Если вы не видите здесь изображений, то используйте VPN.

понедельник, 25 мая 2020 г.

Black Claw

BlackClaw Rransomware

Black Claw Rransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English


Этот крипто-вымогатель шифрует данные пользователей с помощью AES+RSA, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: Black Claw Rransomware. На файле написано: нет данных.

Обнаружения:
DrWeb ->
BitDefender ->
ALYac ->
Avira (no cloud) ->
ESET-NOD32 ->
Malwarebytes ->
Rising ->
Symantec ->
TrendMicro ->
---
To AV vendors! Want to be on this list regularly or be higher on the list? Contact me! 
AV вендорам! Хотите быть в этом списке регулярно или повыше? Сообщите мне!


© Генеалогия: ??? >> Black Claw
Изображение — логотип статьи

К зашифрованным файлам добавляется составное расширение по шаблону: .[<id>].bclaw
.[XXXXXXXXXX].bclaw

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на вторую половину мая 2020 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: RECOVER YOUR FILES.hta


Содержание записки о выкупе:
All your files have been encrypted! 
All your files have been encrypted (WITH AES+RSA) due to a security problem with your PC. If you want to restore them, write us an email and attach one of encrypted files(less than 1mb): bclaw@hitler.rocks 
or send a message to our telegram account: T.me\B_Claw 
in case of no anwser in 2 hours contact with us throught Telegram account T.me\B_Claw 
Include this id in your message or email:
[redacted 10 lowercase alphanum] 
YOU HAVE ONLY 48 HOURS TO CONTACT US. WHEN THIS TIME ENDS THE PRICE WILL BE TWICE AS MUCH 
EXPIRED! THE PRICE IS TWICE AS MUCH NOW
# Free decryption as guarantee 
Before paying you can send up to 1 file for free decryption. 
# How to obtain Bitcoin 
The easiest way to buy Bitcoin in Localbitcoins.com website. 
https://localbitcoins.com/buy_bitcoins 
Also you can find other places to buy Bitcoins and beginner guide here: 
https://www.coindesk.com/learn/bitcoin-101/how-can-i-buy-bitcoins 

Перевод записки на русский язык:
Все ваши файлы зашифрованы!
Все ваши файлы зашифрованы (С AES + RSA) из-за проблем с безопасностью вашего ПК. Если вы хотите восстановить их, напишите нам email и прикрепите один из зашифрованных файлов (менее 1 МБ): bclaw@hitler.rocks
или отправьте сообщение на наш аккаунт в Telegram: T.me\B_Claw 
в случае отсутствия ответа в течение 2 часов, свяжитесь с нами через учетную запись Telegram T.me\B_Claw 
Включите этот идентификатор в ваше сообщение или email:
[здесь 10 строчных букв]
У вас есть только 48 часов, чтобы связаться с нами. КОГДА ЭТО ВРЕМЯ ЗАКОНЧИТСЯ, ЦЕНА БУДЕТ УДВОЕНА! 
ВРЕМЯ ИСТЕКЛО! ЦЕНА УДВОИТСЯ СЕЙЧАС
# Бесплатная расшифровка как гарантия
Перед оплатой вы можете отправить до 1 файла для бесплатной расшифровки.
# Как получить биткойн
Самый простой способ купить биткойн на сайте Localbitcoins.com.
https://localbitcoins.com/buy_bitcoins
Также вы можете найти другие места, чтобы купить биткойны и руководство для начинающих здесь:
https://www.coindesk.com/learn/bitcoin-101/how-can-i-buy-bitcoins



Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1


Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
RECOVER YOUR FILES.hta - название файла с требованием выкупа
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email:
BTC:
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.



=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===



=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновление от 29 июля 2020:
Топик на форуме >>
Расширение: .apocalypse
Telegram: T.me\billy_got
BTC: 1GuxVaa3QqeyXGc13MFzmasMRK7HZwbA18
Записки: RECOVER YOUR FILES.hta
RECOVER YOUR FILES.txt
➤ Содержание txt-записки:
All your files have been encrypted (WITH AES+RSA) due to a security problem with your PC.
contact us via telegram. We will reply within 5 minutes: T.me\billy_got
Send 50$ to Bitcoin: 1GuxVaa3QqeyXGc13MFzmasMRK7HZwbA18
Include this id in your message or telegram: V3pkcwuQ3IFkuIliVqMJsl5WrKpd5JpmTCWYaehrvMjtu*** [всего 344 знака]
YOU HAVE ONLY 48 HOURS TO CONTACT US. WHEN THIS TIME ENDS THE PRICE WILL BE TWICE AS MUCH 
# ATTENTION !!! 
DO NOT RENAME THE FILES. 
---





=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
 Read to links: 
 Tweet on Twitter + Tweet + myTweet
 ID Ransomware (ID as Black Claw)
 Write-up, Topic of Support
 * 
 Thanks: 
 Michael Gillespie
 Andrew Ivanov (author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

воскресенье, 24 мая 2020 г.

