TorLocker Ransomware - 70% profit

В этой теме можно использовать автоматический гарант!

Статус
Закрыто для дальнейших ответов.

Doisti74

HDD-drive
Пользователь
Регистрация
12.02.2014
Сообщения
47
Реакции
0
First of all, sorry for my english, i wish i knew russian.

Second, i tried my best translating the forum rules. If i am wrong, please forgive me, i will try to adapt myself.

Let me introduce you TorLocker:


I provide a password for the control panel of TorLocker, a binary made in assembly for Windows, a builder, and a tor.exe standalone executable (no external DLL dependencies).

What is TorLocker?

TorLocker is a ransomware that works using TOR, BitCoin, RSA-2048, AES-256.

Is it similar to CryptoLocker?

Yes and No.

TorLocker encrypts files and demands user for a ransom. So CryptoLocker does.

TorLocker don't need internet connectivity to start encrypting files, CryptoLocker does.

TorLocker has 128 public keys inside the .exe body. Each affiliate receives new different encryption keys already inside the .exe. After 10 different payments, i generate a new .exe for you, to lower the chances where repeated keys are going to be used (birthday attack).

TorLocker command and control is hosted behind TOR hidden services. Can't be shutdown easily.

TorLocker accepts BitCoin only.

TorLocker process payments and encryption key delivery, automatically. No human intervention is necessary.

How it works?

It will encrypt all files (extensions below) in the computer you send it, connect to TOR, retrieves the amount the user needs to pay (currently 0.466 BTC), the deposit address (a new address for every new client), how many days the user has to pay (currently 9 days counting down to 0 when decryption will not be possible).

After 6 confirmations from the BitCoin network, 70% of the ransom is sent to you. 30% goes to me, and the RSA-2048 decryption key is automatically delivered to the client, who get access to his files again. Each file is encrypted with a random AES-256 key, which is encrypted with the RSA-2048 key and then appended to the encrypted file.

How larger encrypted files become?

512 bytes

Is unicode supported?

Yes

What if I find a bug?

Report and I will correct it.

Which extensions are currently being used?

".accdb",0,".ai",0,".arw",0,".bay",0,".blend",0,".cdr",0,".cer",0,".cr2",0,".crt",0,".crw",0,".dbf",0,".dcr",0,".der",0,".dng",0,".doc",0,".docm",0,".docx",0,".dwg",0,".dxf",0,".dxg",0,".eps",0,".erf",0,".indd",0,".jpe",0,".jpg",0,".jpeg",0,".kdc",0,".mdb",0,".mdf",0,".mef",0,".mrw",0,".nef",0,".nrw",0,".odb",0,".odm",0,".odp",0,".ods",0,".odt",0,".orf",0,".p12",0,".p7b",0,".p7c",0,".pdd",0,".pdf",0,".pef",0,".pem",0,".pfx",0,".ppt",0,".pptm",0,".pptx",0,".psd",0,".pst",0,".ptx",0,".r3d",0,".raf",0,".raw",0,".rtf",0,".rw2",0,".rwl",0,".srf",0,".srw",0,".wb2",0,".wpd",0,".wps",0,".xlk",0,".xls",0,".xlsb",0,".xlsm",0,".xlsx",0,0

What I need to do to start cashing?

An offline BitCoin wallet. bitcoin-qt is fine. Synchronize the bitcoin wallet with the network (it will take some time). Download tor browser bundle. Configure TOR as the SOCKS proxy in the bitcoin client (this is a very important step to your safety). Generate a new address. Get your password for the TorLocker panel from me (buying this listing). Register you BitCoin address in the panel (you will be asked only once, in the first time you login). Spread the .exe, receive the money.

In how many time will you setup my account?

Maximum 4 days.

How can I spread the ransomware?

You should install the ransomware in computers by any means you want to (spam, exploit kit, existing botnet, torrent, fake software updates, bundle it with cracks in forums, etc). The ransomware encrypts the user's files, the user pays the server, you get 70% of the jackpot after 6 confirmations.

To how many computer should I send a single build?

I recommend to no more than 5.000. Keep in mind that after 10 payments, the chance of key collision will be bigger.
Use waves - generate a new build, spread, receive the money.

Are you trustable?

Yes, I still believe in honor among criminals, but you don't need to believe me at all. In your TorLocker panel, you will see all the registered bots, registration date, if they paid or not, and the bitcoin address where they need to send the ransom. If you are in doubt about me, just check http://blockchain.info. Money talks better than me.

Can I ask for customizations?

At the moment, not really. If you can't live without that customization, drop me a message.
 
price is $200 in BitCoin only. but since nobody knows me yet (and my coding skills), i am doing for free to you, first customer here, so you can vouch for me.

add me in Jabber, i only speak using OTR encryption.

Doisti74@zauris.ru
Doisti74@blah.im
 
access to panel + builder + exe sent via jabber

waiting to hear from you.

any improvements you want, or bugs you find please let me known. i am all available to get my 30% share.
 
- delivery time lowered to 3 hours (i generated a lot of RSA-2048 to be able to do this)

- customization to the message screen (currently only english and portuguese) available upon request. you need to send the new text.

