EnCrypt

EnCrypt Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в $50 в BTC, чтобы вернуть файлы. Оригинальное название неизвестно.

шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

© Генеалогия:  выясняется.

К зашифрованным файлам добавляется расширение .en

Активность этого крипто-вымогателя пришлась на конец июня 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: READ_THIS_FILE.txt

 Записка о выкупе (две страницы)

Содержание записки о выкупе:
  YOUR DOCUMENTS, PHOTOS, DATABASES AND OTHER IMPORTANT FILES HAVE BEEN ENCRYPTED!
---
 The only way to decrypt your files is to receive the private key and decryption program.
 To decrypt your files you need to buy the private key
 ---
                     HOW TO GET THE PRIVATE KEY?
 1. Create a Bitcoin Wallet (blockchain.info)
 2. Buy necessary amount of Bitcoins (50$)
    Do not forget about the transaction commission in the Bitcoin network
    Here are our recommendations:
   Korbit.co.kr - Bitcoin, Ethereum & Ripple Trading In Korea
    btcdirect.eu  - A good service for Europe
    bittylicious.com - Get BTC via Visa / MC or SEPA (EU) bank transfer
    localbitcoins.com - This service allows you to search for people that want to sell Bitcoins directly (WU, Cash, SEPA, Paypal, etc).
    cex.io - Buy Bitcoins using Visa / Mastercard or Wire Transfer.
    coincafe.com  - It is recommended for the fast and easy service. Payment methods: Western Union, Bank of America, cash through FedEx, Moneygram, and/or wire transfer
    bitstamp.net - Old and proven Bitcoin dealer
    coinmama.com  - Visa/Mastercard
    btc-e.com - Bitcoins dealer (Visa/Mastercard, etc.)
    Could not find Bitcoins in your region? Try searching here:
    buybitcoinworldwide.com  International catalog of Bitcoins exchanges
    bitcoin-net.com  - Another Bitcoins sellers catalog
    howtobuybitcoins.info - International catalog of Bitcoins exchanges
    bittybot.co/eu  - A catalog for the European Union
 3. Send 50$ to the following Bitcoin address:
        1H9jjVku8RPzQ4gDsA4oBQLNw9tEYHaC5X
 4. Go to the following site:
        http://yfkhfomk3iqod5vb.onion 
 5. In there site insert:
    ID ([redacted])
    Your btc address (the same utilized for the payment)
    Your email address (to receive the key and the program for decrypt)
 6. Wait 24/48h and check your email (also the spam)
 ---
                     HOW TO ACCESS TO THE WEBSITE?
 1. Download "Tor Browser" from https://www.torproject.org/ and install it.
 2. In the "Tor Browser" open:
        http://yfkhfomk3iqod5vb.onion 
 Note! This page is available via "Tor Browser" only.
 ---
 Also you can use temporary addresses without using "Tor Browser".
 ---
 1. http://yfkhfomk3iqod5vb.tor2web.org
 2. http://yfkhfomk3iqod5vb.onion.link 
 3. http://yfkhfomk3iqod5vb.onion.nu 
 4. http://yfkhfomk3iqod5vb.onion.cab 
 5. http://yfkhfomk3iqod5vb.onion.to
 ---

