UnluckyWare

UnluckyWare Ransomware

UnlockYourFiles Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES+RSA, а затем требует выкуп в $50 в BTC, чтобы вернуть файлы. Оригинальное название: UnluckyWare. На файле написано: UnluckyWare.exe.
---
Обнаружения:
DrWeb -> Trojan.Encoder.31932
BitDefender -> Gen:Heur.Ransom.HiddenTears.1
ALYac -> Trojan.Ransom.HiddenTear
Avira (no cloud) -> HEUR/AGEN.1130184
ESET-NOD32 -> A Variant Of MSIL/Filecoder.XL
Malwarebytes -> Ransom.ByteLocker
Rising -> Ransom.HiddenTear!8.DC9E (CLOUD)
Symantec -> ML.Attribute.HighConfidence
TrendMicro -> Ransom.MSIL.BYTELOCKER.SM
---

© Генеалогия: ✂️ HiddenTear >> ByteLocker + ✂️ Jigsaw > UnluckyWare

Изображение — логотип статьи

К зашифрованным файлам добавляется расширение: .unwa


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на конец мая 2020 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Запиской с требованием выкупа выступает экран блокировки с таймером: 

Содержание записки о выкупе:
WARNING! ALL YOUR FILES ARE ENCRYPTED!
Your important files, documents, pictures, etc. Have been encrypted.
Here is a complete list of encrypted files, you can verify this manually.
Encryption was produced using AES-256 in order to unlock your files you need to pay $50 dollars for the AES Key.
The key will only be available for a limited time, after this the key will no longer be able to be purchased.
You can contact us on email : UnluckyWare@torbox3uiot6wchz.onion if we didn't respond contact us on this email : UnluckyWare@mail2tor.com
Please Provide us your ID when you want to send email.
Our Bitcoin Adress : ***
Your ID : ***

Перевод записки на русский язык:
ПРЕДУПРЕЖДЕНИЕ! ВСЕ ВАШИ ФАЙЛЫ ЗАШИФРОВАНЫ!
Ваши важные файлы, документы, фотографии и т. д. зашифрованы.
Вот полный список зашифрованных файлов, вы можете проверить это вручную.
Шифрование произведено с AES-256, чтобы разблокировать файлы, вам надо заплатить 50$ за ключ AES.
Ключ будет доступен только ограниченное время, после этого ключ уже не сможет быть куплен.
Вы можете связаться с нами по email: UnluckyWare@torbox3uiot6wchz.onion, если мы не ответили, пишите нам по этому адресу: UnluckyWare@mail2tor.com
Пожалуйста, предоставьте нам свой ID, если вы хотите отправить email.
Наш Биткойн-адрес : ***
Ваш ID : ***


Изображение 000000051470.jpg, заменяющее обои Рабочего стола не содержит видимого текста, а только демонстрирует картинку Jigsaw, используемую в Jigsaw Ransomware с 2016 года. Загружается с сайта images.itnewsinfo.com.

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

➤ Тип запуска: прямой. Без каких-либо вспомогательных файлов. 

➤ Строки кода, демонстрирующие связь с предыдущим проектом Bytelocker, на основе которого был сделан UnluckyWare.

➤ Скриншоты от исследователей:

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
UnluckyWare.exe - исполняемый файл крипто-вымогателя
UnluckyWare.pdb - оригинальное название файла проекта
000000051470.jpg - картинка Jigsaw

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
C:\Users\User\Desktop\Generator\Bytelocker\obj\Debug\UnluckyWare.pdb
 C:\Users\User\AppData\Local\Temp\UnluckyWare.exe
 C:\Windows\000000051470.jpg

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
URL: xxxx://images.itnewsinfo.com/lmi/articles/grande/000000051470.jpg
Email: UnluckyWare@torbox3uiot6wchz.onion
UnluckyWare@mail2tor.com
BTC: ***
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
🔻 Triage analysis >>
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

ByteLocker Ransomware  - февраль 2018 

ByteLocker Ransomware - 2019 без указания месяца 

UnluckyWare Ransomware - май 2020
UnlockYourFiles - апрель-май 2021

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Вариант от 30 апреля 2021:

Сообщение >>

Расширение: .485

Файл: UnlockYourFiles.exe

Результаты анализов: VT + IA + AR

Вариант от 21 мая 2021:

Сообщение >>

Расширение: .505

Номер расширения может быть и другим. 

Email: 4lok3r@protonmail.com, 4lok3r@tutanota.com

BTC: bc1qlnzcep4l4ac0ttdrq7awxev9ehu465f2vpt9x0

Файл: UnlockYourFiles.exe

Результаты анализов: VT + IA + JSB  

Вариант от 6 июля 2021:

Сообщение >>

Самоназвание: JanusLocker Ransomware

Расширение: .HACKED (потом удаляется). 

