Salsa

Salsa Ransomware

Salsa222 Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью XOR с чем-то ещё, а затем требует выкуп в $500 в BTC, чтобы вернуть файлы. Оригинальное название.

шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

© Генеалогия: выясняется.

К зашифрованным файлам добавляется расширение .salsa222

Активность этого крипто-вымогателя пришлась на начало апреля 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записки с требованием выкупа называются: READ TO UNLOCK FILES.salsa.<lang>.html
Где <lang>  — это идентификатор языка. 

Записки находятся в папке CLICK HERE TO UNLOCK YOUR FILES SALSA222, которая располагается в папках с зашифрованными файлами.

Весь список записок:
READ TO UNLOCK FILES.salsa.french.html
READ TO UNLOCK FILES.salsa.spanish.html
READ TO UNLOCK FILES.salsa.english.html
READ TO UNLOCK FILES.salsa.dutch.html
READ TO UNLOCK FILES.salsa.bosnian.html
READ TO UNLOCK FILES.salsa.portuguese.html
READ TO UNLOCK FILES.salsa.czech.html
READ TO UNLOCK FILES.salsa.serbian.html
READ TO UNLOCK FILES.salsa.danish.html
READ TO UNLOCK FILES.salsa.german.html
READ TO UNLOCK FILES.salsa.estonian.html
READ TO UNLOCK FILES.salsa.croatian.html
READ TO UNLOCK FILES.salsa.indonesian.html
READ TO UNLOCK FILES.salsa.icelandic.html
READ TO UNLOCK FILES.salsa.italian.html
READ TO UNLOCK FILES.salsa.latvian.html
READ TO UNLOCK FILES.salsa.lithuanian.html
READ TO UNLOCK FILES.salsa.hungarian.html
READ TO UNLOCK FILES.salsa.norwegian.html
READ TO UNLOCK FILES.salsa.polish.html
READ TO UNLOCK FILES.salsa.romanian.html
READ TO UNLOCK FILES.salsa.slovenian.html
READ TO UNLOCK FILES.salsa.slovak.html
READ TO UNLOCK FILES.salsa.serbian.html
READ TO UNLOCK FILES.salsa.finnish.html
READ TO UNLOCK FILES.salsa.swedish.html
READ TO UNLOCK FILES.salsa.turkish.html
READ TO UNLOCK FILES.salsa.vietnamese.html
READ TO UNLOCK FILES.salsa.greek.html
READ TO UNLOCK FILES.salsa.belarusian.html
READ TO UNLOCK FILES.salsa.bulgarian.html
READ TO UNLOCK FILES.salsa.russian.html
READ TO UNLOCK FILES.salsa.ukrainian.html
READ TO UNLOCK FILES.salsa.hebrew.html
READ TO UNLOCK FILES.salsa.arabic.html
READ TO UNLOCK FILES.salsa.thai.html
READ TO UNLOCK FILES.salsa.korean.html
READ TO UNLOCK FILES.salsa.schinese.html
READ TO UNLOCK FILES.salsa.tchinese.html
READ TO UNLOCK FILES.salsa.japanese.html

Таким образом, в информировании жертв используются 40 разных записок на следующих языках: French, Spanish, English, Dutch, Bosnian, Portuguese, Czech, Serbian, Danish, German, Estonian, Croatian, Indonesian, Icelandic, Italian, Latvian, Lithuanian, Hungarian, Norwegian, Polish, Romanian, Slovenian, Slovak, Serbian, Finnish, Swedish, Turkish, Vietnamese, Greek, Belarusian, Bulgarian, Russian, Ukrainian, Hebrew, Arabic, Thai, Korean, Simplified Chinese, Traditional Chinese, Japanese. 
Как можно заметить, среди них два китайских (упрощенный и традиционный). 