- ransom price can be adjusted according to your needs
 
escrow is always accepted.

I am here to make serious business with serious persons.
 
NEWS:

- EmerginThreat added a signature to TorLocker downloading the tor component based on User-Agent string and file extension being .exe
http://doc.emergingthreats.net/bin/view/Main/2018224
http://doc.emergingthreats.net/bin/view/Main/RuleChanges

Current users:

1) Update the tor download link in your builder with any other extension, this will prevent alarms from this IPS
2) I am preparing a new build with random user agents being used to download the tor component
3) Even if the IPS blocks the Tor component, the user files will remain encrypted - remember that !
 
Ar3s,

спасибо. ждет одобрения. Я всегда принимаю эскроу.

НОВОСТИ:

- Clavister (Шведский безопасности компании), кодовый подпись для скачивания компонентов Tor - это агент пользователя строка, на основе регулярных выражений матче

https://forums.clavister.com/securityportal...s/idp72076.html

Текущие пользователи:

1) Новый билд со случайными агентов-пользователей уже закодированы. Вы можете попросить нового строительства бесплатно.
 
продажи на

эскроу всегда принимаются
 
Announcement / объявление:

Price is now $300 / цена сейчас $300
 
[mod][Ar3s:] Проверка пройдена![/mod]

Отчет реверсера:
Сразу же без прелюдий программа копирует свой исполняемый файл в TEMP и ставится на автозагрузку в RUN ветку реестра.
Далее в цикле локер ищет на всех локальных дисках файлы со следующими расширениями:

"accdb","ai","arw","bay","blend","cdr","cer","cr2","crt","crw","dbf","dcr","der"
"dng","doc","docm","docx","dwg","dxf","dxg","eps","erf","indd","jpe","jpg","jpeg"
"kdc","mdb","mdf","mef","mrw","nef","nrw","odb","odm","odp","ods","odt","orf","p12"
"p7b","p7c","pdd","pdf","pef","pem","pfx","ppt","pptm","pptx","psd","pst","ptx"
"r3d","raf","raw","rtf","rw2","rwl","srf","srw","txt","wb2","wpd","wps","xlk","xls"
"xlsb","xlsm","xlsx"

Файлы которые попадают под эти маски шифруются алгоритмом RSA.

Цикл шифровки файлов может занять продолжительное время на протяжении которого составляется список
зашифрованных файлов и сохраняеться в виде текстового файла в TEMP. После того как все найденые файлы зашифрованы
программа открывает через "notepad.exe" текстовый файл со списком зашифрованных файлов и создаёт окно посредством
которого уведомляет пользователя о том что некоторые файлы на компьютере зашифрованы и для расшифровки
необходимо заплатить 300 долларов.



На скриншоте "step-1-start.png" наглядно видно как это происходит.

Нажав на кнопку "Proceed to Payment" пользователь может перейти к форме оплаты через Биткоин.



Форму оплаты можно посмотреть на скриншоте "step-2-payment.png".

Пока пользователь думает что делать локер извлекает из тела своего исполняемого файла Polipo с файлом конфигурации
и скачивает ТОР с прошитой билдером ссылки.

Polipo и ТОР запускаются следующим образом:

TOR.EXE -SOCKSPort 9150 -AvoidDiskWrites 1 -ExcludeSingleHopRelays 0 -FascistFirewall 1 -DirReqStatistics 0
POLIPO.EXE -c POLIPO.CONF

Далее локер работает с административной панелью уже через TOR.

Список доменов прошитых в исполняемом файле локера:

[скрыто]elrgm.onion
[скрыто]adw6z.onion
[скрыто]hslt4.onion
.................
[скрыто]sqsra.onion
[скрыто]hd756.onion

[Прим. Ar3s - итого 30 доменов]

Расшифрует ли локер файлы после оплаты точно неизвестно. Но такой функционал определённо заложен.



На скриншоте "step-3-decrypt.png" можно видеть как примерно будет развиваться ситуация если выплатить требуемую сумму.
После нажатия кнопки "Start Decryption" отобразиться финальный диалог вместе со списком расшифрованных файлов и становиться
доступна возможность окончательного удаления криптолокера из системы.


Скриншот финального диалога "step-4-finish".

Если после оплаты и расшифровки файлов нажать "Uninstal TorLocker" то программа действительно удалиться оставив после себя
запущеные TOR и Polipo в подарок пользователю до первого ребута.

Собственно функционал криптолокера работающего в ТОР сети присутсвует, а посторонних склеек не замечено.
 
Пожалуйста, обратите внимание, что пользователь заблокирован
Файлы которые попадают под эти маски шифруются алгоритмом RSA.
Именно rsa, а не каким-то симметрическим алгоритмом (как обычно делают)? rsa же медленный очень, и шифровать им можно совсем небольшие объемы данных.
 
Quake3,

Да, это ужасно медленно.

из-за этого, я зашифровать файл со случайным AES-256.

Случайная AES-256 шифруется с RSA-2048.

Затем я добавить результат в конце файла.

Файл становится 512 байт больше.

Я серьезный кодер. 29А помните? ОК, я уже сказал слишком много.
 
Статус
Закрыто для дальнейших ответов.
Верх