название оригинальное. Фальш-имя: HostFile. Фальш-копирайт: Microsoft Copyright 2017. 

© Генеалогия: HiddenTear >> UpdateHost

К зашифрованным файлам добавляется расширение .locked

Активность этого крипто-вымогателя пришлась на январь 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записки с требованием выкупа называются READ_IT.txt
Размещаются на рабочем столе. 

Содержание записки о выкупе:
Yor File Locked email to ghanihate@gmail.com
ComputerName: s83R39JY5R
UserName: UX4e75l
Password: OWhdVJKLq/TXDw0
List Files locked: ***

Перевод записки на русский язык:
Твои файлы блокированы пиши на email ghanihate@gmail.com
Имя ПК: s83R39JY5R
Имя юзера: UX4e75l
Пароль: OWhdVJKLq/TXDw0
Список блокированных файлов: ***

К ключу после генерации дописывается P@nt@tR@s@M3m3k. 

Ключ шифрования: <password> + M3M3K_N03R03L_L3Z@T!

<password> находится в записке и в %USERPROFILE%/password.txt

Распространяется или может распространяться с помощью email-спама и вредоносных вложений, эксплойтов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:

 .7z, .asp, .aspx, .csv, .doc, .docx, .html, .jpg, .mdb, .odt, .php, .png, .ppt, .pptx, .psd, .rar, .sln, .sql, .txt, .xls, .xlsx, .zip (22 расширения).

Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
UpdateHost.exe
<random>.exe
%USERPROFILE%/password.txt

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
ghanihate@gmail.com
ghani.hate@gmail.com
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>  Ещё >>  Ещё >>
Malwr анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

 Read to links: 
 Tweet on Twitter
 ID Ransomware
 Write-up

 Thanks: 
 Karsten Hahn
 AlexSvirid
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

Digisom, X-files

X-files Ransomware

Digisom Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей, потом угрожает удалять один файл каждый 2 часа и требует выкуп в 0,2 биткоина, чтобы вернуть файлы. Названия от использованных элементов. Фальш-имя: Firefox. Фальш-копирайт: Firefox and Mozilla Developers / Microsoft.

© Генеалогия: HiddenTear (модифицированный) >> X-files (Digisom)

Изображение не принадлежит шифровальщику

К зашифрованным файлам добавляются составные расширения, которые можно записать по шаблону:
<random> и <random>.x 
[original_name.extension[3_random_chars]
[original_name.extension[3_random_chars].x
[original_filename.extension][A-Za-z0-9]{3}
[original_filename.extension][A-Za-z0-9]{3}.x

В самом первом примере, который попал в наше поле зрения использовались подрасширения b0C или b0C.x
Таким образом файлы DOC, JPG, PDF, ZIP меняли расширение на .pdfb0C 
А файлы формата DOCX меняли расширение на .docxb0C.x

Во втором примере у всех зашифрованных файлов оказалось расширением b0C.x

1-й пример с b0C-расширением

2-й пример с b0C.x-расширением

Активность этого крипто-вымогателя пришлась на начало февраля 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записки с требованием выкупа разбрасываются на рабочем столе в пронумерованном виде: 
Digisom Readme0.txt 
Digisom Readme1.txt 
и так до Digisom Readme9.txt

Содержание записки о выкупе: 
Your important files were encrypted on this computer: photos, videos, documents, etc. You can verify this by opening them.
To save your files, you need a private key to decrypt it.
The single copy of private key, which will allow you to unlock the files, is located on a secret server on the internet; the server will destroy the key within 48 hours after encryption completed. After that, nobody are able to restore the files.
To retrieve the private key, you need to pay 0.2 bitcoins. Check out the website on how to make payment: xxxx://www.digisom.pw 
YOUR UNIQUE ID TO FIND KEY: *****

Перевод записки на русский язык:
Ваши важные файлы зашифрованные на этом компьютере: фото, видео, документы и т.д. Вы можете проверить это, открыв их.
Чтобы сохранить файлы, вам нужен закрытый ключ для расшифровки.
Единственный экземпляр секретного ключа, который позволит вам разблокировать файлы, находится на секретном сервере в Интернете; сервер уничтожит ключ через 48 после завершения шифрования. После этого никто не сможет восстановить файлы.
Чтобы получить секретный ключ, вам нужно оплатить 0,2 Bitcoins. Проверьте веб-сайт о том, как произвести платеж: xxxx://www.digisom.pw 
ВАШ УНИКАЛЬНЫЙ ID НАЙДЕННЫЙ КЛЮЧ: *****

При переходе по адресу, указанному в записке о выкупе, открывается сайт с мультиязычной поддержкой. При переключении языка можно найти также и русский. См. анимированное изображение, которое я сделал из скриншотов с этого сайта. 