На рабочем столе также появляются обои (файл bg222salsa.jpg) с чёрным фоном и надписью:
SALSA 
PERSONAL FILES ENCRYPTED

 Скриншоты записки на английском языке

Содержание записки о выкупе:
YOUR PERSONAL FILES HAVE BEEN ENCRYPTED/DAMAGED (USB, NETWORK, STORAGE, ...)!
READ CAREFULLY IF YOU WANT YOUR FILES BACK!
IF YOU DO NOT PAY IN TIME, THE PRICE WILL DOUBLE. OR WORST, YOUR FILES WILL BE DELETED FOREVER!
Date (FILES WILL BE DELETED FOREVER): Thu Apr 6 21:14:41 2017 
Date (PRICE WILL DOUBLE): Mon Apr 3 21:14:41 2017 
Disable your Anti Virus now! If this program is deleted by your Anti Virus, you lose your files forever because it is impossible to decrypt your files!
PRICE: $500 in Bitcoins
We only accept bitcoins! Follow the steps below to decrypt your files:
1.Send exactly 0.465112 [BTC,BITCOINS] to this bitcoin address: 1AY2tmQff1PYNM78B5VJaB4U6g7sGBY42y
2.After you send the payment, wait a few minutes...your files will be automatically decrypted and repaired. Your computer/files will be back to normal.
You can also use this QR CODE to send payment
How to Send Bitcoins?
Step 1
Click one of the following links to Register a Bitcoin Wallet: Blockchain.info, CoinBase.com, StrongCoin.com
Step 2
Click one of the following links to Purchase Bitcoins: LocalBitcoins.com (CASH, WESTERN UNION, PAYPAL, ...), CoinATMRadar.com (CASH, ATM), CoinBase.com (BANK ACCOUNT, CREDIT CARD), CoinMama.com (CREDIT CARD, WESTERN UNION...)
Step 3
Send exactly 0.465112 [BTC,BITCOINS] to this bitcoin address: 1AY2tmQff1PYNM78B5VJaB4U6g7sGBY42y
Paid, and not seeing your files yet?
• Verify that you paid the correct amount
• Make sure your computer is connected to the internet
• Reconnect all infected drives/usb/devices to your computer
If nothing worked, restart your computer, disable your anti-virus and re-download the salsa decryptor from one of these links: 
Download Server 1, Download Server 2, Download Server 3, Download Server 4, Download Server 5 

Перевод записки на русский язык:
ВАШИ ЛИЧНЫЕ ФАЙЛЫ БЫЛИ ЗАШИФРОВАНЫ / ПОВРЕЖДЕНЫ (USB, СЕТЬ, НАКОПИТЕЛИ, ...)!
ПРОЧИТАЙТЕ ВНИМАТЕЛЬНО, ЕСЛИ ВЫ ХОТИТЕ ВАШИ ФАЙЛЫ НАЗАД!
ЕСЛИ ВЫ НЕ ПЛАТИТЕ ВО ВРЕМЯ, ЦЕНА БУДЕТ ДВОЙНОЙ. ИЛИ ХУЖЕ, ВАШИ ФАЙЛЫ БУДУТ УДАЛЕНЫ НАВСЕГДА!
Срок (ФАЙЛЫ БУДУТ УДАЛЕНЫ НАВСЕГДА): Чт 6 апреля 21:14:41 2017
Срок (ЦЕНА БУДЕТ ДВОЙНОЙ): Пн. 3 апр. 21:14:41 2017
Отключите свой антивирус сейчас! Если эта программа будет удалена вашим Антивирусом, вы потеряете свои файлы навсегда, т.к. невозможно будет расшифровать ваши файлы!
ЦЕНА: $500 в биткойнах
Мы принимаем биткойны! Чтобы расшифровать файлы, выполните следующие действия:
1. Отправьте точно 0.465112 [BTC, BITCOINS] на этот биткойн-адрес: 1AY2tmQff1PYNM78B5VJaB4U6g7sGBY42y
2. После того, как вы отправите платеж, ждите несколько минут ... ваши файлы будут автоматически расшифрованы и восстановлены. Ваш компьютер / файлы вернутся к нормальной работе.
Вы также можете использовать этот QR-код для отправки платежа
Как отправить биткойны?
Шаг 1
Нажмите одну из следующих ссылок, чтобы зарегистрировать биткойн-кошелек: Blockchain.info, CoinBase.com, StrongCoin.com
Шаг 2
Щелкните одну из следующих ссылок для покупки биткойнов: LocalBitcoins.com (CASH, WESTERN UNION, PAYPAL, ...), CoinATMRadar.com (CASH, ATM), CoinBase.com (БАНКОВСКИЙ СЧЕТ, КРЕДИТНАЯ КАРТА), CoinMama.com ( КРЕДИТНАЯ КАРТОЧКА, WESTERN UNION...)
Шаг 3
Отправьте точно 0.465112 [BTC, BITCOINS] на этот биткойн-адрес: 1AY2tmQff1PYNM78B5VJaB4U6g7sGBY42y
Вы заплатили, но пока не видите свои файлы?
• Убедитесь, что вы заплатили правильную сумму
• Убедитесь, что ваш компьютер подключен к Интернету
• Подключите к компьютеру все зараженные диски / usb / устройства.
Если ничего не помогло, перезагрузите компьютер, отключите антивирус и повторно загрузите salsa decryptor из одной из этих ссылок:
Download Server 1, Download Server 2, Download Server 3, Download Server 4, Download Server 5 

