BigBobRoss Ransomware
Obfuscated Ransomware
Cheetah Ransomware
(шифровальщик-вымогатель) (первоисточник)
Этот крипто-вымогатель шифрует данные пользователей с помощью AES-128 (режим ECB), а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: указано в логине email. Написан на C++ с использованием QT.
Обнаружения:
DrWeb -> Trojan.Encoder.27160, Trojan.Encoder.27483, Trojan.Encoder.28044
BitDefender -> Trojan.GenericKD.31532089, Trojan.GenericKD.31538602, Gen:Variant.Midie.60882, Gen:Variant.Ransom.1299
© Генеалогия: BigBobRoss > Cheetah => The DMR
Изображение — логотип статьи
К зашифрованным файлам добавляется расширение: .obfuscated
Некоторые варианты добавляют ID к имени файла (см. образцы после статьи, в обновлениях).
Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. Образец этого крипто-вымогателя был найден в середине января 2019 г. Штамп времени 12 января 2019. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру. Первые пострадавшие из Молдовы.
Записка с требованием выкупа называется: Read Me.txt
Содержание записки о выкупе:
Hello, dear friend!
=================================================
1- [All your files have been ENCRYPTED!]
Your files are NOT damaged! Your files are modified only.
The only way to decrypt your files is to receive the decryption program.
your files can not be decrypted without the special program we made it for your computer.
=================================================
2- [ HOW TO RETURN FILES? ]
To receive the decryption program Write to our email "BigBobRoss@computer4u.com"
and tell us your unique ID
=================================================
3- [ FREE DECRYPTION! ]
Free decryption as guarantee.
We guarantee the receipt of the decryption program after payment.
To believe, you can give us 1 file that must be less than 1MB and we decrypt it for free.
File should not be important to you! databases, backups, large excel sheets, etc.
=================================================
4- [ Instruction ]
the easiest way to buy bitcoins is LocalBitcoins site. you have to register, click "buy bitcoins"
and select the seller by payment method and price.
https://localbitcoins.com/buy_bitcoins
=================================================
CAUTION!
please do not change the name of files or file extension if your files are important to you!
Your unique ID : *** [8 uppercase hex]
Перевод записки на русский язык:
Привет, дорогой друг!
=================================================
1- [Все ваши файлы зашифрованы!]
Ваши файлы НЕ повреждены! Ваши файлы только изменены.
Единственный способ расшифровать ваши файлы - это получить программу расшифровки.
Ваши файлы не могут быть расшифрованы без специальной программы, которую мы сделали для вашего компьютера.
=================================================
2- [КАК ВЕРНУТЬ ФАЙЛЫ? ]
Чтобы получить программу дешифрования, напишите на наш email "BigBobRoss@computer4u.com"
и сообщите нам свой уникальный ID
=================================================
3- [БЕСПЛАТНОЕ ДЕШИФРОВАНИЕ! ]
Бесплатная расшифровка как гарантия.
Мы гарантируем получение программы расшифровки после оплаты.
Чтобы поверить, вы можете дать нам 1 файл, который должен быть менее 1 МБ, и мы расшифруем его бесплатно.
Файл не должен быть важен для вас! базы данных, резервные копии, таблицы Excel и т.д.
=================================================
4- [Инструкция]
Самый простой способ купить биткоины - это сайт LocalBitcoins. Вы должны зарегистрироваться, нажать "buy bitcoins"
и выберите продавца по способу оплаты и цене.
https://localbitcoins.com/buy_bitcoins
=================================================
ВНИМАНИЕ!
пожалуйста, не меняйте имя файла или расширение файла, если ваши файлы важны для вас!
Ваш уникальный ID [8 знаков hex]
Технические детали
Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.
Нужно всегда использовать Актуальную антивирусную защиту!!!Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.
Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.
Файлы, связанные с этим Ransomware:
Read Me.txt
test.exe, bedoneupx.exe
<random>.exe - случайное название
Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.