Перевод записки на русский язык:
ВАШИ ДОКУМЕНТЫ, ФОТО, БАЗЫ ДАННЫХ И ДРУГИЕ ВАЖНЫЕ ФАЙЛЫ БЫЛИ ЗАШИФРОВАНЫ!
---
 Единственный способ расшифровать ваши файлы - получить закрытый ключ и программу дешифрования.
 Чтобы расшифровать ваши файлы, вам нужно купить закрытый ключ
 ---
                     КАК ПОЛУЧИТЬ ЗАКРЫТЫЙ КЛЮЧ?
 1. Создайте Биткоин-кошелек (blockchain.info)
 2. Купите нужное количество биткоинов (50 $)
    Не забывайте о транзакционной комиссии в Bitcoin-сети
    Вот наши рекомендации:
   Korbit.co.kr - Bitcoin, Ethereum & Ripple Trading в Корее
    Btcdirect.eu - Хороший сервис для Европы
    Bittylicious.com - Получите BTC через банковский перевод Visa / MC или SEPA (EU)
    Localbitcoins.com - Эта услуга позволяет вам искать людей, которые хотят напрямую продавать Bitcoins (WU, Cash, SEPA, Paypal и т.д.).
    Cex.io - Покупка биткоинов с использованием Visa / Mastercard или Wire Transfer.
    Совместимость - рекомендуется для быстрого и легкого обслуживания. Способы оплаты: Western Union, Bank of America, наличные деньги через FedEx, Moneygram и / или банковский перевод
    Bitstamp.net - Старый и проверенный дилер Bitcoin
    Coinmama.com - Visa / Mastercard
    Btc-e.com - Дилер Bitcoins (Visa / Mastercard и т. Д.)
    Не удалось найти биткоины в вашем регионе? Попробуйте найти здесь:
    Buybitcoinworldwide.com Международный каталог обменов биткоинами
    Bitcoin-net.com - Другой каталог продавцов биткоинов
    Howtobuybitcoins.info - Международный каталог обменов биткоинами
    Bittybot.co.eu - Каталог для Европейского Союза
 3. Отправьте 50$ на следующий биткоин-адрес:
        1H9jjVku8RPzQ4gDsA4oBQLNw9tEYHaC5X
 4. Перейдите на следующий сайт:
        http://yfkhfomk3iqod5vb.onion
 5. Там размещён сайт:
    ID ([отредактирован])
    Ваш btc-адрес (тот же, что и для платежа)
    Ваш email-адрес (чтобы получить ключ и программу для расшифровки)
 6. Подождите 24/48 ч. и проверьте свой email (и папку "Спам")
 ---
                     КАК ПОЛУЧИТЬ ДОСТУП К ВЕБ-САЙТУ?
 1. Загрузите «Tor Browser» с https://www.torproject.org/ и установите его.
 2. В «Tor Browser» откройте:
        http://yfkhfomk3iqod5vb.onion
 Заметьте! Эта страница доступна только через Tor-браузер.
 ---
 Также вы можете использовать временные адреса без использования «Tor-браузера.

Начальная страница Tor-сайта

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
READ_THIS_FILE.txt
<random>.exe

Расположения:
***

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
BTC: 1H9jjVku8RPzQ4gDsA4oBQLNw9tEYHaC5X
xxxx://yfkhfomk3iqod5vb.onion 
xxxx://yfkhfomk3iqod5vb.tor2web.org
xxxx://yfkhfomk3iqod5vb.onion.link 
xxxx://yfkhfomk3iqod5vb.onion.nu 
xxxx://yfkhfomk3iqod5vb.onion.cab 
xxxx://yfkhfomk3iqod5vb.onion.to
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

 Read to links: 
 Tweet on Twitter
 ID Ransomware (ID as EnCrypt)
 Write-up, Topic of Support
 * 

 Thanks: 
 Michael Gillespie
 *
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

ВНИМАНИЕ!
1) Ваши комментарии после статьи появятся только после проверки. Дублировать их не нужно.
2) В своём сообщение в форме обратной связи обязательно укажите название шифровальщика.

Lalabitch

Lalabitch Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные серверов с помощью AES, а затем требует выкуп в 0.5 BTC, чтобы вернуть файлы. Оригинальное название. На файле написано.

шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

© Генеалогия: выясняется.

К зашифрованным файлам добавляется расширение .lalabitch
Зашифрованные файлы переименовываются с помощью base64. 

Активность этого крипто-вымогателя пришлась на конец июня 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: lalabitch.php

Содержание записки о выкупе:
Your site is locked with Lalabitch Custom encryption method. 
Please pay 0.5 btc to 18LbTxonanfMoh43t47Pjvdox7z2HFaiM9 for the Decryption key. Or else, 
in 12 hours all of your files in this website will be deleted
- [lalabitch2017[at]yandex.com] -
----------------------------------------------
This is a notice of ransomware.
How to restore the beginning?
Please contact us via email listed

Перевод записки на русский язык:
Ваш сайт заблокирован с Lalabitch обычным способом шифрования.
Оплатите 0.5 btc на 18LbTxonanfMoh43t47Pjvdox7z2HFaiM9 за ключ дешифрования. Или, через 12 часов все ваши файлы на этом веб-сайте будут удалены.
- [lalabitch2017 [at] yandex.com] -
----------------------------------------------
Это уведомление о выкупе.
Как начать восстановление?
Свяжитесь с нами по email.