Распространяется или может распространяться с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Теневые копи файлов удаляются командами:
cmd.exe /C vssadmin.exe Delete Shadows /All /Quiet
vssadmin.exe Delete Shadows /All /Quiet

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
Salsa222.exe
SalsaDownload.exe
SalsaDecryptor.exe
<random>.exe
bg222salsa.jpg - изображение для обоев рабочего стола
READ TO UNLOCK FILES.salsa.<lang>.html - 40 штук
папка CLICK HERE TO UNLOCK YOUR FILES SALSA222
папка LANGUAGE FILES
большой список записок на разных яхыках (см. выше). 

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
***xxxx://wikisend.com/download/772288/SalsaDownload.exe***
***xxxx://www.megafileupload.com/3sakC/SalsaDownload.exe***
***xxxx://s000.tinyupload.com/
***xxxx://www.yourfilelink.com/
***xxxxs://files.fm/u/vwvn7xc5
***xxxx://www.yourfilelink.com/get.php?fid=1340921
***api.blockcypher.com (52.21.132.24, США)
***hellothere1948.biz (86.110.118.184, Россия)
***hellothere1949.us
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>  Ещё >>
VirusTotal анализ >>  Ещё >>  Ещё >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

 Read to links: 
 Tweet on Twitter + Tweet
 ID Ransomware (ID as Salsa)
 Video Review
 * 

 Thanks: 
 Michael Gillespie
 GrujaRS
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

AngryKite

AngryKite Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью AES-128, а затем требует позвонить по телефону 1-855-455-6800 (в США), чтобы вернуть файлы. Оригинальное название: angryKite_v3. Фальш-копирайт: Microsoft 2016. 

шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

© Генеалогия: KRider > AngryKite 

К зашифрованным файлам добавляется расширение .NumberDot
Зашифрованные файлы переименовываются случайными именами. Файлы могут быть дешифрованы. 
Активность этого крипто-вымогателя пришлась на начало апреля 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Запиской с требованием выкупа выступает экран блокировки "Warning":

Содержание текста о выкупе:
WARNING: SYSTEM MAY HAVE FOUND
anonymous encryption on your computer. You would not be able to access the files on your computer
Your System May have Found (2) Malicious Viruses Rootkit.Encypt & Trojan.Spyware
Your Personal & Fincancial information MAY NOT BE SAFE
Your system has encryption ransomware
which may permanently encrypt your data
Please call immediately to avoid further damage
Toll free 1-855-545-6800
Your UID
17347841

Перевод текста на русский язык:
ПРЕДУПРЕЖДЕНИЕ: СИСТЕМА ОБНАРУЖИЛА
анонимное шифрование на вашем компьютере. Вы не сможете открывать файлы на своем компьютере
Ваша система обнаружила (2) вредоносных вируса Rootkit.Encypt & Trojan.Spyware
Ваша личная и финансовая информация В ОПАСНОСТИ
Ваша система зашифрована ransomware
способный навсегда зашифровать ваши данные
Позвоните срочно, во избежание дальнейшего ущерба
Бесплатный звонок 1-855-545-6800
Your UID
17347841

Распространяется или может распространяться с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:

