пятница, 30 июня 2017 г.

Lalabitch

Lalabitch Ransomware

(шифровальщик-вымогатель)


Этот крипто-вымогатель шифрует данные серверов с помощью AES, а затем требует выкуп в 0.5 BTC, чтобы вернуть файлы. Оригинальное название. На файле написано.
шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

© Генеалогия: выясняется.

К зашифрованным файлам добавляется расширение .lalabitch
Зашифрованные файлы переименовываются с помощью base64. 

Активность этого крипто-вымогателя пришлась на конец июня 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.
Lalabitch

Записка с требованием выкупа называется: lalabitch.php

Содержание записки о выкупе:
Your site is locked with Lalabitch Custom encryption method. 
Please pay 0.5 btc to 18LbTxonanfMoh43t47Pjvdox7z2HFaiM9 for the Decryption key. Or else, 
in 12 hours all of your files in this website will be deleted
- [lalabitch2017[at]yandex.com] -
----------------------------------------------
This is a notice of ransomware.
How to restore the beginning?
Please contact us via email listed

Перевод записки на русский язык:
Ваш сайт заблокирован с Lalabitch обычным способом шифрования.
Оплатите 0.5 btc на 18LbTxonanfMoh43t47Pjvdox7z2HFaiM9 за ключ дешифрования. Или, через 12 часов все ваши файлы на этом веб-сайте будут удалены.
- [lalabitch2017 [at] yandex.com] -
----------------------------------------------
Это уведомление о выкупе.
Как начать восстановление?
Свяжитесь с нами по email.


Технические детали

Может распространяться путём взлома сервера через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.


Скриншот интерфейса

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Из шифрования исключаются файлы, содержащие в имени: 
.php
.png
404.php
.htaccess
.lndex.php
DyzW4re.php
index.php
.htaDyzW4re

.lol.php

Файлы, связанные с этим Ransomware:
lalabitch.php
<random>.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
BTC: 18LbTxonanfMoh43t47Pjvdox7z2HFaiM9
Email: lalabitch2017@yandex.com
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.


 Read to links: 
 Tweet on Twitter
 ID Ransomware (ID as Lalabitch)
 Write-up, Topic of Support
 * 
Added later:
Write up on BC
*
*
 Thanks: 
 Michael Gillespie
 Catalin Cimpanu
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

ВНИМАНИЕ!
1) Ваши комментарии после статьи появятся только после проверки. Дублировать их не нужно.
2) В своём сообщение в форме обратной связи обязательно укажите название шифровальщика.

четверг, 29 июня 2017 г.

Johnnie

Johnnie Ransomware 

Random6 Ransomware

(шифровальщик-вымогатель)


Этот крипто-вымогатель шифрует данные пользователей с помощью AES/RSA, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название не указано. На файле написано: df4344.
шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

© Генеалогия: выясняется.

Этимология названия:
Ряд антивирусных движков назвали вредонос как Johnnie.
Johnnie

К зашифрованным файлам добавляется случайное расширений с шестью разными буквами .<random6>

Примеры таких расширений:
.llawex
.dkdfln
.pmxkab
.upzbrf

Зашифрованные файлы переименовываются с использованием base64.
Johnnie Random6

Активность этого крипто-вымогателя пришлась на конец июня 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется с использованием случайного расширения.
Примеры шаблонов записки можно записать так: 
RESTORE-.<random6>-FILES.txt
RESTORE-.<6-char_extension>-FILES.txt

Примеры таких записок:
RESTORE-.llawex-FILES.txt
RESTORE-.dkdfln-FILES.txt
RESTORE-.pmxkab-FILES.txt
RESTORE-.upzbrf-FILES.txt
Johnnie Random6

Содержание записки о выкупе:
Your files are Encrypted!
For decryption send letter on email filesrestore@tutanota.com in letter attach your Personal ID.
If email don't works, register here: http://bitmsg.me, send letter to BM-NBazWh9xNVf2SgmvLv8pc3Uc9CCXtXMu
With your Personal ID and email for contacts.
After you send payment to given BTC adress in answer, you will get your files restored.
Your Personal ID: 
XwPCzCqFJ99Yvg***

Перевод записки на русский язык:
Ваши файлы зашифрованы!
Для расшифровки отправьте письмо на email filesrestore@tutanota.com к письму приложите свой личный ID.
Если почта не работает, зарегистрируйтесь здесь: http://bitmsg.me, отправьте письмо на BM-NBazWh9xNVf2SgmvLv8pc3Uc9CCXtXMu
С вашим личным ID и email для контакта.
После отправки платежа на указанный BTC-адрес в ответ, вы восстановите свои файлы.
Ваш личный ID:
XwPCzCqFJ99Yvg***

Информатором жертвы выступает также скринлок, встающий обоями рабочего стола Desktop background.png

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
dfdf333.exe (sdFf34453.exe)
Desktop background.png
RESTORE-.llawex-FILES.txt
.llawex.log
<random>.llawex

Расположения:
%USERPROFILE%\Downloads\<random>.llawex

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.


 Read to links: 
 Tweet on Twitter
 ID Ransomware (ID as Random6)
 Write-up, Topic of Support
 * 
 Thanks: 
 Marcelo Rivero
 Michael Gillespie
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

ВНИМАНИЕ!
1) Ваши комментарии после статьи появятся только после проверки. Дублировать их не нужно.
2) В своём сообщение в форме обратной связи обязательно укажите название шифровальщика.

WannaCry.NET

WannaCry.NET Ransomware
Fake Clone WannaCry

(шифровальщик-вымогатель)


Этот крипто-вымогатель шифрует данные пользователей с помощью AES/RSA, а затем требует выкуп в 0.1 BTC (сейчас это ~$260), чтобы вернуть файлы. Оригинальное название: WannaCry (разумеется фальшивый). На файле написано: wanna_cry и др.
шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

© Генеалогия: .NET >> WannaCry.NET

К зашифрованным файлам добавляется расширение *нет данных*.

