SuchSecurity Ransomware
(шифровальщик-вымогатель)
Этот крипто-вымогатель шифрует данные в тестовой папке с помощью AES, а затем показывает картинку, видимо в насмешку. Оригинальное название, указано на картинке.
шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private
© Генеалогия: EDA2 >> Such Security
К зашифрованным файлам добавляется расширение .locked
Образец этого крипто-вымогателя нашёлся на конец февраля 2017 г. Ориентирован на англоязычных пользователей, что не мешает начать распространять его по всему миру.
Записки с требованием выкупа называются: ransom.jpg
Это подгружаемая картинка.
Содержание записки о выкупе:
Such Security
Many Haxx
Перевод записки на русский язык:
Такая безопасность
Много Haxx
Распространяется или может начать распространяться с помощью email-спама и вредоносных вложений, эксплойтов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.
Видимо, ещё находится в разработке, т.к. шифрует только файлы в папке test на рабочем столе. Требует наличия .NET Framework 4.5.
Список файловых расширений, подвергающихся шифрованию:
.asp, .aspx, .csv, .doc, .docx, .html, .jpg,
.mdb, .odt, .php, .png, .ppt, .pptx, .psd, .sln, .sql, .txt, .xls, .xlsx,
.xml (20 расширений).
Файлы, связанные с этим Ransomware:
ransom.jpg
eda2.exe
<random>.exe
\Desktop\test
Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.
Сетевые подключения и связи:
xxxx://192.168.59.130/webpanel/createkeys.php"
xxxx://192.168.59.130/webpanel/savekey.php"
xxxx://i.imgur.com/67zIv4T.jpg
См. ниже результаты анализов.
Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>
Степень распространённости: низкая.
Подробные сведения собираются регулярно.
Read to links: Tweet on Twitter ID Ransomware Write-up, Topic *
Thanks: Karsten Hahn * * *
© Amigo-A (Andrew Ivanov): All blog articles.