Сетевые подключения и связи:
Email: BigBobRoss@computer4u.com
Big8obRoss@protonmail.com
BTC: ***
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.
Результаты анализов:
Ⓗ Hybrid анализ >> HA>
𝚺 VirusTotal анализ >> VT> VT>
🐞 Intezer анализ >> IA> IA>
Ⓥ VirusBay образец >>
ⴵ VMRay анализ >>
ᕒ ANY.RUN анализ >>
👽 AlienVault анализ >>
🔃 CAPE Sandbox анализ >>
⨇ MalShare анализ >>
⟲ JOE Sandbox анализ >>
Степень распространённости: средняя.
Подробные сведения собираются регулярно.
=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===
BigBobRoss Ransomware:
с расширением .obfuscated - с января 2019
с расширениями .encryptedALL, .djvu - с марта 2019
с расширением .cheetah - с апреля по июль 2019
с расширением .encrypted - с сентября по ноябрь 2019
TheDMR Ransomware - с декабря 2019 по октябрь 2020
с вариантами DMR64, Clown, NotFound, Clown+, Valley, ALVIN
=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===
Обновление от 31 января 2018:
Пост в Твиттере >>
Расширение: .obfuscated
К зашифрованным файлам теперь добавляется приставка:
[id=<id>] или [id=<XXXXXXXX>]
Файлы можно дешифровать!
Обновление от 3 марта 2019:
Расширение: .obfuscated
Приставка к файлам: [id=<id>] или [id=<XXXXXXXX>]
Email: info@bigbobross.website, BigBobRoss@protonmail.com
Telegram: https://t.me/BigBobRoss
Записка: Read Me.txt
➤ Содержание записки:
Обнаружения изменились:
DrWeb ->Trojan.Encoder.27483
BitDefender -> Gen:Variant.Ransom.1299
Файлы можно дешифровать!
Обновления от 4 марта 2019:
Пост в Твиттере >>
Расширение: .encryptedALL
Приставка к файлам: [id=<id>] или [id=<XXXXXXXX>]
Пример зашифрованного файла: [id=6607B764]IMG_0001.png.djvu
Записка: Read Me.txt
Email: BigBobRoss@protonmail.com
Файлы можно дешифровать!
Обновления от 25 марта 2019:
Пост в Твиттере >>
Расширение: .djvu
Приставка к файлам: [id=<id>] или [id=<XXXXXXXX>]
Пример зашифрованного файла: [id=B0123456]AL92462.png.djvu
Email: RobSmithMba@protonmail.com
support@robsmithmba.com
➤ Содержание записки:
---------------------------------------------- ALL YOUR FILES ARE ENCRYPTED -----------------------------------------------
Your personal ID:[redacted 8 uppercase hex]
Don't worry, you can return all your files!
All your files documents, photos, databases and other important are encrypted with strongest encryption and unique key.
The only method of recovering files is to purchase decrypt tool and unique key for you.
This software will decrypt all your encrypted files.
What guarantees do we give to you?
You can send one of your encrypted file from your PC and we decrypt it for free.
But we can decrypt only 1 file less than 1Mb for free. File must not contain valuable information
Don't try to use third-party decrypt tools because it will destroy your files.
You have to pay for decryption in Bitcoins. The price depends on how fast you write to us.
---------------------------------------------------------------------------------------------------------------------------
To get this software you need write on our e-mail:
RobSmithMba@protonmail.com
Reserve e-mail address to contact us:
support@robsmithmba.com
Обновление от 24 апреля 2019:
Пост на форуме >>
Расширение: .djvu
Приставка к файлам: [id=<id>] или [id=<XXXXXXXX>]
Пример зашифрованного файла: [id=B0923449]83782.pdf.djvu
Записка: Read Me.txt
Email: ContactReception@protonmail.com
➤ Содержание записки:
---------------------------------------------- ALL YOUR FILES ARE ENCRYPTED -----------------------------------------------
Your personal ID:B4539***
Don't worry, you can return all your files!
All your files documents, photos, databases and other important are encrypted with strongest encryption and unique key.