Immuni

Immuni Ransomware

Fuckunicorn Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English


Этот крипто-вымогатель шифрует данные пользователей с помощью AES+RSA, а затем требует выкуп в 300 евро в BTC, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: fuckunicorn и IMMUNI.exe

Обнаружения:
DrWeb -> Trojan.Encoder.10598
BitDefender -> Gen:Heur.Ransom.REntS.Gen.1
Avira (no cloud) -> TR/Ransom.cpqdd
ESET-NOD32 -> A Variant Of MSIL/Filecoder.Z
Malwarebytes -> Ransom.FileLocker
Microsoft -> Ransom:MSIL/Ryzerlo.A
Rising -> Ransom.HiddenTear!1.C60C (CLOUD)
Symantec -> Ransom.HiddenTear!g1
Tencent -> Msil.Trojan.Encoder.Pbyk
TrendMicro -> Ransom.MSIL.CRYPTEAR.SM
---
To AV vendors! Want to be on this list regularly or be higher on the list? Contact me! 
AV вендорам! Хотите быть в этом списке регулярно или повыше? Сообщите мне!

© Генеалогия: HiddenTear >> Immuni


Изображение — логотип статьи

К зашифрованным файлам добавляется расширение: .fuckunicornhtrhrtjrjy


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на вторую половину мая 2020 г. Ориентирован на итальянских и англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: READ_IT.txt

Содержание записки о выкупе:
La lunga serpe sul bastone di Asceplio si è ribellata, ed una nuova era sta per sopraggiungere! 
Questa è la vostra possibilità per redimervi dopo anni di peccati e soprusi. 
Sta a voi scegliere. Entro 3 giorni il pegno pagare dovrai o il fuoco di Prometeo cancellerà i vostri dati così come ha cancellato il potere degli Dei sugli uomini.  Il pegno è di solamente 300 euros, da pagare con i Bitcoin al seguente indirizzo : 195naAM74WpLtGHsKp9azSsXWmBCaDscxJ dopo che pagato avrai, una email mandarci dovrai. xxcte2664@protonmail.com il codice di transazione sarà la prova. 
Dopo il pegno pagato riceverai la soluzione per spegnere il fuoco di Prometeo. Andare dalla polizia o chiamare tecnici a niente servirà, nessun essere umano aiutarti potrà.

Перевод записки на русский язык:
Длинная змея на посохе Асклепия взбунтовалась, и наступает новая эра!
Это ваш шанс искупить себя после многих лет грехов и злоупотреблений.
Выбор за вами. В течение 3 дней залог заплатить вам придется или огонь Прометея отменит ваши данные так же, как они уничтожили власть богов над людьми. Выкуп всего 300 евро, оплачивается в биткоинах по следующему адресу: 195naAM74WpLtGHsKp9azSsXWmBCaDscxJ после оплаты, отправьте нам на email xxcte2664@protonmail.com код транзакции как доказательство.
После уплаченного выкупа вы получите решение потушить огонь Прометея. Идти в полицию или вызывать техников  бесполезно, ни один человек не сможет вам помочь.

---
* Asceplio - вероятно так искаженно написано имя Асклепий, на чьем посохе изображена змея, используется как символ медицины.


Запиской с требованием выкупа также выступает изображение, загружаемое с сервиса imgur, которое заменяет обои Рабочего стола: 

Комбинированные скриншоты:
 
Распространители Immuni пытаются обманом, с помощью социальной инженерии, заставить пользователей загрузить поддельное приложение Immuni.exe (бета-версию) для отслеживания контактов, обещая в режиме реального времени получать обновление информации по COVID-19. 
Всё выглядит так, как будто вредоносный исполняемый файл предоставлен Итальянской федерацией фармацевтов (FOFI). 
Злоумышленники клонировали веб-сайт FOFI и зарегистрировали похожее доменное имя. Для этого они использовали fofl.it с маленькой буквой "L" вместо последнего символа, который легко спутать с маленькой "i", используемой в официальном доменном имени FOFI.
Целями являются аптеки, университеты, врачи и другие организации, борющиеся с новым заражением коронавирусом. 
Кроме того, программа-вымогатель показывает некую карту мира с информацией о COVID-19. На самом деле это информационную панель с информацией COVID-19, возможно, даже фальшивая. Во время её показа пользователю атакованного ПК происходит шифрование файлов в пользовательских директориях (Рабочий стол, Документы, Загрузки, Музыка, Изображения и пр.). 



Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1


➤ Пароль для шифрования файлов отправляется злоумышленнику в виде открытого текста, поэтому его можно извлечь из журналов сетевого трафика и использовать для расшифровки файлов.


Список файловых расширений, подвергающихся шифрованию:
.001, .7-zip, .ace, .apk, .arj, .asp, .aspx, .avi, .bmp, .bz2, .c, .cab, .contact, .core, .cpp, .crproj, .cs, .csv, .dat, .db, .dll, .doc, .docx, .dwg, .exe, .f3d, .gzip, .htm, .html, .ico, .iso, .jar, .jpg, .lnk, .lzh, .mdb, .mkv, .mov, .mp3, .mp4, .mpeg, .mpg, .odt, .pas, .pdb, .pdf, .php, .png, .ppt, .pptx, .psd, .py, .rar, .rtf, .settings, .sln, .sql, .tar, .torrent, .txt, .uue, .xls, .xlsx, .xml, .xz, .z, .zip (67 расширений). 
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
IMMUNI.exe
READ_IT.txt - название файла с требованием выкупа
READ_IT.txt.fuckunicornhtrhrtjrjy - тот же файл, но с расширением
ransom.jpg - изображение, заменяющее обои Рабочего стола
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
C:\Users\User\Desktop\IMMUNI.exe
C:\Users\User\AppData\Local\Temp\IMMUNI.exe
C:\Windows\System32\taskhost.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
URL: xxxx://116.203.210.127/
xxxxs://i.imgur.com/6bDNKfs.jpg => ransom.jpg
xxxxs://www.fofl.it/ - оддельный фишинговый вредоносный веб-сайт
xxxxs://www.fofl.it/IMMUNI.exe

Email: xxcte2664@protonmail.com
BTC: 195naAM74WpLtGHsKp9azSsXWmBCaDscxJ
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
🔻 Triage analysis >>
Hybrid analysis >>
𝚺  VirusTotal analysis >>  VT> / VT URL >
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>  AR>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.



=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===



=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.



=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
 Read to links: 
 Tweet on Twitter + Tweet + myTweet
 ID Ransomware (ID as HiddenTear)
 Write-up, Topic of Support
 * 
 Thanks: 
 JAMESWT, GrujaRS
 Andrew Ivanov (author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

суббота, 23 мая 2020 г.

Enced, PedoFinder

Enced Ransomware

Aliases: PedoFinder, PedoFinder-2, PedoTrap

(шифровальщик-вымогатель) (первоисточник)
Translation into English


Этот крипто-вымогатель шифрует или только сообщает, что шифрует данные пользователей, а затем требует выкуп в 0.011 BTC, чтобы вернуть файлы. Оригинальное название: в записке не указано. На разных файлах написано: Enced.exe, Pedo Lover.exe, PedoFinder.exe, PC.exe. 

Обнаружения:
DrWeb -> Trojan.DownLoader33.45724, Trojan.EncoderNET.HiddenTear.1, Trojan.Encoder.10598, Trojan.Encoder.31954
BitDefender -> Trojan.GenericKD.43210833, Gen:Heur.Ransom.REntS.Gen.1
ALYac -> Trojan.Ransom.HiddenTear
Avira (no cloud) -> TR/Ransom.qtdzh, HEUR/AGEN.1129970, TR/FileCoder.qhhyv
ESET-NOD32 -> A Variant Of MSIL/Filecoder.FU, A Variant Of MSIL/Filecoder.AK, A Variant Of Generik.BPSHIBK
Malwarebytes -> Ransom.PedoTrap, Ransom.Shiva
Rising -> Ransom.CrimsonCrypt!8.11C0A (CLOUD), Trojan.Filecoder!8.68 (CLOUD), Ransom.Encoder!8.FFD4 (CLOUD)
Symantec -> Trojan Horse, Ransom.HiddenTear!g1, ML.Attribute.HighConfidence
Tencent -> Win32.Trojan.Generic.Syik, Msil.Trojan.Agent.Aihz
TrendMicro -> Trojan.MSIL.MALREP.THEBEBO, TROJ_GEN.R002C0OEN20
---
To AV vendors! Want to be on this list regularly or be higher on the list? Contact me! 
AV вендорам! Хотите быть в этом списке регулярно или повыше? Сообщите мне!

