Скрипт по почте или снова о шифровальщиках

[thyrex]

Просторы русскоговорящего сегмента Интернета захлестнула волна очередного шифровальщика. Причем, если две версии не получили массового распространения, то две других, особенно четвертая (последняя на момент написания статьи) вызвали что-то наподобие миниэпидемий. Причем явно видно, что автор проводил работу над ошибками в своем творении. Если изначально из-за ошибок изощренным способом особо продвинутые пользователи еще могли найти ключ и восстановить информацию, то теперь и эта лазейка закрыта.

Как опознать: файлы получают дополнительное расширение (в порядке появления версий)

uncrpt@gmail_com
unstyx@gmail_com
unblck@gmail_com
paystyx@gmail_com

Примеры тем

http://forum.kaspersky.com/index.php?showtopic=296933
http://forum.kaspersky.com/index.php?showtopic=297336
http://virusinfo.info/showthread.php?t=162003
http://virusinfo.info/showthread.php?t=162070
и множество других…

Механизм распространения: вредоносный обфусцированный js-скрипт, который приходит по электронной почте (зачастую от известных пострадавшим пользователям отправителей)

Механизм работы: после запуска скрипта он докачивает свои компоненты с серверов в интернете. В их состав входят:
1. bat-файл, который и отвечает за процедуру шифрования
2. легитимная утилита GnuPG, которая и выполняет само шифрование по алгоритму RSA (с длинным ключом, что делает нерациональным по временным меркам простой подбор ключа для дешифровки)
3. «хамелеон» Блокнота, который на самом деле служит для отправки информации злоумышленнику
4. другие компоненты (файл с сообщением для пользователя, дешифратор [в последних версиях], который бесполезен без ключа)

Bat-файл просматривает все диски от B до Z и шифрует подходящие типы файлов (в первой версии это были *.doc *.docx *.xls *.xlsx *.1cd *.cd *.jpeg *.jpg *.mdb *.pdf *.rar), пропуская скрытые и системные.
Не подлежат шифровке (как минимум в первой версии так было) файлы, в полном пути к которым встретились

windows
temp
com_
Program
Common
AppData
Temporary Internet
Recycle
Intel
AppData

После шифрования по заранее заданным местам в системе разбрасываются сообщения вымогателя, а сами важные компоненты работы затираются

Сам bat-файл детектируется Лабораторией Касперского, как Trojan-Ransom.Bat.Agent.*

P.S. Оформление и дополнение темы через пару дней

[thyrex]

В новой модификации сам bat-файл извлекается из инсталлятора https://www.virustotal.com/ru/file/509bdc9725d515f304d48617babb8c1f66f75bd7c89a8501f8 3cad1529db0180/analysis/

К файлам добавляется расширение .pzdc

Да и список файлов, подлежащих шифрованию несколько расширился

*.txt *.bmp *.doc *.rtf *.xls *.docx *.xlsx *.pdf *.cs *.jpg *.jpeg *.gif *.cdr *.cpt *.psd *.rar *.zip *.7z *.ppt *.pptx *.mp3 *.ogg *.edb *.1cd *.dt

Из-за ошибки не шифруются файлы на диске Y:

Исключение не делается ни для одного файла

[thyrex]

http://virusinfo.info/showthread.php?t=163112 - Очередная разновидность
https://www.virustotal.com/ru/file/347be4f76d33798718a3601a98bc887ca39941d6b809c8b7d4 5901babd927cde/analysis/1405343416/

К зашифрованным файлам добавляется расширение .gpg. Судя по всему здесь тушка не отработала с переименованием.

На самом деле файлы должны получать дополнительное расширение .crypt, как в теме http://virusinfo.info/showthread.php?t=163149

В остальном все ничем не отличается от предыдущей модификации.

[thyrex]

Есть две новости. Похоже обе радостные
1. Прислали дешифратор к последней версии (спасибо поделившемуся пользователю). Как оказалось универсальный. Но тестирую дальше.
2. DrWeb обещает расшифровку и для предыдущей версии

[thyrex]

п.2 в моем предыдущем сообщении реализован http://forum.drweb.com/index.php?showtopic=318058
Но доступен только лицензионным пользователям продуктов DrWeb

Дешифратор из п. 1 ушел в вирлаб ЛК. Утилиту обещают, о сроках неизвестно

[thyrex]

Новости из Лаборатории Касперского

1. Данный шифровальщик выделен в отдельное семейство Trojan-Ransom.BAT.Scatter
2. Разработана утилита для расшифровки некоторых модификаций данного шифровальщика, скачать которую можно по ссылке ScatterDecryptor (http://support.kaspersky.ru/11333)

[thyrex]

Начала распространение новая версия

Примеры тем
http://virusinfo.info/showthread.php?t=164306
http://virusinfo.info/showthread.php?t=164313
http://virusinfo.info/showthread.php?t=164317

По почте приходит zip-архив с именем Счет на оплату (ТД Алмаз), в котором находится якобы документ Word (файл с длинным именем и имеет двойное расширение doc.js), а на самом деле js-скрипт, скачивающий компоненты шифровальщика и запускающий на выполнение cmd-файл

Файлы получают новое расширение KEYBTC@GMAIL_COM

Шифруются файлы следующих типов
*.xls *.xlsx *.xlsm *.doc *.docx *.pdf *.dwg *.slddrw *.cdr *.jpg *.jpeg *.ppt *.cd *.mdb *.accdb *.1cd *.rar *.zip *.ai *.svg *.max

Информация из вирлаба DrWeb http://virusinfo.info/showthread.php?t=164313&p=1145065&viewfull=1#post1145065

[thyrex]

Несколько обнадеживающая информация из лагеря DrWeb http://forum.drweb.com/index.php?showtopic=318074&page=4#entry730442 :)

[thyrex]

Пошла новая волна

Новое расширение снова paycrypt@gmail_com

*.xls *.xlsx *.doc *.docx *.xlsm *.cdr *.slddrw *.dwg *.ai *.svg *.mdb *.1cd *.pdf

Простейшая защита от шифрования - создать на всякий случай файл %temp%\paycrpt.bin (в предыдущей версии - %temp%\crypti.bin)