The only method of recovering files is to purchase decrypt tool and unique key for you.
This software will decrypt all your encrypted files.
What guarantees do we give to you?
You can send one of your encrypted file from your PC and we decrypt it for free.
But we can decrypt only 1 file less than 1Mb for free. File must not contain valuable information
Don't try to use third-party decrypt tools because it will destroy your files.
You have to pay for decryption in Bitcoins. The price depends on how fast you write to us.
---------------------------------------------------------------------------------------------------------------------------
To get this software you need write on our e-mail:
ContactReception@protonmail.com
Обновление от 24 апреля 2019:
Файлы можно дешифровать!
Пост на форуме >>
Расширение: .cheetah
Приставка к файлам: [id=<id>] или [id=<XXXXXXXX>]
Пример зашифрованного файла: [id=0C13A59E]Filename.doc.cheetah
Записка: How to recover your files.txt
Ярлык на онлайн-видео: How to recover your files (.url)
URL-адрес на ярлыке: https://www.youtube.com/watch?v=xKIIFlqz4sI
Email: Computer.Repair.Technician@protonmail.com
---------------------------------------------- ALL YOUR FILES ARE ENCRYPTED -----------------------------------------------
Your unique ID:XXXXXXXX
Hello!
All your files documents, photos, databases and other files are encrypted with strongest encryption!
Dont worry, you can return all your files!
To receive the decryption tool contact us and tell us your unique ID
If you want your files You have to pay for decryption in Bitcoins
The price depends on how fast you write to us.
========================================================================================================================================
Free decryption as guarantee!
Send me your unique ID and 1-2 small encrypted files The total size of files must be less than 10Mb non archived for free decryption.
After payment we will send you the decryption tool that will decrypt all your files.
========================================================================================================================================
You can buy bitcoin from here:
https://localbitcoins.com/buy_bitcoins
https://www.coinmama.com/bitcoin
https://www.coinbase.com/buy-bitcoin
========================================================================================================================================
CAUTION!
1-Don't try to use third-party decrypt tools because it will destroy your files.
2-Please do not change the name of files or file extension if your files are important to you!
========================================================================================================================================
If you want return all of your files write on our e-mail:
Computer.Repair.Technician@protonmail.com
---
Результаты анализов: VT + IA + HA
Обновление от 15 мая 2019:
Топик на форуме >>
Пост в Твиттере >>
Расширение: .cheetah
Приставка к файлам: [id=<id>] или [id=<XXXXXXXX>]
Пример зашифрованного файла: [id=70A6BXXX]Filename.doc.cheetah
Записка: Encrypt Message.txt
Email: WilliGarcia@protonmail.com
Telegram ID: @WilliGarcia
Результаты анализов: VT
➤ Содержание записки:
---------------------------------------------- ALL YOUR FILES ARE ENCRYPTED -----------------------------------------------
Your unique ID:70A6BXXX
Hello!
All your files documents, photos, databases and other files are encrypted with strongest encryption!
Dont worry, you can return all your files!
To receive the decryption tool contact us and tell us your unique ID
If you want your files You have to pay for decryption in Bitcoins
The price depends on how fast you write to us.
=============================================================================
Free decryption as guarantee!
Send me your unique ID and 1-2 small encrypted files The total size of files must be less than 10Mb non archived for free decryption.
After payment we will send you the decryption tool that will decrypt all your files.
=============================================================================
You can buy bitcoin from here:
https://localbitcoins.com/buy_bitcoins
https://www.coinmama.com/bitcoin
https://www.coinbase.com/buy-bitcoin
=============================================================================
CAUTION!
1-Don't try to use third-party decrypt tools because it will destroy your files.
2-Please do not change the name of files or file extension if your files are important to you!
