ChernoLocker

ChernoLocker Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES-256, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: Adobe Acrobat Activation Patch.exe, Mobdro For PC.exe или что-то еще. 

Обнаружения:
DrWeb -> Trojan.Encoder.30403
BitDefender -> Trojan.GenericKD.32833226
Symantec -> ML.Attribute.HighConfidence
Malwarebytes -> Ransom.FileCryptor
Microsoft -> Ransom:Win32/Genasom

© Генеалогия: выясняется, явное родство с кем-то не доказано.

Изображение из экрана вымогателя — логотип статьи

К зашифрованным файлам добавляется одно из следующих расширений: 
(.CHERNOLOCKER)
(.chernolocker)
(.filelockergprotonmail.ch)
.(filelocker£protonmail.ch)

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на начало середину декабря 2019 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Запиской с требованием выкупа выступает изображение, загружаемое онлайн: 

Содержание записки о выкупе:
FILES IN YOUR COMPUTER HAVE BEEN LOCKED!
YOUR DOCUMENTS, PHOTOS, DATABASES AND OTHER IMPORTANT FILES HAVE BEEN LOCKED
WITH THE STRONGEST ENCRYPTION AND UNIQUE KEY GENERATED FOR THIS COMPUTER.
PRIVATE DECRYPTION KEY STORED STORED ON A SECRET SERVER AND NOBODY
WILL DECRYPT YOUR FILES UNTIL YOU PAY AND OBTAIN THE PRIVATE DECRYPTION KEY.
THE SERVER WILL ELIMINATE THE KEY AFTER 14 DAYS.
PURCHASE THE DECRYPTION KEY, NOW
YOU CAN CONTACT ME VIA FILELOCKER@PROTONMAIL.CH

Перевод записки на русский язык:
ФАЙЛЫ НА ВАШЕМ КОМПЬЮТЕРЕ ЗАБЛОКИРОВАНЫ!
ВАШИ ДОКУМЕНТЫ, ФОТО, БАЗЫ ДАННЫХ И ДРУГИЕ ВАЖНЫЕ ФАЙЛЫ ЗАБЛОКИРОВАНЫ
С САМЫМ НАДЕЖНЫМ ШИФРОВАНИЕМ И УНИКАЛЬНЫМ КЛЮЧОМ, СГЕНЕРИРОВАННЫМ ДЛЯ ЭТОГО КОМПЬЮТЕРА.
ЗАКРЫТЫЙ КЛЮЧ ДЕШИФРОВАНИЯ ХРАНИТСЯ НА СЕКРЕТНОМ СЕРВЕРЕ И НИКТО
НЕ РАСШИФРУЕТ ВАШИ ФАЙЛЫ, ПОКА ВЫ НЕ ЗАПЛАТИТЕ И НЕ ПОЛУЧИТЕ ЗАКРЫТЫЙ КЛЮЧ ДЕШИФРОВАНИЯ.
СЕРВЕР УДАЛИТ КЛЮЧ ЧЕРЕЗ 14 ДНЕЙ.
КУПИТЕ КЛЮЧ РАСШИФРОВКИ, СЕЙЧАС
ВЫ МОЖЕТЕ НАПИСАТЬ МНЕ НА FILELOCKER@PROTONMAIL.CH

Для того, чтобы это отобразить, используется скрипт, скомпилированный на Python, который отображает окно сообщения после шифрования и открывает заготовленное онлайн-изображение в браузере.

Содержание этого сообщения:
YOUR FILES HAVE BEEN ENCRYPTED
All Your Files have now been encrypted with the strongest encryption
You need to purchase the encryption key otherwise you won't recover your files
Read the Browser tab on ways to recover your files
Make Sure you dont loose this Email as you it will be loosing it will be fatal 
Write it in a notepad and keep it safe 
Email: filelocker@protonmail.ch

Перевод на русский язык:
Ваши файлы были зашифрованы
Все ваши файлы зашифрованы с самым сильным шифрованием
Вам надо купить ключ шифрования, иначе не сможете вернуть файлы
Прочтите в Браузере о способах возврата ваших файлов
Постарайтесь не потерять этот Email, т.к. эта потеря будет фатальной
Запишите это в блокнот и сохраните
Email: filelocker@protonmail.ch

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
Adobe Acrobat Activation Patch.exe

Mobdro For PC.exe
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
Online Image: xxxxs://platinumdatasolutionsltd.co.ke/wp-content/uploads/2018/11/landing-screenshot-img-9-768.jpg

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: filelocker@protonmail.ch
BTC:
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>  VT>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновление от 22 января 2020:
Топик на форуме >>
Расширение: .(filelocker@protonmail.ch)

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

Внимание!
Для зашифрованных файлов есть дешифровщик
Скачать Emsisoft Decrypter для дешифровки >>
Прочтите подробную инструкцию перед запуском. 

