Encry .NET Ransomware: new_pings@tutanota.com Bitcoin Fidye, AES+RSA, vssadmin Shadow Silme, 29KB Kompakt

Genel Bakış

Bu örnek, 29KB'lık son derece kompakt bir .NET fidye yazılımıdır. Geliştirici kullanıcı adı oooop olan bu ransomware, new_pings@tutanota.com adresiyle kurbanlarla iletişim kurmakta, AES + RSA kombinasyonu ile dosyaları şifrelemekte ve vssadmin.exe delete shadows /all komutuyla yedekleri silmektedir. Fidye notları DECRYPT-FILES.html ve FILE RECOVERY.txt olarak bırakılmaktadır.

Teknik Analiz

Gömülü Fidye Notu

YOUR FILES ARE ENCRYPTED !!!

TO DECRYPT, FOLLOW THE INSTRUCTIONS:

You have to pay for decryption in Bitcoins. The price depends on how fast you
write to us. After payment we will send you the decryption tool that will decrypt
all your files.

Free decryption as guarantee: Before paying you can send us up to 1 file for free
decryption. The total size of files must be less than 1Mb (non archived), and files
should not contain valuable information. (databases, backups, large excel sheets, etc.)

Do not rename encrypted files.
Do not try to decrypt your data using third party software, it may cause permanent data loss.
Decryption of your files with the help of third parties may cause increased price.

İletişim ve Ödeme

• Email: new_pings@tutanota.com (Tutanota şifreli email)
• Ödeme: Bitcoin
• Tor Tarayıcı kullanımı belirtilmiş

Şifreleme Tekniği

• AesEncryptFile, EncryptBytes_Aes — AES ile dosya şifreleme
• RSACryptoServiceProvider — RSA anahtar yönetimi
• CreateEncryptor — şifreleyici oluşturma
• fileSuffix — yapılandırılabilir dosya uzantısı
• ergodicFiles, ergodicSignificantDirectory — tüm dosyalar ve dizinler taranıyor

Yedek ve Kurtarma Engelleme

• vssadmin.exe delete shadows /all /quite — VSS gölge kopya silme
• DeleteAllRestorePoints — tüm geri yükleme noktaları

Fidye Notu Fichierları

• DECRYPT-FILES.html
• FILE RECOVERY.txt

Geliştirici İpucu

• PDB: C:\Users\oooop\Documents\rsa_file\encry\encry\obj\Release\encry.pdb
• İç ad: encry.exe
• Gelecek zaman damgası (clock manipulation)

Teknik Propriétéler

IOC Özeti

• Email: new_pings@tutanota.com
• Fidye Notu: DECRYPT-FILES.html, FILE RECOVERY.txt
• SHA256: d9bed1a2f69d9c144006a97ee6eedaaa9cd94960a93d39aa2c7bc59e17527163