.3dm, .3g2, .3gp, .7zip, .aaf, .accdb, .aep, .aepx, .aet, .ai, .aif, .arw, .as, .as3, .asf, .asp, .asx, .avi, .bay, .bmp, .c, .cdr, .cer, .class, .cpp, .cr2, .crt, .crw, .cs, .csv, .db, .dbf, .dcr, .der, .dng, .doc, .docb, .docm, .docx, .dot, .dotm, .dotx, .dwg, .dxf, .dxg, .efx, .eps, .erf, .fla, .flv, .html, .idml, .iff, .indb, .indd, .indl, .indt, .inx, .jar, .java, .jpeg, .jpg, .kdc, .log, .m3u, .m3u8, .m4u, .max, .mdb, .mdf, .mef, .mid, .mov, .mp3, .mp4, .mpa, .mpeg, .mpg, .mrw, .msg, .nef, .nrw, .odb, .odc, .odm, .odp, .ods, .odt, .orf, .p12, .p7b, .p7c, .pdb, .pdf, .pef, .pem, .pfx, .php, .plb, .pmd,.png, .pot, .potm, .potx, .ppam, .ppj, .pps, .ppsm, .ppsx, .ppt, .pptm, .pptx, .prel, .prproj, .ps, .psd, .pst, .ptx, .r3d, .ra, .raf, .rar, .rar, .raw, .rb, .rtf, .rw2, .rwl, .sdf, .sldm, .sldx, .sln, .sql, .sr2, .srf, .srw, .svg, .swf, .tif, .txt, .vcf, .vob, .vob, .wav, .wb2, .wma, .wmv, .wpd, .wps, .x3f, .xla, .xlam, .xlk, .xll, .xlm, .xls, .xlsb, .xlsm, .xlsx, .xlt, .xltm, .xltx, .xlw, .xml, .xqx, .zip (166 расширений). 

Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
angryKite_v3.exe
KRider.exe
StatLevel.exe

Расположения: 
AppData\Roaming\QKYS\angryKite_v3.exe
AppData\Roaming\QKYS\KRider.exe

Записи реестра, связанные с этим Ransomware:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce\adr
См. ниже результаты анализов.

Сетевые подключения и связи:
***xxxx://ourdareshare.club/***
***xxxx://databaseosfixissue7823.online/***
***xxxx://www.top5z.com/***
***xxxx://technobend.com/***
***xxxx://www.coastalenvironment.org/***
166.62.10.143:80 (США)
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Malwr анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

 Read to links: 
 Tweet on Twitter
 ID Ransomware
 Write-up, Topic
 * 

 Thanks: 
 BleepingComputer
 Thyrex
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

Sanctions 2017

Sanctions 2017 Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью AES / RSA, а затем требует выкуп в 6 биткоинов, чтобы вернуть файлы. Оригинальное название: Sanctions.

шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

© Генеалогия: выясняется.

К зашифрованным файлам добавляется расширение .wallet

Расширение .wallet ранее использовалось в вымогателе Dharma, но файлы, зашифрованные с Sanctions 2017 не содержат WORM06, т.е. маркер файлов Dharma. 

Активность этого крипто-вымогателя пришлась на конец марта 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записки с требованием выкупа называются: RESTORE_ALL_DATA.html 

Содержание записки о выкупе:
YOUR UNIQ IDENTIFICATOR:
550*********************
What happend with my files?
All your files has been locked (encrypted) with Ransomware
For encrypting we using strong cryptographic algorithm AES256+RSA-2048. Do not attempt to recover the files yourself.
You might corrupt your files. We also rewrite all old blocks on HDD and you don't recover your files with Recuva and other...
YOU HAVE ONLY 5 DAYS FOR BUY YOUR DECRYPTION TOOL
It is not advised to use third party tools to decrypt, if we find them you, you will forever lose your files.
How i can restore my files?
1) Go to link: BUY DECRYPTION INFO and look your price for decryption 
2) Go to BTC exchange services and buy Bitcoin 
3) Buy your decryption info
BTC Guide:
Top BTC exchange sites: LocalBitcoins (We recomend), Coinbase, BTC-E,
Online wallets: Blockchainlnfo, Block.io