© Генеалогия: HiddenTear >> ShivaGoodEnced (PedoFinder)


Изображение — логотип статьи

Во время тестов 1-й версии зашифрованных файлов не обнаружено. Возможно, используются разные файлы и лишь в некоторых из них запускается шифровальщик на основе HiddenTear. 
Во второй версии шифрование уже было реализовано. 


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Первый образец этого крипто-вымогателя был найден во второй половине мая 2020 г. Второй - уже в начале мая. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру. 

Записка с требованием выкупа называется: 
READ_ME.html - в первой версии
READ_ME.htm - во второй версии




Содержание записки о выкупе:
You have been caught,You DUMP Pedo Fuck!
All Of You Important Files Are Uploaded To Our Server,And Has Been Encrypted On Your PC!
We Know Who You Are! We Know What You Do! And we Know Where You Live.
If You Don't Do The Payment Within Next 24 Hours (1 Day ),All of Your Files Will Be Deleted And We Will Publish Your Identity!
All You Have To Do Is Pay 0.011 BTC to our Wallet Address and Send Us a Proof of Payment and We Will Send You The Instruction To Recover Your Files And
We Will Forget Who You Are And Delete Your Files and Your Identity On Our Servers. A Win-Win Game.
Our Wallet Address: 1GkrdPCgofgUJXyYQNrvGHgBb38ZBREJcD
Where And How To Buy Bitcoin : https://localbitcoins.com/guides/how-to-buy-bitcoins

Перевод записки на русский язык:
Ты попался, долбаный педофил!
Все важные файлы загружены на наш сервер и зашифрованы на твоем ПК!
Мы знаем кто ты! Мы знаем, что ты делаешь! И мы знаем, где ты живешь.
Если ты не сделаешь оплату за 24 часа (1 день), Все твои файлы будут удалены, и мы опубликуем твою личность!
Все, что тебе нужно сделать, это заплатить 0.011 BTC на наш адрес кошелька и отправить нам подтверждение оплаты, и мы вышлем тебе инструкцию по восстановлению твоих файлов и
Мы забудем, кто ты, и удалим твои файлы и твою личность на наших серверах. Беспроигрышная игра.
Наш адрес кошелька: 1GkrdPCgofgUJXyYQNrvGHgBb38ZBREJcD
Где и как купить биткойны: https://localbitcoins.com/guides/how-to-buy-bitcoins



Технические детали

В некотором роде выдает себя за ловца педофилов, но это может быть прикрытием для вредоносной деятельности. Если файлы не шифруются, то информация может быть украдена. 

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1


Список файловых расширений, которые могут подвергаться шифрованию, если оно будет реализовано:
Это наверняка будут документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
READ_ME.html - название файла с требованием выкупа
Enced.exe
<random>.exe - случайное название вредоносного файла
Pedo Lover.exe, PedoFinder.exe, PC.exe - исполняемые файлы в разных образцах

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
C:\Users\Admin\AppData\Local\Temp\Enced.exe

Самоудаление: 
Использует командный файл для установки таймаута перед самоудалением: 
cmd.exe
"C:\Windows\System32\cmd.exe" /C timeout 2 && Del /Q /F C:\Users\Admin\AppData\Local\Temp\Enced.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
DNS: counter3.stat.ovh (51.77.152.115) - Франция
Email: - 
BTC: 1GkrdPCgofgUJXyYQNrvGHgBb38ZBREJcD
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Сравнение двух первых образцов в списке результатов анализов на VT: 
 

Результаты анализов:
🔻 Triage analysis >>
Hybrid analysis >>
𝚺  VirusTotal analysis >>  VT> VT> VT> VT> VT>
🐞 Intezer analysis >>  IA> IA> IA>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.