Дополнительной запиской с требованием выкупа выступает экран с таймером. 

Содержание текста с экрана:
One File will be deleted in:
1 : 59 : 58
Don't try to close this program, your file will delete automatically!
Check your desktop for more information. 

Перевод текста на русский язык:
Один файл будет удален через:
1 : 59 : 58
Не пытайтесь закрыть эту программу, файл удалится автоматически!
Проверьте ваш рабочий стол для информации.

Распространяется или может распространяться с помощью email-спама и вредоносных вложений (фальшивых PDF), кликбейта и кликджекинга, эксплойтов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

После первого запуска в автозагрузку добавляется скрипт для запуска файла шифровальщика

Список файловых расширений, подвергающихся шифрованию:
.doc, .docx, .jpg, .jpeg, .pdf, .zip, .xls, .xlsx 

Это могут быть документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
Satoshimines Balance Adder.exe
Digisom.exe
Firefox.exe_0x2e0000-0x18000.exe
Firefox.exe и firefox.vbs
<random>.exe
<random>.pdf.exe
<random>.tmp
%APPDATA%\firefox\Firefox.exe
%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\firefox.vbs

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
digisom.pw (68.65.122.94:80 - США)
***goldenwordsoftheday.com/
***airbnb.es-farina.es/cat/listing/
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >> 
VirusTotal анализ >>  Ещё >>
Гибридный анализ на вредоносный PDF >>
VirusTotal анализ на вредоносный PDF >>

Из результатов анализов оказалось, что это повторение вредоносных кампаний 2015 и 2016 годов, когда таким же образом использовались вредоносный файл <random>.pdf.exe . Только теперь используется другой шифровальщик. 

Степень распространённости: средняя.
Подробные сведения собираются регулярно.

 Read to links: 
 Topic on BC + Topic
 ID Ransomware (ID as Digisom)
 

Added later
Video review (add. February 17, 2017)

 Thanks: 
 @xXToffeeXx, Michael Gillespie
 Andrew Ivanov (author)
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

PolskiRansom

Polski Ransomware

Gadu-Gadu Ransomware 

AESxWin Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью AES-256, а затем требует связаться по email и польскому мессенджеру Gadu-Gadu, чтобы заплатить выкуп $249 и вернуть файлы. Название оригинальное. В реестре также используется раздел "AESxWin". Разработчик: Tomasz "Armaged0n" T., польский гражданин, живущий в Бельгии (арестован по прибытии в Польшу в марте 2018 года). 

© Генеалогия: Polski > Vortex > Flotera

К зашифрованным файлам добавляется расширение .aes

Активность этого крипто-вымогателя пришлась на начало февраля 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записки с требованием выкупа называются: 
!!! - - ODZYSKAJ-PLIKI - - !!!.htm  (польск. "Восстановление файлов")
!!! - - ODZYSKAJ-PLIKI - - !!!.txt

Содержание текста с чёрного экрана (перевод автора блога):

@@@@@

POLSKI RANSOMWARE

@@@@@

#####

Nie możesz znaleźć potrzebnych plików na dysku twardym ?

Zawartość Twoich plików .jpg .pdf .doc .xls i wielu innych jest nie do otwarcia?

DOSTĘP DO TWOICH DANYCH ZABLOKOWANY !!

Jest to skutek działania programu który zaszyfrował większość Twoich danych przy pomocy silnego alogrytmu AES-256, używanego min. przez służby mundurowe do zatajania danych przesyłanych drogą elektroniczną.

