JCrypt

JCrypt Ransomware

Aliases: Locked, Daddycrypt, Omero

JCrypt CryptoToys / NextGen: Stonks, Crypted, Ncovid, NotStonks, Iam_watching, Vn_os, Wearefriends, MALWAREDEVELOPER, MALKI, Poison, Foxxy, MafiaWare666, et al.

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES+RSA, а затем требует выкуп в 1 BTC, чтобы вернуть файлы. Оригинальное название: JCrypt. На файле написано: svchost.exe и Microsoft Corporation.exe. В рассмотренном примере шифруются только 5 файлов, возможно, что массово не распространяется и сделан ради позёрства и самоутверждения. Позже вариантов стало много, смотрите о них в обновлениях. 
---
Обнаружения:
DrWeb -> Trojan.Encoder.33345, Trojan.EncoderNET.31373
BitDefender -> Gen:Heur.MSIL.Krypt.2, Gen:Heur.Ransom.REntS.Gen.1
ESET-NOD32 -> MSIL/Filecoder.AEN
Kaspersky -> HEUR:Trojan-Ransom.MSIL.Crypren.gen
Malwarebytes -> Ransom.FileCryptor
Microsoft -> Trojan:Win32/Ymacco.AA93, Trojan:Win32/Ymacco.AA8D
Rising -> Malware.Undefined!8.C *
Symantec -> ML.Attribute.HighConfidence
Tencent -> Msil.Trojan.Crypren.Ehrw, Msil.Trojan.Crypren.Aduf
TrendMicro -> Ransom_Crypren.R002C0WLJ20, Ransom_Crypren.R002C0WLL20
---

© Генеалогия: Blank >> JCrypt

Изображение — логотип статьи

К зашифрованным файлам добавляется расширение: .jcrypt


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Варианты этого крипто-вымогателя были найдены во второй половине декабря 2020 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру. 

Записка с требованием выкупа называется: ___RECOVER__FILES__.jcrypt.txt

Содержание записки о выкупе: 

All of your files have been encrypted.

To unlock them, please send 1 bitcoin(s) to BTC address: 1BtUL5dhVXHwKLqSdhjyjK9Pe64Vc6CEH1 Afterwards,

I please email your transaction ID to: this.email.address@gmail.com

Thank you and have a nice day! Encryption Log:

C:\Users\admin\Desktop\Tray.exe

C:\Users\admin\Pictures\desktop.ini

C:\Users\admi n\Documents\desktop.ini

C:\Users\admin\Documents\Visual Studio 2013\Settings\CurrentSettings-2016-ll-29.vssettings

C:\Users\admin\Documents\Visual Studio 2013\Settings\CurrentSettings.vssettings

Перевод записки на русский язык: 

Все ваши файлы зашифрованы.

Чтобы разблокировать их, отправьте 1 биткойн на BTC-адрес: 1BtUL5dhVXHwKLqSdhjyjK9Pe64Vc6CEH1 После этого,

я прошу отправить ID вашей транзакции по адресу: this.email.address@gmail.com

Спасибо и хорошего дня! Журнал шифрования:

***

Запиской с требованием выкупа также выступает экран блокировки: 

Содержание текста с экрана: 

RIP lmao

Your files (count: 5) have been encrypted!

In order to recover your data...

Please send 1 Bitcoin(s) to the following BTC address:

1BtUL5dhVXHwKLqSdhjyjK9Pe64Vc6CEH1

Next, E-mail your transaction ID to the following address:

this.email.address@qmail.com

Перевод текста на русский язык: 

RIP lmao

Ваши файлы (число: 5) зашифрованы!

Чтобы восстановить ваши данные ...

Отправьте 1 биткойн (-а) на следующий адрес BTC:

1BtUL5dhVXHwKLqSdhjyjK9Pe64Vc6CEH1

Затем отправьте свой ID транзакции на следующий email:

this.email.address@qmail.com

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
___RECOVER__FILES__.jcrypt.txt - название файла с требованием выкупа

svchost.exe - название вредоносного файла

Microsoft Corporation.exe - название вредоносного файла

WindowsFormsApp1.pdb - название файла проекта

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: this.email.address@gmail.com

Email: get.back.3355@gmail.com

BTC: 1BtUL5dhVXHwKLqSdhjyjK9Pe64Vc6CEH1

BTC: 1FKRDDf4gtJxhxjQvMg7kJy7QT1Pwm9A6U

См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
🔻 Triage analysis >>
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>  VT> 
🐞 Intezer analysis >>  IA>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: средняя.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Вариант от 26 января 2021 или раньше: 