 Read to links: 
 Tweet on Twitter + Tweet + myTweet
 ID Ransomware (ID as ChernoLocker)
 Write-up, Topic of Support
 * 

 Thanks: 
 S!Ri, Michael Gillespie
 Andrew Ivanov (author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles.

Prometey

Prometey Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: Prometey. На файле написано: нет данных.

Обнаружения:
DrWeb -> Trojan.Packed2.42184
BitDefender -> Trojan.GenericKD.32810294
Microsoft -> Trojan:Win32/Bunitu.PVD!MTB
Rising -> Trojan.Kryptik!1.BFC8 (CLASSIC)
TrendMicro -> TROJ_GEN.R02DC0DLG19
Symantec -> ML.Attribute.HighConfidence

© Генеалогия: AnteFrigus > Prometey

Изображение — логотип статьи

К зашифрованным файлам добавляется расширение: .<random>
Например: .ontmbqf


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на начало октября 2019 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется по шаблону: <random>-help.txt
Например: ontmbqf-help.txt

Записка шаблон со скрытыми знаками

Пример оригинальной записки 

Содержание записки о выкупе:
Atention!
Your computer encrypted !!!
The information on your computer were encrypted by ransomware. Encrypted files shown by extension .*******
If you try to reload your OS and recover information all you files will be deleted forewer!
To decrypt files follow the instructions below:
1) download and install TOR browser (if this browser blocked in your country, install VPN and download it)
?- open in TOR url: http://s2n2qnhaxhp6dfggjvIvaouoxbqijjn6znucbhhzxsg45dfh6z4zh7ad.onion/?******* and chat with operator,
?- If you have any difficulties to purchase bitcoins or you doubt in buying decryptor, contact any data recovery
company in your country, they will give you more guarantees and make decryption procedure by themselves. Almost all such companies heared about us and know that our decryption program works, so they can help you.
Autorize yourself whith the key:
**************************************************************
After registration chat with our operators and they will give you further instructions for decryption your files!

Перевод записки на русский язык:
ВНИМАНИЕ!
Ваш компьютер зашифрован !!!
Информация на вашем компьютере была зашифрована ransomware. Зашифрованные файлы получили расширение .*******
Если вы попытаетесь перезагрузить свою ОС и восстановить информацию, все ваши файлы будут удалены навсегда!
Чтобы расшифровать файлы, следуйте инструкциям ниже:
1) Загрузите и установите браузер TOR (если этот браузер заблокирован в вашей стране, установите VPN и загрузите его)
? - открыть в URL TOR: http://s2n2qnhaxhp6dfggjvIvaouoxbqijjn6znucbhhzxsg45dfh6z4zh7ad.onion/?******* и пообщайтесь с оператором,
? - Если у вас есть какие-то трудности с приобретением биткойнов или вы сомневаетесь в покупке расшифровщика, свяжитесь с любой компанией по восстановлению данных в вашей стране, они предоставят вам больше гарантий и самостоятельно выполнят процедуру расшифровки. Почти все такие компании слышали о нас и знают, что наша программа расшифровки работает, поэтому они могут вам помочь.
Подтвердите себя ключом:
************************************************** ************
После регистрации пообщайтесь с нашими операторами и они дадут вам дальнейшие инструкции по расшифровке ваших файлов!


Скриншот сайта вымогателей до ввода ключа

Они пишут в записке, что компании по восстановлению данных знают о них. Скорее всего, эти "компании" являются их сообщниками или имеют долю от вымогательства. Может быть, пора полиции заинтересоваться такими "знающими" о "Prometey" компаниями. Впрочем, теперь, после публикации статьи, они могу сослаться на эту статью. 