Активность этого крипто-вымогателя пришлась на конец июня 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Запиской с требованием выкупа выступает текстовый файл @Please_Read_Me@.txt, скринлок, встающий обоями и экран блокировки:


WannaCry.NET
WannaCry.NET
WannaCry.NET

Содержание записки @Please_Read_Me@.txt:
Q: What's wrong with my files?
A: Oooops, your important files are encrypted. It means you will not be able to access them anymore until they are decrypted. If you follow our instructions, we guarantee that you can decrypt all your files quickly and safely! Let's start decrypting!
Q: What do I do?
A: First, you need to pay service fees for the decryption. Please send 0.1 bitcoin to this bitcoin address: 13KBb1G7pkqcJcxpRHg387roBj2NX7Ufyf
Next, please find an application file named "@WanaDecryptor@.exe". It is the decrypt software. Run and follow the instructions! (You may need to disable your antivirus for a while.)
Q: How can I trust?
A: Don't worry about decryption. We will decrypt your files surely because nobody will trust us if we cheat users.
* If you need our assistance, send a message by clicking < Contact Us > on the decryptor window.

Перевод записки на русский язык:
В: Что не так с моими файлами?
О: Упс, ваши важные файлы зашифрованы. Это значит, что вы не сможете получить к ним доступ, пока они не будут расшифрованы. Если вы будете следовать нашим инструкциям, мы гарантируем, что вы сможете быстро и безопасно расшифровать все свои файлы! Давайте начнем расшифровку!
В: Что мне делать?
О: Во-первых, вам нужно заплатить выкуп за услуги расшифровки. Отправьте 0.1 биткоина на этот биткойн-адрес: 13KBb1G7pkqcJcxpRHg387roBj2NX7Ufyf 
Затем найдите файл приложения с именем "@WanaDecryptor@.exe". Это программа дешифровки. Запустите и следуйте инструкциям! (Возможно, вам нужно временно отключить антивирус.)
В: Могу ли я доверять?
О: Не беспокойтесь о расшифровке. Мы расшифруем ваши файлы, т.к. никто не будет нам доверять, если мы обманем пользователей.
* Если вам нужна наша помощь, отправьте сообщение, нажав <Contact Us> в окне расшифровки.


Технические детали


WannaCry.NET внешне сделан один-в-один как WannaCry NSA EE, с такими же таймером и требованиями выкупа, но не более. Кодирован в .NET, включает в себя строку WNCRY и не использует никаких эксплойтов NSA. Обычно .NET-Ransomware является признаком того, что автор не имеет опыта кодирования, но к этому фальшивому WannaCry это не относится, т.к. является одним из лучших штаммов .NET-Ransomware, которые мы ранее видели. 

Специалисты ЛК обнаружили несколько индикаторов, оставленных разработчиками-вымогателями для того, чтобы ввести пожелавших заглянуть в код программы. Это строка WNCRY, строка-название проекта WannaCry и строка made in china
WannaCry.NET
WannaCry.NET
WannaCry.NET

WannaCry.NET удаляет теневые копии файлов. Инициализирует ключи.
Не запускается без специальных аргументов командной строки. 
Использует C&C в сети Tor. 
Вырубает процессы приложений перед шифрованием файлов. 
Создает список файлов для шифрования. Шифрует файлы.
Показывает окно с требованием выкупа. Сохраняет текстовую записку с вопросами и ответами. 

Закрытый ключ RSA шифруется открытым ключом RSA. Для каждого файла генерируется ключ AES-256 и IV. Ключ и IV зашифровываются сгенерированным ключом RSA «Session» и сохраняются в зашифрованном файле.

Номер BTC-кошелька фиксирован 13KBb1G7pkqcJcxpRHg387roBj2NX7Ufyf для всех инфекций. На данный момент кошелек получил семь платежей, всего 0,51 BTC. Большая часть платежей сделана 26 июня, видимо это был тот день, когда атака достигла максимума. Интересно, что злоумышленники отозвали 0.41 BTC со счета.

Около 90 атакованных организаций получили на свои ПК с обновлениями ПО M.E.Doc ещё и WannaCry.NET, большинство находятся в Украине.

После перепродажи крипто-вымогатель может начать распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Кто стоит за этим крипто-вымогателем?
Сегодня кто-то распространяет (продаёт) этот крипто-вымогатель в Украине под видом WannaCry. Ранее распространялся XData на основе похищенной кодовой базы AES-NI, PSCrypt - на основе GlobeImposter, Petya NSA EE замаскирован под Petya.
Нет чётких доказательств того, что одна и та же группа стоит за всеми этими вредоносными кампаниями в Украине и других странах, но довольно много совпадений, чтобы это не замечать. 
Хочу посоветовать пострадавшим включить голову и извлечь из этих атак уроки. Если продолжать обвинять во всех мнимых и явных нападках Россию и неких российских хакеров, то это значит снова подставить под удар свои серверы, сайты, сети и ПК. 
Атакующим (как и любым другим преступникам) только на руку, чтобы виновными считали совершенно других людей, чтобы обвинения выдвигали против кого-то другого. 

Запомните, кибер-криминал безлик, безнационален, скрытен, но цели его известны: причинить вред и извлечь выгоду. 
Атаки будут продолжаться, кажущаяся тишина временна, т.к. за это время кибер-криминал ищет новые уязвимые места, чтобы ударить ещё точнее, сильнее и разрушительнее. 

Список файловых расширений, подвергающихся шифрованию:
.123, .3dm,.3ds, .3g2, .3gp, .602, .7z, .accdb, .aes, .ai, .ARC, .asc, .asf, .asm, .asp, .avi, .backup,.bak, .bat, .brd, .bz2, .c, .cgm, .class, .cmd,.cpp, .crt, .cs, .csr, .csv, .db, .dbf, .dch, .der, .dif, .dip, .djvu,.doc, .docb, .docm, .docx, .dot, .dotm, .dotx, .dwg, .edb, .eml, .fla, .flv,.frm, .gpg, .gz, .h, .hwp, .ibd, .iso,.jar, .java, .js, .jsp, .key, .lay,.lay6, .ldf, .m3u, .m4u, .max, .mdb, .mdf,.mid, .mkv, .mml, .mov, .mp3, .mp4,.mpeg, .mpg, .msg, .myd, .myi, .nef, .odb, .odg,.odp, .ods, .odt,.onetoc2, .ost, .otg, .otp, .ots, .ott, .p12, .PAQ, .pas, .pdf, .pem, .pfx, .php,.pl, .pot, .potm, .potx,.ppam, .pps, .ppsm, .ppsx, .ppt, .pptm, .pptx, .ps1, .psd, .pst, .rar,.raw, .rb, .rtf, .sch, .sh, .sldm,.sldm, .sldx, .slk, .sln, .snt, .sql, .sqlite3, .sqlitedb, .stc, .std, .sti, .stw, .suo, .svg, .swf, .sxc, .sxd, .sxi, .sxm, .sxw, .tar, .tbk, .tgz, .tiff, .txt, .uop, .uot, .vb, .vbs, .vcd, .vdi, .vmdk, .vmx, .vob,.vsd, .vsdx, .wav, .wb2, .wk1, .wks, .wma, .wmv, .xlc, .xlm, .xls, .xlsb, .xlsm, .xlsx,.xlt, .xltm, .xltx, .xlw, .zip (173 расширения).

Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
wc.exe - WannaCry
wd.exe - @WanaDecryptor@.exe
ed.exe - Electronic documents (M.E.Doc)
@Please_Read_Me@.txt
@WanaDecryptor@.bmp

Расположения:
%CurrentFolder%\ed.exe
%SystemDrive%\Documents and Settings\All Users\Desktop\@Please_Read_Me@.txt
%SystemDrive%\Documents and Settings\All Users\Desktop\@WanaDecryptor@.exe
%SystemDrive%\All Users\Music\@Please_Read_Me@.txt
%SystemDrive%\All Users\Music\@WanaDecryptor@.exe
%SystemDrive%\All Users\Pictures\@Please_Read_Me@.txt
%SystemDrive%\All Users\Pictures\@WanaDecryptor@.exe
%SystemDrive%\All Users\Favorites\@Please_Read_Me@.txt
%SystemDrive%\All Users\Favorites\@WanaDecryptor@.exe
%SystemDrive%\All Users\AppData\Roaming\Microsoft\Templates\@Please_Read_Me@.txt
%SystemDrive%\All Users\AppData\Roaming\Microsoft\Templates\@WanaDecryptor@.exe

Записи реестра, связанные с этим Ransomware:
RSA Private Key 
RSA Public Key 
HKEY_CURRENT_USER\Software\WC\"public_key" = "[DATA]"
HKEY_CURRENT_USER\Software\WC\"private_key_encrypted" = "[DATA]"
HKEY_CURRENT_USER\Software\WC\"guid" = "[UNIQUE ID]"
HKEY_CURRENT_USER\Software\WC\"wc_path" = "[PATH TO MALWARE]"
HKEY_CURRENT_USER\Software\WC\"time" = "[SYSTEM TIME]"
См. ниже результаты анализов.

Сетевые подключения и связи:
xxxx://4gxdnocmhl2tzx3z.onion
BTC: 13KBb1G7pkqcJcxpRHg387roBj2NX7Ufyf
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ на Dropper >>
VirusTotal анализ на Dropper >>
Гибридный анализ на GUI >>
VirusTotal анализ на GUI >>
Гибридный анализ на Encrypter >>
VirusTotal анализ на Encrypter >>
Symantec: Ransom.Fakecry >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.


 Read to links: 
 Tweet on Twitter
 ID Ransomware (ID as WannaCry.NET)
 Write-up, Write-up
 * 
 Thanks: 
 MalwareHunterTeam
 Michael Gillespie
 BleepingComputer
 SecureList, Symantec Security Response
 

© Amigo-A (Andrew Ivanov): All blog articles.

ВНИМАНИЕ!
1) Ваши комментарии после статьи появятся только после проверки. Дублировать их не нужно.
2) В своём сообщение в форме обратной связи обязательно укажите название шифровальщика.

среда, 28 июня 2017 г.

Pirateware

Pirateware Ransomware

(фейк-шифровальщик)


Этот крипто-вымогатель якобы шифрует данные пользователей с помощью AES, а затем требует выкуп в 0.1 BTC, чтобы вернуть файлы. Оригинальное название: Pirateware и First Gui. На файле написано: First Gui.exe.
шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

© Генеалогия: выясняется.

К фейк-зашифрованным файлам никакое расширение не добавляется.
.
Активность этого крипто-вымогателя пришлась на конец июня 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру. На момент написания статьи видимо находится в разработке и ничего не шифрует. 

Запиской с требованием выкупа выступает экран блокировки:
Pirateware

Содержание записки о выкупе:
What happend to my computer?
Your personal documents and files on this computer have just been encrypted.
The original files have been deleted and will only be recovered by following the steps described below.
The encryption as done with a unique generated encryption key (using AES-256 and RSA-2048).
This means the enciypted files are of no use until they get decrypted using a key stored on a secret server.
The server will only release the key if the amount of Bitcoins displayed is payed.
How to get your hands on a key:
1. Create your own Bitcoin wallet and convert money into Bitcoins.
2. After you have sent the Bitcoins from your own Bitcoin adress type it into contact for adresses.
3. Go under Message and type i have bought a key and would like to receive it and then click "Submit Message"
4. After we have confirmed your purchase and you have gotten you key paste it into the key box and click "start decryption".
Every third day the prices -Anil increase by 0.1 bitcoin. so if you wait three days to pay it will be 0.2 bitcoins.
*Remember the rule or you wont get your key!*
Price for key: 0.1 Bitcoins
Send Bitcoins to this adress
34tfAnJsTbhJNCLnyurvPeTpqgGzobHLhL
Pirateware
Any attempt to corrupt or remove this software will result in immediate elimination of private key by the server.