=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===



=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===



Обновление от 5 июня 2020:
Самоназвание: PedoFinder v2
Пост в Твиттере >>
Пост в Твиттере >>
Расширение: .<random>
Для каждого файла задается своё случайное расширение из 6 знаков, независимо от типа файла. 
Примеры: .hydfsh, .1c0tzo, .h79wig, .nm8kci, .xua0fq
Записка: READ_ME.htm
Email: proservicez@protonmail.com
BTC: 1CRf7CzbW28F4sJXySQqRv8pHJhJcKHmE3
Файл: Pedo_Finderv2.exe
Результаты анализов: VT + AR + VR
 
➤ Содержание записки: 
You have been caught,You DUMP Pedo Fuck!
All Of You Important Files Are Uploaded To Our Server,And Has Been Encrypted On Your PC!
We Know Who You Are!  We Know What You Do!  And we Know Where You Live.
If You Don't Do The Payment Within Next 24 Hours (1 Day ),All of Your Files Will Be Deleted And We Will Publish Your Identity!
All You Have To Do Is Pay 0.011 BTC to our Wallet Address and Send Us a Proof of Payment and We Will Send You The Instruction To Recover Your Files And We Will Forget Who You Are What You Are Doing. A Win-Win Game.
Our Wallet Address: 1CRf7CzbW28F4sJXySQqRv8pHJhJcKHmE3
Contact Us After Your Payment: proservicez@protonmail.com
Where And How To Buy Bitcoin : https://localbitcoins.com/guides/how-to-buy-bitcoins







=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
 Read to links: 
 Tweet on Twitter + Tweet + myTweet
 ID Ransomware (ID as HiddenTear)
 Write-up, Topic of Support
 * 
 Thanks: 
 dnwls0719
 Andrew Ivanov (author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

пятница, 22 мая 2020 г.

BigLock

BigLock Ransomware

Aliases: CoronaLock, Corona-lock, CoronaLocker

(шифровальщик-вымогатель) (первоисточник)
Translation into English


Этот крипто-вымогатель шифрует данные пользователей с помощью ChaCha, AES + RSA для ключа, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: 2020-05-22_17-36-19.exe или еще что-то.
---
Обнаружения:
DrWeb -> Trojan.Encoder.31878, Trojan.Encoder.32410, Trojan.Encoder.33998
BitDefender -> Trojan.GenericKDZ.67331, Trojan.GenericKD.34327466
Avira (no cloud) -> TR/AD.RansomHeur.eku
Emsisoft -> Trojan.Miner (A)
ESET-NOD32 -> A Variant Of Win32/Kryptik.HDOJ, A Variant Of Win64/Filecoder.CC, A Variant Of Win32/Filecoder.OEY
Malwarebytes -> Trojan.MalPack.GS, Ransom.Pandemic
Microsoft -> Ransom:Win32/Coronalock.DEA!MTB, Trojan:Win32/HtaCrypt.D!MTB
Rising -> Trojan.Kryptik!1.C698 (CLOUD)
Symantec -> ML.Attribute.HighConfidence, Trojan.Gen.2
TrendMicro -> TROJ_FRS.VSNW16E20, Ransom.Win64.QRNALOCK.AA
VBA32 -> Malware-Cryptor.Limpopo
---

© Генеалогия: ✂️ из разных  >> BigLock (CoronaLock) > 
Sojusz


Изображение — логотип статьи

К зашифрованным файлам добавляется одно из расширений: 
.biglock
.corona-lock


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на вторую половину мая 2020 г. и продолжилась в 2020-2021 гг. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру. 

Записка с требованием выкупа называется: 
!!!READ_ME!!!.TXT - ранний вариант от 21 мая 2020
README_LOCK.TXT второй вариант от 22-23 мая 2020


Содержание записки !!!READ_ME!!!.TXT:
##############################################
################# YOUR FILES WERE ENCRYPTED #########
########## AND MARKED BY EXTENSION .biglock ############
##############################################
------------------------------------------------------------------------------
All your important files have been encrypted!
------------------------------------------------------------------------------
Your files are safe! Only modified. (ChaCha+AES)
ANY ATTEMPT TO RESTORE YOUR FILES WITH THIRD-PARTY SOFTWARE
WILL PERMANENTLY CORRUPT IT.
DO NOT MODIFY ENCRYPTED FILES.
DO NOT RENAME ENCRYPTED FILES.
No software available on internet can help you. we are the only ones able to solve your problem.
We gathered highly confidential /personal data. These data are currently stored a private server. This server will be immediately destroyed after your payment.
If you decide to not pay, we will release your data to public or re-seller.
So you can expect your data to be publicly available in the near future.
We only seek money and our goal is not to damage your reputation or prevent your business from running.
You will can send us 2-3 non-important files and we will decrypt it for free to prove we are able to give your files back.
------------------------------------------------------------------------------
Make contact as soon as possible. Your private key (decryption key) is only stored temporarily.
IF YOU DON'T CONTACT US WITHIN 72 HOURS, PRICE WILL BE HIGHER.
################################################
################ LIST OF ENCRYPTED FILES ###############
------------------------------------------------------------------------------
***

Обратите внимание! В записке отсутствует какой-либо контакт для связи. Этот вариант с расширением .biglock мог быть тестовым или содержал ошибку с разработке.  

