среда, 31 мая 2017 г.

Luxnut

Luxnut Ransomware

(шифровальщик-вымогатель)


Этот крипто-вымогатель шифрует данные пользователей с помощью AES. Оригинальное название. На файле написано: eda2.
шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

© Генеалогия: EDA2 >> Luxnut

К зашифрованным файлам добавляется расширение .locked 

Активность этого крипто-вымогателя пришлась на конец мая 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записки с требованием выкупа нет. 
Информатором жертвы выступает экран блокировки:

Содержание текста с обоев:
Something, somewhere went terribly wrong

Перевод фразы на русский язык:
Что-то где-то пошло не так

Распространяется или может распространяться с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
.asp, .aspx, .csv, .doc, .docx, .html, .jpg, .mdb, .odt, .php, .png, .ppt, .pptx, .psd, .sln, .sql, .txt, .xls, .xlsx, .xml (20 расширений).
Это документы MS Office, OpenOffice, текстовые файлы, базы данных, фотографии и пр.

Файлы, связанные с этим Ransomware:
изображение для обоев
eda2.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

 Read to links: 
 Tweet on Twitter
 ID Ransomware
 Write-up, Topic of Support
 * 
 Thanks: 
 Jack
 *
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

KillSwitch

KillSwitch Ransomware

(шифровальщик-вымогатель, тест-шифровальщик)


Этот крипто-вымогатель шифрует данные пользователей с помощью AES-256, но работает в тестовом режиме, шифруя только специально подобранные файлы в тестовой папке. Оригинальное название: KillSwitch. На файле написано: CryptoKill.
шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

© Генеалогия: выясняется.

К зашифрованным файлам добавляется расширение .switch

Активность этого крипто-вымогателя пришлась на конец мая 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Запиской с требованием выкупа выступает экран блокировки.

Содержание текста о выкупе:
ATTENTION!
Your files has been encrypted by KillSwitch
KillSwitch is a new kind of cryptography malware, unlike the most of other ones utilizing encryption like ransomware...
All of your files are encrypted with AES-256 ciphers. Unlocking of your files is not possible because KillSwitch generates unique one-way encryption keys without keys used to decrypt.
Your only option would be to attempt to break the encryption, but this is very hard since AES256 is a strong cipher algorithm.
button [Close]

Перевод текста на русский язык:
ВНИМАНИЕ!
Ваши файлы были зашифрованы KillSwitch
KillSwitch - это новый вид криптографического вредоноса, в отличие от большинства других, использующих шифрование, таких как ransomware ...
Все ваши файлы шифруются с помощью шифров AES-256. Разблокировка ваших файлов невозможна, т.к. KillSwitch генерирует уникальные односторонние ключи шифрования без ключей, используемых для дешифрования.
Единственный вариант - попытаться сломать шифрование, но это очень сложно, так как AES256 является сильным алгоритмом шифрования.
Кнопка [Закрыть]

Распространяется или может распространяться с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
.crt, .csr, .CSV, .DOC, .key, .odt, .ott, .pdf, .pern, .PPT, .RTF, .stw, .sxw, .txt, .uot, .XLS, .xml (17 расширений). 
Это документы MS Office, OpenOffice, PDF, текстовые файлы и пр.

Файлы, связанные с этим Ransomware:
CryptoKill.exe
папка test

Расположения:
%USERPROFILE%\Documents\test\

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

 Read to links: 
 Tweet on Twitter
 ID Ransomware
 Write-up, Topic of Support
 * 
 Thanks: 
 S!R!
 *
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

вторник, 30 мая 2017 г.

BrickR

BrickR Ransomware

(шифровальщик-вымогатель)


Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в $55 в BTC, чтобы вернуть файлы. Оригинальное название: BrickR. На файле написано: Build.bin.
шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

© Генеалогия: выясняется.

К зашифрованным файлам добавляется расширение .brickr

Активность этого крипто-вымогателя пришлась на начало июня 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: READ_DECRYPT_FILES.txt

Другим информатором выступают экран блокировки и скринлок, встающий обоями рабочего стола. Примечательно, что на обоях текст на 8 языках, включая русский. Также в экране блокировке есть опция выбора своего языка. 