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
<random>-help.txt  - шаблон
ontmbqf-help.txt - пример
<random>.exe - случайное название вредоносного файла
pixoj.pdb
je.pdb

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Файлы проектов: 
C:\degijakotipixifejow\je.pdb
me\crypt\tmp_233015483\bin\pixoj.pdb

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
Tor URL: xxxx://s2n2qnhaxhp6dfggjvIvaouoxbqijjn6znucbhhzxsg45dfh6z4zh7ad.onion/
Email:
BTC:
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновление от 21 января 2020: 
Пост в Твиттере >>
Расширение: .bbadc
Записка: CLICK_HERE-bbadc.txt
Результаты анализов: VT + VMR

Обновление от 11 марта 2020: 
Идентификация Prometey интегрирована в Antefrigus. 
Пост в Твиттере >>
Расширение: .daaefc
Записка: CLICK_HERE-daaefc.txt

Tor URL: xxxx://i6jppiczqa5moqfl57gssi33npwfseqppdsnz7rriiv7suf4pf4w42id.onion

 

Текст из чата:
Chat rules:
    1. Write in English only
    2. Do not spam and flood in chat room. The operator will contact you asap.
    3. Insults and curses in the chat room will be stopped by the ban permanently.
Operator:
Due to a critical system error, all of your files are encrypted. To decrypt all the files on your computer you have to pay 0.15 Bitcoins. If you do not know how to do this, look for file recovery services on the Internet, they will help you. For proof, we can decrypt 1 image file for free. To receive the decoder, send 0.15 Bitcoins to our wallet: 1DVnM4Bz5fPwNi64o1du4vmJTK687HChzC
After sending the money, write to our operator in the chat and he will give you a decoder for your PC. The chat operator may respond in a delay, have patience. Have a nice day.
---
Оригинальные файлы проектов:
C:\Users\Nikolas\source\repos\uac\Release\uac.pdb
C:\Users\Nikolas\source\repos\encrypted-not-wall\Release\encrypted-not-wall.pdb
Файл EXE: wincproc.exe
Результаты анализов: VT + AR + IA + VMR
Обнаружения: 
DrWeb -> Trojan.MulDrop11.46878
BitDefender -> ThetaGen:NN.ZexaF.34100.EuW@a4KLf0bi
Microsoft -> Ransom:Win32/AnteFrigus!MSR
Rising -> Ransom.AnteFrigus!8.11789 (CLOUD)
TrendMicro -> Ransom_AnteFrigus.R002C0DCB20
Symantec -> ML.Attribute.HighConfidence

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter + Tweet + myTweet
 ID Ransomware (1st ID as Prometey / 2nd ID as AnteFrigus)
 Write-up, Topic of Support
 * 

 Thanks: 
 dnwls0719, Michael Gillespie
 Andrew Ivanov (author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles.

Redshot

Redshot Ransomware

(шифровальщик-вымогатель, RaaS) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES-256 + RSA, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: нет данных.

Обнаружения:
DrWeb ->
BitDefender ->


© Генеалогия: выясняется, явное родство с кем-то не доказано.

Оригинальный логотип

К зашифрованным файлам добавляется расширение: *нет данных*.


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Распространение RaaS началось в начале декабря 2019 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру. 

Скриншоты сайта Redshot Ransomware. 

 

 

Текстовое содержание сайта:
About REDSHOT
REDSHOT RANSOMWARE
Hey guys here we are to present our new ransomware REDSHOT We are helping cyber criminals by selling our ransomware and source code which is fully undetectable you can easily modify it and make your own ransomware. In our ransomware for encrypting files, we have used #AES256. The ransomware key AES256 is also encrypted by #RSA public key. You can get the decryption key by using our decryptor tool To make encryption faster our application is also using #Multithreading.
Pricing
Basic
$300
    Undetectable
    WORK OFFLINE
    Small IN Size
    Fast using Multithreading
    Secure Encryption using Aes and Rsa
    Access To the Source Code
    Easily customizable
    Delete shadow copies
    Kill taskbar
    Disable task manager
    No hidden Costs No commission fees
SIGN UP NOW!
Copyright © REDSHOT RANSOMWARE ONLINE RAAS MOTHERFUCKER ̿̿ ̿̿ ̿'̿'\̵͇̿̿\з= ( ▀ ͜͞ʖ▀) =ε/̵͇̿̿/’̿’̿ ̿ ̿̿ ̿̿ ̿̿ 
/////////////////////

Технические детали

Распространяется через форумы кибер-подполья и сайт Redshot. После покупки пакета и перенастройки может начать распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
Tor-URL: xxxx://redshotnjkbrcu7o.onion
Email:
BTC:
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter + Tweet + myTweet
 ID Ransomware (ID as ***)
 Write-up, Topic of Support
 * 

 Thanks: 
 David Montenegro
 Andrew Ivanov (author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles.