Перевод записки !!!READ_ME!!!.TXT на русский язык:
### ВАШИ ФАЙЛЫ ЗАШИФРОВАНЫ ###
### И ПОМЕЧЕНЫ РАСШИРЕНИЕМ .biglock ###
------------------------------------------------------------------------------
Все ваши важные файлы зашифрованы!
------------------------------------------------------------------------------
Ваши файлы в безопасности! Только модифицированы. (ChaCha+AES)
ЛЮБАЯ ПОПЫТКА ВОССТАНОВИТЬ ФАЙЛЫ ПРОГРАММАМИ ТРЕТЬИХ ЛИЦ НАВСЕГДА ИСПОРТИТ ИХ.
НЕ МОДИФИЦИРУЙТЕ ЗАШИФРОВАННЫЕ ФАЙЛЫ.
НЕ ПЕРЕИМЕНОВЫВАЙТЕ ЗАШИФРОВАННЫЕ ФАЙЛЫ.
Никакая программа, доступная в Интернете, не может вам помочь. Мы единственные, кто может решить вашу проблему.
Мы собрали очень конфиденциальные / личные данные. Эти данные теперь хранятся на частном сервере. Этот сервер будет сразу уничтожен после вашей оплаты.
Если вы решите не платить, мы опубликуем ваши данные или перепродадим.
Поэтому, можете ждать, как ваши данные будут опубликованы в скором времени.
Нам нужны лишь деньги и наша цель не в том, чтобы нанести ущерб вашей репутации или помешать вашему бизнесу.
Вы можете отправить нам 2-3 неважных файла и мы бесплатно расшифруем их, чтобы доказать, что мы можем вернуть ваши файлы.
------------------------------------------------------------------------------
Свяжитесь с нами поскорее. Ваш закрытый ключ (ключ расшифровки) хранится только временно.
Если вы не свяжитесь с нами в течение 72 часов, цена будет выше.
### СПИСОК ЗАШИФРОВАННЫХ ФАЙЛОВ ###
------------------------------------------------------------------------------
***



 

Содержание записки README_LOCK.TXT:
#############################################################
################# YOUR FILES WERE ENCRYPTED #################
############ AND MARKED BY EXTENSION .corona-lock ###########
#############################################################
--
DON'T WORRY! YOUR FILES ARE SAFE! ONLY MODIFIED :: ChaCha + AES
WE STRONGLY RECOMMEND you NOT to use any Decryption Tools.
These tools can damage your data, making recover IMPOSSIBLE.
Also we recommend you not to contact data recovery companies.
They will just contact us, buy the key and sell it to you at a higher price.
If you want to decrypt your files, you have to get RSA private key.
--
To get RSA private key you have to contact us via email to: 
---------------------------->> support@covidworldcry.com <<
and send us your id: >> 1598982*** <<
--
HOW to understand that we are NOT scammers?
You can ask SUPPORT for the TEST-decryption for ONE file!
--
#############################################################
################## LIST OF ENCRYPTED FILES ##################
-------------------------------------------------------------
C:\vcredist2010_x64.log-MSI_vc_red.msi.txt 372682
C:\vcredist2010_x64.log.html 88914
C:\vcredist2012_x64_0_vcRuntimeMinimum_x64.log 169690
C:\Program Files\Mozilla Firefox\precomplete 2865
C:\Program Files\Mozilla Firefox\removed-files 16
C:\vcredist2012_x64_1_vcRuntimeAdditional_x64.log 197548
C:\vcredist2013_x64_000_vcRuntimeMinimum_x64.log 171954
C:\vcredist2013_x64_001_vcRuntimeAdditional_x64.log 193090
C:\Users\Admin\deployment.properties 1646
C:\Users\Admin\ntuser.dat.LOG1 0
C:\Users\Admin\ntuser.dat.LOG2 0
***

