Saramat

Saramat Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название проекта: Saramat.pdb. На файле написано: Saramat.exe.

шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

© Генеалогия: HiddenTear >> Saramat

К зашифрованным файлам добавляется расширение .Saramat

Активность этого крипто-вымогателя пришлась на начало сентября 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: Decrypt.txt

Содержание записки о выкупе:
All Your Important Files Are Encrypted By Sarmat Ransomware

Перевод записки на русский язык:
Все ваши важные файлы зашифрованы Sarmat Ransomware

В данном тексте название искажено: вместо Saramat, как в проекте и на файле, написано Sarmat. 

Запиской с требованием выкупа также выступает изображение img.jpg, встающие обоями рабочего стола:

Содержание текста с экрана:
Welcome To My Ransomware!
Attention! Attention! Attention!
Your Files has been encrypted By : 
CoNFicker RANSOMWARE
for decrypt your files
Send 0.5 Bitcoin To
1sUCn6JYa7B96t4nZz1tX5muU2W5YxCmS
And Contact us By Email :
Conftcker-decryptor@mail.ru

Перевод текста на русский язык:
Добро пожаловать в мой Ransomware!
Внимание! Внимание! Внимание!
Ваши файлы были зашифрованы:
CoNFicker RANSOMWARE
для расшифровки файлов
Отправьте 0.5 биткоина на
1sUCn6JYa7B96t4nZz1tX5muU2W5YxCmS
И свяжитесь с нами по email:
Conftcker-decryptor@mail.ru

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:

.7z, .7Z, .amv, .asp, .aspx, .avi, .BAT, .bmp, .c, .csv, .dll, .doc, .docx, .exe, .Exe, .exe, .fla, .flv, .gif, .GIF, .gz, .html, .icns, .ico, .iso, .iso, .jar, .jpg, .JPG, .mdb, .midi, .mov, .mp3, .mp3, .mp4, .mpg, .mpv, .mtv, .odt, .ogg, .pbm, .pdf, .pdf, .php, .png, .png, .PNG, .ppt, .pptx, .psd, .rar, .RAR, .rtf, .rv, .rvx, .sln, .sql, .sql, .tar, .txt, .TXT, .ved, .wm, .wma, .wma, .wmv, .wmv, .xls, .xlsx, .xml, .xwmv, .zip (72 расширения с дублями в верхнем регистре).

Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
Saramat.exe
Decrypt.txt
autorun.inf
img.jpg

Расположения:
\Desktop\Decrypt.txt

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: Conftcker-decryptor@mail.ru
BTC: 1sUCn6JYa7B96t4nZz1tX5muU2W5YxCmS
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

*

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter
 ID Ransomware 
 Write-up, Topic of Support
 * 

 Thanks: 
 Michael Gillespie
 *
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.