Перевод записки на русский язык:
ВАШ УНИК ИДЕНТИФИКАТОР:
550 *********************
Что случилось с моими файлами?
Все ваши файлы блокированы (зашифрованы) Ransomware
Для шифрования мы используем надежный криптографический алгоритм AES256 + RSA-2048. Не пытайтесь восстановить файлы самостоятельно.
Вы можете испортить свои файлы. Мы также переписываем все старые блоки на HDD, и вы не восстановите свои файлы с помощью Recuva и других...
У ВАС ЕСТЬ ЛИШЬ 5 ДНЕЙ ДЛЯ ПОКУПКИ ДЕКРИПТЕРА
Не рекомендуется использовать сторонние инструменты для расшифровки, если мы их найдем, вы навсегда потеряете свои файлы.
Как я могу восстановить мои файлы?
1) Иди по ссылке: BUY DECRYPTION INFO и смотри свою цену за расшифровку
2) Иди в сервисы обмена BTC и купи биткойны
3) Купи свою инфу по расшифровке
Руководство BTC:
Лучшие сайты обмена BTC: LocalBitcoins (мы рекомендуем), Coinbase, BTC-E,
Онлайн-кошельки: Blockchainlnfo, Block.io

Записка RESTORE_ALL_DATA.html содержит также ссылку на страницу satoshibox.com, где разработчики вымогателя продают ключ дешифрования за 6 биткоинов. Это составляет около $6500 по текущему курсу Bitcoin или примерно 358000 рублей. См. калькулятор валют. 

Распространяется или может распространяться с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
RESTORE_ALL_DATA.html 
<random>.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
crannbest@foxmail.com
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

 Read to links: 
 Tweet on Twitter
 ID Ransomware (ID as Sanctions)
 Write-up, Topic
 * 

 Thanks: 
 Lawrence Abrams
 Michael Gillespie
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

CradleCore

Cradle Ransomware

CradleCore Ransomware

(шифровальщик-вымогатель, RaaS)

Этот крипто-вымогатель шифрует данные пользователей с помощью Blowfish, а затем требует выкуп в 0.25 - 0.35 BTC, чтобы вернуть файлы. Оригинальное название.

шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

© Генеалогия: выясняется.

К зашифрованным файлам добавляется расширение .cradle

Активность этого крипто-вымогателя пришлась на конец марта - первую половину апреля 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записки с требованием выкупа называются:
_HOW_TO_UNLOCK_FILES_.html

Содержание записки о выкупе: 
What happened to my files?
All your documents, pictures, music, and other important files are locked. Your files are locked with military-grade encryption technology.
It is impossible to unlock your files without the secret password and decryption software.
Do not trv to unlock the files yourself - you will certainly damage your files if you try.
What should I do?
You have 2 options:
1. Wait and pray for a miracle that will unlock your files.
2. Purchase the password and decryption software as soon as possible.
If you wait for a mircale, this is what will happen ...
In 7 days the price of the password and decryption software will double.
In 2 weeks, the secret password will be deleted from the server -- and vour files will be locked forever?
How do I purchase the software?
To purchase the password and decryption software, follow these easy steps:
1. Visit one of these web sites:
xxxxs://pn6fsogszhqlx24n.onion.to/5YT
xxxxs://pn6fsogszhqlx24n.onion.cab/5YT
2. If that doesn't work, download and install the Tor Browser at xxxxs://www.torproiect.org/. If you need help, please Google search for "access tor sites".
3. Visit the following web site with the Tor Browser:
xxxx://pn6fsogszhqlxz4n.onion/5YT

Перевод записки на русский язык: 
Что случилось с моими файлами?
Все ваши документы, изображения, музыка и другие файлы блокированы. Ваши файлы блокированы с шифрованием военного уровня.
Невозможно разблокировать ваши файлы без секретного пароля и программы для расшифровки.
Не пытайтесь разблокировать файлы самостоятельно - вы наверняка повредите свои файлы, если попробуете.
Что мне делать?
У вас есть 2 варианта:
1. Подождите и молитесь о чуде, которое разблокирует ваши файлы.
2. Приобретите пароль и программу дешифрования как можно скорее.
Если вы ждете чуда, это то, что произойдет ...
Через 7 дней цена пароля и программы дешифрования удвоится.
Через 2 недели секретный пароль будет удален с сервера - и ваши файлы будут заблокированы навсегда!
Как я могу приобрести программное обеспечение?
Чтобы приобрести программу для восстановления пароля и дешифровки, выполните следующие простые шаги:
1. Посетите один из этих веб-сайтов:
xxxxs://pn6fsogszhqlx24n.onion.to/5YT
xxxxs://pn6fsogs2hqlxz4n.omon.cab/5YT
2. Если это не работает, загрузите и установите Tor Browser с сайта xxxxs://www.torproiect.org/. Если вам нужна помощь, пожалуйста, ищите в Google "access tor sites".
3. Посетите следующий веб-сайт с браузером Tor:
xxxx://pn6fsogszhqlxz4n.onion/5YT