Сообщение >>

Расширение: .jcrypt

Записка:_RECOVER__FILES__.jcrypt.txt

Email: Clay_whoami_1@protonmail.ch

BTC: 1QD3AHS58SW8Hy4tmNLwh3xEVe345dj4ZG

Результаты анализов: VT 

Вариант от 18-27 января 2021: 

Сообщение >>

Расширение: .locked

Записка:___RECOVER__FILES__.locked.txt

Email: danielthai101514@gmail.com, friendly.cyber.criminal@gmail.com

BTC: 1BtUL5dhVXHwKLqSdhjyjK9Pe64Vc6CEH1

Файл: WindowsFormsApp1.exe

Результаты анализов: VT + VMR + IA + HA + TG

➤ Обнаружения: 

ALYac -> Trojan.GenericKD.36171502

Avira (no cloud) -> HEUR/AGEN.1137051

BitDefender -> Trojan.GenericKD.36171502

ESET-NOD32 -> A Variant Of MSIL/Filecoder.AEN

Qihoo-360 -> Generic/Trojan.Ransom.5a0

Symantec -> ML.Attribute.HighConfidence

TrendMicro -> TROJ_GEN.R002H0AAI21

Вариант от 6 февраля 2021: 

Сообщение >>

Расширение: .daddycrypt

Записка: ___RECOVER__FILES__.daddycrypt.txt

Email: troll22118@gmail.com

Файл: WindowsFormsApp1.exe

Результаты анализов: VT

➤ Обнаружения: 

DrWeb -> Trojan.Encoder.33462

Avira (no cloud) -> TR/Ransom.hmjvr

BitDefender -> Gen:Heur.Ransom.REntS.Gen.1

ESET-NOD32 -> A Variant Of MSIL/Filecoder.AEN

Malwarebytes -> Generic.Malware/Suspicious

Symantec -> ML.Attribute.HighConfidence

Tencent -> Msil.Trojan.Gen.Efar

TrendMicro -> CallTROJ_GEN.R002H09B621

 

Вариант от 24 февраля 2021: 

Сообщение >>

Расширение: .jcrypt

Записка: ___RECOVER__FILES__.jcrypt.txt

Email: exploitvenus@gmail.com

BTC: bc1q4r4kjrer2l0j0ahlh5cfua3kja0n7cj90u3wcv

Файлы: CORRUPT2.exe, CORRUPT.exe, norm9.wav

Расположения файлов: 

C:\Users\ardak\source\repos\SPREADTHERANSOMWARE\WindowsFormsApp1\obj\Debug\SPREADTHECORRUPTION.pdb

URL: 

hxxx://download1477.mediafire.com/c6z2vzndaxrg/6arkyjujxhtdd0a/norm9.wav

URL: hxxxs://github.com/MALWARECODING/goi/raw/main/CORRUPT2.exe

Результаты анализов: VT + IA + TG + HA

➤ Обнаружения: 

DrWeb -> Trojan.EncoderNET.31373

ALYac -> Trojan.Ransom.Filecoder

Avira (no cloud) -> TR/Ransom.bzuzu

BitDefender -> Gen:Heur.Ransom.REntS.Gen.1

ESET-NOD32 -> A Variant Of MSIL/Filecoder.AEN

Kaspersky -> HEUR:Trojan-Ransom.MSIL.Crypren.gen

Malwarebytes -> Ransom.FileCryptor.Generic

Microsoft -> Trojan:Win32/Ymacco.AA5E

Qihoo-360 -> Win32/Trojan.Generic.HgIASPsA

Rising -> Ransom.DaddyCrypt!1.D2A1 (CLOUD)

Symantec -> ML.Attribute.HighConfidence

TrendMicro -> TROJ_GEN.R002H09BO21

Вариант от 16 марта 2021: 

Сообщение >>

Расширение: .omero

Записка: ___RECOVER__FILES__.omero.txt

Email: criminal.ransomware.descripton@protonmail.ch

BTC: 16sqCNGydvKuXG2BKDLf5jhkc3NyxjrQJZ

Файл проекта: C:\Users\cerqueiraJR\Desktop\EncrypterPOC-main\WindowsFormsApp1\obj\Debug\WindowsFormsApp1.pdb

