Шифровальщики-вымогатели The Digest "Crypto-Ransomware"

Шифровальщик (вирус-шантажист). Защита от программ-шифровальщиков. Как удалить вирус-шифровальщик?
Шифровальщики — это вредоносные программы, которые шифруют файлы и требуют выкуп за их расшифровку.
Данный сайт — это ДАЙДЖЕСТ и ПЕРВОИСТОЧНИК информации о шифровальщиках и всевозможных вымогателях.
Авторские статьи, инструкции для пострадавших, рекомендации по защите и профилактике угрозы Ransomware.

вторник, 30 мая 2017 г.

Blooper

Blooper Ransomware

(фейк-шифровальщик)

Этот крипто-вымогатель якобы шифрует данные пользователей с помощью AES, а затем требует выкуп в $500 в BTC, чтобы вернуть файлы. Оригинальное название: Blooper. На файле написано: fakeransom. Фальш-копирайт: Microsoft. В заголовке: Bloopers Encrypter 1.0.

шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

© Генеалогия: выясняется.

К фейк-зашифрованным файлам никакое расширение не добавляется.

Активность этого крипто-вымогателя пришлась на конец мая 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Запиской с требованием выкупа выступают два диалоговых окна и экран блокировки с заголовком Bloopers Encrypter 1.0. Впрочем, он его можно просто вырубить в процессах и удалить.

Содержание записки о выкупе:
Ops! Look like your files have been encrypted!
What just Happened?
Your files have been encrypted. This indudes your documents, videos, photos, etc.
How can I recover them?
You just need to send a $500 bitcoin to this address:
14pdrBSvJYvrQ3QWka4sQXpyc9NJg64o7V
in 5 hours before the payment will rise to $700. And if you dont pay after another 5 hours, all of your data will be deleted permenantly. Don't try to decrypt the files on your own. It's useless.
We use RSA-2048 encryption method. But if you still want to decrypt it yourself, you can try.
How can I pay?
Payment only accept in bitcoin. If you don't know that bitcoin is. It just a crptocurreny. And if you don't know how to use bitcoin, google it.
How can I trust you?
You dont have other choice, we promise that if you pay, all of your files will be decrypted. But if you don't, we will delete all of your files.
If I have a question?
Click the "Contact Us" button.
Bitcoin Address 14pdrBSvJYvrQ3QWka4sQXpyc9NJg64o7V
Have a question? [Contact Us]

Перевод записки на русский язык:
Упс! Похоже, ваши файлы были зашифрованы!
Что сейчас произошло?
Ваши файлы были зашифрованы. Это относится к вашим документам, видео, фото и т.д.
Как я могу их восстановить?
Вам просто нужно отправить биткоины на $500 по этому адресу:
14pdrBSvJYvrQ3QWka4sQXpyc9NJg64o7V
За 5 часов, иначе платеж вырастет до $700. И если вы не платите еще через 5 часов, все ваши данные будут удалены навсегда. Не пытайтесь дешифровать файлы самостоятельно. Это бесполезно.
Мы используем метод шифрования RSA-2048. Но если вы все еще хотите расшифровать его самостоятельно, вы можете попробовать.
Как я могу заплатить?
Оплата принимается только в биткоинах. Если вы не знаете, что такое биткоин, это просто криптовалюта. И если вы не знаете, как использовать биткоины, погуглите это.
Как я могу доверять тебе?
У вас нет другого выбора, мы обещаем, что если вы заплатите, все ваши файлы будут расшифрованы. Но если вы этого не сделаете, мы удалим все ваши файлы.
Если у меня есть вопрос?
Нажмите кнопку "Contact Us".
Биткоин-адрес 14pdrBSvJYvrQ3QWka4sQXpyc9NJg64o7V
Есть вопрос? [Contact Us]

Распространяется или может распространяться с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
Файлы не шифруются.

Вымогательский проект изначально был задуман как фейк.

Файлы, связанные с этим Ransomware:
Blooper.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

 Read to links: 
 Tweet on Twitter
 ID Ransomware (ID as Blooper)
 Write-up, Topic of Support
 *

 Thanks: 
 Karsten Hahn
 Michael Gillespie
 Lawrence Abrams
 *

TeslaWare

TeslaWare Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью AES-128 / AES-256, а затем требует выкуп в 300 евро в BTC, чтобы вернуть файлы. Оригинальное название. На файле написано: Suicide. Фальш-копирайт: Hewlett-Packard 2017. В доработанной версии требуется выкуп в $100. На файле написано: SystemLDriver86. Фальш-копирайт на файле: Microsoft© Windows©. Вымогатель написан на .NET. Разработчик: WAZIX.