=============================================================================
If you want return all of your files write on our e-mail:
Email : WilliGarcia@protonmail.com
Telegram ID: @WilliGarcia
Обновление от 19-20 июля 2019:
Расширение: .cheetah
Составное расширение: [id=9876C123]JEDIMAR.pdf.cheetah
Записка: How to recover your files.txt
URL-файл: How to recover your files.url
Email: Philip.BTC@protonmail.com
---------------------------------------------- ALL YOUR FILES ARE ENCRYPTED -----------------------------------------------
Your unique ID:9876C123
Hello!
All your files documents, photos, databases and other files are encrypted with strongest encryption!
Dont worry, you can return all your files!
To receive the decryption tool contact us and tell us your unique ID
If you want your files You have to pay for decryption in Bitcoins
The price depends on how fast you write to us.
========================================================================================================================================
Free decryption as guarantee!
Send me your unique ID and 1-2 small encrypted files The total size of files must be less than 10Mb non archived for free decryption.
After payment we will send you the decryption tool that will decrypt all your files.
========================================================================================================================================
You can buy bitcoin from here:
https://localbitcoins.com/buy_bitcoins
https://www.coinmama.com/bitcoin
https://www.coinbase.com/buy-bitcoin
========================================================================================================================================
CAUTION!
1-Don't try to use third-party decrypt tools because it will destroy your files.
2-Please do not change the name of files or file extension if your files are important to you!
========================================================================================================================================
If you want return all of your files write on our e-mail:
Philip.BTC@protonmail.com
Обновление от 10 сентября 2019:
Расширение: .encrypted
Пример зашифрованного файла: [RecoveryRDP@protonmail.com][id=82A349A8]01.mp3.encrypted
Записка: How to recover your files.txt
Email: RecoveryRDP@protonmail.com
============ ALL YOUR FILES ARE ENCRYPTED ============
Your unique ID:82A349A8
Hello!
All your files documents, photos, databases and other files are encrypted with strongest encryption!
Dont worry, you can return all your files!
To receive the decryption tool contact us and tell us your unique ID
If you want your files You have to pay for decryption in Bitcoins
The price depends on how fast you write to us.
==============================================
Free decryption as guarantee!
Send me your unique ID and 1-2 small encrypted files The total size of files must be less than 10Mb non archived for free decryption.
After payment we will send you the decryption tool that will decrypt all your files.
==============================================
You can buy bitcoin from here:
https://localbitcoins.com/buy_bitcoins
https://www.coinmama.com/bitcoin
https://www.coinbase.com/buy-bitcoin
==============================================
CAUTION!
1-Don't try to use third-party decrypt tools because it will destroy your files.
2-Please do not change the name of files or file extension if your files are important to you!
========================================================================================================================================
If you want return all of your files write on our e-mail:
Email : RecoveryRDP@protonmail.com
Обновление от 7 декабря 2019 (предположительно):
Новая статья TheDMR Ransomware >>
Пост в Твиттере >>
Топик на форуме >>
Расширение: .DMR64
К имени файла тоже добавляется ID в формате [id=XXXXXXXX]
Пример зашифрованного файла: [id=FEABA71D]Config.ini.DMR64
Email: Agent.DMR@protonmail.com, Agent.DMR@aol.com
Записка: !!! READ THIS !!!.hta
Эта статья закрыта.
Вымогатели перешли на другую разработку - TheDRM Ransomware
=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
Внимание! Файлы можно дешифровать! Рекомендую обратиться по этой ссылке к Demonslay335 >> *** Или используйте готовый дешифровщик от Emsisoft >> *** Или используйте готовый дешифровщик от Avast >>
К сожалению, более новые верии с расширением .cheetah не расшифрованы. Дешифровщики Emsisoft и Avast не помогут расшифровать версии Cheetah. Специалисты изучают все новые изменения в Ransomware и продолжают работу.
Read to links: Tweet on Twitter + Tweet + myTweet ID Ransomware (1st ID as Obfuscated, new ID as BigBobRoss) Write-up, 1-Topic of Support, 2-Topic of Support *
Thanks: Michael Gillespie, Jakub Kroustek, quietman7, Fabian Wosar Andrew Ivanov (author) * *
© Amigo-A (Andrew Ivanov): All blog articles.