Файл: WindowsFormsApp1.exe

Результаты анализов: VT + IA + VT

➤ Обнаружения: 

DrWeb -> Trojan.EncoderNET.31373

BitDefender -> Gen:Heur.Ransom.REntS.Gen.1

ESET-NOD32 -> A Variant Of MSIL/Filecoder.AEN

Kaspersky -> HEUR:Trojan-Ransom.MSIL.Crypren.gen

Malwarebytes -> Ransom.FileCryptor

Microsoft -> Ransom:MSIL/Cryptolocker.PDH!MTB

Rising -> Ransom.DaddyCrypt!1.D2A1 (CLOUD)

TrendMicro -> Ransom.MSIL.CYPREN.SMTH

Вариант от 22 марта 2021: 

Сообщение >>

Расширение: .ncovid

Записка: ___RECOVER__FILES__.ncovid.txt

Email: Ciastko.zlukrem@gmail.com

Файл: covid.exe

Результаты анализов: VT + IA + VMR + JSB

 

Вариант от 5 апреля 2021:

Относится к JCrypt NextGen. Код немного отличается от ранних вариантов. 

Сообщение >>

Расширение: .NotStonks

Email: JEBACDISA@jeszczeniegotowy.com

BTC: bc1qdan9eq4qx00x63q43vr7hugr2k9tp86duxarlj

Файл проекта: C:\Users\PC1\source\repos\StonksVirus\StonksVirus\obj\Release\StonksVirus.pdb

Исполняемый файл: StonksVirus.exe

Результаты анализов: VT + IA

➤ Обнаружения: 

DrWeb -> Trojan.EncoderNET.31373

BitDefender -> Gen:Heur.Bodegun.1

ESET-NOD32 -> A Variant Of MSIL/LockScreen.ALG

Microsoft -> Trojan:MSIL/Filecoder!MSR

Qihoo-360 -> Win32/Trojan.Generic.HwMAZBsA

Rising -> Trojan.LockScreen!8.1AF (CLOUD)

Symantec -> ML.Attribute.HighConfidence

TrendMicro -> TROJ_GEN.R067C0DDG21

Вариант от 9 апреля 2021:

Относится к JCrypt NextGen. Код немного отличается от ранних вариантов. 

Расширение: .crypted

Записка: ___RECOVER__FILES__.crypted.txt

Email: this.email.address@gmail.com

BTC: 1BtUL5dhVXHwKLqSdhjyjK9Pe64Vc6CEH1

Файл: WindowsFormsApp1.exe

Результаты анализов: VT + IA + VMR + AR

➤ Обнаружения: 

DrWeb -> Trojan.EncoderNET.31373

BitDefender -> Gen:Heur.Ransom.REntS.Gen.1

ESET-NOD32 -> A Variant Of MSIL/Filecoder.AEN

Malwarebytes -> Malware.AI.4284333729

Microsoft -> Ransom:MSIL/Cryptolocker.PDH!MTB

Rising -> Ransom.DaddyCrypt!1.D2A1 (CLOUD)

Symantec -> ML.Attribute.HighConfidence

Tencent -> Msil.Trojan.Crypren.Adaf

TrendMicro -> Ransom.MSIL.CYPREN.SMTH

Вариант от 14 мая 2021:

Сообщение >>

Расширение: .jcrypt 

Email: vowdom@mailpoof.com

Результаты анализов: AR

Вариант от 15 мая 2021:

Сообщение >>

Расширение: .iam_watching

Записка: ___RECOVER__FILES__.iam_watching.txt

Email: iam_watching_55@protonmail.com

Файл проекта: C:\Safe_Rebuild_v2\Safe_Rebuild_v2\Safe_Rebuild_v2\EncrypterPOC-main\EncrypterPOC-main\WindowsFormsApp1\obj\Debug\WindowsFormsApp1.pdb

Файл: WindowsFormsApp1.exe

Результаты анализов: VT

Вариант от 25 мая 2021:

Сообщение >>

Расширение: .crypted

Записка: READ_ME.crypted.txt

Email: kabayaboo@protonmail.com

BTC: 36yFAmBGNDowqjXxbaPA2F3byPUoxWfZyz

Файл: WindowsFormsApp1.exe

Результаты анализов: VT + TG + TG

Вариант от 10 июня 2021: 