© Генеалогия: выясняется.

К зашифрованным файлам добавляется расширение .Tesla

Активность этого крипто-вымогателя пришлась на конец мая 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Запиской с требованием выкупа выступает экран блокировки (ниже представлены два варианта):

Содержание записки о выкупе:
What Happened to My Computer?
Your important files are encrypted with AES 128 bit encryption.
Many of your documents, photos, videos, databases and other files are no longer accessible because they have been encrypted. Maybe you are busy looking for way to recover your files, but do not waste your time. Nobody can recover your files without our decryption key.
Can I Recover My Files?
Sure. We guarantee that you can recover all your files safely and easily. But you have noy so enough time.
If you want to decrypt your files, you need to pay.
If you dont pay in 7 days, you wont be able to recover your files forever.

Перевод записки на русский язык:
Что случилось с моим компьютером?
Ваши важные файлы зашифрованы с использованием AES-128 шифрования.
Многие из ваших документов, фото, видео, баз данных и других файлов больше не доступны, т.к. они были зашифрованы. Возможно, вы заняты поиском путей для восстановления ваших файлов, но не тратьте впустую свое время. Никто не может восстановить ваши файлы без нашего ключа дешифрования.
Могу ли я восстановить мои файлы?
Конечно. Мы гарантируем, что вы сможете восстановить все ваши файлы безопасно и легко. Но у вас мало времени.
Если вы хотите расшифровать свои файлы, вам нужно заплатить.
Если вы не заплатите через 7 дней, вы не сможете восстановить ваши файлы никогда.

Скриншоты экрана блокировки доработанной версии

Экран блокировки содержит два таймера. Первый таймер с барабаном от револьвера представляет собой 59-минутный обратный отсчет для русской рулетки «Особенность» TeslaWare. Когда таймер достигнет 0, то TeslaWare удалит 10 случайных файлов с рабочего стола или подпапок жертвы. Второй таймер с черепом, отсчитывает 72 часа, а когда он достигает 0, то TeslaWare удалит все файлы на диске "C".

Новая записка о выкупе находится на экране блокировки, справа.
Содержание этой записки:
All of your important files have been encrypted.
To decrypt them you need to obtain the private key from us.
We are the only who can provide you the key, so don't try to recover the files by yourself, it will only make the situation worse for you.
To get this key you have to send 100$ worth of bitcoins to the address that you can see in the left. For more info please check the links.

After payment, please paste the TX ID and press "Check". If our system detected the payment as succesfull, your files will be decrypted and you will use your pc as nothing happened.

Онлайн догружается изображение Николы Теслы и голосовое сообщение.

Догружаемая картинка

Использованное изображение

Пока продается на сайтах Black Hat (за 35-70 евро в зависимости от настроек), но может начать распространяться с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
Шифруются все файлы, кроме имеющих расширение .Tesla, .lnk, .exe, .dll, .sys
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
TeslaWare.exe
image.jpg
voice.vbs
windowsdrivers.exe
<random>.exe

Записи реестра, связанные с этим Ransomware:
HKCU\Software\Microsoft\Windows\CurrentVersion\Run\WindowsDrivers WindowsDrivers.exe
См. ниже результаты анализов.

Сетевые подключения и связи:
free-stuff-here.netne.net/RW/image.jpg - изображение
free-stuff-here.netne.net/RW/voice.vbs - голосовое сообщение
windowsdrivers.exe - 145.14.144.171:80 (Нидерланды)
deos.esy.es
btc.blockr.io
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ файла от 20 июня >>
VirusTotal анализ >> Ещё >>
VT от 20-22 июня >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

Обновление от 21 июня 2017:
Статья на BC >>
Алгоритм шифрования: AES-256
Файл: windowsdrivers.exe
Результаты анализов: HA+VT

Внимание! Дешифровка возможна! 
Многочисленные недостатки позволяют бесплатно дешифровать файлы. 
За помощью в дешифровке файлов обращайтесь в эту тему поддержки.

