Если вы не видите здесь изображений, то используйте VPN.

вторник, 4 июля 2017 г.

ZeroRansom

ZeroRansom Ransomware

(шифровальщик-вымогатель)


Этот крипто-вымогатель шифрует данные пользователей, а затем требует выполнить инструкции, но не сообщат сумму выкупа и контакты для его уплаты, чтобы вернуть файлы. Оригинальное название: ZeroRansom. На файле написано: ConsoleCS_NetF. Среда разработки: Visual Studio 2017. 
шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

© Генеалогия: выясняется.

К зашифрованным файлам добавляется расширение .z3r0

Образец этого крипто-вымогателя найден в начале июля 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру. Вероятно еще находится в разработке, т.к. в записке нет контактов для уплаты выкупа. 

Записка с требованием выкупа называется: EncryptNote_README.txt
ZeroRansom

Содержание записки о выкупе:
All your important files have been encrypted by ZeroRansom. Please follow instruction below to keep your file
1. Don't try to do anything stupid like delete the encryptor or terminate its process.
2. Turn off your anti-virus program and make sure it hasn't deleted any file of the encryptor
3. Follow these rule strictly or your files will be deleted FOREVER
4. Thanks for reading this. Have a good day, sir. :)

Перевод записки на русский язык:
Все ваши важные файлы были зашифрованы ZeroRansom. Следуйте инструкциям ниже, чтобы сохранить файл
1. Не пытайтесь делать что-то глупое, как удаление шифратора или завершение его процесса.
2. Отключите свою антивирусную программу и убедитесь, что она не удалила ни одного файла шифратора
3. Соблюдайте это правило строго или ваши файлы будут навсегда удалены 
4. Спасибо за это. Удачного дня, сэр. :)

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Отправляет ключ шифрования через посту Gmail.

Список файловых расширений, подвергающихся шифрованию:
.7z, .bat, .c, .cpp, .cs, .db, .dll, .doc, .docx, .gif, .jar, .java, .jpg, .mp3, .mp4, .pdf, .peg, .png, .ppt, .pptx, .rar, .sln, .txt, .xls, .xlsx, .zip (26 расширений).

Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
ConsoleCS_NetF.exe
EncryptNote_README.txt

Расположения:
\Desktop\EncryptNote_README.txt

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email из кода: zerounix32@gmail.com, zerounix48@gmail.com
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.


 Read to links: 
 Tweet on Twitter
 ID Ransomware
 Write-up, Topic of Support
 * 
 Thanks: 
 Karsten Hahn
 *
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

ВНИМАНИЕ!
1) Ваши комментарии после статьи появятся только после проверки. Дублировать их не нужно.
2) В своём сообщение в форме обратной связи обязательно укажите название шифровальщика.

воскресенье, 2 июля 2017 г.

BTCWare-Aleta

Aleta Ransomware

BTCWare-Aleta Ransomware

(шифровальщик-вымогатель)


Этот крипто-вымогатель шифрует данные пользователей с помощью AES-256 (только первые 10 Мб), а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: Aleta Ransomware. 
BTCWare-Aleta Ransomware
This BTCWare's logo was developed on this site ID-Ransomware.RU

© Генеалогия: BTCWareBTCWare-Aleta

К зашифрованным файлам добавляются расширения
.[black.mirror@qq.com].aleta
.[black.block@qq.com].aleta
.[averiasw@qq.com].aleta

Email может меняться, потому шаблон расширения можно записать так: .[<email>].aleta

Активность этого крипто-вымогателя пришлась на конец июня - начало июля 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: !#_READ_ME_#!.inf
Aleta

Запиской с требованием выкупа также является скринлок, встающий обоями рабочего стола. 
Aleta