Технические детали

Может распространяться путём взлома сервера через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Скриншот интерфейса

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Из шифрования исключаются файлы, содержащие в имени: 
.php
.png
404.php
.htaccess
.lndex.php
DyzW4re.php
index.php
.htaDyzW4re

.lol.php

Файлы, связанные с этим Ransomware:
lalabitch.php
<random>.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
BTC: 18LbTxonanfMoh43t47Pjvdox7z2HFaiM9
Email: lalabitch2017@yandex.com
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

 Read to links: 
 Tweet on Twitter
 ID Ransomware (ID as Lalabitch)
 Write-up, Topic of Support
 * 

Added later:
Write up on BC
*
*

 Thanks: 
 Michael Gillespie
 Catalin Cimpanu
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

ВНИМАНИЕ!
1) Ваши комментарии после статьи появятся только после проверки. Дублировать их не нужно.
2) В своём сообщение в форме обратной связи обязательно укажите название шифровальщика.

LeakerLocker

LeakerLocker Ransomware

LeakerLocker Mobile Ransomware

(вымогатель для Android-устройств)
Translation into English

Этот вымогатель для Android-устройств не шифрует данные пользователей, но блокирует экран устройства и угрожает разослать очень личную информацию всем контактам, и требует выкуп в $50-100, чтобы этого не делать. Оригинальное название: не указано. 
---

BitDefenderFalx -> Android.Trojan.LeakerLocker.BX

DrWeb -> Android.RemoteCode.57

ESET-NOD32 -> Android/Locker.KW, A Variant Of Android/Locker.KW

Kaspersky -> HEUR:Trojan.AndroidOS.AdLocker.c

Kingsoft -> Android.Troj.LeakerLocker.a.(kcloud)

McAfee -> Android/Ransom.LeakerLocker.A!Pkg

Microsoft -> Trojan:AndroidOS/Multiverze

Symantec Mobile Insight -> Trojan:Lockdroid.E

TrendMicro -> ANDROIDOS_LEAKERLOCKER.HRX, TROJ_FRS.0NA003GD17

---

© Генеалогия: Удобная ниша (CNAM) >> LeakerLocker

CNAM (Convenient niche for Android malware) — в переводе "Удобная ниша для вредоносного ПО для Android", которая изначально поспособствовала разработке и распространению вредоносных программ для Android-устройств. 

Я придумал этот термин, чтобы в культурной форме назвать это злачное место. 

Информация для идентификации

Активность разных вариантов этого вымогателя была зафиксирована в апреле-июле 2017 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру. 

Оригинальный LeakerLocker не шифровал личные данные пользователей, а незаметно создавал их резервную копию. Причем данные собирались случайным образом, т.е. выборочно. После этого вредонос угрожал разослать всем контактам из телефонной книги и привязанной к гаджету электронной почты очень личные фото, историю браузера и все остальное. Чтобы предотвратить отправку фотографий, переписок и истории браузера, жертвы должны были заплатить 50 или 100 долларов (см. на фото ниже оба варианта выкупа). 

 

Свои требования вымогатель отображал, используя компонент WebView, то есть поверх окон других приложений, блокируя экран устройства.

Содержание текста с экрана: 

Identity and Privacy

LEAK

All personal data from your smartphone has been trasfered to our secure cloud.

It contains:

- Personal photos ()

- Contact numbers ()

- Sent and received SMS ()

- Phone calls history ()

- Facebook messages

- Chrome visits history

- Full email texts

- GPS location history

In less then 72 hours this data will be sent to every person from your telephone and email contacts list.

To abort this action you have to pay a modest RANSOM of $50.

PROCCEED

Please note that there is no way to delete your data from our secure but paying for them. Powering off or even damaging your smartphone won't affect your data in the cloud.