Перевод записки на русский язык:
Что случилось с моим компьютером?
Ваши личные документы и файлы на этом компьютере только что были зашифрованы.
Исходные файлы были удалены и будут восстановлены только после выполнения описанных ниже действий.
Шифрование выполняется с уникальным сгенерированным ключом шифрования (AES-256 и RSA-2048).
Это значит, что заблокированные файлы бесполезны, пока они не будут дешифрованы с ключом, хранящимся на секретном сервере.
Сервер отдаст ключ только в том случае, если указанная сумма биткойнов будет уплачена.
Как получить ключ на руки:
1. Создайте свой собственный биткойн-кошелек и конвертируйте деньги в биткойны.
2. После того, как вы отправили биткойны из вашего личного биткойн-адреса, введите его в контакт для адресов.
3. В поле под "Message" впишите "I have bought a key and would like to receive it" (я купил ключ и хочу его получить), а затем нажмите  кнопку "Submit Message",
4. После того, как мы подтвердим вашу покупку, и вы получили ключ, вставьте его в поле для ключей и нажмите "start decryption".
Каждый третий день цена увеличивается на 0.1 биткойн. Поэтому, если вы подождете три дня для оплаты, это будет 0.2 биткойна.
* Запомните правило, иначе вы не получите свой ключ! *
Цена за ключ: 0.1 биткойна
Отправьте биткойны на этот адрес
34tfAnJsTbhJNCLnyurvPeTpqgGzobHLhL
Pirateware
Любая попытка испортить или удалить эту программу приведет к немедленной ликвидации закрытого ключа сервером.

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
Файлы пока ещё не шифруются.
После релиза это могут быть документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
pirateware.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
BTC: 34tfAnJsTbhJNCLnyurvPeTpqgGzobHLhL
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.


 Read to links: 
 Tweet on Twitter
 ID Ransomware
 Write-up, Topic of Support
 * 
 Thanks: 
 Lawrence Abrams‏ 
 *
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

ВНИМАНИЕ!
1) Ваши комментарии после статьи появятся только после проверки. Дублировать их не нужно.
2) В своём сообщение в форме обратной связи обязательно укажите название шифровальщика.

Nemucod-AES

Nemucod-AES Ransomware

(шифровальщик-вымогатель)


Этот крипто-вымогатель шифрует данные пользователей с помощью AES-128 (режим ECB) + RSA, а затем требует выкуп в ~0,11 BTC, чтобы вернуть файлы. Оригинальное название Nemucod xxx. 
шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

© Генеалогия: Nemucod > Nemucod-AES

К зашифрованным файлам никакое расширение не добавляется.

Активность этого крипто-вымогателя пришлась на конец июня 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записки с требованием выкупа называются: 
Decrypt.txt
Decrypt.hta

Другим информатором жертвы выступает скринлок, встающий обоями рабочего стола. Или это файл HTA. Содержание текста видимо аналогичное. 
Nemucod-AES

Содержание записки о выкупе:
ATTENTION!
All your documents, photos, databases and other important personal files were  encrypted using a combination of strong RSA-2048 and AES-128 algorithms.
The only way to restore your files is to buy decryptor. Please, follow these steps:
1. Create your Bitcoin wallet here:
xxxxs://blockchain.info/wallet/new
2. Buy 0.11471 bitcoins here:
https://localbitcoins.com/buy_bitcoins
3. Send 0.11471 bitcoins to this address:
<%ADDRESS%>
4. Open one of the following links in your browser:
xxxx://elita5.md/counter/71GCn9vz73FNDmoVxgxXqjo7dSXyLmfnTDt
xxxx://artdecorfashion.com/counter/71GCn9vz73FNDmoVxgxXqjo7dSXyLmfnTDt
xxxx://goldwingclub.ru/counter/71GCn9vz73FNDmoVxgxXqjo7dSXyLmfnTDt
xxxx://perdasbasalti.it/counter/71GCn9vz73FNDmoVxgxXqjo7dSXyLmfnTDt
xxxx://natiwa.com/counter/71GCn9vz73FNDmoVxgxXqjo7dSXyLmfnTDt
5. Download and run decryptor to restore your files.
You can find this instruction in "DECRYPT" file on your desktop.

Перевод записки на русский язык:
ВНИМАНИЕ!
Все ваши документы, фото, базы данных и другие важные личные файлы были зашифрованы с сочетания сильных алгоритмов RSA-2048 и AES-128.
Единственный способ восстановить ваши файлы - купить декриптор. Пожалуйста, выполните следующие действия:
1. Создайте свой биткойн-кошелек здесь:
xxxxs://blockchain.info/wallet/new
2. Купите 0.11471 биткойна здесь:
https://localbitcoins.com/buy_bitcoins
3. Отправьте 0.11471 биткойна по этому адресу:
<% ADDRESS%>
4. Откройте в браузере одну из следующих ссылок:
хххх://elita5.md/counter/71GCn9vz73FNDmoVxgxXqjo7dSXyLmfnTDt
хххх://artdecorfashion.com/counter/71GCn9vz73FNDmoVxgxXqjo7dSXyLmfnTDt
хххх://goldwingclub.ru/counter/71GCn9vz73FNDmoVxgxXqjo7dSXyLmfnTDt
хххх://perdasbasalti.it/counter/71GCn9vz73FNDmoVxgxXqjo7dSXyLmfnTDt
хххх://natiwa.com/counter/71GCn9vz73FNDmoVxgxXqjo7dSXyLmfnTDt
5. Загрузите и запустите декриптор для восстановления ваших файлов.
Вы можете найти эту инструкцию в файле "DECRYPT" на своем рабочем столе.


Другой вариант записки о выкупе:
ATTENTION!
All your documents, photos, databases and other important personal files were encrypted
using a combination of strong RSA-2048 and AES-128 algorithms.
The only way to restore your files is to buy decryptor. Please, follow these steps:
1. Create your Bitcoin wallet here: 
https://blockchain.info/wallet/new
2. Buy 0.13066 bitcoins here: 
https://localbitcoins.com/buy_bitcoins
3. Send 0.13066 bitcoins to this address: 
1FeZr4bvMpCf1QTS49VjsdhtnP6zPvMjbP
4. Open one of the following links in your browser: 
http://luxe-limo.ru/counter/?1FeZr4bvMpCf1QTS49VjsdhtnP6zPvMjbP
http://musaler.ru/counter/?1FeZr4bvMpCf1QTS49VjsdhtnP6zPvMjbP
http://vinoteka28.ru/counter/?1FeZr4bvMpCf1QTS49VjsdhtnP6zPvMjbP
http://www.agrimixxshop.com/counter/?1FeZr4bvMpCf1QTS49VjsdhtnP6zPvMjbP
http://sharedocsrl.it/counter/?1FeZr4bvMpCf1QTS49VjsdhtnP6zPvMjbP
Download and run decryptor to restore your files. 
You can find this instruction in "DECRYPT" file on your desktop.