FScrypt

FScrypt Ransomware

(шифровальщик-вымогатель) (первоисточник на русском)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES + RSA, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: FScrypt. На файле написано: glxinfo.exe. Написан на языке Go (т.н. Golang). 
---
Обнаружения:
DrWeb -> ***
BitDefender -> Trojan.GenericKD.42114663
ESET-NOD32 -> A Variant Of Win32/Filecoder.NZM

Microsoft -> Ransom:Win32/FileCrypt

Rising -> Trojan.Filecoder!8.68 (CLOUD)
Symantec -> ML.Attribute.HighConfidence, Trojan Horse
Tencent -> Win32.Trojan.Filecoder.Edwy
---
© Генеалогия: другие "Go Ransomware" >> FScrypt

Изображение — логотип статьи

К зашифрованным файлам добавляется расширение: *нет данных*.


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на первую половину декабря 2019 г. Ориентирован на русскоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: *нет данных*.

Содержание записки о выкупе:
Ваши файлы зашифрованы
Если в файлах было что-то важное для вас, то вы можете их расшифровать и вернуть все как было.
Все очень просто:
1. Вам нужен Tor Браузер. Его можно скачать на сайте: torproject.org
2. Установите скачанный Tor Браузер (просто запустите скачанный файл).
3. Откройте Tor Browser и введите в нем сайт: 5tyj7f3xss6kdrgc.onion
Этот сайт можно открыть только в Tor Браузере.
Если сайт не открылся, проверьте правильно ли вввели адрес сайта
На сайте можно будет расшифровать файлы или получить пароль для расшифровки вместе с программой, куда его вводить.

Перевод записки на русский язык:
*** уже сделан ***

Tor-сайт также на русском языке.

Содержание текста на сайте:
Расшифровка файлов
У вас зашифрованы файлы? Здесь вы можете их расшифровать.
Для расшифровки надо определить пароль, которым зашифрованы файлы. Для этого возьмите любой зашифрованный файл и загрузите в форму ниже:
Выберите файл
[Расшифровать]
Copyright © 2019

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список файловых расширений, подвергающихся шифрованию:
.3fr, .7z, .7zip, .acc, .accdb, .ai, .arw, .asp, .aspx, .avi, .backup, .bay, .c, .cdr, .cer, .cpp, .cr2, .crt, .crw, .cs, .csproj, .css, .csv, .db, .db3, .dbf, .dcr, .der, .dng, .doc, .docm, .docx, .dotx, .dwg, .dxf, .dxg, .eps, .erf, .flv, .gif, .html, .img, .indd, .ink, .java, .jpe, .jpeg, .jpg, .js, .json, .kdc, .litesql, .lua, .mdb, .mdf, .mef, .mid, .mov, .mp3, .mp4, .mpeg, .mrw, .nef, .nrw, .odb, .odc, .odm, .odp, .ods, .odt, .orf, .p12, .p7b, .p7c, .pdd, .pdf, .pef, .pem, .pfx, .php, .plist, .png, .ppt, .pptm, .pptx, .ps1, .psd, .pst, .ptx, .py, .pyc, .r3d, .raf, .rar, .raw, .rb, .rtf, .rw2, .rwl, .sg, .sh, .sln, .sql, .sqlite, .sqlite3, .sr2, .srf, .srw, .tif, .tiff, .tmp, .txt, .vbs, .vlf, .wav, .wb2, .wmi, .wmv, .wpd, .wps, .x3f, .xlk, .xlm, .xls, .xlsb, .xlsm, .xlsx, .xml, .zip (129 расширений без повторов). 
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Шифрование:
fscrypt_createEncHeader:
encrypt_aes_CreateKey -> encrypt_rsa_Encrypt
fscrypt_encryptList:
encrypt_aes_Encrypt

Файлы, связанные с этим Ransomware:
glxinfo.exe
<ransom_note>.txt
<random>.exe - случайное название вредоносного файла
linkin_park_grafika_shrift.jpg - www.desk4top.com

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
/home/user/go/archiver/src/encrypt/aes/aes.go         
/home/user/go/archiver/src/encrypt/rsa/rsa.go         
/home/user/go/archiver/src/fscrypt/file_encryption.go 
/home/user/go/archiver/src/fscrypt/file_list.go       
/home/user/go/archiver/src/fscrypt/path_encryption.go 
/home/user/go/archiver/src/fscrypt/readme_writer.go   
/home/user/go/archiver/src/machineid/machine_key.go   
/home/user/go/archiver/src/main/main.go     

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
Tor-URL: 5tyj7f3xss6kdrgc.onion
Email: - 
BTC: - 
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>  VT>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter + Tweet + myTweet
 ID Ransomware (n/a)
 Write-up, Topic of Support
 * 

 Thanks: 
 Vitali Kremez
 Andrew Ivanov (author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles.