GhosTEncryptor

GhosTEncryptor Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES+RSA, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: GhosTEncryptor. На файле написано: GhosTEncryptor.exe. Сообщается о том, что это тестовый шифровальщик, но шифрование файлов это не тест, это умышленное повреждение файлов. В таком случае, это еще одна "обезьяна с гранатой". 

Обнаружения:
DrWeb -> Trojan.Encoder.10598
BitDefender -> Gen:NN.ZemsilF.34108
ALYac -> Trojan.Ransom.HiddenTear
Avira (no cloud) -> HEUR/AGEN.1130184
ESET-NOD32 -> a variant of MSIL/Filecoder.AK
Malwarebytes -> Ransom.Gh0st
Microsoft -> Ransom:MSIL/Ryzerlo.A
Rising -> Ransom.Ryzerlo!8.782 (CLOUD)
Symantec -> Ransom.HiddenTear!g1, Trojan.Gen.MBT
TrendMicro -> Ransom_RAMSIL.SM
---
To AV vendors! Want to be on this list regularly or be higher on the list? Contact me! 
AV вендорам! Хотите быть в этом списке регулярно или повыше? Сообщите мне!

© Генеалогия: HiddenTear (modified) >> GhosTEncryptor

Изображение — логотип статьи

К зашифрованным файлам добавляется расширение: .locked


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Образец этого крипто-вымогателя был найден в начале марта 2020 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру. 

Записка с требованием выкупа называется: READ_ME.txt

Содержание записки о выкупе:
All your personal files have been encrypted with GhosTEncryptor. The only way to get your files back is to message us for decryptor, the decryptor is absolutely free. Also, this is ransomware was made for testing purposes, please note that it does encrypt files, but the key to decrypt them is 123456789.

Перевод записки на русский язык:
Все ваши личные файлы зашифрованы с GhosTEncryptor. Единственный способ вернуть ваши файлы - это отправить нам сообщение для расшифровщика, расшифровщик абсолютно бесплатен. Кроме того, это вымогатель был сделан для целей тестирования, обратите внимание, что он шифрует файлы, но ключ для их расшифровки 123456789.

Имеется экран блокировки с полем для ввода ключа расшифровки. После ввода указанного ключа 123456789 сообщается о том, что ключ неправильный. 

Содержание текста с экрана: 
Warning! You're about to run a serious ransomware on your computer.
It is important, to run the ransomware on a virtual machine!
Please note, that the author of the program does not take
any responsibilites for any lost files caused by this program!
Continue?


Перевод на русский язык:
Предупреждение! Вы собираетесь запустить серьезный вымогатель на вашем компьютере.
Важно, чтобы запустить вымогателя на виртуальной машине!
Заметьте, что автор программы не в ответе за потерянные файлы из-за этой программы!
Продолжить?
---
Судя по коду, должен быть еще текст:
You've became a victim of GhosTEncryptor.
Don't even waste your time on searching for a decryption tool.
It'll be useless, since the program uses AES-256 military grade encryption algorithm.
Please note, that the program does encrypt files, but it's only made for testing purposes.
Author of the program does not take any responsibilities for any lost files.
The key you got after the payment:
The bitcoin address is completly random, the key is 123456789
Bitcoin adress: VtFBPQC8GDE1EB3ubYc9URkTqhUntqQTat

Перевод на русский язык:
Вы стали жертвой GhosTEncryptor.
Даже не тратьте свое время на поиск инструмента расшифровки.
Это будет бесполезно, поскольку в программе используется алгоритм шифрования AES-256 военного уровня.
Обратите внимание, что программа шифрует файлы, но она предназначена только для тестирования.
Автор программы не несет никакой ответственности за потерянные файлы.
Ключ, который вы получили после оплаты:
Биткоин-адрес совершенно случайный, ключ 123456789
Биткоин-адрес: VtFBPQC8GDE1EB3ubYc9URkTqhUntqQTat

Технические детали

Сообщается, что шифровальщик сделан для тестирования, но ничего неизвестно о его распространении. После доработки вполне может начать распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список файловых расширений, подвергающихся шифрованию:
.3fr, .accdb, .arw, .bay, .cdr, .cer, .cr2, .crt, .crw, .dcr, .der, .dng, .docm, .dwg, .dxg, .eps, .erf, .indd, .jpe, .jpg, .kdc, .lnk, .mdf, .mef, .nrw, .odb, .odc, .odm, .odp, .ods, .orf, .p12, .p7b, .p7c, .pdd, .pdf, .pef, .pem, .pfx, .png, .pptm, .ptx, .r3d, .raf, .raw, .rtf, .rw2, .rwl, .sr2, .srf, .srw, .wb2, .wpd, .wps, .x3f, .xlk, .xlsb, .xlsm (58 расширений).
Это документы MS Office, OpenOffice, PDF, текстовые файлы, фотографии, файлы образов и пр.

Файлы, связанные с этим Ransomware:
READ_ME.txt - название файла с требованием выкупа
<random>.exe - случайное название вредоносного файла
GhosTEncryptor.exe - исполняемый файл вымогателя
GhosTEncryptor.pdb - оригинальный файл проекта

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
C:\Users\manoi\source\repos\GhosTEncryptor\GhosTEncryptor\obj\Release\GhosTEncryptor.pdb

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: - 
BTC: VtFBPQC8GDE1EB3ubYc9URkTqhUntqQTat
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
🔻 Triage analysis >>
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>  AR>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter + Tweet + myTweet
 ID Ransomware (ID as HiddenTear)
 Write-up, Topic of Support
 * 

 Thanks: 
 Petrovic, GrujaRS
 Andrew Ivanov (author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

Smaug

Smaug Ransomware

(шифровальщик-вымогатель, RaaS) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES-256 (режим CBC) + RSA-2048, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: Smaug. Написан на языке GO. Может использоваться для атака на компьютеры с Windows, macOS, Linux (все x64). 

Обнаружения:
DrWeb -> Trojan.Encoder.32471
BitDefender -> Trojan.GenericKD.43596446
ESET-NOD32 -> A Variant Of Win32/Filecoder.ODA
Malwarebytes -> ***
Rising -> ***
Symantec -> Ransom.Cryptolocker
Tencent -> Win32.Trojan.Agent.Wnwi
TrendMicro -> Ransom_Agent.R002C0WH720
---
To AV vendors! Want to be on this list regularly or be higher on the list? Contact me! 
AV вендорам! Хотите быть в этом списке регулярно или повыше? Сообщите мне!

© Генеалогия: предыдущий проект >> Smaug

Изображение — логотип статьи

К зашифрованным файлам добавляется расширение по шаблону "8-4-4-4-12" (так называемый GUID): .XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX

Пример такого расширения: .94c60ca4-06f5-4138-b960-7630e0436922


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Первые сообщения об этом крипто-вымогателе появились в начале июня 2020 г. Распространяемые образцы помечены концом апреля - началом мая 2020. Штамп даты создания раннего образца: конец марта. Первая реклама Smaus RaaS была сделана на форуме exploit.in. Потом в августе появились первые исследования. 
Smaug не должен атаковать компьютеры пользователей из некоторых стран СНГ (Армения, Азербайджан, Беларусь, Казахстан, Кыргызстан, Молдова, Россия, Таджикистан, Узбекистан). Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру. 

Записка с требованием выкупа называется: HACKED.txt

Содержание записки о выкупе:
Your files have been encrypted using military grade encryption. They can never be accessed again without buying a decryption key. You can buy the decryption key at http://smaugrwmaystthfxp72tlmdbrzlwdp2pxtpvtzvhkv5ppg3difiwonad.onion. To access the site you need Tor Browser. 

Перевод записки на русский язык:
Ваши файлы были зашифрованы шифрованием военного уровня. К ним невозможно получить доступ без покупки ключа дешифрования. Вы можете купить ключ дешифрования на http://smaugrwmaystthfxp72tlmdbrzlwdp2pxtpvtzvhkv5ppg3difiwonad.onion. Для доступа к сайту вам нужен Tor Browser. 


Другим информатором жертвы является сайт в сети Tor. 

Скриншот составлен из двух половинок, чтобы отобразить текст. Полноэкранные скриншоты см. после текста с сайта. 