Содержание текстовой записки о выкупе:
[WHAT HAPPENED]
Your important files produced on this computer have been encrypted due a security problem
If you want to restore them, write us to the e-mail: black.mirror@qq.com
You have to pay for decryption in Bitcoins. The price depends on how fast you write to us.
After payment we will send you the decryption tool that will decrypt all your files.
[FREE DECRYPTION AS GUARANTEE]
Before paying you can send to us up to 3 files for free decryption.
Please note that files must NOT contain valuable information
and their total size must be less than 1Mb
[HOW TO OBTAIN BITCOINS]
The easiest way to buy bitcoin is LocalBitcoins site.
You have to register, click Buy bitcoins and select the seller by payment method and price
https://localbitcoins.com/buy_bitcoins
[ATTENTION]
Do not rename encrypted files
Do not try to decrypt your data using third party software, it may cause permanent data loss
If you not write on e-mail in 36 hours - your key has been deleted and you cant decrypt your files
Your ID:
bv/T6B2J***

Перевод текстовой записки на русский язык:
[ЧТО СЛУЧИЛОСЬ]
Ваши важные файлы, созданные на этом компьютере, были зашифрованы из-за проблемы с безопасностью
Если вы хотите их восстановить, напишите нам на e-mail: black.mirror@qq.com
Вы должны заплатить за дешифрование в биткоинах. Цена зависит от того, как быстро вы пишете нам.
После оплаты мы отправим вам инструмент дешифрования, который расшифрует все ваши файлы.
[БЕСПЛАТНАЯ ДЕШИФРОВКА КАК ГАРАНТИЯ]
Перед оплатой вы можете отправить нам до 3 файлов для бесплатного дешифрования.
Обратите внимание, что файлы НЕ должны содержать ценную информацию
И их общий размер должен быть меньше 1 Мб
[КАК ПОЛУЧИТЬ БИТКОИНЫ]
Самый простой способ купить биткоины - сайт LocalBitcoins.
Вам надо зарегистрироваться, нажать "Buy bitcoins" и выбрать продавца по способу оплаты и цене
https://localbitcoins.com/buy_bitcoins
[ВНИМАНИЕ]
Не переименовывайте зашифрованные файлы
Не пытайтесь расшифровывать свои данные с помощью сторонних программ, это может привести к утрате данных
Если вы не напишете на email за 36 часов - ваш ключ будет удален, и вы не сможете расшифровать свои файлы
Ваш ID:
bv/T6B2J***

Содержание текста с обоев:
ALETA RANSOMWARE
Your important files produced on this computer have been encrypted!
The only way to decrypt your files is to receive the private-key and decryption program.
To receive the private-key and decryption program write us to the e-mail: darkwaiderr@cock.li and attach your ID
You can find it in READ_ME file
ATTENTION!
If you not write on e-mail in 36 hours your key has been deleted and you cant decrypt your files

Перевод текста на русский язык:
ALETA RANSOMWARE
Ваши важные файлы, созданные на этом компьютере, были зашифрованы!
Единственный способ расшифровать ваши файлы - это получить закрытый ключ и программу дешифрования.
Чтобы получить закрытый ключ и программу дешифрования, напишите нам на email: darkwaiderr@cock.li и прикрепите свой ID
Вы можете найти его в файле READ_ME
ВНИМАНИЕ!
Если вы не напишете на email за 36 часов, ваш ключ будет удален, и вы не сможете расшифровать свои файлы

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.


Проверяет наличие известных отладчиков и инструментов анализа. 
Создаёт множество процессов, чтобы скрыть свою деятельность. 
Удаляет теневые копии файлов, отключает функции восстановления и исправления Windows на этапе загрузки командами:
Aleta
Завершает работу и отключает запуск на старте системы некоторых служб.

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
darkwaiderr@cock.li.exe
!#_READ_ME_#!.inf

Расположения:
%APPDATA%\!#_READ_ME_#!.inf
%USERPROFILE%\Desktop\!#_READ_ME_#!.inf

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: black.mirror@qq.com
black.block@qq.com
averiasw@qq.com
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>  Ещё >>
Другой анализ >>

Степень распространённости: средняя.
Подробные сведения собираются регулярно.