 Read to links: 
 Tweet on Twitter
 ID Ransomware (ID as TeslaWare)
 Write-up, Topic of Support
 *

 Thanks: 
 JAMESWT‏ 
 Michael Gillespie
 Lawrence Abrams
 *

понедельник, 29 мая 2017 г.

R3store

R3store Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в $450 в BTC, чтобы вернуть файлы. Оригинальное название: R3store. Фальш-имя: Windows-Restore. Фальш-копирайт: Mircrosoft © 2017

© Генеалогия: HiddenTear >> R3store

К зашифрованным файлам добавляется расширение .r3store

Активность этого крипто-вымогателя пришлась на конец мая 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: READ_IT.txt
Другим информатором жертвы выступает экран блокировки с заголовком: Restore.

Содержание текста о выкупе:
Your Files are encrypted.
(Pictures,Docs,Music etc..) Please do not close this window as that will result in serious computer damage. If you wish to use your computer ever again and unlock your files, Please send $450 Dollars in bitcoins to the address at the bottem of the page.
F1tAaz5x1HUXrCNLbtMDqcw6o5GNn4xqX
Can i pay with anything else?
Encrypted Files.
How to buy Bitcoins?
I paid,Give me my files back!

Перевод текста на русский язык:
Ваши файлы зашифрованы.
(Картинки, документы, музыка и т.д.). Не закрывайте это окно, т.к. это приведёт к серьёзному повреждению компьютера. Если вы хотите снова использовать свой компьютер и разблокировать свои файлы, пожалуйста, отправьте 450 долларов США в биткоинах по адресу в нижней части страницы.
F1tAaz5x1HUXrCNLbtMDqcw6o5GNn4xqX
[Могу ли я заплатить что-то еще?]
[Зашифрованные файлы.]
[Как купить биткойны?]
[Я заплатил, верни мне мои файлы!]

Распространяется или может распространяться с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
READ_IT.txt
Restore.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

 Read to links: 
 Tweet on Twitter
 ID Ransomware
 Write-up, Topic of Support
 *

 Thanks: 
 Marcelo Rivero
 *
 *
 *

ImSorry

ImSorry Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в $500 в BTC, чтобы вернуть файлы. Оригинальное название. На файле написано: ImSorry.

© Генеалогия: выясняется.

К зашифрованным файлам добавляется расширение .imsorry

Активность этого крипто-вымогателя пришлась на конец мая 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: Read me for help thanks.txt
Другим информатором жертвы является экран блокировки.

Содержание текста о выкупе:
Im Sorry
Hello, I hate to inform you but your files have been encrypted.
To get them back you must pay me a small fee.
Instructions are buy btc then pay me then ill simply give you. your encryption key.
Step 1.
Make a account here
https://blockchain.info/wallet/#/signup
Step 2.
Buy bitcoin
Use one of the trade centers below to recieve bitcoin to pay me off
https://www.coinbase.com/
https://1ocalbitcoins.com/register/
Step 3.
Send the payment of 500 USD to the BTC address below
then i'll give you the key.
Places you can read about bitcoin
https://blog.newegg.comAhe-fastest-way-to-get-started-with-bitcoin/
https://bitcoin.ong/en/getting-started
You have 3 weeks to pay else i might delete the key or i might just give you the key idk
Be sure you put your btc address in the box below as this is how i track payments,
if you fuck around ill delete your key.
Once again,Sorry
button [I've Paid]
[Key goes here]
button [Decrypt Files]
BTC Address: 17JbNMFQeeSm6B5BM2zzoEeZ1o9x74JCsF
Your Address: Your adress goes here to check payment
button [Delete Backups]