Страницы с Tor-сайта вымогателей:

Содержание текста о выкупе:
Unlock Your Files
You are here because your files are locked with military-grade encryption! To unlock your files you must purchase the decryption software. It is the only way to restore your files.
As soon as payment is received, a software download button will appear on this page. Only software from this site can unlock your files! To bookmark this page press [Ctrl+D].
Payment ID: 5YT
Website: xxxx://pn6fsogszhqlxz4n.onion/5YT
Price: 0.25 Bitcoins ($303.00 US Dollars)
Bitcoin Address: 1H3ycdyFLejVNM1hyji4KUE4m71Hg25WnP
Time Left: 6 days, 1 hrs 54 mins 8 secs
Follow these instructions carefully:
1. Payment must be made in Bitcoin currency. No other form of payment is accepted.
2. Time is running out! The price will double when the time expires!
3. After 14 days of nonpayment, your files will be locked forever!!!
4. DO NOT attempt to restore the files yourself! You WILL destory them if you try.
5. Purchase 0.25 Bitcoins and send to 1H3ycdyFLejVNM1hyji4KUE4m71Hg25WnP
6. Return to this page and download the software.
7. Confirmation of payment can take up to 1 hour. Be patient and check back often.
[Contact For Help]
Where do I Buy Bitcoins?
Bitcoin ATM's near you:
xxxxs://coinatmradar.com/
The best place online to buy Bitcoin is the Buy Bitcoins World Wide website:
xxxxs://www.buybitcoinworldwide.com/
Another website offering quick Bitcoin purchases is LocalBitcoins:
xxxxs://localbitcoins.com/buy_bitcoins
This is the official bitcoin website:
xxxxs://bitcoin.org/

Перевод текста на русский язык:
Разблок твоих файлов
Ты здесь, т.к. твои файлы заблокированы с шифрованием военного уровня! Для разблокировки файлов ты должен купить программу для расшифровки. Это единственный путь для восстановления твоих файлов.
Как только оплата будет получена, на этой странице появится кнопка загрузки программы. Только программа с этого сайта может разблокировать твои файлы! Чтобы добавить эту страницу в закладки  нажмите [Ctrl + D].
ID платежа: 5YT
Веб-сайт: xxxxs://pn6fsoQSzhQlxz4n.onion.to/5X9
Сумма: 0.25 Bitcoins ($303.00 US Dollars)
Биткойн-адрес: 1H3ycdyFLejVNM1hyji4KUE4m71Hg25WnP
Осталось время: 6 дней, 3 часа 50 минут 26 секунд
Внимательно следуйте этим инструкциям:
1. Оплата должна быть в валюте Биткойн. Никакая другая форма оплаты не принимается.
2. Время истекает! Цена будет удвоена, когда истечет время!
3. После 14 дней неплатежа файлы твои будут заблокированы навсегда!!!
4. НЕ пытайтесь восстановить файлы самостоятельно! Вы уничтожите их, если попробуете.
5. Купите 0.25 биткойна и отправьте на 1H3ycdyFLejVNM1hyji4KUE4m71Hg25WnP
6. Вернитесь на эту страницу и скачайте программное обеспечение.
7. Подтверждение оплаты может занять до 1 часа. Будьте терпеливы и часто перепроверяйте.
[Contact For Help]
Где я могу купить биткойны?
***см. ссылки в английском тексте***

Страница с Tor-сайта, представляющая продукт как RaaS

Имеет дополнительный функционал: анти-песочницу, оффлайн-шифрование, получает команды от управляющего сервера через шлюз Tor2Web (onion.link) и пр. См. скриншот ниже.