Содержание текстовой записки о выкупе:
!!!!!!!!!!!!!! READ THIS TEXT CAREFULLY !!!!!!!!!!!!!!
<What happened?>
All of your personal files (documents, photos, videos,archives and other files) were locked and are not usable at the moment. To verify this fact, try to open some of your files and use them.
<What does it mean?>
To get your files back you need to buy a secret key. We are the only people who have the secret key. Nobody but us can restore your files. Not even antiviruses or IT experts .
To verify this fact, we can decrypt 1 of your files for free. Send us the file to email show in the appliaction and we will send it unlocked back to you for free.
<How do I buy the key and get my files back?>
To buy the decryption key and get your files back:
1)send the price shown down in the program to the Bitcoin address down in the program(Bitcoin Address: ...).
2)After you complete the payment, please contact us via email (Contact Email:) down in the program. Email example: "Hello I need to decrypt my files. My ID is :(ID shown down in the program)". We will send you the key within 12 hours.
3) After you get your key, click "Unlock Files" button and enter the key. Your files will get unlocked.
<What is Bitcoin and how do I use it ?>
Bitcoin is a type of virtual currency that is easily obtainable.
1) Register your own Bitcoin wallet at: https://blockchain.info/wallet/#/signup
2) Buy bitcoins on one of the following websites:
- http://localbitcoins.com
- http://coincafe.com
- http://bitquick.co
Or visit http://howtobuybitcoins.info for more information and help.
3) Send the bitcoins to our address shown below.
!!!!!!!!---- INFO ---- !!!!!!!!
PERSONAL ID: 5DETYJGDW3E5ZU8HTR46ALCX7KTRPQO
BITCOIN ADDRESS: 1F5yPatW4iwehcvYn7KSqqHs1NpWBHHMqV
PRICE: 55 USD
CONTACT EMAIL: decryptmystuff@protonmail.com
!!!!!!!!---- INFO ---- !!!!!!!!

Перевод текстовой записки на русский язык:
!!!!!!!!!!!!!! ПРОЧИТАЙТЕ ЭТОТ ТЕКСТ ВНИМАТЕЛЬНО !!!!!!!!!!!!!!
<Что случилось?>
Все ваши личные файлы (документы, фото, видео, архивы и другие файлы) были заблокированы и на данный момент недоступны. Чтобы проверить этот факт, попробуйте открыть некоторые из ваших файлов и использовать их.
<Что это значит?>
Чтобы вернуть ваши файлы, вам нужно купить секретный ключ. Мы единственные люди, у которых есть секретный ключ. Никто, кроме нас, не может восстановить ваши файлы. Ни даже антивирусы или ИТ-специалисты.
Чтобы проверить этот факт, мы можем бесплатно расшифровать 1 ваш файл. Отправьте нам файл на email в appliaction, и мы вышлем его разблокированным обратно вам бесплатно.
<Как я могу купить ключ и вернуть свои файлы?>
Чтобы купить ключ дешифрования и вернуть свои файлы:
1) отправьте цену, указанную в программе, на биткоин-адрес в программе (Bitcoin Address: ...).
2) После завершения оплаты, пожалуйста, свяжитесь с нами по email (Contact Email) в программе. Пример email: «Привет, мне нужно расшифровать мои файлы. Мой ID: (ID показан в программе)». Мы отправим вам ключ в течение 12 часов.
3) После того, как вы получите свой ключ, нажмите кнопку "Unlock Files" и введите ключ. Ваши файлы будут разблокированы.
<Что такое биткоин и как его использовать?>
Биткоин - это тип виртуальной валюты, который легко получить.
1) Зарегистрируйте свой собственный биткоин-кошелек по адресу: https://blockchain.info/wallet/#/signup
2) Купите биткоины на одном из следующих веб-сайтов:
- http://localbitcoins.com
- http://coincafe.com
- http://bitquick.co
Или посетите http://howtobuybitcoins.info для получения дополнительной информации и помощи.
3) Отправьте биткоины по нашему адресу, указанному ниже.
!!!!!!!!---- ИНФОРМАЦИЯ ---- !!!!!!!!
ЛИЧНЫЙ ID: 5DETYJGDW3E5ZU8HTR46ALCX7KTRPQO
БИТКОИН-АДРЕС: 1F5yPatW4iwehcvYn7KSqqHs1NpWBHHMqV
ЦЕНА: 55 USD
КОНТАКТНЫЙ EMAIL: decryptmystuff@protonmail.com
!!!!!!!!---- ИНФОРМАЦИЯ ---- !!!!!!!!