=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===



=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновление от 1 июля 2017:
Пост в Твиттере >>
Записка:  !#_READ_ME_#!.txt
Расширение: .aleta
Составное расширение: .[black.block@qq.com].aleta
Email: black.block@qq.com





Обновление от 18 июля 2017:
Email: averiasw@qq.com
Расширение: .aleta
Составное расширение: .[averiasw@qq.com].aleta
Тема поддержки >>


Обновление от 11 сентября 2017:
Записка: !#_READ_ME_#!.hta
Email: payfordecrypt@qq.com
Расширение: .aleta
Составное расширение: .[payfordecrypt@qq.com].aleta


Обновление от 26 июля 2017:
Расширение: .aleta
Составное расширение: .[chines34@protonmail.ch].aleta
Записки: !#_READ_ME_#!.hta и Info.hta
Email: chines34@protonmail.ch



=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
Внимание!
Для зашифрованных файлов есть декриптер
Скачать BTCWareDecrypter и расшифровать файлы >>
Изучите подробное руководство, чтобы не повредить файлы.
Поддерживаются расширения: 
.aleta, .blocking, .btcware, .cryptobyte, .crypton, .cryptowin, .encrypted, 
.gryphon, .master, .nuclear, .onyon, .theva, .payday, .shadow, .wallet, 
.wyvern, .xfile
 Read to links: 
 Tweet on Twitter
 ID Ransomware (ID as BTCWare Aleta)
 Write-up, Topic of Support
 * 
 Thanks: 
 Michael Gillespie
 BleepingComputer
 Marcelo Rivero
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.
шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

суббота, 1 июля 2017 г.

RanRans

RanRans Ransomware

(шифровальщик-вымогатель)


Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в $50 BTC, чтобы вернуть файлы. Оригинальное название: RanRans. На файле написано: CrackMe.
шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

© Генеалогия: HiddenTear >> RanRans

К зашифрованным файлам добавляется расширение .ranrans

Образец этого крипто-вымогателя найден в начале июля 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру. Содержит ошибки и даёт сбои. 

Записка с требованием выкупа называется: READ_IT.txt
Другим информаторов выступает скринлок, встающий обоями рабочего стола. 

Содержание записки о выкупе:
Your PC Has been Encrypted !
Please send 50$ in Bitcoin to this Address : 1EkL3c68MY5MvchU4FHRYCjEj4DKAerG9
With Blockchain : xxxxs://blockchain.info/payment request?address=1EkL3c68MYv5MvchU4FHRYCjEj4DKAerG9&amount=0.2&message=RanRans 
Sign up on blockchains.info or some other website and send the payment.
What's BTC? xxxxs://wikipedia.org/wiki/Bitcoin
Download Decrypt Tool : xxxx://bit.lv/2pSvhaO or xxxx://bit.ly/2pSGjvO or xxxx://bit.ly/2qtVk8B
Once paid you will have your key for Restore your file.
Please Send your email as comment with the name of your computer when you send the Payment. 

Перевод записки на русский язык:
Ваш компьютер был зашифрован!
Пожалуйста, отправьте 50$ в биткоинах на этот адрес: 1EkL3c68MY5MvchU4FHRYCjEj4DKAerG9
С Blockchain: xxxxs://blockchain.info/payment request?address=1EkL3c68MYv5MvchU4FHRYCjEj4DKAerG9&amount=0.2&message=RanRans 
Зарегистрируйтесь на сайте blockchains.info или на другом веб-сайте и отправьте платеж.
Что такое BTC? xxxxs://wikipedia.org/wiki/Bitcoin
Загрузите декриптер: xxxx://bit.lv/2pSvhaO или xxxx://bit.ly/2pSGjvO или xxxx://bit.ly/2qtVk8B
После оплаты у вас будет ключ для восстановления вашего файла.
Пожалуйста, отправьте ваш email в виде комментария с именем вашего компьютера когда сделаете оплату.

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
Crack Me.exe
<random>.exe
READ_IT.txt

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
xxxx://ranrans.000webhostapp.com/*** (145.14.145.49:443, Нидерланды)
xxxx://pp.com/***
xxxx://copyexitodelvalle.tk/wp-login.php***
xxxx://member-daumchk.netai.net/ ***
xxxxs://lancelvoice.000webhostapp.com/new-messages/new-office-note/***
xxxx://voiceandfax.000webhostapp.com/ ***

xxxxs://byhakdad.000webhostapp.com/***
xxxx://bit.lv/2pSvhaO
xxxx://bit.ly/2pSGjvO
xxxx://bit.ly/2qtVk8B
BTC: 1EkL3c68MYv5MvchU4FHRYCjEj4DKAerG9
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.