Email: TwoHearts911@protonmil.com

BTC: 31jBiv7Vxu8t1CvMFKPeBTbQ7gCA2pNzyN

Пароль дешифрования хранится в реестре HKEY_CURRENT_USER\Software\ByteLocker ключе "id" в виде строки base64, но вылетает при расшифровке. 

Файл проекта: C:\Users\Nabil\Desktop\Januslocker\Bytelocker\obj\Debug\Bytelocker.pdb

Результаты анализов: VT + IA

➤ Обнаружения: 

DrWeb -> Trojan.Encoder.34124

BitDefender -> Gen:Heur.Ransom.HiddenTears.1

ESET-NOD32 -> A Variant Of MSIL/Filecoder.XL

Malwarebytes -> Malware.AI.3871211566

Microsoft -> Ransom:MSIL/HiddenTear.AB!MTB

Symantec -> ML.Attribute.HighConfidence

TrendMicro -> Ransom.MSIL.BYTELOCKER.SM

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter + Tweet + myTweet
 ID Ransomware (ID as UnluckyWare)
 Write-up, Topic of Support
 * 

 Thanks: 
 dnwls0719, Michael Gillespie
 Andrew Ivanov (author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

Banks1

Banks1 Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES-256 + RSA-4096, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: ransom.exe

Обнаружения:
DrWeb -> Trojan.Encoder.31929
BitDefender -> Gen:Heur.Ransom.MSIL.1
Avira (no cloud) -> TR/Kryptik.jbrvu
ESET-NOD32 -> A Variant Of MSIL/Kryptik.VTX
Malwarebytes -> Ransom.Banks.MSIL
Rising -> Trojan.Kryptik!8.8 (CLOUD)
Symantec -> Downloader
TrendMicro -> Trojan.Win32.WACATAC.USXVPES20
---
To AV vendors! Want to be on this list regularly or be higher on the list? Contact me! 
AV вендорам! Хотите быть в этом списке регулярно или повыше? Сообщите мне!

© Генеалогия:  ✂️ Dharma + ??? >> Banks1

Изображение — логотип статьи

К зашифрованным файлам добавляется расширение: .banks1

Фактические использует составное расширение по шаблону: .id-XXXXXXXX.[jerjis@tuta.io].banks1
Примеры расширений: 
.id-C4BA3647.[jerjis@tuta.io].banks1
.id-085CDA53.[jerjis@tuta.io].banks1

Таким образом он полностью использует шаблон составного расширения, который используется в Dharma Ransomware. 


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на начало/середину марта 2020 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: ReadMe.txt

Содержание TXT-записки о выкупе:
What happend for my computer?
All your files are encrypted due a security issue in your computer.
What should i do?
You have 48 hours to email us.Otherwise, the decryption price will increase or become impossible.
Your email must contain your unique id and the unique key.
your unique id is C4BA3647
your unique key is R/I1kEEAjm9uaTFx3iFyq3qFYIUT/wsZ*** [всего 684 знака]
Email Address: jerjis@tuta.io
If you didn't recive any response till 24 hours,Send email to this address: jerjis@tutamail.com
What is our guarantee?
We decrypt two files for you Free to be sure that we are able to recover your files.

Перевод TXT-записки на русский язык:
Что случилось с моим компьютером?
Все ваши файлы зашифрованы из-за проблем безопасности на вашем компьютере.
Что мне делать?
У вас есть 48 часов, чтобы написать нам. Иначе цена расшифровки увеличится или станет невозможной.
Ваш email должен содержать ваш уникальный id и уникальный ключ.
Ваш уникальный id C4BA3647
Ваш уникальный ключ - R/I1kEEAjm9uaTFx3iFyq3qFYIUT/wsZ*** [всего 684 знака]
Email-адрес: jerjis@tuta.io
Если вы не получили ответа за 24 часа, отправьте email на этот адрес: jerjis@tutamail.com
Какая наша гарантия?
Мы расшифруем два файла для вас Бесплатно, чтобы заверить, что мы сможем восстановить ваши файлы.

