Xorist-XWZ Ransomware
(шифровальщик-вымогатель)
Этот крипто-вымогатель шифрует данные пользователей с помощью XOR, а затем требует написать на email, чтобы уплатить выкуп и вернуть файлы. Оригинальное название: не указано. На файле может быть написано, что попало.
шифровальщик вирус-шифровальщик троян-шифровальщик aes крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder filecoder key ransom decrypt decryption recovery remove restore files data public private
© Генеалогия: Xorist >> Xorist-XWZ
К зашифрованным файлам добавляется расширение .xwz
Активность этого крипто-вымогателя пришлась на вторую половину марта 2018 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.
Записка с требованием выкупа называется: READ ME FOR DECRYPT.txt
Содержание записки о выкупе:
All your files is encrypted using an unknown algorithm!
Do not try decrypt manualy!
You can destroy your files!!
To decrypt, please contact us BlackStarMafia@qq.com
Your personal ID: IN10-20YU-****-****
How to buy Bitcoins?
https://blockchain.info/ru/wallet/how-to-get-bitcoins
Перевод записки на русский язык:
Все ваши файлы зашифрованы с неизвестным алгоритмом!
Не пытайтесь расшифровывать вручную!
Вы можете уничтожить свои файлы!
Чтобы расшифровать, контакт с нами BlackStarMafia@qq.com
Ваш персональный ID: IN10-20YU-****-****
Как купить биткоины?
https://blockchain.info/ru/wallet/how-to-get-bitcoins
Запиской с требованием выкупа также выступает диалоговый экран с заголовком "Error". С тем же текстом.
Технические детали
Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.
!!! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.
Список файловых расширений, подвергающихся шифрованию:
.1cd, .3gp, .7z, .a06, .ac3, .aleta, .aol, .ape, .arena, .aspx, .avi, .b64, .bak, .bd, .bmp, .cdr, .cer, .csv, .dat, .db, .dbf, .divx, .djvu, .dl0, .dl1, .dl2, .dl3, .dl4, .dl5, .dl6, .dl7, .dl8, .dl9, .doc, .docx, .dwg, .flac, .flv, .frf, .gdb, .gif, .gzip, .htm, .html, .ibk, .ifo, .jpeg, .jpg, .kwm, .ldf, .lnk, .m2v, .max, .md, .mdb, .mdf, .mkv, .mov, .mp3, .mp4, .mpeg, .mpg, .mt0, .mt1, .mt2, .mt3, .mt4, .mt5, .mt6, .mt7, .mt8, .mt9, .net, .odt, .p12, .pdf, .pfx, .png, .ppt, .pptx, .ps1, .psd, .pwm, .rar, .sql, .tar, .tib, .torrent, .txt, .vhd, .vhdx, .vob, .wallet, .wav, .wk0, .wk1, .wk2, .wk3, .wk4, .wk5, .wk6, .wk7, .wk8, .wk9, .wma, .wmv, .xls, .xlsm, .xlsx, .xml, .zip (111 расширений).
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.
Файлы, связанные с этим Ransomware:
<random>.exe - случайное название
READ ME FOR DECRYPT.txt
Расположения:
\Desktop\ ->
\User_folders\ ->
Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.
Сетевые подключения и связи:
Email: BlackStarMafia@qq.comСм. ниже результаты анализов.
Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Intezer анализ >>
Степень распространённости: низкая.
Подробные сведения собираются регулярно.
=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===
=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
Read to links: Tweet on Twitter + Tweet + Tweet ID Ransomware (ID under Xorist) Write-up, Topic of Support 🎥 Video review >>
Видеообзор предоставлен CyberSecurity GrujaRS
Thanks: S!Ri Alex Svirid, Andrew Ivanov CyberSecurity GrujaRS *
© Amigo-A (Andrew Ivanov): All blog articles.