Перевод на русский язык: 

Личность и конфиденциальность

УТЕЧКА

Все личные данные с вашего смартфона были перенесены в наше защищенное облако.

Это содержит:

- Личные фотографии ()

- Контактные телефоны ()

- Отправленные и полученные СМС ()

- История телефонных звонков ()

- Сообщения в Facebook

- История посещений Chrome

- Полные тексты электронной почты

- История местоположения GPS

Менее чем через 72 часа эти данные будут отправлены каждому человеку из вашего списка контактов по телефону и электронной почте.

Чтобы прервать это действие, вы должны заплатить скромный ВЫКУП в размере $50.

ПРОДОЛЖИТЬ

Обратите внимание, что нет способа удалить ваши данные из нашего безопасного хранилища, кроме как заплатить за них. Выключение или даже повреждение смартфона не повлияет на ваши данные в облаке.

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 

Технические детали + IOC

Исследователи обнаружили в Google Play три программы, содержавшие LeakerLocker. Они назывались Booster & Cleaner Pro (оптимизатор памяти, скачан более 1000 раз), Wallpapers Blur HD (сменшик обоев, скачан более 5000 раз) и Calls Recorder (регистратор звонков с дополнительными настройками). 

В магазине приложений злоумышленники выставляли этим приложениям положительные оценки, а в комментариях добавляли положительные отзывы как бы от довольных пользователей. Поначалу установленные приложения делали вид, что работали, но тайно собирали личную информацию. Через некоторое время пользователь получал сообщение с требованием выкупа за удаление собранной информации с сервера.

Судя по комментариям пользователей, оба приложения были частью какой-то бонусной программы, то есть за их установку пользователям предлагали заплатить небольшие деньги.

  

На момент написания статьи приложения Booster & Cleaner Pro и Wallpapers Blur HD уже были удалены из онлайн-магазина приложений, а Calls Recorder, видимо, был удален позже. Но они еще могут быть скачаны со всевозможных сайтов-барахолок для Android-устройств. Например, я легко нашел одно из этих приложений на первом попавшемся сайте даже спустя 5 лет. Скриншот ниже. 

См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


➤ LeakerLocker не использовал никаких эксплойтов и полагался только на права, которые ему добровольно предоставляли сами жертвы. В результате вымогатель получал доступ к почте, списку контактов, истории Chrome, текстовым сообщениям, истории звонков, фотографиям, информации об устройстве и так далее. Но исследователи не обнаружили в коде приложений функций, которые могли бы отвечать за передачу этих данных на удаленный сервер или отправку личной информации всем контактам. И хотя угрозы LeakerLocker, похоже, были совершенно пустыми, специалисты все же не исключают возможности, что вымогатель мог скачивать какой-то дополнительный модуль с удаленного сервера. Вероятно, это происходило, если пострадавший не оплачивал выкуп в размере $50-100.

Файлы, подвергающихся копированию и угрозе рассылки:
Это документы, текстовые файлы, фотографии, музыка, видео и пр.

Файлы, связанные с этим Ransomware:
<ransom_note>.txt - название файла с требованием выкупа;
<random>.apk - случайное название вредоносного файла. 

Расположения и целевые директории:
\Android\ ->

\Data\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:

URL: hxxx://updatmaster.top/click.php*

URL: hxxx://goupdate.bid/click.php*

URL со скриншота: hxxx://designthing.net

Email со скриншота: ostashkinpp@gmail.com

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

VirusTotal analysis >>

Intezer analysis >>

---

VirusTotal analysis >>

Intezer analysis >>

---

VirusTotal analysis >>

Intezer analysis >>

Степень распространённости: средняя.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 ID Ransomware (n/a)
 Write-up, Write-up, Topic of Support
 * 

 Thanks: 
 McAfee, Trend Micro
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

Johnnie

Johnnie Ransomware 

Random6 Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью AES/RSA, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название не указано. На файле написано: df4344.

шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

© Генеалогия: выясняется.

Этимология названия:
Ряд антивирусных движков назвали вредонос как Johnnie.

К зашифрованным файлам добавляется случайное расширений с шестью разными буквами .<random6>

Примеры таких расширений:
.llawex
.dkdfln
.pmxkab
.upzbrf

Зашифрованные файлы переименовываются с использованием base64.