Содержание текста на странице: 
Upload any encrypted file below to purchase decryption key
Drop a file here or click upload
Maximum upload size: 1MB
Please enter security code
About
Your files have been encrypted using military grade encryption. Many of your files are no longer accessible because of the encryption. The encryption cannot be broken without purchasing the decryption key. You can purchase the decryption key from us using bitcoins.
After you have purchased the decryption key your order will be automatically processed by our system within 10 minutes after the payment has at least 6 confirmations. You will receive the key along with a program to decrypt your files. To prove that our decryption key works on your files we will decrypt one of your files for free. Please upload the file you want decrypted using the form above. After uploading you will be given further information how to purchase the key.
Depending on the agent that infected your files there might be a deadline for your payment. After the deadline the decryption key for your files is automatically erased from our servers. This means nobody can longer recover your files. Therefore do not waste your time. Upload one of your encrypted files above to find out how much the decryption key costs and what is the deadline.
For more information please read the walkthrough.
smaug_raas@secmail.pro

Перевод текст на русский язык:
Загрузите любой зашифрованный файл ниже, чтобы приобрести ключ дешифрования.
Перетащите файл сюда или нажмите Загрузить
Максимальный размер загрузки: 1 МБ
Пожалуйста, введите защитный код
Об этом
Ваши файлы были зашифрованы с шифрованием военного уровня. Многие из ваших файлов больше недоступны из-за шифрования. Шифрование невозможно взломать, не купив ключ дешифрования. Вы можете приобрести у нас ключ дешифрования за биткойны.
После того, как вы приобрели ключ дешифрования, ваш заказ будет автоматически обработан нашей системой в течение 10 минут после получения как минимум 6 подтверждений платежа. Вы получите ключ вместе с программой для расшифровки ваших файлов. Чтобы доказать, что наш ключ дешифрования работает с вашими файлами, мы бесплатно расшифруем один из ваших файлов. Загрузите файл, который вы хотите расшифровать, используя форму выше. После загрузки вам будет предоставлена ​​дополнительная информация о том, как приобрести ключ.
В зависимости от агента, который заразил ваши файлы, может быть установлен срок оплаты. По истечении указанного срока ключ дешифрования ваших файлов автоматически удаляется с наших серверов. Это означает, что никто больше не сможет восстанавливать ваши файлы. Поэтому не тратьте время зря. Загрузите один из ваших зашифрованных файлов выше, чтобы узнать, сколько стоит ключ дешифрования и каков крайний срок.
Для получения дополнительной информации прочитайте прохождение.
smaug_raas@secmail.pro

Полноэкранные скриншоты:

Скриншот сообщения с описанием на форуме exploit.in из первой рекламы Smaug RaaS. 

Описание того, как вымогатели набирают партнеров, сколько платят и как выполняется управление RaaS читайте на сайте ATR. 

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


➤ Smaug Ransomware относительно прост по сравнению с другими программами-вымогателями. Например, в нем нет функции остановки запущенных процессов, которая используются для снятия блокировки с файлов, которые нужно зашифровать. Smaug не удаляет резервные копии и теневые копий файлы. Благодаря этим недоделкам можно будет восстановить зашифрованные файлы из теневых копий, если служба VSS была заранее включена. Примеры для Windows и Linux были скомпилированы из одного и того же исходного кода без каких-либо модификаций, за исключением слоев-прокладок, предоставляемых стандартной библиотекой Go.

➤ О шифровании:
Smaug генерирует уникальный ключ шифрования для каждой зараженной машины. Ключ зашифрован открытым RSA-ключом, что означает, что машинный ключ может быть зашифрован только закрытым ключом злоумышленника. Шифровальщик работает автономно, без подключения к Интернет. Для шифрования файлов использует пару "goroutines" для каждого раздела диска. Файлы шифруются по 4 Кбайт за раз. Если файл меньше или при чтении возвращается менее 4 КБ, вредоносная программа добавляет заполнение в конец файла, чтобы общее количество байтов было кратным 16 байтам, как того требует AES. Используемый формат заполнения - PKCS #7. Зашифрованные блоки записываются в новый файл с исходным именем файла с уникальным идентификатором, добавленным в конец имени файла. Исходный файл удаляется после того, как файл был зашифрован.
Подробнее о шифровании читайте на сайте ATR.