Перевод записки README_LOCK.TXT на русский язык:
### ВАШИ ФАЙЛЫ ЗАШИФРОВАНЫ ###
### И ПОМЕЧЕНЫ РАСШИРЕНИЕМ .corona-lock ###
-
НЕ ВОЛНУЙТЕСЬ! ВАШИ ФАЙЛЫ В БЕЗОПАСНОСТИ! ТОЛЬКО ИЗМЕНЕНЫ :: ChaCha + AES
МЫ НАСТОЯТЕЛЬНО РЕКОМЕНДУЕМ вам НЕ использовать какие-либо инструменты дешифрования.
Эти инструменты могут повредить ваши данные, сделав восстановление НЕВОЗМОЖНЫМ.
Также мы рекомендуем не связываться с компаниями по восстановлению данных.
Они просто свяжутся с нами, купят ключ и продадут его вам по более высокой цене.
Если вы хотите расшифровать ваши файлы, вы должны получить закрытый ключ RSA.
-
Чтобы получить закрытый ключ RSA, вы должны связаться с нами по email:
---------------------------- >> support@covidworldcry.com <<
и отправить нам свой id: >> 1598982*** <<
-
КАК понять, что мы НЕ мошенники?
Вы можете запросить ПОДДЕРЖКУ для ТЕСТ-расшифровки ОДНОГО файла!
-
### СПИСОК ЗАШИФРОВАННЫХ ФАЙЛОВ ###
***



Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов (RigEK), вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1


➤ Удаляет теневые копии файлов, манипулирует размером теневого хранилища, отключает функции восстановления и исправления Windows на этапе загрузки командами:
vssadmin.exe Resize ShadowStorage /for=e: /on=e: /maxsize=unbounded
Interacts with shadow copies
vssadmin.exe Resize ShadowStorage /for=c: /on=c: /maxsize=401MB
vssadmin.exe Resize ShadowStorage /for=f: /on=f: /maxsize=unbounded
"C:\Windows\system32\cmd.exe" /c del C:\Users\Admin\AppData\Local\Temp\2020-0~1.EXE >> NUL
vssadmin.exe Resize ShadowStorage /for=g: /on=g: /maxsize=unbounded
vssadmin.exe Resize ShadowStorage /for=g: /on=g: /maxsize=401MB
vssadmin.exe Resize ShadowStorage /for=c: /on=c: /maxsize=unbounded
vssadmin.exe Resize ShadowStorage /for=d: /on=d: /maxsize=401MB
C:\Windows\SysWOW64\Wbem\wmic.exe
wmic.exe SHADOWCOPY /nointeractive
vssadmin.exe Resize ShadowStorage /for=e: /on=e: /maxsize=401MB
vssadmin.exe Resize ShadowStorage /for=d: /on=d: /maxsize=unbounded
vssadmin.exe Resize ShadowStorage /for=h: /on=h: /maxsize=401MB
vssadmin.exe Resize ShadowStorage /for=h: /on=h: /maxsize=unbounded
vssadmin.exe Delete Shadows /All /Quiet

Список файловых расширений, подвергающихся шифрованию:
Большинство типов файлов, кроме используемых BigLock. 
Это наверняка будут документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Шифрует даже загрузочные и системные файлы, например:
bootmgr.corona-lock
BOOTNXT.corona-lock
ntuser.pol.corona-lock

Файлы, связанные с этим Ransomware:
!!!READ_ME!!!.TXT - название файла с требованием выкупа
<random>.exe - случайное название вредоносного файла
KEY.FILE - специальный файл
2020-05-22_17-36-19.exe - распространяемый вредоносный файл.

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
C:\Users\User\Roaming\KEY.FILE
C:\Users\User\Desktop\README_LOCK.TXT

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Malware URL:
  VT
При открытии этого сайта Norton Security сообщает о веб-атаке и блокирует атаку. На скриншотах подробности об атаке. 

 

Применяется эксплойт Rig EK. 

---
Email-1: admin@covidworldcry.com
Email-2: support@covidworldcry.com
BTC:
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

➤ Исследователи обратили внимание, что в некоторых случаях присутствие BigLock Ransomware на атакованных ПК сопровождается присутствием STOP Ransomware. Это может говорить о том, что они распространяются по похожей или общей схеме — через сайты с пиратским и взломанным ПО. 
На следующей картинке видно, что шифрование файлов идёт друг за другом, добавляются расширения .corona-lock и .covm (расширение STOP Ransomware на данный период времени). 


Результаты анализов:
🔻 Triage analysis >>
Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.