Этот вариант записки различается лишь деталями (сумма выкупа, адреса и пр.). 


Технические детали

Как и предыдущие версии Nemucod-семейства новый Nemucod-AES шифрует только первые 2 Кб каждого целевого файла. Однако, в отличие от своих предшественников, Nemucod-AES использует шифрование AES со случайным образом созданным 128-битным ключом для каждого файла. 

Зашифрованные данные, а также имя файла и ключи AES, зашифрованные RSA, затем сохраняются в файле базы данных (с раширением .db) внутри каталога %TEMP%. Затем Nemucod-AES перезаписывает исходные первые 2 Кб файла со случайными данными.

Поскольку зашифрованные данные хранятся не в файлах, а в отдельном файле базы данных, то этот файл необходим для процесса дешифрования.

Затем Nemucod-AES удаляет все теневые копии файлов и создаёт заметку о выкупе DECRYPT.hta на рабочем столе, потребовав от жертвы выкуп $300 в биткоинах, чтобы вернуть свои файлы.

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений (JS, EXE), обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
.123, .3dm, .3ds, .3g2, .3gp, .602, .7z, .accdb, .aes, .ai, .als, .arc, .arj, .asc, .asf, .asm, .asp, .aup, .avi, .backup, .bak, .bas, .bat, .blend, .bmp, .brd, .bz, .bz2, .bza, .bzip, .bzip2, .c, .cad, .cdr, .cgm, .class, .cmd, .cpp, .cpr, .cpt, .crt, .cs, .csr, .csv, .db, .dbf, .dch, .dif, .dip, .djv, .djvu, .doc, .docb, .docm, .docx, .dot, .dotm, .dotx, .dsk, .dwg, .eps, .fb2, .fla, .flv, .frm, .gif, .gpg, .gz, .gzip, .h, .hwp, .ibd, .ice, .img, .indd, .iso, .jar, .java, .jpeg, .jpg, .js, .kdb, .kdbx, .key, .lay, .lay6, .ldf, .lwo, .lws, .m3u, .m4u, .m4v, .max, .mb, .mdb, .mdf, .mid, .midi, .mkv, .mml, .mov, .mp3, .mp4, .mpe, .mpeg, .mpg, .mpp, .ms11, .ms11, .myd, .myi, .nef, .npr, .odb, .odg, .odm, .odp, .ods, .odt, .ogg, .onenotec2, .otg, .otp, .ots, .ott, .p12, .paq, .pas, .pdf, .pem, .pgp, .php, .pl, .png, .pot, .potm, .potx, .ppam, .pps, .ppsm, .ppsx, .ppt, .pptm, .pptx, .psd, .pub, .py, .qcow2, .r00, .r01, .r02, .r03, .rar, .raw, .rb, .rm, .rtf, .scad, .sch, .sh, .skp, .sldasm, .slddrw, .sldm, .sldprt, .sldx, .slk, .sql, .sqlite3, .sqlitedb, .ssh, .stc, .std, .sti, .stw, .svg, .swf, .sxc, .sxd, .sxi, .sxm, .sxw, .tar, .tbk, .tgz, .tif, .tiff, .tsv, .txt, .u3d, .uop, .uot, .vb, .vbproj, .vbs, .vcproj, .vdi, .veg, .vhd, .vmdk, .vmx, .vob, .wav, .wb2, .wdb, .wk1, .wks, .wma, .wmf, .wmv, .xlc, .xlm, .xls, .xlsb, .xlsm, .xlsx, .xlt, .xltm, .xltx, .xlw, .xml, .zip (222 расширения).

Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Исключения из шифрования:
\winnt, \boot, \system, \windows, \tmp, \temp, \program,\appdata, \application, \roaming, \msoffice, \temporary, \cache, recycler

Файлы, связанные с этим Ransomware:
UPS-Delivery-005156577.doc.js
UPS-Receipt-4424638.doc.js
Decrypt.txt
Decrypt.hta
<random>.doc
<random>.exe
Cab<random>.tmp
Tar<random>.tmp

Расположения:
\Desktop\Decrypt.txt
%TEMP%\<random>.doc
%TEMP%\<random>.exe
%TEMP%\Cab<random>.tmp
%TEMP%\Tar<random>.tmp

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
elita5.md (217.26.160.15 Молдова)
goldwingclub.ru (62.109.17.210  Россия)
amis-spb.ru (77.222.61.227  Россия)
и другие (см. гибридный анализ)
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >> Ещё >>
VirusTotal анализ >>  Ещё >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.


 Read to links: 
 Tweet on Twitter
 ID Ransomware (ID as Nemucod-AES)
 Write-up, Topic of Support
 * 
 Thanks: 
 Michael Gillespie
 *
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

ВНИМАНИЕ!
1) Ваши комментарии после статьи появятся только после проверки. Дублировать их не нужно.
2) В своём сообщение в форме обратной связи обязательно укажите название шифровальщика.

вторник, 27 июня 2017 г.

Petya NSA EE

Petya Ransomware: NSA Exploit Edition

Petna (NotPetya, NonPetya) Ransomware

(шифровальщик-вымогатель, деструктор)


   Этот крипто-вымогатель шифрует данные пользователей с помощью ключа AES-128 (для каждого диска генерируется свой ключ AES, который существует в памяти до завершения шифрования). Затем этот 128-битный ключ шифруется с открытым 2048-битным ключом RSA, встроенным в исполняемый файл вымогателя. Зашифрованный ключ сохраняется в файле README. За дешифрование файлов требуется выкуп в $300 в BTC. 

Этимология названия: 
Оригинальное название не указано, из-за этого разные исследователи называют этот вредонос то Petya, то неПетя (NotPetya, NonPetya, Petna и пр.). В реальности правильное название, отражающее суть, это Petya Ransomware: NSA Exploit Edition, а сокращенно Petya NSA EE. А с учётом того, что вредонос использует эксплойты EternalBlue и EternalRomance, названия которых тоже начинаются с английской буквы "E", то моё сокращение только подтверждает правильность названия.

© Генеалогия: Petya (modified) > GoldenEye >> ☠ Petya NSA EE

К зашифрованным файлам никакое расширение не добавляется.

