Gata cu recuperarea răscumpărării. NO_MORE_RANSOM virus ransomware – o nouă amenințare la adresa datelor personale

La sfârșitul anului 2016, a fost observat un nou virus ransomware – NO_MORE_RANSOM. A primit un nume atât de lung din cauza extensiei pe care o atribuie fișierelor utilizator.

Am adoptat multe de la alți viruși, de exemplu de la da_vinci_cod. De când a apărut recent pe Internet, laboratoarele antivirus nu au reușit încă să-i descifreze codul. Și este puțin probabil ca aceștia să poată face acest lucru în viitorul apropiat - se folosește un algoritm de criptare îmbunătățit. Deci, să ne dăm seama ce să facem dacă fișierele dvs. sunt criptate cu extensia „no_more_ransom”.

Descrierea si principiul de functionare

La începutul anului 2017, multe forumuri erau pline cu mesaje „no_more_ransom virus has encrypted files”, în care utilizatorii cereau ajutor pentru a elimina amenințarea. Nu numai computerele private, ci și organizații întregi (în special cele care folosesc baze de date 1C) au fost atacate. Situația pentru toate victimele este aproximativ aceeași: au deschis atașamentul de la e-mail, după ceva timp fișierele au primit extensia No_more_ransom. Virusul ransomware a ocolit toate cele populare programe antivirus.

În general, pe baza principiului infecției, No_more_ransom nu se distinge de predecesorii săi:

Cum să vindecați sau să eliminați virusul No_more_ransom

Este important să înțelegeți că, după ce începeți singur No_more_ransom, veți pierde oportunitatea de a restabili accesul la fișiere folosind parola atacatorilor. Este posibil să recuperați un fișier după No_more_ransom? Până în prezent, nu există un algoritm de lucru 100% pentru decriptarea datelor. Singurele excepții sunt utilitățile de la laboratoare cunoscute, dar alegerea parolei durează foarte mult (luni, ani). Dar mai multe despre recuperare mai jos. În primul rând, să ne dăm seama cum să identificăm troianul fără răscumpărare (traducere - „nu mai există răscumpărare”) și să îl învingem.

De regulă, software-ul antivirus instalat permite ransomware-ului să intre în computer - sunt adesea lansate versiuni noi, pentru care pur și simplu nu există timp pentru a elibera bazele de date. Virușii de acest tip sunt îndepărtați destul de ușor de pe un computer, deoarece escrocii nu au nevoie de ei pentru a rămâne în sistem după finalizarea sarcinii lor (criptare). Pentru a-l elimina, puteți utiliza utilități gata făcute care sunt distribuite gratuit:

Folosirea lor este foarte simplă: lansați, selectați discuri, faceți clic pe „Start scan”. Tot ce rămâne este să aștepți. După aceea, va apărea o fereastră în care vor fi afișate toate amenințările. Faceți clic pe „Ștergeți”.

Cel mai probabil, unul dintre aceste utilitare va elimina virusul ransomware. Dacă acest lucru nu se întâmplă, atunci este necesară eliminarea manuală:

Dacă observați rapid un virus și reușiți să-l eliminați, atunci există șansa ca unele dintre date să nu fie criptate. Este mai bine să salvați fișierele care nu au fost atacate pe o unitate separată.

Utilitare de decriptare pentru decriptarea fișierelor „No_more_ransom”.

Este pur și simplu imposibil să găsești singur codul, cu excepția cazului în care ești un hacker avansat. Pentru decriptare veți avea nevoie utilitati speciale. Voi spune imediat că nu toată lumea va putea decripta un fișier criptat precum „No_more_ransom”. Virusul este nou, așa că ghicirea unei parole este o sarcină foarte dificilă.

Deci, în primul rând, încercăm să restaurăm datele din copiile umbră. Implicit sistem de operare, începând cu Windows 7, salvează în mod regulat copii ale documentelor dvs. În unele cazuri, virusul nu poate șterge copii. Prin urmare, descarcăm program gratuit ShadowExplorer. Nu trebuie să instalați nimic - trebuie doar să-l despachetați.

Dacă virusul nu a șters copiile, atunci există șansa de a recupera aproximativ 80-90% din informațiile criptate.

Renumitele laboratoare antivirus oferă și programe de decriptare pentru recuperarea fișierelor după virusul No_more_ransom. Cu toate acestea, nu trebuie să vă așteptați ca aceste utilitare să vă poată recupera datele. Criptoarele sunt îmbunătățite în mod constant, iar specialiștii pur și simplu nu au timp să lanseze actualizări pentru fiecare versiune. Trimite mostre la suport tehnic laboratoare antivirus pentru a ajuta dezvoltatorii.

Pentru a combate No_more_ransom există Kaspersky Decryptor. Utilitarul este prezentat în două versiuni cu prefixe și Rakhni (există articole separate despre acestea pe site-ul nostru). Pentru a lupta împotriva virusului și a decripta fișierele, trebuie doar să rulați programul, selectând locațiile de scanare.