 Read to links: 
 Tweet on Twitter
 ID Ransomware (ID as RanRans)
 Write-up, Topic of Support
 Video review
 Thanks: 
 Lawrence Abrams‏ 
 GrujaRS
 Michael Gillespie
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

ВНИМАНИЕ!
1) Ваши комментарии после статьи появятся только после проверки. Дублировать их не нужно.
2) В своём сообщение в форме обратной связи обязательно укажите название шифровальщика.

Hell, Radiation

Hell Ransomware
Radiation Ransomware

(шифровальщик-вымогатель)


  Этот крипто-вымогатель шифрует данные пользователей с помощью AES + RSA, а затем требует выкуп в $310 в BTC, чтобы вернуть файлы. Оригинальное название двояко. На файле проекта написано: HellsRansomware. На исполняемом файле написано: ChaseBot. Другое название: NativeRansomware. Разработчик: dhill (KingCobra). Среда разработки: Visual Studio 2013 (для Decrypter), Visual Studio 2015 (для HellsRansomware).
шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

© Генеалогия: выясняется.

К зашифрованным файлам никакое расширение не добавляется. 
Имена файлов не изменяются. 

Активность этого крипто-вымогателя пришлась на конец июня 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Запиской с требованием выкупа выступают текстовая записка, скринлок, встающий обоями рабочего стола и экран блокировки с кнопками.
Hell, Radiation
Обои с текстом

Hell, Radiation
Экран блокировки

Hell, Radiation
Hell, Radiation Hell, Radiation
Остальные скриншоты

Содержание текста с обоев:
Ugh.. oh!
Your Files Are Encrypted!
To retrieve your files
Please Refer to decrypt.exe and decrypt.txt
These files can be found on your desktop
#Hell Ransomware Made by KingCobra

Перевод текста на русский язык:
Ух .. ой!
Ваши файлы зашифрованы!
Для возврата ваших файлов
Обратитесь к файлам decrypt.exe и decrypt.txt
Эти файлы можно найти на рабочем столе
#Hell Ransomeware от KingCobra

Содержание текста с экрана "Radiation Ransomare"
Note your files are encrypted with AES + RSA encryption. This is not normal. In order to get your files back send 310$ to the bitcoin address below. There is no other way to decrypt your files. Any attempt to remove the ransomware may result in deletion of files and loss of data! Only Bitcoin is accepted. For more info on how to buy bitcoin click the button below.
Bitcoin Address: 1CryptcfFKJJES1Gh5zAoFtmnPYLCRcMmY

Перевод текста на русский язык:
Заметьте, что ваши файлы зашифрованы с шифрованиями AES + RSA. Это не нормально. Для возврата ваших файлов, шлите 310$ на биткоин-адрес ниже. Нет иного способа расшифровать ваши файлы. Любая попытка удалить ransomware может привести к удалению файлов и потере данных! Принимаются только биткоины. Для информации о покупке биткоинов, нажмите кнопку ниже.
Биткоин-адрес: 1CryptcfFKJJES1Gh5zAoFtmnPYLCRcMmY

Содержание текста с экрана "HowtoBuyBitcoin":
How to buy bitcoin
First Step: Get a Wallet
First you'll need a bitcoin wallet - an app that lets you receive, hold, and spend bitcoin.
Any one can work like http://coinbase.com
IF you want to keep this simple skip to the next step.
Second Step: Buy some bitcoin
Once you've set up your wallet app, you'll need to buy some bitcoin.
Bitcoin exchanges are available all over the world, allowing users to convert any currency into and out of bitcoin. Every country and region is different, so you'll want to do some research before choosing an exchange.
Some exchanges that does most times not require an ID for verification are paxful which can be found at http://www.paxful.com another is https://localbitcoins.com
Many other places also sell bitcoin.
Third Step: Make the Payment
Making a bitcoin payment is fast, convenient, and extremely secure.
To make a payment, you won't need to enter any sensitive card information. 
Instead, you'll simply send the payment from your bitcoin wallet.
So put in our address and send the bitcoin. We are legit and can be trusted. This is not a typical ransomware through which you do not get your files back. 
We would also like to remind you that, there is no other way to retrieve your files! Any "decrypter" or "antivirus" product simply is a scam and does not and will not work. It is really hard to crack a strong cipher like RSA + AES.