Активность этого крипто-вымогателя пришлась на конец июня 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется с использованием случайного расширения.
Примеры шаблонов записки можно записать так: 
RESTORE-.<random6>-FILES.txt
RESTORE-.<6-char_extension>-FILES.txt

Примеры таких записок:
RESTORE-.llawex-FILES.txt
RESTORE-.dkdfln-FILES.txt
RESTORE-.pmxkab-FILES.txt
RESTORE-.upzbrf-FILES.txt

Содержание записки о выкупе:
Your files are Encrypted!
For decryption send letter on email filesrestore@tutanota.com in letter attach your Personal ID.
If email don't works, register here: http://bitmsg.me, send letter to BM-NBazWh9xNVf2SgmvLv8pc3Uc9CCXtXMu
With your Personal ID and email for contacts.
After you send payment to given BTC adress in answer, you will get your files restored.
Your Personal ID: 
XwPCzCqFJ99Yvg***

Перевод записки на русский язык:
Ваши файлы зашифрованы!
Для расшифровки отправьте письмо на email filesrestore@tutanota.com к письму приложите свой личный ID.
Если почта не работает, зарегистрируйтесь здесь: http://bitmsg.me, отправьте письмо на BM-NBazWh9xNVf2SgmvLv8pc3Uc9CCXtXMu
С вашим личным ID и email для контакта.
После отправки платежа на указанный BTC-адрес в ответ, вы восстановите свои файлы.
Ваш личный ID:
XwPCzCqFJ99Yvg***

Информатором жертвы выступает также скринлок, встающий обоями рабочего стола Desktop background.png

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
dfdf333.exe (sdFf34453.exe)
Desktop background.png
RESTORE-.llawex-FILES.txt
.llawex.log
<random>.llawex

Расположения:
%USERPROFILE%\Downloads\<random>.llawex

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

 Read to links: 
 Tweet on Twitter
 ID Ransomware (ID as Random6)
 Write-up, Topic of Support
 * 

 Thanks: 
 Marcelo Rivero
 Michael Gillespie
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

WannaCry.NET

WannaCry.NET Ransomware
Fake Clone WannaCry

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью AES/RSA, а затем требует выкуп в 0.1 BTC (сейчас это ~$260), чтобы вернуть файлы. Оригинальное название: WannaCry (разумеется фальшивый). На файле написано: wanna_cry и др. Написан на языке .NET

© Генеалогия: .NET >> WannaCry.NET

К зашифрованным файлам добавляется расширение *нет данных*.

Активность этого крипто-вымогателя пришлась на конец июня 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Запиской с требованием выкупа выступает текстовый файл @Please_Read_Me@.txt, скринлок, встающий обоями и экран блокировки:

Содержание записки @Please_Read_Me@.txt:
Q: What's wrong with my files?
A: Oooops, your important files are encrypted. It means you will not be able to access them anymore until they are decrypted. If you follow our instructions, we guarantee that you can decrypt all your files quickly and safely! Let's start decrypting!
Q: What do I do?
A: First, you need to pay service fees for the decryption. Please send 0.1 bitcoin to this bitcoin address: 13KBb1G7pkqcJcxpRHg387roBj2NX7Ufyf
Next, please find an application file named "@WanaDecryptor@.exe". It is the decrypt software. Run and follow the instructions! (You may need to disable your antivirus for a while.)
Q: How can I trust?
A: Don't worry about decryption. We will decrypt your files surely because nobody will trust us if we cheat users.
* If you need our assistance, send a message by clicking < Contact Us > on the decryptor window.

Перевод записки на русский язык:
В: Что не так с моими файлами?
О: Упс, ваши важные файлы зашифрованы. Это значит, что вы не сможете получить к ним доступ, пока они не будут расшифрованы. Если вы будете следовать нашим инструкциям, мы гарантируем, что вы сможете быстро и безопасно расшифровать все свои файлы! Давайте начнем расшифровку!
В: Что мне делать?
О: Во-первых, вам нужно заплатить выкуп за услуги расшифровки. Отправьте 0.1 биткоина на этот биткойн-адрес: 13KBb1G7pkqcJcxpRHg387roBj2NX7Ufyf 
Затем найдите файл приложения с именем "@WanaDecryptor@.exe". Это программа дешифровки. Запустите и следуйте инструкциям! (Возможно, вам нужно временно отключить антивирус.)
В: Могу ли я доверять?
О: Не беспокойтесь о расшифровке. Мы расшифруем ваши файлы, т.к. никто не будет нам доверять, если мы обманем пользователей.
* Если вам нужна наша помощь, отправьте сообщение, нажав <Contact Us> в окне расшифровки.