Активность этого крипто-вымогателя пришлась на конец июня 2017 г. Ориентирован на англоязычных пользователей, что не помешало распространить его по всему миру.


Сведения о пострадавших

Волна заражений, по данным антивирусных компаний, началась с обновлений программного обеспечения M.E.Doc (владелец - компания «Интеллект-сервис», Украина). Так же было в случае с XData Ransomware. Злоумышленники получили доступ к серверам обновлений и инфицировали это ПО так, чтобы оно было доставлено клиентам под видом очередного обновления. В Украине ПО M.E.Doc пользуются 80% предприятий. 

В первые дни среди пострадавших стран оказались: Украина, Дания, Норвегия, Нидерланды, Швейцария, Италия, Франция, Испания, Израиль, Сербия, Венгрия, Румыния, Чехия, Россия, Беларусь, Польша, Германия, Эстония, Турция, Великобритания, Франция, Китай, Индия, Иран, Бразилия, Аргентина, США, Мексика и другие.

Обратите внимание, что Россия в этом списке находится только на 14-м месте. Порядок менялся на протяжении всех дней. В первые дни количество пострадавших в России было вдвое меньше, чем в Украине. 

Среди пострадавших организаций, предприятий и учреждений называются: 
- в Украине: 
-- компания «Интеллект-сервис», разработчик ПО «M.E.Doc»;
-- Кабинет министров Украины, Министерство культуры, Министерство финансов, Министерство внутренних дел, Национальная полиция и региональные сайты, Администрация Киева (КГГА);
-- Министерство энергетики (Минэнерго), энергетические операторы «Укрэнерго», «Киевэнерго», «Запорожьеоблэнерго», «Днепроэнерго», Днепровская электроэнергетическая система (ДНЭС), Донбасская топливно-энергетическая компания (ДТЭК), «Нафтогаз Украины»;
-- банки Центробанк (Нацбанк), Ощадбанк, ПриватБанк, филиал австрийского банка Райффайзен, другие финансовые компании; 
-- СМИ: Телеканал 24, Радио «Люкс», Радио «Максимум», «КП в Украине», «Корреспондент.нет», новостные сайты и другие;
-- почты: «Укрпочта», «Новая почта», подразделения Deutsche Post; 
-- Киевский аэропорт, Киевский метрополитен, ​​Международный аэропорт Борисполь; 
-- операторы связи («Киевстар», LifeCell, «УкрТелеКом»); 
-- система радиационного мониторинга Чернобыльская АЭС; 
-- сеть АЗС «Кло» и другие;
-- коммерческие компании Mondelez International, ArcelorMittal, TESA, офисы французской BNP Real Estate, офисы датской AP Moller-Maersk;
-- офисы и магазины Mars, Nivea, супермаркеты и магазины «Ашан», «Metro», «Эпицентр» во многих городах, «Новус» в Киеве, «Рост» в Харькове и другие...  
Petya NSA Exploit Edition, Petya NSA EE, Petna, NotPetya, NonPetya Ransomware
Фото из супермаркета "Рост" в Харькове

- в России: российские нефтяные компании «Роснефть» и «Башнефть», автозаправки, все офисы Хоум Кредит Банка, металлургическая и горнодобывающая компания «Евраз», телекоммуникационная компания «МегаФон», сайты туроператоров Anex Tour и Mouzenidis Travel; 
- в Китае: компания Cofco;
- в Индии: система управления грузопотоком крупнейшего в Индии контейнерного порта имени Джавахарлала Неру, оператором которого является A.P. Moller-Maersk;
- в Великобритании: британский рекламно-коммуникационный холдинг WPP Group, международная юридическая фирма DLA Piper;
- во Франции: крупнейший банк Франции BNP Paribas и его дочерняя компания BNP Real Estate, строительная компания Saint-Gobain;  
- в Испании: телекоммуникационная компания Telefónica, ряд крупных корпораций;
- в Дании: нефтяная и судоходная компания AP Moller-Maersk Group (в её числе Maersk Line, APM Terminals, Damco) понесла убытки на сумму $200-$300 млн);
- в Нидерландах: логистическая компания APM Terminals, транспортная компания TNT Express;
- в Эстонии: магазины Ehituse ABC;
- в Австралии: шоколадная фабрика Cadbury, офисы DLA Piper Ltd;
- в США: TNT Express (подразделение FedEx Corp.), фармацевтический гигант Merck (MSD, Merck Sharp & Dohme), пищевой гигант Mondelez International, система здравоохранения Valley Valley в Питтсбурге, международная юридическая фирма DLA Piper, международные службы курьерской доставки TNT Express BV и FedEx. 
Petya NSA Exploit Edition, Petya NSA EE, Petna, NotPetya, NonPetya Ransomware



Исходя из всего изложенного наивно или даже глупо думать, что атаки были ориентированы на Украину. Видимо на украинский бизнес-сектор их было проще осуществить, найдя уязвимую точку отправления в "лице" сервера компании «Интеллект-сервис» с её ПО M.E.Doc, слабозащищенную и ранее уже скомпрометированную. Если бы владельцы компании усвоили полученные уроки с XDATA, то не повторили бы аналогичных ошибок. 



Скриншоты и описание

Основная записка с требованием выкупа появляется на экране пострадавшего ПК (красные буквы на чёрном фоне) после перезаписи MBR и фальшивой операции операцию CHKDSK.
Petya NSA Exploit Edition, Petya NSA EE, Petna, NotPetya, NonPetya Ransomware
 Фальшивый CHKDSK


Содержание текста с фальшивого экрана CHKDSK
Repairing file system on C: 
The type of the file system is NTFS. One of your disks contains errors and needs to be repaired. This process may take several hours to complete. It is strongly recommended to let it complete. 
WARNING: DO NOT TURN OFF YOUR PC! IF YOU ABORT THIS PROCESS, YOU COULD DESTROY ALL OF YOUR DATA! PLEASE ENSURE THAT YOUR POWER CABLE IS PLUGGED IN!
CHKDSK is repairing sector 110656 of 119776 (92%)

Пока отображается этот текст с фальшивым CHKDSK, выполняется шифрование файлов. 