Перевод текста на русский язык:
Прости
Привет, я ненавижу сообщать вам, но ваши файлы были зашифрованы.
Чтобы вернуть их, вы должны заплатить мне небольшую сумму.
Инструкции - это купить btc, заплатить мне, а потом просто дам вам ваш ключ шифрования.
Шаг 1.
Сделать учетную запись здесь
https://blockchain.info/wallet/#/signup
Шаг 2.
Купить биткоины
Используйте один из торговых центров ниже, чтобы получить биткоины для оплаты мне
https://www.coinbase.com/
https://1ocalbitcoins.com/register/
Шаг 3.
Отправьте платеж в размере 500 долларов США на BTC-адрес ниже
Тогда я дам вам ключ.
Места, которые вы можете прочитать о биткоинах
https://blog.newegg.comAhe-fastest-way-to-get-started-with-bitcoin/
https://bitcoin.ong/en/getting-started
У вас есть 3 недели, чтобы заплатить, иначе я могу удалить ключ, или я могу просто дать вам ключ idk
Убедитесь, что вы поместите свой адрес btc в поле ниже, так как я отслеживаю платежи,
Если вы ***, удалите свой ключ.
Еще раз извините
кнопка [I've Paid]
[Key goes here]
кнопка [Decrypt Files]
BTC-адрес: 17JbNMFQeeSm6B5BM2zzoEeZ1o9x74JCsF
Ваш адрес: ваш адрес вставьте сюда, чтобы проверить платеж.
кнопка [Delete Backups]

Технические детали

Распространяется или может распространяться с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
Read me for help thanks.txt
ImSorry.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Июль 2018:
Спустя год еще проявляет активность.

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter
 ID Ransomware (ID as ImSorry)
 Write-up, Topic of Support
 *

 Thanks: 
 MalwareHunterTeam 
 Michael Gillespie
 *
 *

BlackSheep

BlackSheep Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей, а затем требует выкуп в $500 в BTC, чтобы вернуть файлы. Оригинальное название. Написано также на файле.

© Генеалогия: Stupid / FTSCoder >> BlackSheep

К зашифрованным файлам добавляется расширение .666

Активность этого крипто-вымогателя пришлась на конец мая 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Запиской с требованием выкупа выступает экран блокировки:

Содержание записки о выкупе:
ALL YOUR IMPORTANT FILES, DOCUMENTS, MP3s, VIDEOS, AND EVEN YOUR COMPUTER SCREEEN IS HACKED. THERE IS NO SOLUTION ANYWHERE UNLESS YOU PAY $500 TO GET THE KEY TO DECRYPT WE CAN BE NICE AND WE CAN BE SO MEAN, IT ALL DEPENDS ON YOU. PAY WITHIN 54 HOURS. PAY INTO THE BITCOIN ADDRESS BELOW.
1CdW4EdRUeXf6ydy4HfZ4gDiWcxb9QnXxb

Перевод записки на русский язык:
Все ваши важные файлы, документы, mp3, видео и даже скриншоты на вашем компьютере взломали. Нет никакого решения, если вы не заплатите 500 долларов, чтобы получить ключ для дешифрования, мы можем быть хорошими, и мы можем быть также злыми, все зависит от вас. Оплатите в течение 54 часов. Обратите внимание на нижеуказанный биткоин-адрес.
1CdW4EdRUeXf6ydy4HfZ4gDiWcxb9QnXxb

Экран, имитирующий обновление Windows. За ним фоном выполняется шифрование файлов.

Распространяется или может распространяться с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
BLACKSHEEP.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

Внимание!
Для зашифрованных файлов есть декриптер
Скачать StupidDecrypter для дешифровки >>

 Read to links: 
 Tweet on Twitter
 ID Ransomware (ID as Stupid Ransomware)
 Write-up, Topic of Support
 *

 Thanks: 
 BleepingComputer
 Michael Gillespie
 *
 *

Kamil

Kamil Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в $50 в BTC, чтобы вернуть файлы. Оригинальное название: Kamil. На файле написано: Important.

© Генеалогия: выясняется.

К зашифрованным файлам добавляется расширение .lock

Активность этого крипто-вымогателя пришлась на конец мая 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Запиской с требованием выкупа выступает экран блокировки:

Содержание записки о выкупе:
Your files have been blocked
Your files is blocked. You need a individual key to unlock your files.
To unlock follow the steps:
Firstly you need have a BitCoin wallet, (fe. coinbase.com) then you have to pay 50$ to this wallet.
When you done, now you have to send 50 usd (calculate to btc) to below bitcoin address. Great! Now you can type your bitcoin address to below field, and
click "unlock"!
Thats it! Now you can enjoy your computer and unlocked files :)
Remember! If you will delete this program, you lose one chance to unlock your files.
Warning: If you already paid and you have information "We don't have your payment yet", you must waiting.. (Usually max. 12h)
Pay 50 usd to this BTC address
1CrRCDkw2oknEcKSAXivCekupirMwAoztb
If you already paid
Enter the bitcoin address which you sent btc
button [Unlock and remove the program]