Перевод текста на русский язык (без корректировки):
Как купить биткоины
Первый шаг: получить кошелёк
Сначала вам нужен биткоин-кошелёк - приложение, которое позволяет получать, хранить и тратить биткоин.
Любой может работать на http://coinbase.com
Если вы хотите сохранить этот простой переход к следующему шагу.
Второй шаг: купите биткоины
Как только вы настроите свое приложение для кошелька, вам нужно купить какие-то биткоины.
Биткоин-обмен доступен во всем мире, что позволяет пользователям конвертировать любую валюту в биткоин и обратно. Каждая страна и регион различаются, потому вам нужно сделать некоторые исследования, прежде чем выбирать обмен.
Некоторые обмены в большинстве случаев не требуют идентификатора для проверки, как paxful, которые можно найти по адресу http://www.paxful.com, другой - https://localbitcoins.com
Многие другие места также продают биткоины.
Третий шаг: сделайте платеж
Сделать биткоин-платеж это быстро, удобно и очень безопасно.
Чтобы сделать платеж, вам не нужно вводить информацию о конфиденциальной карте.
Вместо этого вы просто отправите платеж из своего кошелька с биткоинами.
Просто вставьте наш адрес и отправьте биткоины. Мы являемся законными и им можно доверять. Это не типичная выгода, из-за которой вы не возвращаете свои файлы.
Мы также хотели бы напомнить вам, что нет другого способа получить ваши файлы! Любой продукт "decrypter" или "antivirus" является мошенничеством, не работает и не будет работать. Очень сложно взломать сильный шифр, такой как RSA + AES.

Содержание текста с вопросами-ответами:
Q: What's wrong with my files?
A: Ooops, your important files are encrypted. It means you will not be able to access them anymore until they are decrypted.
If you follow our instructions, we guarantee that you can decrypt all your files quickly and safely! Let's start decrypting!
Q: What do I do?
A: First, you need to pay service fees for the decryption.Please send $300 worth of bitcoin to this bitcoin address BTC 1CryptcfFKJJES1Gh5zAoFtmnPYLCRcMmYNext, please find an application file named Decrypter. It is the decrypt software.
Ok follow how to pay the instruction! (You may need to disable your antivirus for a while.)
Q: How can I trust?
A: Don't worry about decryption.We will decrypt your files surely because nobody will trust us if we cheat users. you need just pay 1 transaction via bitcoin to specific server our give you how pay instruction to bitcoin address BTC 1CryptcfFKJJES1Gh5zAoFtmnPYLCRcMmY

Перевод текста на русский язык (без корректировки):
В: Что случилось с моими файлами?
О: Упс, ваши важные файлы зашифрованы. Это значит, что вы не сможете получить к ним доступ, пока они не будут дешифрованы.
Если вы следуете нашим инструкциям, мы гарантируем, что вы сможете быстро и безопасно дешифровывать все ваши файлы! Давайте начнем дешифровку!
В: Что мне делать?
О: Во-первых, вам нужно заплатить за дешифрование. Пожалуйста, отправьте биткоины стоимостью $300 на этот биткоин-адрес BTC 1CryptcfFKJJES1Gh5zAoFtmnPYLCRcMmY
Далее, найдите файл программы с именем Decrypter. Это программ дешифрования.
Хорошо, следуйте инструкциям! (Может, вам потребуется на какое-то время отключить антивирус.)
В: Могу ли я доверять?
О: Не беспокойтесь о дешифровке. Мы обязательно дешифруем ваши файлы, т.к. никто не будет доверять нам, если мы обманем пользователей. Вам нужно просто оплатить 1 транзакцию с биткоинами на конкретный сервер, который даст инструкции вам, как платить на биткоин адрес BTC 1CryptcfFKJJES1Gh5zAoFtmnPYLCRcMmY

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Из-за ошибок в кодировании файлы безвозвратно повреждаются. 
Уплата выкупа бесполезна!!!

