пятница, 6 мая 2016 г.

Bucbi

Bucbi Ransomware 

(шифровальщик-вымогатель)


   Этот крипто-вымогатель шифрует данные пользователей с помощью ГОСТ-28147-89, а затем требует выкуп в 0,5 биткоинов или меньше (например, 0.00896 биткоинов), чтобы вернуть файлы. Сумма выкупа может быть и 5 биткоинов, если был скомпрометирован сервер компании. На уплату выкупа даётся 72 часа. Название оригинальное.

© Генеалогия: Bucbi 2014 > Bucbi 2016.

К зашифрованным файлам никакое расширение не добавляется. Оригинальные название и расширение у зашифрованных файлов не меняются. 

Активность этого криптовымогателя пришлась на апрель-май, 2016 г., но новые образцы нашлись в октябре и ноябре 2016 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру. Кем бы не был создан и/или модифицирован данный вымогатель, это только лишний раз подтверждает, что у киберпреступников нет ни национальности, ни родины.

Записки с требованием выкупа называются: README.txt

Содержание записки о выкупе:
We are members of Ukrainian Right Sector.
You are taking money wolrdwide until we are fighting with world's evil into the East of our Motherland.
To decrypt files you need to obtain a private key.
You have to transfer 5 btc into the our account 1Mfvklut*** for us.
Also you have to send message for us to e-mali: dopomoga.rs@gmail.com.
After it you'll get the cryptokey for decrypt your files.
Regards.
Your defenders.

Перевод записки на русский язык:
Мы являемся членами украинского правого сектора.
Вы имеете деньги со всего мира, пока мы боремся ***.
Для расшифровки файлов вам необходимо получить закрытый ключ.
Вы должны передать 5 в BTC на наш кошелек 1Mfvklut ***.
Кроме того, вы должны отправить письмо на e-mali: dopomoga.rs@gmail.com
После этого вы получите крипто-ключ для расшифровки файлов.
С уважением.
Ваши защитники.

Текст о выкупе также дублируется в блокировщике экрана.
 

Методы распространения версии 2016 года: брутфорс-атака по RDP (протокол удаленного рабочего стола) с помощью утилиты RDP Brute и уже в меньшей степени с помощью эксплойтов или фишинг-писем (ранее зараженные email-вложения и эксплойты на взломанных сайтах использовались в большей степени). Наблюдается ориентированность на корпоративные серверы и банковский сектор.

Список файловых расширений, подвергающихся шифрованию:
.3fr , .accdb, .arw, .bay, .bmp, .cdr, .cer, .chm, .cpp, .cr2, .crt, .crw, .csv, .cxx, .dbf, .dcr, .der, .djvu, .dng, .doc, .docm, .docx, .dwg, .dxf, .dxg, .eps, .erf, .fb2, .gif, .img, .indd, .jpe, .jpeg, .jpg, .kdc, .mdb, .mdf, .mef, .mht, .mrw, .nef, .nrw, .odb, .odc, .odm, .odp, .ods, .odt, .orf, .p12, .p7b, .p7c, .pdd, .pdf, .pef, .pem, .pfx, .pht, .ppt, .pptm, .pptx, .psd, .pst, .ptx, .r3d, .raf, .rar, .raw, .rtf, .rw2, .rwl, .sr2, .srf , .srw , .sxw , .tif , .txt , .wb2 , .wpd , .wps , .x3f , .xlam , .xlk , .xls , .xlsb , .xlsm , .xlsx , .xltm , .xltx , .zip (90 расширений). 

Файлы шифруются на локальных и сетевых дисках, если они подключены. 

Файлы, связанные с Bucbi Ransomware:
ukraine.exe
README.txt
C:\ProgramData\<random_letter_name>
C:\Documents and Settings\<USER>\Local Settings\Application Data\<random_letter_name>
C:\Documents and Settings\<USER>\Local Settings\Application Data\<random_name>.exe
C:\Documents and Settings\All Users\<random_letter&numeral_name>.log 

Записи реестра, связанные с Bucbi Ransomware:
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run       value: "@"

Сетевые подключения и C&C-серверы:
bbb.bth.in.ua
shalunishka12.org
ceckiforeftukreksyxomoa.org
87.249.215.196
chultolsylrytseewooketh.biz

Результаты анализов:
VirusTotal анализ 4 апреля 2016 >>
VirusTotal анализ 25 апреля 2016 >>
Гибридный анализ 26 октября >>
VirusTotal анализ 26 октября >>
VirusTotal анализ 7 ноября >>



Обновление от 6 июля 2016:
Новая записка о выкупе: readme.txt
Тема на BC >>
Скриншот записки: 

Степень распространённости: средняя.
Подробные сведения собираются.

 Read to links: 
 Palo Alto Networks
 Microsoft Threat Encyclopedia
 *
 *
 Thanks: 
 Palo Alto Networks
 I myself
 *
 *
 

Комментариев нет:

Отправить комментарий

Форма для связи / Contact

Имя

Электронная почта *

Сообщение *