Распространяется или может распространяться с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
Свыше 300 расширений. 
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Зашифрованные файлы получают следующую специфическую иконку:

Файлы, связанные с этим Ransomware:
_HOW_TO_UNLOCK_FILES_.html
Cradle.exe

Расположения:
\Desktop\_HOW_TO_UNLOCK_FILES_.html

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
xxxxs://pn6fsoQSzhQlxz4n.onion.to/5X9
https://pn6fsoqszhqlxz4n.onion.to/5YT
https://pn6fsoqszhqlxz4n.onion.cab/5YT
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

 Read to links: 
 Tweet on Twitter
 ID Ransomware (ID as CradleCore)
 Write-up, Topic
Video review (добавлено 14 апреля 2017)

 Thanks: 
 Michael Gillespie
 Roland Dela Paz (Forcepoint Security Labs)
 Lawrence Abrams
 CrujaRS
 

© Amigo-A (Andrew Ivanov): All blog articles.

LanRan

LanRan Ransomware

(тест-шифровальщик)

Этот крипто-вымогатель якобы шифрует данные пользователей с помощью AES / RSA, а затем требует выкуп в 0.5 биткоинов за декриптор и дешифровку файлов. Оригинальное название. Разработчик: topol. 

шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

© Генеалогия: HiddenTear >> LanRan

К зашифрованным файлам добавляется расширение *нет данных*.

Активность этого крипто-вымогателя пришлась на конец марта 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записки с требованием выкупа называются: @__help__@

Содержание записки о выкупе:
Attention! Your Files has been encrypted By L_A_N_R_A_N@R_A_N_S_0_M_W_A_R_E
Attention! Your personal files are encrypted With RSA-2048 algorithm.
######################
What is encryption?
Encryption is a reversible modification of information for security reasons but providing full access to it for authorized users. To become an authorized user and keep the modification absolutely reversible (in other words to have a possibility to decrypt your files) you should have an individual private key. But not only it. It is required also to have the special decryption software in "LanRan Decryptor" software for safe and complete decryption of all your files and data.
######################
Attention! Attention! Attention! Your Files has been encrypted By L_A_N_R_A_N—R_A_N_S_0_M_W_A_R_E And your personal files are encrypted With RSA-2048 algorithm.
Send 0.5 Bitcoin To @ 1sUCn6JYa7B96t4nZz1tX5muU2W5YxCmS @ [copy Bitcoin] for decrypt your files Contact us By Email: lanran-decrypter@list.ru . If Send 0.5 Bitcoin We will send you the decryption key LanRan Decryptor. It's Your Choice.
----------
good luck

Перевод записки на русский язык:
Внимание! Ваши файлы были зашифрованы L_A_N_R_A_N@R_A_N_S_0_M_W_A_R_E
Внимание! Ваши личные файлы зашифрованы с алгоритмом RSA-2048.
######################
Что такое шифрование?
Шифрование является обратимым изменением информации с целью безопасности и обеспечивает полный доступ к ней для авторизованных пользователей. Чтобы стать авторизованным пользователем и сделать изменения абсолютно обратимыми (иначе говоря, чтобы иметь возможность расшифровать ваши файлы), вы должны иметь индивидуальный закрытый ключ. Но не только это. Требуется также иметь специальный софт для дешифрования программу "LanRan Decryptor" для безопасного и полного дешифрования всех ваших файлов и данных.
######################
Внимание! Внимание! Внимание! Ваши файлы были зашифрованы L_A_N_R_A_N-R_A_N_S_0_M_W_A_R_E А ваши персональные файлы зашифрованы с алгоритмом RSA-2048.
Отправь 0,5 биткойна на @ 1sUCn6JYa7B96t4nZz1tX5muU2W5YxCmS @ [copy Bitcoin] для расшифровки твоих файлов. Свяжись с нами по email: lanran-decrypter@list.ru. Если отправищь 0,5 биткойн, мы вышлем тебе ключ расшифровки LanRan Decryptor. Это твой выбор.
----------
удачи

По предварительным данным, LanRan пока лишь устанавливает фон и отображает экран блокировки.

Пока находится в разработке, но после релиза может начать распространяться с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
@__help__@
lan.exe
<random>.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: lanran-decrypter@list.ru
BTC: 1sUCn6JYa7B96t4nZz1tX5muU2W5YxCmS
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>  Ещё >>  Ещё >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

 Read to links: 
 Tweet on Twitter + Tweet + Tweet
 ID Ransomware
 Write-up, Topic
 * 

 Thanks: 
 Karsten Hahn
 JaromirHorejsi
 MalwareHunterTeam
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.