Сообщение >>

Расширение: .jcrypt

Записка: ___RECOVER__FILES__.jcrypt.txt

Email: theonly_elchapo@protonmail.com

BTC: 14f1kQYt2kSLtv3gnoRmiqcZXhah6HZrCg

Файл: WindowsFormsApp1.exe

Результаты анализов: VT

Вариант от 5 июля 2021:

Сообщение >>

Расширение: .vn_os

Записка: на экране

Email: vnhack@protonmail.com

BTC: 18qPmNpugTaE3fUWhGbtHqZ6SzYjsGkTJZ

Файл: vn_os.exe

Результаты анализов: VT 

Вариант от 25 июля 2021: 

Самоназвание: FancyLocker

Сообщение >>

Расширение: .FancyLeaks

Записка: README.FancyLeaks.txt

Записка о выкупе также написана на экране блокировки. 

Файл проекта: 

C:\Users\cudden\Downloads\EncrypterPOC-main\EncrypterPOC-main\WindowsFormsApp1\obj\Debug\WindowsFormsApp1.pdb

Результаты анализа: VT + TG + IA

Обнаружения: 

DrWeb -> Trojan.EncoderNET.31373

BitDefender -> Gen:Heur.Ransom.REntS.Gen.1

ESET-NOD32 -> A Variant Of MSIL/Filecoder.AEN

Microsoft -> Ransom:MSIL/FancyLocker.PAA!MTB

Rising -> Ransom.DaddyCrypt!1.D566 (CLASSIC)

TrendMicro -> Backdoor.MSIL.BLADABINDI.USMANGP21

Вариант от 11 августа 2021: 

Сообщение >>

Расширение: .wearefriends

Email: clay_whoami_1@protonmail.ch

BTC: bc1q4v9ngtqpdq6jfvmz7f72xd7cg97cd082vnmv63

VT: 98892a91cbd81bcc99710849b5dbc7d3

Вариант от 13 августа 2021: 

Сообщение >>

Расширение: .MALWAREDEVELOPER

VT: 1ccef1fb6b247ffd5d2aae2106d4ed7b

Вариант от 14 августа 2021:

Самоназвание: FancyLocker

Есть незначительные изменения варианта от 25 июля 2021 (см. выше). 

Расширение: .Locked

Записка с требованием выкупа написана на экране блокировки. 

Email: sendransomhere@protonmail.com

Список зашифрованных файлов: ENCRYPTED_FILES.Locked.txt

Файл проекта: C:\Users\cudden\Downloads\EncrypterPOC-main\EncrypterPOC-main\WindowsFormsApp1\obj\Debug\NitroSniper 2021.pdb

Файл: NitroSniper 2021.exe

Результаты анализов: VT + TG + IA

Обнаружения: 

DrWeb -> Trojan.EncoderNET.31373

BitDefender -> Gen:Variant.Ransom.Malki.1, IL:Trojan.MSILZilla.25863

ESET-NOD32 -> A Variant Of MSIL/Filecoder.AHS

Malwarebytes -> MachineLearning/Anomalous.100%

Microsoft -> Ransom:Win32/FancyLocker.PAB!MTB

Rising -> Ransom.DaddyCrypt!1.D566 (CLASSIC)

Tencent -> Msil.Trojan.Crypren.Vmhl

TrendMicro -> Ransom_FancyLocker.R06EC0DBI23

Вариант от 18 августа 2021:

Сообщение >>

Расширение: .MALKI

Файл проекта: 

C:\Users\sphinx\Desktop\my shit 1\EncrypterPOC\EncrypterPOC-main\WindowsFormsApp1\obj\Debug\MALKI.pdb

Файл: MALKI.exe

VT: 1033b7e4aa5f53ec26a4dd89f86f3cd3

➤ Обнаружения: 

DrWeb -> Trojan.EncoderNET.31373

BitDefender -> Gen:Variant.Ransom.Malki.1

ESET-NOD32 -> A Variant Of MSIL/Filecoder.AEN

Malwarebytes -> Ransom.CryptoLocker

Microsoft -> Ransom:MSIL/Cryptolocker.PDH!MTB

Rising -> Ransom.DaddyCrypt!1.D2A1 (CLASSIC)

TrendMicro -> Ransom_Cryptolocker.R002C0DHI21, Ransom.MSIL.MALKI.YXBIC

Вариант от 11 октября 2021:

