Crypt38 Ransomware
Этот криптовымогатель шифрует данные пользователей с помощью AES, а затем требует 1000 рублей или ~15 долларов, чтобы вернуть файлы обратно. Цели шифрования: документы, PDF, фотографии, музыка, видео, базы данных и пр. Зашифрованные файлы получают расширение .crypt38.
Regist Ransomware ориентирован на русскоязычных пользователей, т.к. блокировщик экрана на русском языке.
Почта вымогателей regist3030@yandex.ru
Вместо записки о выкупе используется блокировщик экрана.
Crypt38 добавляется в автозагрузку системы. Каждый раз при запуске проверяет, находится ли его копия в директории %Appdata%\Microsoft\Windows\lsass.exe.
И если её там нет, то создаёт заново.
Crypt38 сканирует все диски в следующем порядке:
C:\, D:\, E:\, Z:\, Y:\, X:\, W:\, V:\, F:\, G:\, H:\, I:\, J:\, K:\, U:\, T:\, S:\, R:\, Q:\, L:\, М:\, N:\, O:\, P:\, A:\, B:\.
Это существенно замедляет процессы шифрования и дешифрования файлов.
Список файловых расширений, подвергающихся шифрованию:
.txt, .pdf, .html, .rtf, .dwg, .cdw, .max, .psd, .3dm, .3ds, .dxf, .ps, .ai, .svg, .indd, .cpp, .pas, .php, .cs, .py, .java, .class, .fla, .pl, .sh, .jpg, .jpeg, .jps, .bmp, .tiff, .avi, .mov, .mp4, .amr, .aac, .doc, .docx, .xls, .xlsx, .ppt, .pptx, .accdb, .odt, .odp, .odx, .ibooks, .xlp, .db, .dbf, .mdf, .sdf, .mdb, .sql, .rar, .7z, .zip, .vcf, .cer, .csr, .torrent, .otl, .report, .key, .csv, .xml (65 расширений).
Файлы вымогателя:
%Appdata%\lsass.exe - копия себя
%Appdata%\request.bin – содержит ID жертвы
%Appdata%\encrypted
Папка, созданная вымогателем:
{root drive} \ow4386747
Ключ реестра вымогателя:
HKCU\Software\Microsoft\Windows\CurrentVersion\Run
Значение: lsass
%Appdata%\lsass.exe
Анализ от Fortinet >>>
К счастью в программе-вымогателе есть изъян, который позволяет вернуть зашифрованные файлы без уплаты выкупа.
За помощью в дешифровке обращайтесь на форум bleepingcomputer.com
Степень распространенности: низкая.
Подробные сведения собираются.
Внимание!!!
Для зашифрованных файлов есть дешифровщик.
