„DeathRansom“: „Ransomware Hellbent“ naikina failus užkrėstuose kompiuteriuose per šifravimą

„Ransomware“ tapo tokia visuotine problema kompiuterių vartotojams ir įmonėms. Pastarųjų grėsmių aukos pradėjo planuoti išpuolius, kad galėtų sumokėti reikalaujamą išpirką ir nedelsdami grąžinti savo kompiuterį į darbinę tvarką. „Ransomware“ grėsmės, tokios kaip „DeathRansom“, yra sudėtingesnės ir negailestingiau siekdamos išpešti iš aukos pinigus, paliekant joms daug galimybių kreiptis į teismą.

„DeathRansom“ yra išpirkos programinės įrangos grėsmė, kuri užšifruoja jūsų duomenis ir reikalauja išpirkos, kad juos atgautų. Aukos praneša, kad privalo sumokėti kriptovaliuta per tam tikrą laiko tarpą, o jei jų nebus laikomasi, bus prarasti visi duomenys. Tačiau nesiūloma laikytis šių reikalavimų, nes jie greičiausiai bus neveiksmingi ir gali sukelti ne tik pinigų švaistymą veltui, bet ir pavojų jūsų kompiuteriui užsikrėsti kitomis grėsmėmis.

Ką veikia „DeathRansom“

Įdomu, kad ši išpirkos programinės įrangos grėsmė nebuvo šifruota aukos bylų ... arba bent jau ne iš pradžių. Pasirodo, kad pradinė „DeathRansom“ išpirkos programos versija tik apsimetė šifruojanti duomenis, o paveikti vartotojai galėjo savo failus vėl naudoti. Tobulame pasaulyje visi nukentėję kompiuterio vartotojai turėjo pašalinti kiekvieno failo .wctc plėtinį. Tokio užkoduoto failo pavyzdys būtų „1.docx.wctc“.

Deja, tiesiog pakeisti failų, kuriuos paveikė „DeathRansom“, failo plėtinius nebegalima. Nuo tada, kai padaugėjo „DeathRansom“ aukų, grėsmė pakeitė taktiką ir dabar gali šifruoti savo aukų asmeninius failus, tačiau neįtraukdama „.wctc“ plėtinio. Kol kas vienintelis būdas sužinoti, ar „DeathRansom“ išpirkos programa užšifravo jūsų duomenis, yra atidaryti paveiktą failą ir patikrinti šifravimo pabaigoje esantį žymeklį. Remiantis pranešimais, bylos žymeklis turėtų būti „AB EF CD AB“.

Ši kenksminga „DeathRansom“ grėsmė nukreipta į „Microsoft Windows“ vartotojus. Iškart po įsiskverbimo grėsmė užšifruoja visus failus aukos įrenginyje, išskyrus tuos, kurių visi maršrutų pavadinimai turi šias eilutes:

• programos duomenys
• $ recycle.bin
• programos failus
• langai
• Visi vartotojai
• programos duomenys
• skaityti_me.txt
• autoexec.bat
• darbalaukis.ini
• autorun.inf
• ntuser.dat
• iconcache.db
• bootsect.bak
• boot.ini
• ntuser.dat.log
• nykščiai.db

Po failų šifravimo proceso „ransomware“ sukurs tekstinį failą (read_me.txt) kiekviename aplanke, kuriame yra užšifruoti duomenys, kad auka galėtų lengvai jį pamatyti.

„The Ransom Note“

„Read_me.txt“ failas yra išpirkos raštas, kurį paliko „DeathRansom“ kūrėjai. Kaip jau minėta, „atnaujinta“ „ransomware“ versija dabar gali užšifruoti duomenis, tačiau nepridedant jokių plėtinių. Panašu, kad nedideli pakeitimai buvo padaryti ir išpirkos rašte. Šis pranešimas informuoja vartotoją, kad jo failai buvo užšifruoti, ir jei jie nenori jų visam laikui ištrinti, jie turi 12 valandų vykdyti nurodytas instrukcijas ir mokėti kriptovaliuta.

Pastaboje yra asmeninis LOCK-ID ir bitcoin piniginės, į kurią jums reikia siųsti 0,1 BTC, numeris. Aukoms nurodoma parašyti el. Laišką nurodytu adresu, nurodant LOCK-ID ir mokėjimo laiką.