Сообщение >>

Расширение: .poison

Email: bankinter.promo@protonmail.com

E:\Hacking\Video + Archivos\EncrypterPOC-main2\WindowsFormsApp1\obj\Debug\Plantilla_PDF.pdb

VT: fef3098a47486b968dd4737dd7667cf0

Вариант от 20 октября 2021: 

Сообщение >>

Расширение: .foxxy

Файл: Foxxy.png.exe

Файл проекта: C:\Users\Sou_1\Downloads\EncrypterPOC-main\EncrypterPOC-main\WindowsFormsApp1\obj\Release\Foxxy.png.pdb

VT: 3a993d38ca545c2b45bbb49dfb3dc246

➤ Обнаружения: 

DrWeb -> Trojan.EncoderNET.31373

ALYac -> Gen:Heur.Ransom.REntS.Gen.1

Avira (no cloud) -> HEUR/AGEN.1137051

BitDefender -> Gen:Heur.Ransom.REntS.Gen.1

ESET-NOD32 -> A Variant Of MSIL/Filecoder.AEN

Microsoft -> Ransom:MSIL/Cryptolocker.PDH!MTB

Rising -> Ransom.DaddyCrypt!1.D566 (CLASSIC)

Symantec -> ML.Attribute.HighConfidence

Tencent -> Trojan.Win32.Crypren.zc

TrendMicro -> Ransom.MSIL.CRYPREN.SM

Вариант от 9 ноября 2021: 

Сообщение >>

Расширение: .ZAHACKED

Файл проекта: C:\Users\Susan\OneDrive\Desktop\lok\EncrypterPOC-main\WindowsFormsApp1\obj\Debug\1da2h3babABAu3.pdb

VT: 08126afd1787bcfbd49f370b95dac6fb

=== 2022 ===

Вариант от 11 января 2022: 

Сообщение >>

Самоназвание: BYDGOSZCZ RANSOMWARE!!!

Расширение: .JEBAĆ_BYDGOSZCZ!!!

Записка: _#ODZYSKAJ_PLIKI--.JEBAĆ_BYDGOSZCZ!!!.txt

Email: jebacbydgoszcz666@mail.ru, pabluk69488r68irgi@mail.2tor

BTC: 1BtUL5dhVXHwKLqSdh38FhtEe64Vc6CESp

Файл проекта: C:\Users\PABLUK700\Desktop\EncrypterPOC-main\WindowsFormsApp1\obj\Debug\WindowsFormsApp1.pdb

Файл EXE: WindowsFormsApp1.exe

Результаты анализов: VT + IA + TG

➤ Обнаружения: 

DrWeb -> Trojan.EncoderNET.31373

BitDefender -> Gen:Heur.Ransom.REntS.Gen.1

ESET-NOD32 -> A Variant Of MSIL/Filecoder.AEN

Kaspersky -> HEUR:Trojan-Ransom.MSIL.Crypren.gen

Malwarebytes -> Ransom.FileLocker

Вариант от 8 мая 2022: 

Сообщение >>

Расширение: .titancrypt

Записка: ___RECOVER__FILES__.titancrypt.txt

Результаты анализов: VT

Обнаружения: 

DrWeb -> Trojan.EncoderNET.31373

ESET-NOD32 -> A Variant Of MSIL/Filecoder.AEN

Вариант от 10 мая 2022: 

Сообщение >>

Расширение: .crypt

Записка: ___RECOVER__FILES__.jcrypt.txt

Email: lol2yeet2@gmail.com

BTC: bc1qwsz2kr7pe0w3qztpxsxqzrk7y24pqkfzdq5j06

Результаты анализов: AR + VT

Вариант от 27 июля 2022: 

Самоназвание: Plutus Ransomware / MafiaWare666

Расширение: .MafiaWare666

Email: MafiaWare666@proton.me

Email-2: hakanonymos@hotmail.com, hakanonymos@hotmail.com

Результаты анализов: VT + TG + IA

Обнаружения: 

DrWeb -> Trojan.Encoder.35655

BitDefender -> Gen:Heur.Ransom.RTH.1

ESET-NOD32 -> A Variant Of MSIL/Filecoder.MafiaWare666.F

Microsoft -> Ransom:MSIL/Cryptolocker!MSR

QuickHeal -> Ransom.MafiawareCiR

TrendMicro -> Ransom_Gen.R002C0RGT22

---

Записка о выкупе написана на экране блокировки.