Список файловых расширений, подвергающихся шифрованию:
.3fr, .accdb, .aes, .ai, .ARC, .arw, .asc, .asf, .asm, .asp, .avi, .backup, .bak, .bat, .bay, .bmp, .brd, .c, .cdr, .cer, .cgm, .class, .cmd, .cpp, .cr2, .crt, .crw, .csr, .CSV, .dbf, .dch, .dcr, .der, .dif, .dip, .djv, .djvu, .dng, .doc, .DOC, .docb, .docm, .docx, .dot, .DOT, .dotm, .dotx, .dwg, .dxf, .dxg, .eps, .erf, .fla, .flv, .frm, .gif, .go, .gpg, .gz, .h, .html, .hwp, .ibd, .indd, .jar, .java, .jpe, .jpeg, .jpegm, .jpg, .kdc, .key, .lay, .lay6, .ldf, .max, .mdb, .mdf, .mef, .mid, .mkv, .mml, .mov, .mpeg, .mpg, .mrw, .ms11, .MYD, .MYI, .nef, .NEF, .nrw, .odb, .odg, .odm, .odp, .ods, .odt, .orf, .otg, .otp, .ots, .ott, .p12, .p7b, .p7c, .PAQ, .pas, .pdd, .pdf, .pef, .pem, .pfx, .php, .png, .pot, .potm, .potx, .ppam, .pps, .ppsm, .ppsx, .ppt, .PPT, .pptm, .pptx, .psd, .pst, .ptx, .py, .qcow2, .r3d, .raf, .rar, .raw, .rb, .rtf, .RTF, .rw2, .rwl, .sch, (Security copy), .sldm, .sldx, .slk, .sql, .sqlite3, .SQLITE3, .sqlitedb, .SQLITEDB, .srf, .srw, .stc, .std, .sti, .stw, .svg, .swf, .sxc, .sxd, .sxi, .sxm, .sxw, .tar, .tar.bz2, .tbk, .tgz, .tif, .tiff, .txt, .uop, .uot, .vbs, .vdi, .vmdk, .vmx, .vob, .wav, .wb2, .wks, .wma, .wmv, .wpd, .wps, .xlc, .xlk, .xlm, .xls, .XLS, .xlsb, .xlsm, .xlsx, .xlt, .xltm, .xltx, .xlw, .xml, .zip (199 расширений). 
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
HACKED.txt - название файла с требованием выкупа
Corporate_Detail-June.2020.exe - загружаемый вредоносный файл
11bdd939-1d45-421c-9be0-0addcdc8181c_windows.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
C:\Users\User\AppData\Local\Temp\11bdd939-1d45-421c-9be0-0addcdc8181c_windows.exe
C:\Users\User\AppData\Local\Temp\Corporate_Detail-June.2020.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Tor-URL: http://smaugrwmaystthfxp72tlmdbrzlwdp2pxtpvtzvhkv5ppg3difiwonad.onion
Email: smaug-ransomware@protonmail.com
Email: smaug_raas@secmail.pro
Email: ttviper@secmail.pro
BTC: - 

Сайты форума, на котором был представлен Smaug RaaS:
lzt.design
lolz.guru
lols.ga
cloun.design
gei.design
maclo.ml

 

См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
🔻 Triage analysis >>
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновление от 28 июля 2020:
Записка: HACKED.txt

➤ Содержание записки:
Your files have been encrypted using military grade encryption. They can never be accessed again without buying a decryption key. You can buy the decryption key at http://smaugrwmaystthfxp72tlmdbrzlwdp2pxtpvtzvhkv5ppg3difiwonad.onion. To access the site you need Tor Browser.
to view site you can download torbrowser here  -  https://www.torproject.org/download/
need help?support          ttviper@secmail.pro
Результаты анализов: VT + TG + IA

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter + Tweet + myTweet
 ID Ransomware (ID as Smaug)
 Write-up, Topic of Support
 * 

Added later:
Write-up by SentinelLABS (added on September 3, 2020)
Write-up

 Thanks: 
 CryptoInsane, Shadow Intelligence
 Andrew Ivanov (author) 
 Anomali Threat Research, Michael Gillespie
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

Kupidon

Kupidon Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные обычных и бизнес-пользователей, а также файлы на сайтах с помощью AES+RSA, а затем требует выкуп в $300 (для частных пользователей) - $1200 (для компаний) в BTC, чтобы вернуть файлы. Сумма у обычных пользователей обычно ниже. Оригинальное название: Kupidon. На файле написано: нет данных. 

Обнаружения:
DrWeb ->
BitDefender ->
ALYac ->
Avira (no cloud) ->
ESET-NOD32 ->
Malwarebytes ->
Rising ->
Symantec ->
TrendMicro ->
---

© Генеалогия: HacknutCrypt >> Kupidon

Изображение — логотип статьи

К зашифрованным файлам добавляется расширение: .kupidon


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на начало мая 2020 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру. Достоверно известно только об одном пострадавшем румынском сайте. 

