Шифровальщик CryptXXX предоставляет бесплатные ключи для своих версий

Олег Иванов 15 Июля 2016 - 09:46

Домашние пользователи

Windows

Системы защиты личных данных

Вирусы-вымогатели

Вирусы-шифровальщики

...

Шифровальщик CryptXXX предоставляет бесплатные ключи для своих версий

Шифровальщик CryptXXX бесплатно предоставляет ключи расшифровки для некоторых своих версий. Некоторые пользователи утверждают, что им действительно удалось вернуть свои файлы в исходное состояние, используя предоставленный ключ.

Специалисты BleepingComputer обнаружили, что бесплатные ключи предлагаются только для определенных версий CryptXXX, а именно для версий, которые добавляют расширения .Crypz и .Cryp1 к зашифрованным файлам. К сожалению, для всех остальных версий этого шифровальщика такой возможности нет.

Рисонк 1: Бесплатный ключ для расшифровки

В настоящий момент неизвестна причина этой бесплатной раздачи ключей. Возможно, это связано с неисправностью платежной системы злоумышленников. Авторы этого шифровальщика и ранее были известны своими ошибками.

Ниже собран список всех известных вариантов CryptXXX. Единственный вариант, который не проверялся это тот, который добавляет расширение .cryptz.

Бесплатные ключи предлагаются для следующих видов:

.Crypz Extension (UltraDecryptor)

Ransom Note Name: ![victim_id].html

Ransom Note Name: ![victim_id].txt

Example TOR Url: http://xqraoaoaph4d545r.onion.to

Example TOR Url: http://xqraoaoaph4d545r.onion.cab

Example TOR Url: http://xqraoaoaph4d545r.onion.city

.Cryp1 Extension (UltraDecryptor)

Ransom Note Name: ![victim_id].html

Example TOR Url: http://eqyo4fbr5okzaysm.onion.to

Example TOR Url: http://eqyo4fbr5okzaysm.onion.cab

Example TOR Url: http://eqyo4fbr5okzaysm.onion.city

Бесплатные ключи не предлагаются для следующих видов:

.Crypt Extension (UltraDeCrypter)

Ransom Note Name: [victim_id].html

Ransom Note Name: [victim_id].txt

Example TOR Url: http://klgpco2v6jzpca4z.onion.to

Example TOR Url: http://klgpco2v6jzpca4z.onion.cab

Example TOR Url: http://klgpco2v6jzpca4z.onion.city

.Crypt Extension (Google Decryptor)

Ransom Note name: !Recovery_[victim_id].html

Ransom Note name: !Recovery_[victim_id].txt

Example TOR Url: http://2zqnpdpslpnsqzbw.onion.to

Example TOR Url: http://2zqnpdpslpnsqzbw.onion.cab

Example TOR Url: http://2zqnpdpslpnsqzbw.onion.city

Random Extension (UltraDecryptor)

Ransom Note Name: @[victim_id].html

Ransom Note Name: @[victim_id].txt

Example TOR Url: 2mpsasnbq5lwi37r.onion.to

Example TOR Url: 2mpsasnbq5lwi37r.onion.cab

Example TOR Url: 2mpsasnbq5lwi37r.onion.city

No extension (Microsoft Decryptor)

Ransom Note Name: README.html

Ransom Note Name: README.txt

Example TOR Url: http://ccjlwb22w6c22p2k.onion.to

Example TOR Url: http://ccjlwb22w6c22p2k.onion.city

Следующая главная новость »

Подписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Татьяна Никитина 01 Ноября 2025 - 15:22

Бэкдоры Целевые атаки Таргетированные атаки Государство

Шпионы атакуют ВС Белоруссии, используя бэкдор, работающий через Tor

Исследователи из Cyble обнаружили необычный Windows-бэкдор, раздаваемый под видом уведомления о переподготовке белорусских военнослужащих для нужд недавно созданных войск беспилотных авиационных комплексов.

Целью атак с применением зловреда, открывающего SSH-доступ через Tor, по всей видимости, является шпионаж.

Анализ показал, что распространяемый злоумышленниками документ «ТЛГ на убытие на переподготовку.pdf» на самом деле является архивным файлом, содержащим LNK с тем же русскоязычным именем и скрытую папку FOUND.000.

Ее содержимым оказался вложенный persistentHandlerHashingEncodingScalable.zip, который с помощью PowerShell-команд, встроенных в LNK, распаковывается в специально созданную папку %appdata%\logicpro.

При запуске вредонос вначале проверяет систему на наличие песочниц и автоматизированных средств анализа. При обнаружении враждебной среды дальнейшее исполнение откатывается; при благоприятном стечении обстоятельств жертве отображается маскировочный PDF-документ, а остальные действия выполняются в фоне.

Чтобы обеспечить себе постоянное присутствие, зловред с помощью командлета Register-ScheduledTask создает запланированные задания — на свой запуск при первом же входе жертвы в систему, а потом ежедневно в 10:21 AM UTC (13:21 по Москве).

Когда он активен, на порту 20321оживает служба SSH стараниями githubdesktop.exe, подписанного Microsoft (Windows-версия OpenSSH); удаленный доступ при этом возможен лишь по ключу RSA (публичный вшит в код зловреда). Дополнительно запускается SFTP с кастомными настройками для вывода данных.

Параллельно создается скрытый сервис Tor и организуется проброс портов для ряда Windows-служб с тем, чтобы обеспечить оператору анонимный доступ к различным системным ресурсам (в том числе по RDP и SMB).

Подключение к Tor реализовано через транспортный протокол obfs4, использующий шифрование. Подобный трюк позволяет скрыть вредоносный трафик, выдав его за обычную сетевую активность.

Найденный образец, по словам аналитиков, несколько похож на инструменты, используемые APT-группы Sandworm. Попыток загрузки дополнительного пейлоада или постэксплуатации тестирование не выявило.

Шифровальщик CryptXXX предоставляет бесплатные ключи для своих версий

Читайте также