Вариант от 25 июля 2022: 

Самоназвание: Plutus Ransomware / MafiaWare666

Расширение: .MafiaWare666

Email: MafiaWare666@proton.me

Результаты анализов: VT + TG + IA

Обнаружения: 

DrWeb -> Trojan.Encoder.35633

BitDefender -> Trojan.GenericKD.61034592

ESET-NOD32 -> A Variant Of MSIL/Filecoder.MafiaWare666.C

Microsoft -> Ransom:MSIL/Cryptolocker!MSR

QuickHeal -> Ransom.MafiawareCiR

TrendMicro -> Ransom_Gen.R03BC0PGS22

---

Записка о выкупе написана на следующем экране блокировки.

Вариант от 21 августа 2022: 

Самоназвание: Plutus Ransomware / MafiaWare666

Фактически является вариантом предыдущего с чёрным блокировщиком экрана. 

Расширение: .MafiaWare666

Email: MafiaWare666@proton.me

Email-2: hakanonymos@hotmail.com, hakanonymos@hotmail.com

Распространяется с пиратскими активаторами. 

Результаты анализов: VT + TG + IA

Обнаружения: 

DrWeb -> Trojan.Encoder.35748

BitDefender -> Gen:Heur.Ransom.RTH.1

ESET-NOD32 -> A Variant Of MSIL/Filecoder.MafiaWare666.F

Microsoft -> Ransom:MSIL/Cryptolocker!MSR

TrendMicro -> Ransom_Gen.R011C0WHN22

---

Записка о выкупе написана на экране блокировки.

Пропущенные варианты, среди них варианты с расширениями:

.brutusptCrypt

.bmcrypt

.cyberone

.l33ch

Скриншоты некоторых вариантов

Новость от 4 октября 2022:

Специалисты из компании Avast выпустили дешифровщик для файлов, которые были зашифрованы некоторыми вариантами JCrypt-MafiaWare666 и получили после шифрования следующие расширения:

.MafiaWare666

.jcrypt

.brutusptCrypt

.bmcrypt

.cyberone

.l33ch

Скачать дешифровщик можно по ссылке >>

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 ID Ransomware (ID as JCrypt)
 Write-up, Topic of Support
 * 

 Thanks: 
 Kangxiaopao, Michael Gillespie
 Andrew Ivanov (article author)
 GrujaRS, KDSS Support
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

Amjixius, Ancrypted

Amjixius Ransomware

Ancrypted Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES+RSA, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: ancrypted1@gmail.com.exe
---
Обнаружения:
DrWeb -> Trojan.Encoder.33331
BitDefender -> Trojan.GenericKD.35784096
Avira (no cloud) -> HEUR/AGEN.1129525
ESET-NOD32 -> A Variant Of MSIL/Filecoder.AEQ
Malwarebytes -> Ransom.FileCryptor
Microsoft -> Trojan:Win32/Ymacco.AAD6

Qihoo-360 -> Win32/Trojan.c96
Symantec -> Trojan.Gen.MBT
Tencent -> Win32.Trojan.Generic.Tayv
TrendMicro -> TROJ_GEN.R002C0WLN20
---

© Генеалогия: ??? >> Amjixius (Ancrypted) 

Изображение — логотип статьи

К зашифрованным файлам добавляется расширение: .AMJIXIUS

К зашифрованным файлам добавляется составное расширение по шаблону: 

.[ancrypted1@gmail.com][<id>].AMJIXIUS

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Образец этого крипто-вымогателя найден в середине декабря 2020 г., в день компиляции исполняемого файла, потому вряд ли он успел широко распространиться. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

Запиской с требованием выкупа выступает экран блокировки, который можно закрыть. Есть крестик в правом верхнем углу. 

Содержание записки о выкупе: 

ID : MzlmFG3W4***

---

All your files have been encrypted

Contact us to this email to decrypt your files:

ancrypted1@gmail.com

In case of of no answer in 24 hours contact the secondary email:

ancrypted1@gmail.com

You can unlock them by buying the special key generated for you

Free decryption as guarantee

Before paying you can send us up to 5 files for free decryption. The total size of files must be less than 4Mb (non archived),and files should not contain valuable information. (databases,backups,large excel sheets, etc.)