Технические детали

WannaCry.NET внешне сделан один-в-один как WannaCry NSA EE, с такими же таймером и требованиями выкупа, но не более. Кодирован в .NET, включает в себя строку WNCRY и не использует никаких эксплойтов NSA. Обычно .NET-Ransomware является признаком того, что автор не имеет опыта кодирования, но к этому фальшивому WannaCry это не относится, т.к. является одним из лучших штаммов .NET-Ransomware, которые мы ранее видели. 

Специалисты ЛК обнаружили несколько индикаторов, оставленных разработчиками-вымогателями для того, чтобы ввести пожелавших заглянуть в код программы. Это строка WNCRY, строка-название проекта WannaCry и строка made in china. 

WannaCry.NET удаляет теневые копии файлов. Инициализирует ключи.
Не запускается без специальных аргументов командной строки. 
Использует C&C в сети Tor. 
Вырубает процессы приложений перед шифрованием файлов. 
Создает список файлов для шифрования. Шифрует файлы.
Показывает окно с требованием выкупа. Сохраняет текстовую записку с вопросами и ответами. 

Закрытый ключ RSA шифруется открытым ключом RSA. Для каждого файла генерируется ключ AES-256 и IV. Ключ и IV зашифровываются сгенерированным ключом RSA «Session» и сохраняются в зашифрованном файле.

Номер BTC-кошелька фиксирован 13KBb1G7pkqcJcxpRHg387roBj2NX7Ufyf для всех инфекций. На данный момент кошелек получил семь платежей, всего 0,51 BTC. Большая часть платежей сделана 26 июня, видимо это был тот день, когда атака достигла максимума. Интересно, что злоумышленники отозвали 0.41 BTC со счета.

Около 90 атакованных организаций получили на свои ПК с обновлениями ПО M.E.Doc ещё и WannaCry.NET, большинство находятся в Украине.

После перепродажи крипто-вымогатель может начать распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Кто стоит за этим крипто-вымогателем?
Сегодня кто-то распространяет (продаёт) этот крипто-вымогатель в Украине под видом WannaCry. Ранее распространялся XData на основе похищенной кодовой базы AES-NI, PSCrypt - на основе GlobeImposter, Petya NSA EE замаскирован под Petya.
Нет чётких доказательств того, что одна и та же группа стоит за всеми этими вредоносными кампаниями в Украине и других странах, но довольно много совпадений, чтобы это не замечать. 
Хочу посоветовать пострадавшим включить голову и извлечь из этих атак уроки. Если продолжать обвинять во всех мнимых и явных нападках Россию и неких российских хакеров, то это значит снова подставить под удар свои серверы, сайты, сети и ПК. 
Атакующим (как и любым другим преступникам) только на руку, чтобы виновными считали совершенно других людей, чтобы обвинения выдвигали против кого-то другого. 

Запомните, кибер-криминал безлик, безнационален, скрытен, но цели его известны: причинить вред и извлечь выгоду. 
Атаки будут продолжаться, кажущаяся тишина временна, т.к. за это время кибер-криминал ищет новые уязвимые места, чтобы ударить ещё точнее, сильнее и разрушительнее. 