=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===



=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Вариант от 22 мая 2020:
Топик на форуме >>
Расширение: .corona-lock
Записка: README_LOCK.TXT
Email: support@covidworldcry.com
Результаты анализов: 
Файл setup_theme_895670451.exe
Загрузчик или вспомогательный: VT + HA + IA + AR 
Используется имя легитимной программы: DUMo, DUMo - Drivers Update Monitor, KC Softwares
➤ Обнаружения:
DrWeb -> Trojan.DownLoader33.44803
BitDefender -> Gen:Variant.Ursu.877310
ESET-NOD32 -> A Variant Of Win32/DownloadAssistant.Y*
Malwarebytes -> Adware.DLAssistant.Generic
Rising -> PUA.DownloadAssistant!8.182 (CLOUD)
Symantec -> ML.Attribute.HighConfidence



Вариант от 10 августа 2020:
Пост в Твиттере >>
Расширение: .pandemic
Записка: PROTECT.txt
Email: brelox777@gmail.com
URL: hxxx://195.189.96.66/repeater.php
Tor-URL: hxxx://dj55huaqbbsnhwngb5rgeq65ns3nteyon7wlp32gkamzs3k2ogrdr5qd.onion

 

Результаты анализов: VT + VMR + IA
➤ Обнаружения:
DrWeb -> Trojan.Encoder.32410
BitDefender -> Trojan.GenericKD.34327466
ESET-NOD32 -> A Variant Of Win64/Filecoder.CC
Malwarebytes -> Ransom.Pandemic
Microsoft -> Trojan:Win32/HtaCrypt.D!MTB
TrendMicro -> Ransom.Win64.QRNALOCK.AA


=== 2021 ===

Вариант от 2 марта 2021: 
Самоназвание: CORONA LOCKER.
Имитирует один из вариантов Aurora Ransomware
Расширение: .systems32x
Записки: @_FILES_WERE_ENCRYPTED_@.TXT
@_HOW_TO_DECRYPT_FILES_@.TXT
@_HOW_TO_PAY_THE_RANSOM_@.TXT
BTC: 1P9RWUQPJ2sSGszTqvi7cxzLWkUecAchgs
Специальный файл: SYSTEM32X.KEY


Результаты анализов: VT + IA
➤ Обнаружения:
DrWeb -> Trojan.Encoder.33577
ALYac -> Trojan.Ransom.Aurora
Avira (no cloud) -> TR/Crypt.ASPM.Gen
BitDefender -> Gen:Heur.Mint.Zard.2
ESET-NOD32 -> A Variant Of Win32/Filecoder.OEY
Malwarebytes -> Ransom.Gibberish
Microsoft -> Ransom:Win32/CornLocker.PA!MTB
Qihoo-360 -> Win32/Ransom.Aurora.HgIASP4A
Rising -> Ransom.Aurora!8.11029 (CLOUD)
TrendMicro -> Ransom.Win32.CORONALOCKER.THCOCB


Вариант от 4 июня 2021: 
Расширение: .nermer
Записка: PROTECT_INFO.TXT


Файл: locker.exe
Результаты анализов: VT + TG
➤ Обнаружения:  
DrWeb -> Trojan.Encoder.33998
ALYac -> Trojan.Ransom.MedusaLocker
ESET-NOD32 -> A Variant Of Win64/Filecoder.CC


Вариант от 7 октября 2021: 
Расширение: .t1000
Записка: PROTECT_INFO.TXT
Результаты анализов: VT 


➤ Обнаружения: 
DrWeb -> Trojan.Encoder.34401
ESET-NOD32 -> A Variant Of Win64/Filecoder.CC


Вариант от 4 декабря 2021: 
Расширение: .t1000
Записка: CRYPTiNFO.txt
Jabber: t1000rn@404.city
Telegram: @t1000rn
Файл: SysLogsService.exe
Результаты анализов: VT + TG


➤ Обнаружения: 
DrWeb -> Trojan.Encoder.34401
BitDefender -> Trojan.GenericKD.47566367
ESET-NOD32 -> A Variant Of Win64/Packed.Themida.KX
Malwarebytes -> Malware.AI.4211841936
Symantec -> Downloader


=== 2022 ===

Вариант от 30 января 2022:
Расширение: .t800
Алгоритмы шифрования: TermCryptS3v2+RSA2048
Записка: !!!HOW_TO_DECRYPT!!!.txt
Telegram: @t1000rn
Jabber: t1000rn@404.city
BTC: 38wDGRKde7UijxBrup9BNnEUopKexyRpZz





=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
 Read to links: 
 Tweet on Twitter + Tweet + myTweet
 ID Ransomware (ID as BigLock)
 Write-up, Topic of Support, Topic of Support
 * 
 Thanks: 
 MalwareHunterTeam, nao_sec
 Andrew Ivanov (author)
 quietman7 (Bleeping Computer forum)
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

Постоянные читатели

My tweet feed

My tweet feed
Follow me!

My profile on BC

My profile on BC
Follow me!

Форма для связи / Contact

Имя

Электронная почта *

Сообщение *