Payment is possible only with bitcoin

How to obtain bitcoins

The easoway to buy bitcoins is LocalBitcoins site, you have to register, click ?Buy bitcoins?, and select the seller by payment ***

Перевод записки на русский язык: 

ID: MzlmFG3W4***

---

Все ваши файлы зашифрованы

Свяжитесь с нами по этому email-адресу, чтобы расшифровать ваши файлы:

ancrypted1@gmail.com

В случае отсутствия ответа в течение 24 часов, обратитесь на дополнительный email-адрес:

ancrypted1@gmail.com

Вы можете разблокировать их, купив сгенерированный для вас специальный ключ.

Бесплатная расшифровка как гарантия

Перед оплатой вы можете отправить нам до 5 файлов для бесплатной расшифровки. Общий размер файлов не должен превышать 4 МБ (без архива), и файлы не должны содержать ценной информации. (базы данных, резервные копии, большие таблицы Excel и т.д.)

Оплата возможна только биткойнами

Как получить биткойны

Легкий способ купить биткойны - это сайт LocalBitcoins, вы должны зарегистрироваться, нажать «Купить биткойны» и выбрать продавца по способу оплаты ***

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
<ransom_note>.txt - название файла с требованием выкупа
ancrypted1@gmail.com.exe - название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: ancrypted1@gmail.com
BTC: - 
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
🔻 Triage analysis >>
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Вариант от 21 января 2021:

Топик на форуме >>

Расширение: .AMJIXIUS

Шаблон расширения: .[surpakings@mail.ee][<id>].AMJIXIUS

Email: surpakings@mail.ee

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 ID Ransomware (ID as ***)
 Write-up, Topic of Support
 * 

 Thanks: 
 Michael Gillespie, M. Shahpasandi
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

Povlsomware

Povlsomware Ransomware 

RansomeToad Ransomware 

Povlsomware NextGen Ransomware 

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES+RSA, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: Povlsomware и Povlsomware (2.0.0.0). На файле написано: Povlsomware.exe.
---
Обнаружения:
DrWeb -> Trojan.Encoder.33339, Trojan.Encoder.33672, Trojan.Encoder.34143
BitDefender -> Gen:Heur.Ransom.REntS.Gen.1
ALYac -> Trojan.Ransom.Filecoder
Avira (no cloud) -> TR/RansomX.micih, TR/Ransom.lckub
ESET-NOD32 -> A Variant Of MSIL/Filecoder.ADX
Microsoft -> Trojan:Win32/Ymacco.AAFD, Ransom:MSIL/CryptoLocker.DF!MTB
Symantec -> ML.Attribute.HighConfidence
Tencent -> Win32.Trojan.Raas.Auto
TrendMicro -> Ransom_RAMSIL.SM, Ransom.MSIL.POVLSOM.SMTH
---

© Генеалогия: ??? >> Povlsomware

Изображение — логотип статьи

К зашифрованным файлам добавляется расширение: .rtcrypted
 

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на вторую половину декабря 2020 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

Записка с требованием выкупа называется: ransometoad.txt

Другим информатором жертвы выступает экран блокировки: 

Содержание записки о выкупе:

Your files can only be retrived by entering the correct password. 

In order to get the password please by it in

hxxxs://primearea.biz/product/235093/

Перевод записки на русский язык:

Ваши файлы можно вернуть после ввода правильного пароля.

Чтобы получить пароль, введите его в

hxxxs://primearea.biz/product/235093/

Сумма покупки - 60 рублей. 

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
ransometoad.txt - название файла с требованием выкупа 

Povlsomware.pdb - название файла проекта 
Povlsomware.exe - название вредоносного файла 

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

C:\Users\Thomas\Desktop\Povlsomware-master\Povlsomware\obj\Debug\Povlsomware.pdb

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
URL: hxxxs://primearea.biz/product/235093/

Email: - 
BTC: - 
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
🔻 Triage analysis >>
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Вариант от 21 января 2021:

Сообщение >>

Расширение: нет

Файл: Рекомендательное письмо.exe

Результаты анализов: VT + IA

Вариант от 23 марта и позже: 

Сообщение >>

Самоназвание: M.0.A.B. Ransomware

Расширение: нет

Email: m0absupport@protonmail.ch

Результаты анализов: VT + VT

 

➤ Содержание текста: 

ACCESS DENIED!