Список файловых расширений, подвергающихся шифрованию:
.123, .3dm,.3ds, .3g2, .3gp, .602, .7z, .accdb, .aes, .ai, .ARC, .asc, .asf, .asm, .asp, .avi, .backup,.bak, .bat, .brd, .bz2, .c, .cgm, .class, .cmd,.cpp, .crt, .cs, .csr, .csv, .db, .dbf, .dch, .der, .dif, .dip, .djvu,.doc, .docb, .docm, .docx, .dot, .dotm, .dotx, .dwg, .edb, .eml, .fla, .flv,.frm, .gpg, .gz, .h, .hwp, .ibd, .iso,.jar, .java, .js, .jsp, .key, .lay,.lay6, .ldf, .m3u, .m4u, .max, .mdb, .mdf,.mid, .mkv, .mml, .mov, .mp3, .mp4,.mpeg, .mpg, .msg, .myd, .myi, .nef, .odb, .odg,.odp, .ods, .odt,.onetoc2, .ost, .otg, .otp, .ots, .ott, .p12, .PAQ, .pas, .pdf, .pem, .pfx, .php,.pl, .pot, .potm, .potx,.ppam, .pps, .ppsm, .ppsx, .ppt, .pptm, .pptx, .ps1, .psd, .pst, .rar,.raw, .rb, .rtf, .sch, .sh, .sldm,.sldm, .sldx, .slk, .sln, .snt, .sql, .sqlite3, .sqlitedb, .stc, .std, .sti, .stw, .suo, .svg, .swf, .sxc, .sxd, .sxi, .sxm, .sxw, .tar, .tbk, .tgz, .tiff, .txt, .uop, .uot, .vb, .vbs, .vcd, .vdi, .vmdk, .vmx, .vob,.vsd, .vsdx, .wav, .wb2, .wk1, .wks, .wma, .wmv, .xlc, .xlm, .xls, .xlsb, .xlsm, .xlsx,.xlt, .xltm, .xltx, .xlw, .zip (173 расширения).

Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
wc.exe - WannaCry
wd.exe - @WanaDecryptor@.exe
ed.exe - Electronic documents (M.E.Doc)
@Please_Read_Me@.txt
@WanaDecryptor@.bmp

Расположения:
%CurrentFolder%\ed.exe
%SystemDrive%\Documents and Settings\All Users\Desktop\@Please_Read_Me@.txt
%SystemDrive%\Documents and Settings\All Users\Desktop\@WanaDecryptor@.exe
%SystemDrive%\All Users\Music\@Please_Read_Me@.txt
%SystemDrive%\All Users\Music\@WanaDecryptor@.exe
%SystemDrive%\All Users\Pictures\@Please_Read_Me@.txt
%SystemDrive%\All Users\Pictures\@WanaDecryptor@.exe
%SystemDrive%\All Users\Favorites\@Please_Read_Me@.txt
%SystemDrive%\All Users\Favorites\@WanaDecryptor@.exe
%SystemDrive%\All Users\AppData\Roaming\Microsoft\Templates\@Please_Read_Me@.txt
%SystemDrive%\All Users\AppData\Roaming\Microsoft\Templates\@WanaDecryptor@.exe

Записи реестра, связанные с этим Ransomware:
RSA Private Key 
RSA Public Key 
HKEY_CURRENT_USER\Software\WC\"public_key" = "[DATA]"
HKEY_CURRENT_USER\Software\WC\"private_key_encrypted" = "[DATA]"
HKEY_CURRENT_USER\Software\WC\"guid" = "[UNIQUE ID]"
HKEY_CURRENT_USER\Software\WC\"wc_path" = "[PATH TO MALWARE]"
HKEY_CURRENT_USER\Software\WC\"time" = "[SYSTEM TIME]"
См. ниже результаты анализов.

Сетевые подключения и связи:
xxxx://4gxdnocmhl2tzx3z.onion
BTC: 13KBb1G7pkqcJcxpRHg387roBj2NX7Ufyf
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ на Dropper >>
VirusTotal анализ на Dropper >>
Гибридный анализ на GUI >>
VirusTotal анализ на GUI >>
Гибридный анализ на Encrypter >>
VirusTotal анализ на Encrypter >>
Symantec: Ransom.Fakecry >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

 Read to links: 
 Tweet on Twitter
 ID Ransomware (ID as WannaCry.NET)
 Write-up, Write-up
 * 

 Thanks: 
 MalwareHunterTeam
 Michael Gillespie
 BleepingComputer
 SecureList, Symantec Security Response
 

© Amigo-A (Andrew Ivanov): All blog articles.

шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private