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
ChaseBot.exe
RADIATION.bin
RADIATION.txt
memes.jpg
decrypt.exe
decrypt.txt
decrypter.exe
public.me
private.me

Расположения:
%TMP%/memes.jpg
%TMP%/decrypter.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
BTC: 1CryptcfFKJJES1Gh5zAoFtmnPYLCRcMmY
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.


 Read to links: 
 Tweet on Twitter
 ID Ransomware (ID as Radiation)
 Write-up, Topic of Support
Video review
 Thanks: 
 Lawrence Abrams‏ 
 Michael Gillespie
 GrujaRS
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

EnCrypt

EnCrypt Ransomware

(шифровальщик-вымогатель)


Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в $50 в BTC, чтобы вернуть файлы. Оригинальное название неизвестно.
шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

© Генеалогия:  выясняется.

К зашифрованным файлам добавляется расширение .en

Активность этого крипто-вымогателя пришлась на конец июня 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: READ_THIS_FILE.txt
EnCryptEnCrypt
 Записка о выкупе (две страницы)

Содержание записки о выкупе:
  YOUR DOCUMENTS, PHOTOS, DATABASES AND OTHER IMPORTANT FILES HAVE BEEN ENCRYPTED!
---
 The only way to decrypt your files is to receive the private key and decryption program.
 To decrypt your files you need to buy the private key
 ---
                     HOW TO GET THE PRIVATE KEY?
 1. Create a Bitcoin Wallet (blockchain.info)
 2. Buy necessary amount of Bitcoins (50$)
    Do not forget about the transaction commission in the Bitcoin network
    Here are our recommendations:
   Korbit.co.kr - Bitcoin, Ethereum & Ripple Trading In Korea
    btcdirect.eu  - A good service for Europe
    bittylicious.com - Get BTC via Visa / MC or SEPA (EU) bank transfer
    localbitcoins.com - This service allows you to search for people that want to sell Bitcoins directly (WU, Cash, SEPA, Paypal, etc).
    cex.io - Buy Bitcoins using Visa / Mastercard or Wire Transfer.
    coincafe.com  - It is recommended for the fast and easy service. Payment methods: Western Union, Bank of America, cash through FedEx, Moneygram, and/or wire transfer
    bitstamp.net - Old and proven Bitcoin dealer
    coinmama.com  - Visa/Mastercard
    btc-e.com - Bitcoins dealer (Visa/Mastercard, etc.)
    Could not find Bitcoins in your region? Try searching here:
    buybitcoinworldwide.com  International catalog of Bitcoins exchanges
    bitcoin-net.com  - Another Bitcoins sellers catalog
    howtobuybitcoins.info - International catalog of Bitcoins exchanges
    bittybot.co/eu  - A catalog for the European Union
 3. Send 50$ to the following Bitcoin address:
        1H9jjVku8RPzQ4gDsA4oBQLNw9tEYHaC5X
 4. Go to the following site:
        http://yfkhfomk3iqod5vb.onion 
 5. In there site insert:
    ID ([redacted])
    Your btc address (the same utilized for the payment)
    Your email address (to receive the key and the program for decrypt)
 6. Wait 24/48h and check your email (also the spam)
 ---
                     HOW TO ACCESS TO THE WEBSITE?
 1. Download "Tor Browser" from https://www.torproject.org/ and install it.
 2. In the "Tor Browser" open:
        http://yfkhfomk3iqod5vb.onion 
 Note! This page is available via "Tor Browser" only.
 ---
 Also you can use temporary addresses without using "Tor Browser".
 ---
 1. http://yfkhfomk3iqod5vb.tor2web.org
 2. http://yfkhfomk3iqod5vb.onion.link 
 3. http://yfkhfomk3iqod5vb.onion.nu 
 4. http://yfkhfomk3iqod5vb.onion.cab 
 5. http://yfkhfomk3iqod5vb.onion.to
 ---