Перевод записки на русский язык:
Ваши файлы блокированы
Ваши файлы блокированы. Для разблокировки файлов нужен отдельный ключ.
Для разблокировки выполните следующие действия:
Сначала вам нужен кошелек BitCoin (например, coinbase.com), потом вы должны заплатить 50$ с этого кошелька.
Как создадите, вам нужно отправить 50 usd (в расчете на btc) на биткоин-адрес ниже. Отлично! Теперь вы можете ввести свой биткоин-адрес в поле ниже и нажать "unlock"!
Есть! Теперь можете наслаждаться компьютером и разблокированными файлами :)
Запомните! Если вы удалите эту программу, вы потеряете единственный шанс разблокировать свои файлы.
Предупреждение: если вы уже заплатили и у вас есть информация "We don't have your payment yet", вы должны ждать.. (Обычно максимум 12 часов)
Заплатите $50 на этот адрес BTC
1CrRCDkw2oknEcKSAXivCekupirMwAoztb
Если вы уже заплатили
Введите биткоин-адрес, на который вы отправили btc
Кнопка [Unlock and remove the program] (Разблокировать и удалить программу)

Распространяется или может распространяться с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Стало известно, что файлы могли быть расшифрованы через 3 часа, после четырёхкратного нажатия на кнопку [Unlock and remove the program],
но из-за плохого кодирования дешифрование невозможно.

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
Important.exe

Расположения:
***
Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

 Read to links: 
 Tweet on Twitter
 ID Ransomware
 Write-up, Topic of Support
 *

 Thanks: 
 MalwareHunterTeam
 *
 *
 *

YYTO

YYTO Ransomware

(шифровальщик-вымогатель)

Translation into English

Этот крипто-вымогатель шифрует данные пользователей, а затем требует написать на email и Tor-email, чтобы вернуть файлы. Оригинальное название: не было указано.

Обнаружения:
DrWeb -> Trojan.Encoder.11950
BitDefender -> Trojan.GenericKD.5220357
GData -> Win32.Trojan-Ransom.YYTOCoder.A, Win32.Trojan-Ransom.YYTOCoder.B, Win32.Trojan-Ransom.YYTOCoder.D
ALYac -> Trojan.Ransom.Yyto

© Генеалогия: YYTO. Начало > новые варианты после статьи

К зашифрованным файлам добавляется расширение .YYTO в составе шаблона: [filename].read_to_txt_file.yyto

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом.

Активность этого крипто-вымогателя пришлась на конец мая 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: help_to_decrypt.txt

Содержание записки о выкупе:
If you don't have a email in TOR network:
1) Download and install the browser for the TOR network: https://www.torproject.org/download/download-easy.html
2) Launch browser and go to the link (create email in TOR network): torbox3uiot6wchz.onion
3) Write on email: cutterswish@torbox3uiot6wchz.onion
4) Wait for a response.
DON'T WRITE FROM NOT TOR EMAIL. MESSAGES WILL NOT BE RECEIVED AND YOU WILL NOT RECEIVE AN UNLOCK KEY.
Your personal key:
8f51a85f140*****

Перевод записки на русский язык:
Если у вас нет email в сети TOR:
1) Загрузите и установите браузер для TOR-сети: https://www.torproject.org/download/download-easy.html
2) Запустите браузер и перейдите по ссылке (создайте email в TOR-сети): torbox3uiot6wchz.onion
3) Напишите на email: cutterswish@torbox3uiot6wchz.onion
4) Дождитесь ответа.
Не пишите из не Tor-email. Сообщения не будут получены, а вы не получите ключ разблокировки.
Ваш личный ключ:
8f51a85f140*****(всего 256 знаков)

Страница указанного Tor-сайта

Технические детали

Распространяется или может распространяться с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
help_to_decrypt.txt
<random>.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
torbox3uiot6wchz.onion
Email: cutterswish@torbox3uiot6wchz.onion
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: средняя.
Подробные сведения собираются регулярно.