Содержание HTA-записки о выкупе:
All your files have been encrypted!
All your files have been encrypted due to a security problem with your PC. If you want to restore them, write us to the e-mail jerjis@tuta.io
Write this ID in the title of your message C4BA3647
In case of no answer in 24 hours write us to this e-mail:jerjis@tutamail.com
You have to pay for decryption in Bitcoins. The price depends on how fast you write to us. After payment we will send you the tool that will decrypt all your files. 
Free decryption as guarantee
Before paying you can send us up to 5 files for free decryption. The total size of files must be less than 4Mb (non archived), and files should not contain valuable information. (databases,backups, large excel sheets, etc.) 
How to obtain Bitcoins
The easiest way to buy bitcoins is LocalBitcoins site. You have to register, click 'Buy bitcoins', and select the seller by payment method and price. 
https://localbitcoins.com/buy_bitcoins 
Also you can find other places to buy Bitcoins and beginners guide here: 
http://www.coindesk.com/information/how-can-i-buy-bitcoins/ 
Attention!
Do not rename encrypted files. 
Do not try to decrypt your data using third party software, it may cause permanent data loss. 
Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam. 

Перевод HTA-записки на русский язык:
Все ваши файлы зашифрованы!
Все ваши файлы зашифрованы из-за проблем с безопасностью вашего ПК. Если вы хотите восстановить их, напишите нам на email jerjis@tuta.io
Напишите этот ID в заголовке вашего сообщения C4BA3647
В случае отсутствия ответа за 24 часа напишите нам на этот email: jerjis@tutamail.com
Вы должны заплатить за расшифровку в биткойнах. Цена зависит от того, как быстро вы напишите нам. После оплаты мы вышлем вам инструмент, который расшифрует все ваши файлы.
Бесплатная расшифровка как гарантия
Перед оплатой вы можете отправить нам до 5 файлов для бесплатной расшифровки. Общий размер файлов должен быть менее 4 МБ (не в архиве), и файлы не должны содержать ценной информации. (базы данных, резервные копии, большие таблицы Excel и т. д.)
Как получить биткойны
Самый простой способ купить биткойны - это сайт LocalBitcoins. Вы должны зарегистрироваться, нажать 'Купить биткойны' и выбрать продавца по способу оплаты и цене.
https://localbitcoins.com/buy_bitcoins
Также вы можете найти другие места, чтобы купить биткойны и руководство для начинающих здесь:
http://www.coindesk.com/information/how-can-i-buy-bitcoins/
Внимание!
Не переименовывайте зашифрованные файлы.
Не пытайтесь расшифровать ваши данные с помощью сторонних программ, это может привести к необратимой потере данных.
Расшифровка ваших файлов с помощью третьих лиц может привести к повышению цены (они добавляют свою плату к нашей), или вы можете стать жертвой мошенничества.

/// Примечательно, что заимствование типа, названия (info.hta) и содержания hta-записки из проекта Dharma Ransomware является уже вторым заимствованием у этих вымогателей. Это может говорить о том, что не стали заморачиваться и просто взяли чужие готовые элементы, а также о том, что имитация визуальных элементов более известного вымогательского проекта может быть способом выдать себя за другого. 

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


➤ Подробнее о шифровании.
По сообщению Майкла Джиллеспи шифровальщик использует очень, очень глупую комбинацию из RNGCryptoServiceProvider, base64, MD5, SHA256, base64 (еще раз), а затем RFC2898 для генерации ключа для файла. Шифрование выполняется с алгоритмом AES-256, ключ защищен с помощью RSA-4096 (это то, что вы видите в записке с требованием выкупа как код base64 684 знаков).

➤ Удаляет теневые копии файлов. Отключает файервол. Добавляет в Автозагрузку Windows свою копию и HTA-файл с помощью команд:
 file.exe
 cmd.exe
 netsh.exe netsh advfirewall set currentprofile state off
 cmd.exe
 netsh.exe netsh firewall set opmode mode=disable
 cmd.exe "cmd" /C vssadmin Delete Shadows /All /Quiet
 vssadmin.exe vssadmin Delete Shadows /All /Quiet
 mshta.exe "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\info.hta
 ransom.exe
 cmd.exe
 netsh.exe netsh advfirewall set currentprofile state off
 cmd.exe
 netsh.exe netsh firewall set opmode mode=disable
 cmd.exe "cmd" /C vssadmin Delete Shadows /All /Quiet
 vssadmin.exe vssadmin Delete Shadows /All /Quiet

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
ransom.exe - исполняемый файл крипто-вымогателя
ReadMe.txt - название файла с требованием выкупа
 info.hta - название HTA-файла с требованием выкупа
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ransom.exe

C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\info.hta

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: jerjis@tuta.io, jerjis@tutamail.com
BTC: - 
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
🔻 Triage analysis >>
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter + Tweet + myTweet
 ID Ransomware (ID as Banks1)
 Write-up, Topic of Support
 * 

 Thanks: 
 Michael Gillespie
 Andrew Ivanov (author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

Black Claw

BlackClaw Rransomware

Black Claw Rransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES+RSA, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: Black Claw Rransomware. На файле написано: нет данных.