Распространяется или может распространяться с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
READ_DECRYPT_FILES.txt
Build.bin
<random>.exe

Расположения:
\Desktop\READ_DECRYPT_FILES.txt

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: decryptmystuff@protonmail.com
BTC: 1F5yPatW4iwehcvYn7KSqqHs1NpWBHHMqV
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.


 Read to links: 
 Tweet on Twitter
 ID Ransomware (ID as BrickR)
 Write-up, Topic of Support
 * 
 Thanks: 
 Marcelo Rivero
 Michael Gillespie
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

ВНИМАНИЕ!
1) Ваши комментарии после статьи появятся только после проверки. Дублировать их не нужно.
2) В своём сообщение в форме обратной связи обязательно укажите название шифровальщика.

OoPS

OoPS Ransomware
OoPS Ramenware

(шифровальщик-вымогатель, zip-вымогатель)


Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: OoPS Ramenware. На файле написано: WindowsApp1.
шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

© Генеалогия: выясняется.

Перемещает целевые файлы в zip-архив, защищенный паролем, а затем переименовываем zip-расширение на расширение .ramen

Активность этого крипто-вымогателя пришлась на конец мая 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: ***

Содержание записки о выкупе:
***
Перевод записки на русский язык:
***

Распространяется или может распространяться с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся блокировке:
.7z, .ai, .apk, .asp, .avi, .css, .csv, .dat, .db, .doc, .docx, .es, .gif, .html, .jpg, .js, .mkv, .mp3, .mp4, .mp4, .parti, .pdf, .php, .png, .ppt, .pptx, .psd, .py, .rar, .rb, .rm, .rmvb, .sav, .sav, .save, .tif, .torrent, .vb, .wav, .webm, .webp, .wmv, .xls, .xlsx, .zip (45 расширений). 
Это документы MS Office, OpenOffice, PDF, текстовые файлы, веб-файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы, торрент-файлы и пр.

Файлы, связанные с этим Ransomware:
OoPS Ramenware.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.


 Read to links: 
 Tweet on Twitter
 ID Ransomware (ID as OoPS)
 Write-up, Topic of Support
 * 
 Thanks: 
 Jack‏
 Michael Gillespie
 Alex Svirid
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

Amnesia2

Amnesia2 Ransomware

(шифровальщик-вымогатель)


Этот крипто-вымогатель шифрует данные пользователей и на серверах с помощью AES-256, а затем требует выкуп в 0.2-0.3 BTC, чтобы вернуть файлы. Оригинальное название. На серверах выкуп может быть больше. 
шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

© Генеалогия: Amnesia > Amnesia2

К зашифрованным файлам добавляется расширения 
.TRMT
.LOGOZ
.amnesia
.wncry
.gladn
.hvsgt
и другие (см. обновления внизу). 

Сами файлы переименовываются случайными именами, начинающимися на 3g000... или 6000000... Смотрите также примеры на скриншоте ниже. 
Шаблоны известных вариантов можно записать так:
[3g000000000random_name].[lioghaly@india.com].TRMT
[6000000000random_name].LOGOZ
[6M00000000random_name].amnesia

Активность этого крипто-вымогателя пришлась на конец мая 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа размещается во всех папках с зашифрованными файлами и называется: HOW TO RECOVER ENCRYPTED FILES.TXT 

В русскоязычной версии записка называется: Как расшифровать файлы.TXT

На рабочий стол устанавливаются обои с крупной надписью в виде email-адреса вымогателей. Возможно, что так будет не у всех пострадавших и не во всех версиях. 

Содержание записки о выкупе (реконструкция варианта с расширением TRMT):
All your files haue been encrypted!
Your personal identifier
0047222861956585461***
5149137699028847356***
3395271179543076584***
0225576062675531759***
2241229884097711411***
5175955091113238801***
All your files haue been encrypted due to a security problem with your PC. To restore all your files, you need a decryption. If you want to restore them, write us to the e-mail: lioghaly@india.com
You have to pay for decryption in Bitcoins. The price depends on how fast you write to us. After payment we will send you the decryption tool that will decrypt all your files. 
If you can't contact us by mail: lioghaly@india.com You ***
kfrvokr@protonmail.ch
Free decryption as guarantee
Before paying you can send to us up to 1 files for free decryption. 
Please note that files must NOT contain valuable information and their total size must be less than 5Mb. 
When the transfer is confirmed, you will receive interpreter files to your computer. After start-interpreter program, all your files will be restored.
Attention!
Do not rename encrypted files. 
Do not try to decrypt your data using third party software, it may cause permanent data loss. 
Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam. 
Do not attempt to remove the program or run the anti-virus tools 
Attempts to self-decrypting files will result in the loss of your data 
Decoders are not compatible with other users of your data, because each user's unique encryption key.