Перевод записки на русский язык:
ВАШИ ДОКУМЕНТЫ, ФОТО, БАЗЫ ДАННЫХ И ДРУГИЕ ВАЖНЫЕ ФАЙЛЫ БЫЛИ ЗАШИФРОВАНЫ!
---
 Единственный способ расшифровать ваши файлы - получить закрытый ключ и программу дешифрования.
 Чтобы расшифровать ваши файлы, вам нужно купить закрытый ключ
 ---
                     КАК ПОЛУЧИТЬ ЗАКРЫТЫЙ КЛЮЧ?
 1. Создайте Биткоин-кошелек (blockchain.info)
 2. Купите нужное количество биткоинов (50 $)
    Не забывайте о транзакционной комиссии в Bitcoin-сети
    Вот наши рекомендации:
   Korbit.co.kr - Bitcoin, Ethereum & Ripple Trading в Корее
    Btcdirect.eu - Хороший сервис для Европы
    Bittylicious.com - Получите BTC через банковский перевод Visa / MC или SEPA (EU)
    Localbitcoins.com - Эта услуга позволяет вам искать людей, которые хотят напрямую продавать Bitcoins (WU, Cash, SEPA, Paypal и т.д.).
    Cex.io - Покупка биткоинов с использованием Visa / Mastercard или Wire Transfer.
    Совместимость - рекомендуется для быстрого и легкого обслуживания. Способы оплаты: Western Union, Bank of America, наличные деньги через FedEx, Moneygram и / или банковский перевод
    Bitstamp.net - Старый и проверенный дилер Bitcoin
    Coinmama.com - Visa / Mastercard
    Btc-e.com - Дилер Bitcoins (Visa / Mastercard и т. Д.)
    Не удалось найти биткоины в вашем регионе? Попробуйте найти здесь:
    Buybitcoinworldwide.com Международный каталог обменов биткоинами
    Bitcoin-net.com - Другой каталог продавцов биткоинов
    Howtobuybitcoins.info - Международный каталог обменов биткоинами
    Bittybot.co.eu - Каталог для Европейского Союза
 3. Отправьте 50$ на следующий биткоин-адрес:
        1H9jjVku8RPzQ4gDsA4oBQLNw9tEYHaC5X
 4. Перейдите на следующий сайт:
        http://yfkhfomk3iqod5vb.onion
 5. Там размещён сайт:
    ID ([отредактирован])
    Ваш btc-адрес (тот же, что и для платежа)
    Ваш email-адрес (чтобы получить ключ и программу для расшифровки)
 6. Подождите 24/48 ч. и проверьте свой email (и папку "Спам")
 ---
                     КАК ПОЛУЧИТЬ ДОСТУП К ВЕБ-САЙТУ?
 1. Загрузите «Tor Browser» с https://www.torproject.org/ и установите его.
 2. В «Tor Browser» откройте:
        http://yfkhfomk3iqod5vb.onion
 Заметьте! Эта страница доступна только через Tor-браузер.
 ---
 Также вы можете использовать временные адреса без использования «Tor-браузера.


Начальная страница Tor-сайта


Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
READ_THIS_FILE.txt
<random>.exe

Расположения:
***

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
BTC: 1H9jjVku8RPzQ4gDsA4oBQLNw9tEYHaC5X
xxxx://yfkhfomk3iqod5vb.onion 
xxxx://yfkhfomk3iqod5vb.tor2web.org
xxxx://yfkhfomk3iqod5vb.onion.link 
xxxx://yfkhfomk3iqod5vb.onion.nu 
xxxx://yfkhfomk3iqod5vb.onion.cab 
xxxx://yfkhfomk3iqod5vb.onion.to
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.


 Read to links: 
 Tweet on Twitter
 ID Ransomware (ID as EnCrypt)
 Write-up, Topic of Support
 * 
 Thanks: 
 Michael Gillespie
 *
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

ВНИМАНИЕ!
1) Ваши комментарии после статьи появятся только после проверки. Дублировать их не нужно.
2) В своём сообщение в форме обратной связи обязательно укажите название шифровальщика.

Постоянные читатели

My tweet feed

My tweet feed
Follow me!

My profile on BC

My profile on BC
Follow me!

Форма для связи / Contact

Имя

Электронная почта *

Сообщение *