Petya NSA Exploit Edition, Petya NSA EE Ransomware
Один вариант текста (с одним ключом установки)
Petya NSA Exploit Edition, Petya NSA EE Ransomware
Другой вариант текста (с другим ключом установки)

Содержание текста о выкупе:
Ooops, your important files are encrypted.
If you see this text, then your files are no longer accessible, because they have been encrypted. Perhaps you are busy looking for a way to recover your files, but don't waste your time. Nobody can recover your files without our decryption service.
We guarantee that you can recover all your files safely and easily. All you need to do is submit the payment and purchase the decryption key.
Please follow the instructions:
1. Send $300 worth of Bitcoin to following address:
1Mz7153HMuxXTuR2R1t78mGSdzaAtNbBWX
2. Send your Bitcoin wallet ID and personal installation key to e-mail
wowsmith123456@posteo.net. Your personal installation key:
XUNjNx-pKazyd-gK2GcG-JLP8uT-fcY2hY-zJo3PX-KQU8ga-65FSWj-Q423Nc-CoCgaZ
If you already purchased your key, please enter it below.
Key: _

Перевод текста на русский язык:
Упс, ваши важные файлы зашифрованы.
Если вы видите этот текст, то ваши файлы уже не доступны, т.к. они зашифрованы. Вероятно вы ищете способы восстановления ваших файлов, но не тратьте свое время. Никто не восстановит ваши файлы без нашего сервиса дешифрования.
Мы гарантируем, что вы сможете восстановить все ваши файлы безопасно и легко. Всё, что вам нужно, это заплатить и купить ключ дешифрования.
Следуйте инструкциям:
1. Пошлите $300 в биткоинах на следующий адрес:
1Mz7153HMuxXTuR2R1t78mGSdzaAtNbBWX
2. Пошлите ваш ID Биткоин-кошелька и личный ключ установки на email wowsmith123456@posteo.net. Ваш личный ключ установки:
XUNjNx-pKazyd-gK2GcG-JLP8uT-fcY2hY-zJo3PX-KQU8ga-65FSWj-Q423Nc-CoCgaZ
Если вы уже купили свой ключ, введите его ниже.
Ключ: _


Petya NSA Exploit Edition, Petya NSA EE, Petna, NotPetya, NonPetya Ransomware

Содержание текстовой записки README.TXT:
Send your Bitcoin wallet ID and personal installation key to e-mail
1Mz7153HMuxXTuR2R1t78mGSdzaAtNbBWX
Ooops, your important files are encrypted.
If you see this text, then your files are no longer accessible, because they have been encrypted. Perhaps you are busy looking for a way to recover your files, but don't waste your time. Nobody can recover your files without our decryption service.
We guarantee that you can recover all your files safely and easily.
All you need to do is submit the payment and purchase the decryption key.
Please follow the instructions:
Send $300 worth of Bitcoin to following address:
1Mz7153HMuxXTuR2R1t78mGSdzaAtNbBWX 



Рекомендации по предотвращению угрозы

1. Аналогичны указанным в статье "WannaCry: NSA Exploit Edition".
2. Защититься превентивно, согласно инструкции, скачать и запустить на выполнение от имени администратора специально подготовленный для этой цели файл nopetyavac.bat
Petya NSA Exploit Edition, Petya NSA EE, Petna, NotPetya, NonPetya Ransomware


Технические детали

Petya NSA EE выполняет проверку сетей на уязвимые службы обмена файлами SMB, ищет открытые порты 139 и 445 службы NetBIOS (netbios-ssn) и Microsoft Directory Services (microsoft-ds), чтобы использовать эксплойты EternalBlue и EternalRomance.

Перед выполнением кода эксплойта проверяется, какая версия Microsoft Windows работает в системе. Это делается путем разбора пакета «Session Setup AndX Response». После идентифицикации запускается на выполнение соответствующий эксплойт. Если версия Windows не соответствует одной из целевых, то функция для выполнения кода эксплойта возвращается без выполнения.
➤ Эксплойт EternalBlue запускается только для следующих версий ОС:
Windows 7, Windows 2008 и 2008 R2
 Эксплойт EternalRomance запускается только в следующих версиях ОС:
Windows XP, XP Pro x64, Vista, Windows Server 2003 и 2003 R2

После успешного использования эксплойта EternalBlue (CVE-2017-0144), вредонос запускает эксплойт DoublePulsar, чтобы инжектировать DLL в "lssas.exe2. DoublePulsar работает в режиме ядра, передавая вредоносу высший уровень контроля над ОС. Это позволяет Petya NSA EE украсть логины пользователей и пароли, которые могут использоваться для распространения вредоноса по локальной сети с помощью инструментов WMIC или PsExec.

Petya NSA EE использует 135, 139, 445 TCP-порты для распространения (с использованием служб SMB и WMI). Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью умышленного заражения распространяемых файлов обновлений, обманных загрузок, эксплойтов EternalBlue и EternalRomance, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов, с помощью email-спама и вредоносных вложений. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Petya NSA EE использует сертификат Microsoft с истекшим сроком действия (см. скриншот из гибридного анализа).

Petya NSA EE использует модифицированный инструмент Minikatz (он же LSADump), способный собирать пароли и учетные данные с компьютеров и серверов. Получив их, хотя бы для одной машины, он распространяется внутри сетей посредством SMB, WMI и PSEXEC.

ВАЖНО: Одна скомпрометированная машина с правами администратора внутри своей сети способна заразить все остальные компьютеры через WMI или PSEXEC.

После заражения вредоносная программа выжидает 10-60 минут (или больше), а затем перезагружает систему с использованием системных средств с инструментами «at» или «schtasks» и «shutdown.exe».

После перезагрузки Petya NSA EE начинает шифровать главную файловую таблицу (MFT) в разделах NTFS с помощью шифра Salsa20, перезаписывая с помощью кастомизированного загрузчика главную загрузочную запись (MBR) специальным сообщением с требованием выкупа (см. выше в "Скриншоты и описание"). Этот процесс замаскирован под операцию CHKDSK. Исходный MBR сохраняется в 0x22-ом секторе диска и зашифрован с помощью побайтовой операции XOR с 0x07.