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновление от 4 июля 2017:

Расширение: .juuj
Составное расширение: .read_to_txt_file.juuj
Записка: help.txt
Email: isabell@torbox3uiot6wchz.onion
TOR: torbox3uiot6wchz.onion
<< Скриншот записки

Обновление от 17 сентября:

Пост в Твиттере >>
Расширение: .m5m5
Составное расширение: .albertkerr94@mail.com.m5m5
Записка: Help.txt, encrypt.txt
<< Скриншот записки

Email: albertkerr94@mail.com
gilbertharmony687y@gmail.com
gilbertpra@torbox3uiot6wchz.onion
Результаты анализов: VT
Public key (пример): MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQCE6rFmqzyAXz4AuuQM0fN1gTLsPJdCqbKnA39euS2An2s1yS7RXwIA8zDDLDPGyvWeKzr6SjKEv7/A978UCchdMbudc8doZFNpMLwLW1iVvLg+csUZmhRH7ahoyOrLU1M/KPpx0vqi/orRF0GBjdT77oOWJRGnwGP+bQL6TgvL8QIDAQAB

Обновление от 25 октября 2017:

Пост в Твиттере >>
Расширение: .b007
Составное расширение: .colecyrus@mail.com.b007
Записка: Readme.txt
Email: colecyrus@mail.com
Tor-email: colecyrus@torbox3uiot6wchz.onion
Шифрование: AES-ECB
Топик на форуме >>
Результаты анализов: VT

Обновление от 30 октября 2017:

Пост в Твиттере >>
Расширение: .gr3g
Составное расширение: .libbywovas@dr.com.gr3g
Записка: Readme.txt
Сумма выкупа: $1000 в BTC
BTC: 1GUEcFM77KBPGZWVND6NoLyH2YeGwijQ6X
Email: libbywovas@dr.com
Tor-email: libbywovas@torbox3uiot6wchz.onion
Топик на форуме >>
<< Скриншот записки

Обновление от 16 ноября 2017:
Расширение: .vagg
Составное расширение: .martinabrmqo@usa.com.vagg
Записка: Readme.txt
Email: martinabrmqo@usa.com
Tor email: martinabrmqo@torbox3uiot6wchz.onion
<< Топик на форуме
Скриншоты записок:

➤ Содержание записки о выкупе:Your files are encrypted.
In case of renaming a file, the file will become unsuitable for decryption. Even we will not have a chance to restore them.
To return your files you have 96 hours. Write to us.
Contacts.
Our email: martinabrmqo@usa.com
ATTENTION. To email (martinabrmqo@usa.com) write messages only from these e-mail services.
From other email services, messages may not be received by us.
Yahoo. https://mail.yahoo.com
Gmail. https://www.google.com
Mail. https://www.mail.com
ATTENTION. We will reply you within 24 hours. If there is no response from us, please send your message again.
Tor email: martinabrmqo@torbox3uiot6wchz.onion
To register tor e-mail, use the service http://torbox3uiot6wchz.onion (Open only to the tor browser - www.torproject.org)
Send 3 files, each <2 MB (only pictures, text documents or shortcuts).
We will decipher them for free, to confirm that we can help you.
Wait for further instructions.
YOUR PERSONAL KEY.
bd00bcd0d229fb7953c98d069a98988d9e7aaexxxxxxxxxxxxxxxxxxxxxxxx
➤ Ключ в записке содержит 256 знаков

Обновление от 1 декабря 2017:
Пост в Твиттере >>
Расширение: .m6m6
Составное расширение: .teduggreene@adexec.com.m6m6
Записка: readme.txt
Email: teduggreene@adexec.com
<< Скриншот записки

Обновление от 27 февраля 2018:
Пост в Твиттере >>

Расширение: .hrhr

Составное расширение: .leenapidx@snakebite.com.hrhr
Записка: help.txt
Email: leenapidx@snakebite.com

Tor-email: rikkibarker@torbox3uiot6wchz.onion

Содержание записки:

Hello. Your files have been encrypted.
For help, write to this e-mail: leenapidx@snakebite.com
Attach to the letter 1-2 files (no more than 3 MB) and your personal key.
If within 24 hours you have not received a response, you need to follow the following instructions:
a) Download and install TOR browser: https://www.torproject.org/download/download-easy.html.en
b) From the TOR browser, follow the link: torbox3uiot6wchz.onion
c) Register your e-mail (Sign Up)
d) Write us on e-mail: rikkibarker@torbox3uiot6wchz.onion
ATTENTION: e-mail (rikkibarker@torbox3uiot6wchz.onion) accepts emails, only with e-mail registered in the TOR browser at torbox3uiot6wchz.onion
Your personal key:
[redacted hex]

