Phantom: as is it

[thyrex]

Kozy.Jozy Ransomware

ориентирован на русскоязычных пользователей и отличился использованием алгоритма RSA-2048 в шифровании файлов

Есть модификация (или прародитель) с меньшим числом подверженных шифрованию типов файлов. У зашифрованных файлов добавляется расширение .phantom

Примеры тем:
Поймала вирус с расширением PHANTOM - Уничтожение вирусов
Шифровальщик с расширением phaentom [Hoax.Win32.ArchSMS.codmv ] (заявка № 201301)

 

[SNS-amigo]

thyrex, картинка о выкупе та же?

 

[thyrex]

Надо уточнить у Dragokas. Он на виртуалке запускал. По коду я не вижу установку картинки.

 

[Dragokas]

.phantom не устанавливает фон рабочего стола.
Вместо этого он помещает в автозапуск и на рабочий стол инфу для восстановления через почту:

ВНИМАНИЕ! Ваши файлы зашифрованы криптостойким алгоритмом RSA-2048! Отправьте на flsunlocker@yahoo.com один из зашифрованных файлов. Попытки самостоятельной расшифровки могут привести к безвозвратной порче данных! В письме укажите также ваш ID -

 

[SNS-amigo]

Dragokas, чего-то не то тестировал.
Процитированная фраза с почтой flsunlocker[@]yahoo.com относится к другому криптовымотелю — ZCrypt. И скопирована оттуда же.
Со дня публикации в блоге информации прошлый месяц. За это время можно 10 новых версий вымогателей выпустить.
Если это новая версия ZCrypt или его итерация phantom делают, то данная информация должна быть соответствующим образом оформлена и опубликована в соответствующей теме.

{Перенес посты в отдельную тему}

 

[thyrex]

Нет у phantom функционала сетевого червя.

 

[SNS-amigo]

В блоге про ZCrypt всё написано:

в марте этого года, ZCrypt использовался для атак на русскоязычных пользователей, при этом был другой вариант записки с требованием выкупа ...более краткая записка на русском языке под названием !ИНСТРУКЦИЯ!.html
ВНИМАНИЕ! Ваши файлы зашифрованы криптостойким алгоритмом RSA-2048!
Отправьте на flsunlocker@yahoo.com один из зашифрованных файлов...

И далее. У мартовского варианта не было функционала сетевого червя, не было скринлока, текст записки совпадает.
Это не KozyJozy, и если это и не ZCrypt, и ранний ZCrypt, то точно какой-то Phantomas.
Кидайте на gethub, посмотрим.