Записка с требованием выкупа называется: !KUPIDON_DECRYPT.TXT

Содержание записки о выкупе:
All your files have been encrypted with Kupidon Virus.
Your unique id: 72E4D50643044F7D908AF89F7326B0FB
As a private person you can buy decryption for 300$ in Bitcoins.
But before you pay, you can make sure that we can really decrypt any of your files.
The encryption key and ID are unique to your computer, so you are guaranteed to be able to return your files.
To do this:
1) Download and install Tor Browser ( https://www.torproject.org/download/ )
2) Open the http://oc3g3q5tznpubyasjgliqyykhxdfaqge4vciegjaapjchwtgz4apt6qd.onion/ web page in the Tor Browser and follow the instructions.

Перевод записки на русский язык:
Все ваши файлы были зашифрованы вирусом Купидон.
Ваш уникальный id: 72E4D50643044F7D908AF89F7326B0FB
Как частное лицо вы можете купить расшифровку за 300$ в биткойнах.
Но перед оплатой, вы можете убедиться, что мы правда можем расшифровать любые ваши файлы.
Ключ шифрования и ID уникальны для вашего компьютера, поэтому вы гарантированно сможете вернуть свои файлы.
Сделайте это:
1) Загрузите и установите браузер Tor (https://www.torproject.org/download/)
2) Откройте веб-страницу http://oc3g3q5tznpubyasjgliqyykhxdfaqge4vciegjaapjchwtgz4apt6qd.onion/ в браузере Tor и следуйте инструкциям.

---

У бизнес-пользователей вместо слов private person в записке будет указано commercial person. И сумма выкупа будет выше в несколько раз. 
Запиской с требованием выкупа также выступает сайт вымогателей: 

Содержание текста о выкупе:
1) Send a few encrypted files (no more 3 files, no more 10 MB per letter) to kupidon@cock.li. Dont forget to include you ID from !KUPIDON_DECRYPT.TXT.
2) We will decipher them and send you back with bitcoin address for payment.
3) After payment ransom for Bitcoin, we will send you a decryption program and aes-key with instructions. If we can decrypt any of your files, we have no reason to deceive you after payment. 

Перевод текста на русский язык:
1) Отправьте несколько зашифрованных файлов (не более 3 файлов, не более 10 МБ на письмо) на адрес kupidon@cock.li. Не забудьте указать свой идентификатор из !KUPIDON_DECRYPT.TXT.
2) Мы расшифруем их и отправим обратно с биткоин-адресом для оплаты.
3) После уплаты выкупа за биткоины мы вышлем вам программу дешифрования и aes-ключ с инструкциями. Если мы можем расшифровать любой из ваших файлов, у нас нет оснований обманывать вас после оплаты.

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


➤ Данные с пострадавшего сайта и из кеша Google. 

 

На момент написания статьи сайт уже восстановил свою работу.

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
!KUPIDON_DECRYPT.TXT - название файла с требованием выкупа
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Tor-URL: xxxx://oc3g3q5tznpubyasjgliqyykhxdfaqge4vciegjaapjchwtgz4apt6qd.onion/
2-1 URL: xxxx://147.135.170.169/

URL пострадавшего сайта: xxxxs://outletdemakeup.ro
Записка на сайте: xxxxs://outletdemakeup.ro/!KUPIDON_DECRYPT.TXT
Email-1: kupidon@cock.li
Email-2: ann4.orlova.892@yandex.ru
BTC: - 
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ДЕШИФРОВЩИК === DECRYPTOR ===

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

HacknutCrypt (Qweuirtksd) Ransomware - октябрь 2018
Kupidon Ransomware - мая 2020

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновление от 5 июня 2020:
Статья на сайте BleepingComputer >>
Статистика за 30 дней

Расширение: .kupidon
Записка: !KUPIDON_DECRYPT.TXT.
Email: ann4.orlova.892@yandex.ru
➤ Содержание записки: 
1) Send a few encrypted files (no more 3 files, no more 10 MB per file) to ann4.orlova.892@yandex.ru . Dont forget to include you ID from !KUPIDON_DECRYPT.TXT.
2) We will decipher them and send you back with bitcoin address for payment.
3) After payment ransom for Bitcoin, we will send you a decryption program and aes-key with instructions. If we can decrypt any of your files, we have no reason to deceive you after payment. 

Обновление от 25 июля 2020:
Пост на форуме >>

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter + Tweet + myTweet + Tweet
 ID Ransomware (ID as Kupidon)
 Write-up, Topic of Support
 * 

 Thanks: 
 MalwareHunterTeam
 Andrew Ivanov (author)
 DrStache
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.