REJECTED PORT: 8081

IP ADDRESS:

Your files can only be retrieved by entering the

correct password. Dont Worry This Isnt

Permanent. Well Maybe. Its Up To You. If your

files are important ti you we can Unlock Your

Files For $200.00 In order to get the password

please send a mail And Ask for The Bitcoin

Addres to m0absupport@protonmail.ch

Enter password:  DeCrypt

Вариант от 19 июня 2021: 

Сообщение >>

Самоназвание: ALPHA LOCKER

C:\Users\ALPHA_HACKER\Downloads\Povlsomware-master\Povlsomware-master\Povlsomware\obj\Release\Povlsomware.pdb

Результаты анализов: VT + AR

➤ Обнаружения: 

DrWeb -> Trojan.Encoder.34046

BitDefender -> Gen:Variant.MSILHeracles.7859

ESET-NOD32 -> A Variant Of MSIL/Filecoder.ADX

Malwarebytes -> Ransom.Povlsomware

Microsoft -> Ransom:MSIL/CryptoLocker.DF!MTB

TrendMicro -> Ransom_CryptoLocker.R002C0DFI21

Вариант от 12 июля 2021: 

Сообщение >>

Email: no-reply@forgetit.com

Файл проекта: C:\Users\Alpha\Downloads\Povlsomware-master\Povlsomware-master\Povlsomware\obj\x86\Release\Povlsomware.pdb

Код разблокировки: blahblah

Файл: Povlsomware.exe

Результаты анализов: VT

Вариант от 25 июля 2021:

Сообщение >>

C:\work\Povlsomware\Mishmash\obj\Debug\Mishmash.pdb

Код разблокировки: pass

Файл: Mishmash.exe

Результаты анализов: VT + IA

Вариант от 18 сентября 2021: 

Сообщение >>

Название в заголовке: Splash Ransomware

Email: medusalocker@protonmail.com

Код разблокировки: jara1234

Файл: Povlsomware.exe

Результаты анализов: VT

Вариант от 29 октября 2021: 

Сообщение >>

Самоназвание: CryptoLocker, CryptoCrazy 1.0 Ransomware

Email: dubai317898@gmail.com

Пароль: @7K#cN1P

Файл проекта: D:\Trabalho\Projeto_FInal\CriptLook_Todos\Povlsomware\obj\Debug\CryptoLocker.pdb

Файл EXE: CryptoLocker.exe

Результаты анализов: VT

MD5: 34b2aad3ab44ef46ecfe5c41f2dc2e9d

Вариант от 10 ноября 2021: 

Сообщение >>

Самоназвание: BloodFox

Обходит UAC, отключает средства безопасности и диспетчер задач в реестре. 

Расширение к зашифрованным файлам не добавляется. 

Email: noclue3636@dnmx.org

BTC: 1E8ywazpZT8UAi2ot6Se8YH5ipXZbuUJn7

Файл проекта: C:\Users\capde\Downloads\Povlsomware-2.0.0.4\Povlsomware-2.0.0.4\Povlsomware\obj\Debug\Priyte's Adventure C++.pdb

Пароль: 6HBB05VL

Файл: Priyte's Adventure C++.exe

Результаты анализов: VT + TG

➤ Обнаружения: 

DrWeb -> Trojan.Encoder.34499

BitDefender -> Gen:Heur.Ransom.RTH.1

ESET-NOD32 -> A Variant Of MSIL/Filecoder.ADX

Microsoft -> Ransom:MSIL/CryptoLocker.DF!MTB

Symantec -> ML.Attribute.HighConfidence

Tencent -> Win32.Trojan.Ransom.Hqvn

TrendMicro -> Ransom_CryptoLocker.R002C0DKA21

Вариант от 3 мая 2022:

Сообщение >>

Файл проекта: C:\Users\cubec\Desktop\AXO-LOCKERV2\AXO-LOCKER\AXO-LOCKER\obj\Debug\AXO-LOCKER.pdb

Файл: AXO-LOCKER.exe

Результаты анализов: VT + IA

Вариант от 1 июля 2022:

Сообщение >>

Файл проекта: C:\Users\minec\source\repos\RingMalware\RingMalware\obj\Release\RingMalware.pdb

Файл: RingMalware.exe

Результаты анализа: VT + IA

➤ Обнаружения: 

DrWeb -> Trojan.Encoder.35529

ESET-NOD32 -> A Variant Of MSIL/Filecoder.ADX

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 ID Ransomware (ID as Povlsomware)
 Write-up, Topic of Support
 * 

 Thanks: 
 Kangxiaopao, GrujaRS
 Andrew Ivanov (article author)
 dnwls0719
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.