Перевод этой записки на русский язык:
Все ваши файлы были зашифрованы!
Ваш личный идентификатор
******
Все ваши файлы были зашифрованы из-за проблемы с безопасностью на вашем ПК. Чтобы восстановить все ваши файлы, их нужно расшифровать. Если вы хотите их восстановить, напишите нам на e-mail: lioghaly@india.com
Вы должны заплатить за расшифровку в биткоинах. Цена зависит от того, как быстро вы нам напишете. После оплаты мы отправим вам инструмент дешифрования, который расшифрует все ваши файлы.
Если вы не можете связаться с нами по почте: lioghaly@india.com Вы можете написать на kfrvokr@protonmail.ch
Бесплатное дешифрование в качестве гарантии
Перед оплатой вы можете отправить нам 1 файл для бесплатного дешифрования.
Обратите внимание, что файлы НЕ должны содержать ценную информацию, а их общий размер должен быть меньше 5 Мб.
Когда передача подтвердится, вы получите на свой компьютер файлы интерпретатора. После запуска программы-интерпретатора все ваши файлы будут восстановлены.
Внимание!
Не переименовывайте зашифрованные файлы.
Не пытайтесь расшифровывать свои данные с помощью сторонних программ, это может привести к необратимой потере данных.
Расшифровка ваших файлов с помощью третьих лиц может привести к увеличению цены (они добавляют плату за нас) или вы можете стать жертвой мошенничества.
Не пытайтесь удалить программу или запустить антивирусные инструменты
Попытки самодешифровки файлов приведут к потере ваших данных
Декодеры не совместимы с другими пользователями и вашими данными, т.к. у каждого пользователя уникальный ключ шифрования.

Содержание записки о выкупе (реконструкция варианта с расширением .LOGOZ):
YOUR FILES ARE ENCRYPTED!
Your personal ID
00472228619565854617***
51491376990288473561***
33952711795430765843***
02255760626755317594***
22412298840977114111***
51759550911132388019***
All your files have been encrypted due to a security problem with your PC. 
To restore all your files, you need a decryption.
If you want to restore them, write us to the e-mail vapeefiles@aol.com. 
In a letter to send Your personal ID (see In the beginning of this document).
You have to pay for decryption in Bitcoins. 
The price depends on how fast you write to us. 
After payment we will send you the decryption tool that will decrypt all your files. 
In the letter, you will receive instructions to decrypt your files! 
In a response letter you will receive the address of Bitcoin-wallet, which is necessary to perform the transfer of funds. 
HURRY! Your personal code for decryption stored with us only 72 HOURS! 
Our tech support is available 24 \ 7
Do not delete: Your personal ID 
Write on e-mail, we will help you! 
Free decryption as guarantee 
Before paying you can send to us up to 1 files for free decryption. 
Please note that files must NOT contain valuable information and their total size must be less than 5Mb. 
When the transfer is confirmed, you will receive interpreter files to your computer.
After start-interpreter program, all your files will be restored.
Attention!
Do not rename encrypted files. 
Do not try to decrypt your data using third party software, it may cause permanent data loss. 
Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam. 
Do not attempt to remove the program or run the anti-virus tools 
Attempts to self-decrypting files will result in the loss of your data 
Decoders are not compatible with other users of your data, because each user's unique encryption key 
HOW TO RECOVER ENCRYPTED FILES