Twoje zdjęcia, faktury, bazy danych zostały zaszyfrowane !!

Przeczytaj więcej o wirusach typu ransomware:

xxxx://trybawaryjny.pl/co-to-jest-cryptolocker-i-jak-sie-przed-nim-bronic/ - Cryptolocker co to jest i jak się przed nim bronić

xxxx://bitdefender.pl/ransomware-co-to-jest-i-jak-sie-przed-tym-chronic - Bitdefender.pl - Ransomware Co to Jest

xxxx://datablog.krollontrack.pl/2015/03/18/ransomware-placic-czy-nie-placic/ - Ransomware płacić czy nie płacić?

Jedyna metoda aby odzyskać Twoje pliki to wykupienie od nas programu deszyfrującego wraz z

jednorazowym kluczem wygenerowanym unikalnie dla Ciebie!

#####

W momencie gdy to czytasz całość jest już ukończona, wytypowane pliki zostały zaszyfrowane a sam wirus usunięty z Twojego komputera.

Klucz składający się z kilkudziesięciu znaków potrzebny do odszyfrowania danych z dysku znajduje się w miejscu dostępnym tylko dla nas !

Możesz w nieskończoność próbować instalacji kolejnych programów antywirusowych,

Formatować system operacyjny to jednak nic nie zmieni !

Jeśli nie zastosujesz się do naszych instukcji nie odzyskasz plików które były na dysku HDD.

#####

Gdy już postanowisz odzyskać swoje dane skontaktuj się z nami pod adrem e-mail: rsapl@openmailbox.org lub estion@sigaint.org 

Możesz też napisać na Gadu-Gadu : 61621122 

2 Pliki odszyfrujemy za darmo aby udowodnić że jesteśmy w stanie tego dokonać!

Za resztę niestety musisz zapłacić !

Cena za odszyfrowanie wszystkich plików: 249$ 

Uwaga ! Nie marnuj czasu, czas to pieniądz za 72 godziny cena wzrośnie o 100%!

#####

Перевод этого текста на русский язык:

POLSKI RANSOMWARE

Не можешь найти нужные файлы на жёстком диске?

Содержимое твоих файлов .jpg .pdf .doc .xls и многих иных не открывается?

ДОСТУП К ТВОИМ ДАННЫМ БЛОКИРОВАН!!

Это результат программы, которая зашифровала твои данные с помощью сильного алгоритма AES-256, используемого силовыми структурами для маскировки передаваемых в электронном виде данных.

Твои фото, фактуры, базы данных были зашифрованы!!

Прочитай больше о вирусах-вымогателях:

trybawaryjny.pl - Что такое Cryptolocker

и т.д.

Содержание текстовой записки о выкупе:
Nie możesz znaleźć potrzebnych plików na dysku twardym ?
Zawartość Twoich plików jest nie do otwarcia?
Jest to skutek działania programu który zaszyfrował większość Twoich danych przy pomocy silnego alogrytmu AES-256, używanego min. przez służby mundurowe do zatajania danych przesyłanych drogą elektroniczną.
Twoje zdjęcia, faktury, bazy danych zostały zaszyfrowane !!
Przeczytaj więcej o wirusach typu ransomware:
xxxx://trybawaryjny.pl/co-to-jest-cryptolocker-i-jak-sie-przed-nim-bronic/ - Cryptolocker co to jest i jak się przed nim bronić
xxxx://bitdefender.pl/ransomware-co-to-jest-i-jak-sie-przed-tym-chronic - Bitdefender.pl - Ransomware Co to Jest
xxxx://datablog.krollontrack.pl/2015/03/18/ransomware-placic-czy-nie-placic/ - Ransomware płacić czy nie płacić?
Jedyna metoda aby odzyskać Twoje pliki to wykupienie od nas programu deszyfrującego wraz z jednorazowym kluczem wygenerowanym unikalnie dla Ciebie!
---
W momencie gdy to czytasz całość jest już ukończona, wytypowane pliki zostały zaszyfrowane a sam wirus usunięty z Twojego komputera.
Klucz składający się z kilkudziesięciu znaków potrzebny do odszyfrowania danych z dysku znajduje się w miejscu dostępnym tylko dla nas !
Możesz w nieskończoność próbować instalacji kolejnych programów antywirusowych,
Formatować system operacyjny to jednak nic nie zmieni !
Jeśli nie zastosujesz się do naszych instukcji nie odzyskasz plików które były na dysku HDD.
---
Gdy już postanowisz odzyskać swoje dane skontaktuj się z nami pod adrem e-mail: rsapl@openmailbox.org lub estion@sigaint.org 
Możesz też napisać na Gadu-Gadu : 61621122 
2 Pliki odszyfrujemy za darmo aby udowodnić że jesteśmy w stanie tego dokonać!
Za resztę niestety musisz zapłacić !
Cena za odszyfrowanie wszystkich plików: 249$ 
Uwaga ! Nie marnuj czasu, czas to pieniądz za 72 godziny cena wzrośnie o 100%!