Обновление от 8 мая 2018:
Пост в Твиттере >>
Расширение: .iuiu
Составное расширение: .armoon2g8i@chef.net.iuiu
Записка: Help.txt
Email: armoon2g8i@chef.net
Tor-Email: armoon2g8i@torbox3uiot6wchz.onion
➤ Содержание записки:
Hello. Your files have been encrypted.
For help, write to this e-mail: armoon2g8i@chef.net
Attach to the letter 1-2 files (no more than 3 MB) and your personal key.
If within 24 hours you have not received a response, you need to follow the following instructions:
a) Download and install TOR browser: https://www.torproject.org/download/download-easy.html.en
b) From the TOR browser, follow the link: torbox3uiot6wchz.onion
c) Register your e-mail (Sign Up)
d) Write us on e-mail: armoon2g8i@torbox3uiot6wchz.onion
ATTENTION: e-mail (armoon2g8i@torbox3uiot6wchz.onion) accepts emails, only with e-mail registered in the TOR browser at torbox3uiot6wchz.onion
Your personal key:
[redacted hex]
Пост на форуме >>

Обновление от 11 июня 2018:
Пост в Твиттере >>
Расширение: .ovgm
Составное расширение: .codyprince92@mail.com.ovgm
Email: codyprince92@mail.com
Tor-Email: codyprince@torbox3uiot6wchz.onion
Записка: Readme.txt
➤ Содержание записки:
Hello. Your files have been encrypted.
For help, write to this e-mail: codyprince92@mail.com
Attach to the letter 1-2 files (no more than 3 MB) and your personal key.
If within 24 hours you have not received a response, you need to follow the following instructions:
a) Download and install TOR browser: https://www.torproject.org/download/download-easy.html.en
b) From the TOR browser, follow the link: torbox3uiot6wchz.onion
c) Register your e-mail (Sign Up)
d) Write us on e-mail: codyprince@torbox3uiot6wchz.onion
ATTENTION: e-mail (codyprince@torbox3uiot6wchz.onion) accepts emails, only with e-mail registered in the TOR browser at torbox3uiot6wchz.onion
Your personal key:
8a10e696dc58f53cc36a68a598b4bbb299e55192b***

Обновление от 23 июля 2018:
Пост в Твиттере >>
Расширение: .mkmk
Составное расширение: .adapaterson@mail.com.mkmk
Email: adapaterson@mail.com
Результаты анализов: VT

Обновление от 6 сентября 2018:
Пост в Твиттере >>
Расширение: .yyy0
Составное расширение: .davilarita@mail.com.yyy0
Email: davilarita@mail.com
Tor-Email: davilarita@torbox3uiot6wchz.onion
Записка: help.txt
➤ Содержание записки:
Hello. Your files have been encrypted.
For help, write to this e-mail: davilarita@mail.com
Attach to the letter 1-2 files (no more than 3 MB) and your personal key.
If within 24 hours you have not received a response, you need to follow the following instructions:
a) Download and install TOR browser: https://www.torproject.org/download/download-easy.html.en
b) From the TOR browser, follow the link: torbox3uiot6wchz.onion
c) Register your e-mail (Sign Up)
d) Write us on e-mail: davilarita@torbox3uiot6wchz.onion
ATTENTION: e-mail (davilarita@torbox3uiot6wchz.onion) accepts emails, only with e-mail registered in the TOR browser at torbox3uiot6wchz.onion
Your personal key:
793ca093e466088a10e696dc58f53cc36a6821***

Обновление от 18 марта 2019:
Пост в Твиттере >>
Расширение: .L1LL
Составное расширение: .read@help.txt.L1LL
Записка: help.txt
Tor-Email: jilyjily@torbox3uiot6wchz.onion
Результаты анализов: VT + HA

➤ Содержание записки:
Hello. Your files have been encrypted.
For help, write to this e-mail: jilyjily@torbox3uiot6wchz.onion
You need to follow the following instructions:
a) Download and install TOR browser: https://www.torproject.org/download/download-easy.html.en
b) From the TOR browser, follow the link: torbox3uiot6wchz.onion
c) Register your e-mail (Sign Up)
d) Write us on e-mail: jilyjily@torbox3uiot6wchz.onion
Attach to the letter 1-2 files (no more than 3 MB) and your personal key.
ATTENTION: e-mail (jilyjily@torbox3uiot6wchz.onion) accepts emails, only with e-mail registered in the TOR browser at torbox3uiot6wchz.onion
Your personal key:
*** [redacted 0x80 lowercase hex]