Перевод записки на русский язык:
ВАШИ ФАЙЛЫ ЗАШИФРОВАНЫ!
Ваш личный ID
00472228619565854617 ***
51491376990288473561 ***
33952711795430765843 ***
02255760626755317594 ***
22412298840977114111 ***
51759550911132388019 ***
Все ваши файлы были зашифрованы из-за проблемы с безопасностью на вашем ПК. Чтобы восстановить все ваши файлы, их нужно расшифровать.
Если вы хотите их восстановить, напишите нам на e-mail vapeefiles@aol.com.
В письме отправьте свой личный ID (см. начало этого документа).
Вы должны заплатить за расшифровку в биткоинах.
Цена зависит от того, насколько быстро вы пишете нам.
После оплаты мы отправим вам инструмент дешифрования, который расшифрует все ваши файлы.
В письме вы получите инструкции по расшифровке ваших файлов!
В ответном письме вы получите адрес биткоин-кошелька, который необходим для перевода средств.
ТОРОПИТЕСЬ! Ваш личный код для дешифрования хранится у нас всего 72 часа!
Наша техническая поддержка доступна 24 \ 7
Не удаляйте: ваш личный идентификатор
Напишите на e-mail, мы поможем вам!
Бесплатное дешифрование в качестве гарантии
Перед оплатой вы можете отправить нам 1 файл на бесплатную расшифровку.
Обратите внимание, что файлы НЕ должны содержать ценную информацию, и их общий размер должен быть меньше 5 Мб.
Когда передача подтвердится, вы получите на свой компьютер файлы интерпретатора. После запуска программы-интерпретатора все ваши файлы будут восстановлены.
Внимание!
Не переименовывайте зашифрованные файлы.
Не пытайтесь расшифровывать свои данные с помощью сторонних программ, это может привести к необратимой потере данных.
Расшифровка ваших файлов с помощью третьих лиц может привести к увеличению цены (они добавляют плату за нас) или вы можете стать жертвой мошенничества.
Не пытайтесь удалить программу или запустить антивирусные инструменты
Попытки самодешифровки файлов приведут к потере ваших данных
Декодеры не совместимы с другими пользователями и вашими данными, т.к. у каждого пользователя уникальный ключ шифрования.
КАК ВОССТАНОВИТЬ ЗАШИФРОВАННЫЕ ФАЙЛЫ

Распространяется или может распространяться с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
Большинство популярных файловых расширений, кроме текстовых файлов. 
Это документы MS Office, OpenOffice, PDF, базы данных, 1С, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы шифруются во всех учётных записях, которые есть на компьютере, даже в тех, куда обычно пользователи не заходят.

Файлы, связанные с этим Ransomware:
HOW TO RECOVER ENCRYPTED FILES.TXT
<random>.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: lioghaly@india.com
kfrvokr@protonmail.ch
vapeefiles@aol.com
infocrypt@india.com
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: высокая.
Подробные сведения собираются регулярно.

Обновление от 3 июня 2017:
Сумма выкупа: 0.3 BTC
Записка: HOW TO RECOVER ENCRYPTED FILES.TXT
Email: infocrypt@india.com
BM-2cVPjWMtfTRKJh4HsP87xxKHKy42dc8JXb
Скриншот записки:


Обновление от 7 сентября 2017:
Расширение: .wncry
Email: helper@bitmessage.ch
BM-2cVCHsbUqL5H1nw98qrwbQkzdE1UqCs8nH
Записки: Instruction of recovery files WannaCry.TXT
Instruction for recovery of data.TXT
Инструкция по восстановлению данных.TXT
Результаты анализов: VT
Имитирует записку от вымогателя WannaCry. Скриншот записки:


Обновление от 7 октября 2017:
Расширение: .gladn
Файлы: guide.exe
Расположение: C:\guide.exe и \AppData\Roaming\guide.exe
Записка: Как расшифровать файлы.TXT
Email: BM-2cX2s3Zoqw9JFc9QELpPPPmuKBGRqF7pL7@bitmessage.ch

Обновление от 9 октября 2017:
Расширение: .hvsgt
Записка: Как расшифровать файлы.TXT 
Файлы: winhost.exe, Winhost.url
Расположение файлов: 
\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Winhost.url
\AppData\Roaming\winhost.exe
Записи реестра: 
HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', '{C98934A0-3C3D-E265-899C-30C4BD9F2EA8}'
HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Winhost'

Обновление от 11 октября 2017:
Расширение: .wncry
Записка: Как расшифровать файлы.TXT 
Имитирует записку от вымогателя WannaCry.
Email: BM-2cX2s3Zoqw9JFc9QELpPPPmuKBGRqF7pL7@bitmessage.ch
Атакует подключенные сетевые ресурсы. 