Обнаружения:
DrWeb ->
BitDefender ->
ALYac ->
Avira (no cloud) ->
ESET-NOD32 ->
Malwarebytes ->
Rising ->
Symantec ->
TrendMicro ->
---
To AV vendors! Want to be on this list regularly or be higher on the list? Contact me! 
AV вендорам! Хотите быть в этом списке регулярно или повыше? Сообщите мне!

© Генеалогия: ??? >> Black Claw

Изображение — логотип статьи

К зашифрованным файлам добавляется составное расширение по шаблону: .[<id>].bclaw
.[XXXXXXXXXX].bclaw

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на вторую половину мая 2020 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: RECOVER YOUR FILES.hta

Содержание записки о выкупе:
All your files have been encrypted! 
All your files have been encrypted (WITH AES+RSA) due to a security problem with your PC. If you want to restore them, write us an email and attach one of encrypted files(less than 1mb): bclaw@hitler.rocks 
or send a message to our telegram account: T.me\B_Claw 
in case of no anwser in 2 hours contact with us throught Telegram account T.me\B_Claw 
Include this id in your message or email:
[redacted 10 lowercase alphanum] 
YOU HAVE ONLY 48 HOURS TO CONTACT US. WHEN THIS TIME ENDS THE PRICE WILL BE TWICE AS MUCH 
EXPIRED! THE PRICE IS TWICE AS MUCH NOW
# Free decryption as guarantee 
Before paying you can send up to 1 file for free decryption. 
# How to obtain Bitcoin 
The easiest way to buy Bitcoin in Localbitcoins.com website. 
https://localbitcoins.com/buy_bitcoins 
Also you can find other places to buy Bitcoins and beginner guide here: 
https://www.coindesk.com/learn/bitcoin-101/how-can-i-buy-bitcoins 

Перевод записки на русский язык:
Все ваши файлы зашифрованы!
Все ваши файлы зашифрованы (С AES + RSA) из-за проблем с безопасностью вашего ПК. Если вы хотите восстановить их, напишите нам email и прикрепите один из зашифрованных файлов (менее 1 МБ): bclaw@hitler.rocks
или отправьте сообщение на наш аккаунт в Telegram: T.me\B_Claw 
в случае отсутствия ответа в течение 2 часов, свяжитесь с нами через учетную запись Telegram T.me\B_Claw 
Включите этот идентификатор в ваше сообщение или email:
[здесь 10 строчных букв]
У вас есть только 48 часов, чтобы связаться с нами. КОГДА ЭТО ВРЕМЯ ЗАКОНЧИТСЯ, ЦЕНА БУДЕТ УДВОЕНА! 
ВРЕМЯ ИСТЕКЛО! ЦЕНА УДВОИТСЯ СЕЙЧАС
# Бесплатная расшифровка как гарантия
Перед оплатой вы можете отправить до 1 файла для бесплатной расшифровки.
# Как получить биткойн
Самый простой способ купить биткойн на сайте Localbitcoins.com.
https://localbitcoins.com/buy_bitcoins
Также вы можете найти другие места, чтобы купить биткойны и руководство для начинающих здесь:
https://www.coindesk.com/learn/bitcoin-101/how-can-i-buy-bitcoins

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
RECOVER YOUR FILES.hta - название файла с требованием выкупа
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email:
BTC:
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновление от 29 июля 2020:
Топик на форуме >>
Расширение: .apocalypse
Telegram: T.me\billy_got

BTC: 1GuxVaa3QqeyXGc13MFzmasMRK7HZwbA18
Записки: RECOVER YOUR FILES.hta
RECOVER YOUR FILES.txt

➤ Содержание txt-записки:
All your files have been encrypted (WITH AES+RSA) due to a security problem with your PC.
contact us via telegram. We will reply within 5 minutes: T.me\billy_got
Send 50$ to Bitcoin: 1GuxVaa3QqeyXGc13MFzmasMRK7HZwbA18
Include this id in your message or telegram: V3pkcwuQ3IFkuIliVqMJsl5WrKpd5JpmTCWYaehrvMjtu*** [всего 344 знака]
YOU HAVE ONLY 48 HOURS TO CONTACT US. WHEN THIS TIME ENDS THE PRICE WILL BE TWICE AS MUCH 
# ATTENTION !!! 
DO NOT RENAME THE FILES. 
---

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter + Tweet + myTweet
 ID Ransomware (ID as Black Claw)
 Write-up, Topic of Support
 * 

 Thanks: 
 Michael Gillespie
 Andrew Ivanov (author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.