Перевод записки на русский язык (перевод автора блога):
Не можешь найти нужные файлы на жёстком диске?
Содержимое файлов не открывается?
Это результат программы, зашифровавшей большинство твоих данных с сильным алгоритмом AES-256, используемого силовыми структурами для маскировки передаваемых в электронном виде данных.
Твои фото, счета-фактуры, базы данных были зашифрованы!!
Узнай больше о вирусах-вымогателях:
xxxx://trybawaryjny.pl/co-to-jest-cryptolocker-i-jak-sie-przed-nim-bronic/ - "Что такое Cryptolocker и как защититься от него?
xxxx://bitdefender.pl/ransomware-co-to-jest-i-jak-sie-przed-tym-chronic - Bitdefender.pl - "Вымогатель, что такое и как защититься?"
xxxx://datablog.krollontrack.pl/2015/03/18/ransomware-placic-czy-nie-placic/ - "Вымогатели - платить или не платить?"
Единственный способ восстановить твои файлы - купить у нас вместе с программой дешифрования ключ, генерируемый только для тебя!
---
В то время, как ты читаешь, все это уже закончено и выбранные файлы зашифрованы, а вирус удалён из твоего компьютера.
Ключ состоит из нескольких десятков символов, нужных для расшифровки данных с диска, он находится только у нас!
Ты можешь без конца пытаться ставить антивирусные программы, переставить операционную систему, но ничего не изменится!
Если не будешь следовать нашим инструкциям, то не восстановишь файлы, которые были на жёстком диске.
---
После того, как ты решишь восстановить данные, свяжись с нами по одному из email: rsapl@openmailbox.org или estion@sigaint.org
Ты также можешь написать на Gadu-Gadu : 61621122 
2 файла расшифруем бесплатно, чтобы доказать, что мы можем это сделать!
За остальные, к сожалению, придётся платить!
Цена за расшифровку всех файлов: $249
Внимание! Не трать свое время, время - деньги, через 72 часа цена увеличится на 100%!

Распространяется или может распространяться с помощью email-спама и вредоносных вложений, эксплойтов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
.doc, .jpg, .pdf, .xls и другие.
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео и пр.

Файлы, связанные с этим Ransomware:
!!! - - ODZYSKAJ-PLIKI - - !!!.htm
!!! - - ODZYSKAJ-PLIKI - - !!!.txt
<random>.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
rsapl@openmailbox.org
estion@sigaint.org
Gadu-Gadu: 61621122
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Malwr анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

Обновление от 6 августа 2017:
Пост в Твиттере >>
Расширение: .ZABLOKOWANE
Записка: ### - ODZYSKAJ SWOJE DANE - ###.TXT
Файл: AESxWin.exe
Email: 3nigma@0.pl
3nigma@firemail.cc
C2: xxxxs://asuspl.ml/widwdp/***
xxxxs://taniepilapl/mij/***
Результаты анализов: HA+VT
<< Скриншот записки

После ареста в Польше разработчика шифровальщика
можно ожидать выпуск бесплатного дешифровщика
Используйте ссылку от Cert.pl для получения ключа 
Перейти по ссылке >>
*

 Read to links: 
 Tweet on Twitter
 ID Ransomware (ID as Polski Ransomware)
 Write-up

 Thanks: 
 Michael Gillespie
 *
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.