Įdomu tai, kad jie siūlo nemokamai iššifruoti vieną pasirinktą failą, įrodyti, kad turi iššifravimo įrankį ir įgyja jūsų pasitikėjimo. Išskyrus nurodytą terminą ir pinigų sumą, kurią turite sumokėti, išpirkos rašte taip pat yra naujovės - nurodytos jūsų bandomojo failo specifikacijos. Tai turi būti:

• ne didesnis kaip 1 MB
• arba .txt arba .lnk failas, nėra duomenų bazių

Galiausiai išpirkos rašte pateikiami šaltiniai, iš kurių galite nusipirkti bitkoinų.

Kaip plinta „Ransomware“>

Iki šiol, atlikus kenkėjiškų programų kompiuterių saugumo ekspertų, tokių kaip „ GrujaRS“ , tyrimą , nebuvo rastas konkretus šios grėsmės naudojamas platinimo būdas. Greičiausiai jis plinta kaip kiti parazitai iš parazitavimo programos. Tokie metodai apima:

• apgaulingi šlamšto el
• torrent failai
• kenkėjiškos reklamos
• netikri atnaujinimo pranešimai
• nepatikimi trečiųjų šalių įrenginiai
• Trojos arklys virusai

Tradiciškai kompiuterių vartotojus gana lengva suklaidinti el. Laišku su patrauklia antrašte. Tokios šlamšto kampanijos gali bandyti gąsdinti vartotojus tokiomis pavadinimais kaip „Jūsų banko sąskaita bus nutraukta !!!“. Kompiuterių saugos ekspertai paprastai įspėja kompiuterius, kad jie neskubėtų atidaryti visų matomų el. Laiškų ar tų, kurių temos yra viliojančios arba kurie, atrodo, ateina iš jūsų banko ar mėgstamos socialinės žiniasklaidos svetainės. Kai kuriais atvejais pranešimai gali apsimesti žinomos įmonės ar vieno didžiausių socialinės žiniasklaidos tinklų, tokių kaip „Facebook“ ar „Twitter“, pranešimais. Geriausia patikrinti siuntėjo el. Pašto adresą ir palyginti jį su oficialiu faktinės įmonės adresu. Tada tikrai žinosite, ar el. Paštas yra teisėtas.

Kenkėjiškų programų tyrėjai paprastai rekomenduoja gauti programinės įrangos atnaujinimus tik iš patikimų šaltinių, o ne spustelėti atsitiktinį iššokantįjį langą, kuris nori, kad jūs sektumėte šešėlinę nuorodą.

Žinoma, kad vartotojai diegimo proceso metu nepaiso esminės informacijos. Kad kompiuterių vartotojai netyčia neįdiegtų kenkėjiškų programų kartu su norima programa, geriau, kad jie ieškotų papildomos programinės įrangos, įtrauktos į diegimo programą. Yra žinoma, kad kenkėjiška programa slepia save kaip pasirenkamas programas, todėl geriau atsisakyti tokių nepažįstamų įrenginių.

„DeathRansom“ pašalinimas ir duomenų atkūrimas

Net jei „DeathRansom“ kūrėjai ragina su jais susisiekti ir susimokėti už jų dešifravimo paslaugas, geriau vengti jų reikalavimo. Vietoj to, specialistai rekomenduoja visiškai atsikratyti grėsmės. Šiuo tikslu siūloma naudoti patikimą programinę įrangą, kuri gali saugiai aptikti ir pašalinti „DeathRansom“.

Kalbant apie duomenų atkūrimą, geriausias pasirinkimas yra pasikliauti failų atsarginėmis kopijomis, kurios saugomos debesų duomenų bazėse ar išoriniuose įrenginiuose. Išskyrus tai, kad patikimų šaltinių, kurie ypač naudojami šiai ransomware programai, galima rasti pažangių dešifravimo priemonių. Svarbiausia, kad yra tik keli „DeathRansom“ kūrėjų paaiškinti variantai. Geriausia viską apgalvoti prieš nusprendžiant, ką daryti, nes nėra garantijos, kad visi užšifruoti failai bus atkurti, jei nuspręsite laikytis išpirkos programų reikalavimų.