BrainCrypt Ransomware
(шифровальщик-вымогатель)
Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует написать на email вымогателей, чтобы вернуть файлы. Срок на уплату выкупа — 2 дня. Название дано от используемого расширения. Написан на языке Go.
© Генеалогия: выясняется.
Изображение не имело отношения к шифровальщику
К зашифрованным файлам добавляется расширение .braincrypt по шаблону
.[braincrypt@india.com].braincrypt
Активность этого криптовымогателя пришлась на декабрь 2016 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.
На данный момент замечены пострадавшие из следующих стран: Германия и Беларусь.
Записки с требованием выкупа называются: !!! HOW TO DECRYPT FILES !!!.txt
Содержание записки о выкупе:
YOUR FILES WERE ENCRYPTED.
TO DECRYPT FILES, PLEASE, CONTACT US WRITING ON THIS EMAIL: headlessbuild@india.com
YOUR PERSONAL ID: b341f***
Перевод записки на русский язык:
Ваши файлы были зашифрованы.
Для расшифровки файлов, пожалуйста, напишите нам на этот email:
headlessbuild@india.com
Ваш персональный ID: b341f***
Другой вариант записки о выкупе:
Good morning, your files have been scrambled by trojan.
To decrypt, you must turn on the email: headlessbuild@india.com
with request about decrypting files.
You need to send in the email-message with your personal ID: dbl73a898f7ac78b83775ff7493ecl77
Faster write to us and we will save your data in another case, they may be lost forever. Time 2 days.
Распространяется с помощью email-спама и вредоносных вложений, эксплойтов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.
Список файловых расширений, подвергающихся шифрованию:
.bak, .bin, .bmp, .dat, .db, .DeskLink, .doc, .docx, .DTD, .exe, .htt , .ini, .jpg, .lnk, .log, .MAPIMail, .mydocs, .ppt, .pptx, .sam, .scf, .shw, .sst, .theme, .tmp, .txt, .url, .wav, .wb2, .wk4, .wma, .wmdb, .wpd, .wpg, .wpl, .xls, .xlsx, .xml, .ZFSendToTarget (39 расширений) и другие.
Это документы MS Office, PDF, базы данных, фотографии, музыка, видео, общие файлы и пр.
Файлы, связанные с этим Ransomware:
!!! HOW TO DECRYPT FILES !!!.txt
rlsys.exe
<random>.exe
<random>.tmp
.key.brain
.pblkey.brain
Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.
Сетевые подключения и связи:
***alex-luthor.myjino.ru (81.177.140.121:80 Россия)
***shussain962.myjino.ru
***docusign.myjino.ru/
***online-navy-nfcu.myjino.ru
***bridedress.com.ua/ru/ (Украина)
***golang.org
braincrypt@india.com
headlessbuild@india.com
Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Malwr анализ >>
Степень распространённости: низкая.
Подробные сведения собираются регулярно.
Read to links: Tweet on Twitter + Tweet ID Ransomware (ID as BrainCrypt) Write-up * *
Thanks: Michael Gillespie xXToffeeXx * *
© Amigo-A (Andrew Ivanov): All blog articles.