Обновление от 11 июля 2019:
Пост в Твиттере >>
Топик на форуме >>
Расширение: .mo7n
Составное расширение: .id47509234@readme.txt.mo7n
Записка: readme.txt
Tor-Email: gangua@torbox3uiot6wchz.onion
Результаты анализов: VT + HA

➤ Содержание записки:
Hello. Your files have been encrypted.
For help, write to this e-mail: gangua@torbox3uiot6wchz.onion
You need to follow the following instructions:
a) Download and install TOR browser: https://www.torproject.org/download/
B) From the TOR browser, follow the link: torbox3uiot6wchz.onion
c) Register your e-mail (Sign Up)
d) Write us on e-mail: gangua@torbox3uiot6wchz.onion
Attach to the letter 1-2 files (no more than 3 MB) and your personal key.
ATTENTION: e-mail (gangua@torbox3uiot6wchz.onion) accepts emails, only with e-mail registered in the TOR browser at torbox3uiot6wchz.onion
Your personal key:
822c51490e9175********** (256 знаков)

Обновление от 31 июля 2019:
Пост в Твиттере >>
Топик на форуме >>
Расширение: .fftn
Составное расширение: .qp@readme.txt.fftn
Записка: readme.txt
Tor-Email: kaufman@torbox3uiot6wchz.onion

➤ Содержание записки:
Hello. Your files have been encrypted.
For help, write to this e-mail: kaufman@torbox3uiot6wchz.onion
You need to follow the following instructions:
a) Download and install tor browser: https://www.torproject.org/download/
b) From the tor browser, follow the link: torbox3uiot6wchz.onion
c) Register your e-mail (Sign up)
d) Write us on e-mail: kaufman@torbox3uiot6wchz.onion
Attach to the letter 1-2 files (no more than 3 MB) and your personal key.
ATTENTION: e-mail (kaufman@torbox3uiot6wchz.onion) accepts emails, only with e-mail registered in the TOR browser at torbox3uiot6wchz.onion
Your personal key:
13b113761ad46b9b4 5c74192e0dffcle5e9c2c2c908bcd5fe479b833ef4be'i
*****

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter
 ID Ransomware (ID as Yyto)
 Write-up, Topic of Support
 *

 Thanks: 
 Michael Gillespie, Karsten Hahn, quietman7
 Andrew Ivanov (author)
 victim in the topics of support
 ***

© Amigo-A (Andrew Ivanov): All blog articles.

шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

Шифровальщики-вымогатели The Digest "Crypto-Ransomware"

вторник, 30 мая 2017 г.

Blooper

Blooper Ransomware

(фейк-шифровальщик)

TeslaWare

TeslaWare Ransomware

(шифровальщик-вымогатель)

понедельник, 29 мая 2017 г.

R3store

R3store Ransomware

(шифровальщик-вымогатель)

ImSorry

ImSorry Ransomware

(шифровальщик-вымогатель)

BlackSheep

BlackSheep Ransomware

(шифровальщик-вымогатель)

Kamil

Kamil Ransomware

(шифровальщик-вымогатель)

YYTO

YYTO Ransomware

(шифровальщик-вымогатель)

Translation into English

Постоянные читатели

My tweet feed

My profile on BC

Форма для связи / Contact

вторник, 30 мая 2017 г.

Blooper Ransomware

(фейк-шифровальщик)

TeslaWare Ransomware

(шифровальщик-вымогатель)

понедельник, 29 мая 2017 г.

R3store Ransomware

(шифровальщик-вымогатель)

ImSorry Ransomware

(шифровальщик-вымогатель)

BlackSheep Ransomware

(шифровальщик-вымогатель)

Kamil Ransomware

(шифровальщик-вымогатель)

YYTO Ransomware

(шифровальщик-вымогатель)

Постоянные читатели

My tweet feed

My profile on BC

Форма для связи / Contact

вторник, 30 мая 2017 г.

понедельник, 29 мая 2017 г.