Внимание!
Для зашифрованных файлов есть декриптер
Скачать Amnesia2 Decrypter для дешифровки >>
 Read to links: 
 Tweet on Twitter
 ID Ransomware (ID as Amnesia2)
 Write-up, Topic of Support
 * 
 Thanks: 
 Marcelo Rivero
 Michael Gillespie
 Alex Svirid
 Fabian Wosar
 

© Amigo-A (Andrew Ivanov): All blog articles.

GrodexCrypt

GrodexCrypt Ransomware

(шифровальщик-вымогатель)


Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в $50 в BTC, чтобы вернуть файлы. Оригинальное название: GrodexCrypt. На файле написано: windir.exe.
шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

© Генеалогия: MicroCop (Crypt888) > GrodexCrypt

К зашифрованным файлам, как в прошлогоднем MicroCop, добавляется не расширение, а приставка Lock. — таким образом зашифрованный файл тоже выглядит так: Lock.original_name.png

Активность этого крипто-вымогателя пришлась на начало июня 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Запиской с требованием выкупа выступает экран блокировки:
 

Содержание записки о выкупе и FAQ:
1. 
Your computer files have been encrypted. Your photos, videos, documents, etc....
But, don't worry! You can still save your files.
You have 48 hours to pay 50 USD in Bitcoins to get the decryption key.
After 48 all the files will be deleted and the decryption key will be destroyed.
If you do not have bitcoins Google the website buybitcoinworldwide or localbitcoins
Purchase 50 American Dollars worth of Bitcoins.
Send to the Bitcoins address specified.
Within minutes of receiving your payment your computer will receive the decryption application and return to normal.
Try anything funny and the decryption key will be destroyed along with your whole computer.
As soon as you have paid, please send email to STYSLA@PROTONMAIL.COM with your unique code: "7C8" as we receive the email we will send you the decryption application.
https://www.buybitcoinworldwide.com/

2. 
Q: Is it possible to decrypt my files without paying?
A: No
Q: What if I try to remove this software?
A: Your decryption application will be destroyed and all of your files will be deleted
Q: What if I dont have bitcoins?
A: We have clear instructions how to buy bitcoins and send them to us.


Перевод записки и FAQ на русский язык:
1. 
Твои компьютерные файлы были зашифрованы. Твои фотографии, видео, документы и т.д....
Но, не волнуйся! Ты можешь сохранить свои файлы.
У тебя есть 48 часов, чтобы заплатить $50 в биткоинах и получить ключ дешифрования.
После 48 все файлы будут удалены, а ключ дешифрования будет уничтожен.
Если у тебя нет биткоинов гугли на сайте buybitcoinworldwide или localbitcoins
Купи 50 долларов за биткоины.
Отправь на биткоин-адрес.
Через несколько минут после получения платежа ваш компьютер получит приложение для расшифровки и вернется в нормальное состояние.
Попробуешь пошутить и ключ дешифрования будет уничтожен вместе с твоим компьютером.
Как только ты заплатишь, отправь email на STYSLA@PROTONMAIL.COM со своим уникальным кодом: "7C8", когда мы получим email, мы пошлем тебе приложение дешифрования.

2.
Вопрос: Можно ли расшифровать мои файлы без оплаты?
Ответ: Нет
В.: Что будет, если я пытаюсь удалить эту программу?
О.: Твое приложение для дешифрования будет уничтожено и все твои файлы будут удалены.
В.: Что, если у меня нет биткоинов?
О.: У нас есть четкие инструкции, как купить биткойны и отправить их нам.

Распространяется путём взлом через незащищенную конфигурацию RDP или может распространяться с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
windir.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
STYSLA@PROTONMAIL.COM
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.


Внимание!
Для зашифрованных файлов есть декриптер
Скачать Crypt888Decrypter для дешифровки >>
Описание для Crypt888 >>
Декриптер общий для Crypt888 и GrodexCrypt.
Это просто разные версии одного и того крипто-вымогателя. 
 Read to links: 
 Tweet on Twitter
 ID Ransomware
 Write-up, Write-up by Avast
 * 
 Thanks: 
 Jakub Kroustek
 Lawrence Abrams
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

ВНИМАНИЕ!
1) Ваши комментарии после статьи появятся только после проверки. Дублировать их не нужно.
2) В своём сообщение в форме обратной связи обязательно укажите название шифровальщика.

Постоянные читатели

Форма для связи / Contact

Имя

Электронная почта *

Сообщение *