Целью работы Petya NSA EE, построенной на вымогательстве, является деструктивность (откровенное вредительство), а не накопление биткоинов. См. баланс bitcoin-кошелька вымогателей. 

Ошибка в шифровании (преднамеренная или случайная) приводит к тому, что даже даже сами вымогатели не смогут восстановить зашифрованные файлы. Или смогут, но для этого потребуются дополнительные усилия и средства, т.е. они потребуют дополнительной платы за такие "дополнительные" услуги. 

Более того, каждой заражённой машине Petya NSA EE присваивает личный ID, который не передаётся на управляющий сервер (его вообще нет) и не содержит в себе никакой ценной информации, которая помогла бы злоумышленникам идентифицировать жертву и предоставить ей ключ для расшифровки файлов. Поэтому уплата выкупа БЕСПОЛЕЗНА!!! Файлов назад вы не получите. 

Более того, как оказалось Petya NSA EE уничтожает первые 25 секторов на диске. Первый сектор диска шифруется с помощью XORс 0x07, после чего сохраняется в другом секторе и заменяется кастомным загрузчиком. Последующие 24 сектора перезаписываются намеренно и нигде не сохраняются.

Фактически, по большому счёту, это уже не простая программа-вымогатель, а кибер-оружие. 

Диаграмма инфекции, составленная специалистами из TrendMicro:
Petya NSA Exploit Edition, Petya NSA EE, Petna, NotPetya, NonPetya Ransomware

Список файловых расширений, подвергающихся шифрованию:
.3ds, .7z, .accdb, .ai, .asp, .aspx, .avhd, .back, .bak, .c, .cfg, .conf, .cpp, .cs, .ctl, .dbf, .disk, .djvu, .doc, .docx, .dwg, .eml, .fdb, .gz, .h, .hdd, .kdbx, .mail, .mdb, .msg, .nrg, .ora, .ost, .ova, .ovf, .pdf, .php, .pmf, .ppt, .pptx, .pst, .pvi, .py, .pyc, .rar, .rtf, .sln, .sql, .tar, .vbox, .vbs, .vcb, .vdi, .vfd, .vmc, .vmdk, .vmsd, .vmx, .vsdx, .vsv, .work, .xls, .xlsx, .xvd, .zip (65 расширений).

Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
README.TXT
dllhost.dat
<random>.bin.dll
<random>.exe
PSEXESVC.EXE
FE04.tmp

Расположения:
%WINDIR%\dllhost.dat
%TEMP%\FE04.tmp
\\192.168.56.11\ADMIN$\PSEXESVC.EXE

Исключения из шифрования:
C:\Windows

Записи реестра, связанные с этим Ransomware:
HKEY_CURRENT_USER\SOFTWARE\WC
См. ниже результаты анализов.

Сетевые подключения и связи:
BTC: 1Mz7153HMuxXTuR2R1t78mGSdzaAtNbBWX
Email: wowsmith123456@posteo.net
upd.me-doc.com.ua
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
VirusTotal анализ ещё >>
Другой анализ >>

Бэкдор в ПО M.E.Doc
Как оказалось, ПО M.E.Doc содержало бэкдор ZvitPublishedObjects.dll (ZPO), ранее внедрённый в обновления. Этот файл в 5 Мб имеет легитимный код, вызываемый другими компонентами и основным исполняемым файлом ПО M.E.Doc ezvit.exe. Написан с использованием .NET Framework. 
Этот бэкдор содержался в трёх обновлениях:
от 14 апреля - 10.01.175-10.01.176 
от 15 мая - 10.01.180-10.01.181 
от 22 июня - 10.01.188-10.01.189
Модуль с бэкдором ZPO от 15 мая реализован по-другому и имеет меньше функций, чем модуль от 22 июня. 
Каждой компании в Украине присваивается идентификатор юридического лица – код по ЕДРПОУ (Единому государственному реестру предприятий и организаций Украины). По нему можно идентифицировать организацию, использующую версию M.E.Doc с бэкдором. Далее атакующие могут использовать различные тактики для работы с её сетью, в зависимости от целей. 
Кроме кодов ЕДРПОУ, бэкдор собирает из ПО M.E.Doc информацию о настройках прокси и почтовой службы, включая логины и пароли.
Вредоносный код записывает собранную информацию в реестр Windows под ключ HKEY_CURRENT_USER\SOFTWARE\WC, используя имена значений Cred и Prx. Если эти значения есть на ПК, то скорее всего на нём побывал бэкдор. 
Бэкдор ZPO не использует внешние C&C-серверы, их роль выполняют запросы M.E.Doc к своему официальному серверу "upd.me-doc.com.ua" для проверки наличия обновлений. Собранную информацию бэкдор отправляет в куках (cookie), задействовав серверное ПО.
В атаках подозревают кибер-группу TeleBots, ранее запустившую KillDisk Ransomware. Подробнее см. в статье ESET. 

Курьёз
Курьёзный случай, связанный с поступлениями на биткоин-кошелёк вымогателей Petya NSA EE, был описан в статье Symantec
В пяти кошельках, с которых поступил платёж на общую сумму 0.006795 BTC (~$17), скрыта фраза: "John McAfee Will Save Us"
 
Как обладателю этих кошельков удалось заполучить такую комбинацию — загадка. И кто так пошутил — тоже. 

Степень распространённости: высокая.
Подробные сведения собираются регулярно.


 Read to links: 
 Write-up by Emsisoft, Write-up by Microsoft
 ID Ransomware (ID as Petna)
 Write-up (eng) + Write-up (rus) by SecureList 
 Topic of Support
Added later:
Write-up by TrendMicro
Write-up on BC
Write-up by ESET 
Added July 14, 2017 
Keeping up with the Petyas: обобщающая статья от Malwarebytes Labs
 Thanks: 
 Fabian Wosar
 Michael Gillespie
 GReAT
 Lawrence Abrams
 

© Amigo-A (Andrew Ivanov): All blog articles.

ВНИМАНИЕ!
1) Ваши комментарии после статьи появятся только после проверки. Дублировать их не нужно.
2) В своём сообщение в форме обратной связи обязательно укажите название шифровальщика.


шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

Постоянные читатели

Форма для связи / Contact

Имя

Электронная почта *

Сообщение *