În plus, trebuie să specificați unul dintre documentele blocate pentru ca utilitarul să înceapă să ghicească parola.

De asemenea, puteți descărca gratuit cel mai bun decriptor No_more_ransom de la Dr.. Web. Utilitarul se numește matsnu1decrypt. Funcționează conform unui scenariu similar cu programele de la Kaspersky. Tot ce trebuie să faceți este să rulați scanarea și să așteptați să se termine.

Când se confruntă cu un atac cripto-ransomware, victimele se confruntă cu o întrebare dificilă: ar trebui să plătească răscumpărarea? sau spune la revedere fișierelor? Pentru a-și asigura anonimatul, infractorii cibernetici folosesc rețeaua Tor și cer răscumpărare în criptomoneda Bitcoin. Din iunie 2016, echivalentul monetar a 1 BTC depășește deja 60 de mii de ruble și nu va deveni mai mic. Din păcate, după ce au decis să plătească, victimele finanțează fără să vrea alte activități de extorcare ale infractorilor cibernetici, al căror apetit crește treptat și cu fiecare nouă plată sunt convinși de impunitatea lor.

Uită-te la " Top 100 cele mai bogate adrese Bitcoin și distribuție Bitcoin„Majoritatea milionarilor bogați în criptomonede de acolo au devenit astfel prin metode ilegale și chiar criminale.

Succes la decriptare!!!

, VIDEO, MUZICA și altele dosare personale pe .NO_MORE_RANSOMși schimbă numele original într-o combinație aleatorie de litere și cifre. Cu toate acestea, majoritatea fișierelor din cele mai importante formate .PDF, .DOC, .DOCX, .XLS, .XLSX, .JPG, .ZIP nu deschide. Contabilitate 1C nu merge. Cam asa arata:

Suportul tehnic de la Kaspersky Lab, Dr.Web și alte companii binecunoscute care dezvoltă software antivirus, ca răspuns la solicitările utilizatorilor de a decripta datele, raportează că este imposibil să faci acest lucru într-un timp acceptabil.

Dar nu te grăbi să disperi!

Faptul este că, după ce a pătruns în computerul dvs., programul rău intenționat folosește ca instrument un software de criptare GPG complet legal și algoritmul popular de criptare - RSA-1024. Deoarece acest utilitar este folosit în multe locuri și nu este un virus în sine, programele antivirus îi permit să treacă și nu îi blochează funcționarea. Se generează o cheie publică și privată pentru a cripta fișierele. Cheia privată este trimisă la serverul atacatorilor, în timp ce cheia publică rămâne pe computerul utilizatorului. Ambele chei sunt necesare pentru a decripta fișierele! Atacatorii suprascriu cu atenție cheia privată de pe computerul afectat. Dar asta nu se întâmplă întotdeauna. De mai bine de trei ani de istorie a muncii impecabile, specialiști Dr.SHIFRO Am studiat mii de variații ale activităților malware și poate chiar și într-o situație aparent fără speranță, vom putea oferi o soluție care vă va permite să vă recuperați datele.

În acest videoclip puteți viziona loc de muncă adevărat decriptor pe computerul unuia dintre clienții noștri:

Pentru a analiza posibilitatea decriptării, trimiteți 2 mostre de fișiere criptate: un text (doc, docx, odt, txt sau dimensiune rtf până la 100 KB), al doilea grafic (jpg, png, bmp, tif sau pdf cu dimensiunea de până la 3 MB). De asemenea, aveți nevoie de un fișier de notă de la atacatori. După examinarea dosarelor, vă vom oferi o estimare a costului. Fișierele pot fi trimise prin e-mail [email protected] sau utilizați formularul de trimitere a fișierului de pe site (buton portocaliu).

COMENTARII (2)

Am prins virusul CRYPTED000007. După ce am căutat pe Internet o metodă de decriptare, am găsit acest site. Specialistul a descris rapid și detaliat ce trebuie făcut. Pentru garantare, au fost decriptate 5 fișiere de testare. Au anunțat costul și după plată totul a fost descifrat în câteva ore. Deși nu numai computerul a fost criptat, ci și unitatea de rețea. Vă mulțumesc foarte mult pentru ajutor!

Bună ziua! Am avut recent o situație similară cu virusul CRYPTED000007, care nu a avut timp să cripteze toate discurile, pentru că... după ceva timp am deschis folderul cu fotografia și am văzut un plic gol și un nume de fișier dintr-un set diferit de litere și numere și am descărcat și lansat imediat utilitate gratuită pentru a elimina troienii. Virusul a sosit prin poștă și a fost o scrisoare convingătoare pe care am deschis-o și am lansat atașamentul. Computerul are 4 hard disk-uri foarte mari (terabytes). Am contactat diverse companii, dintre care sunt destule pe internet și care își oferă serviciile, dar chiar și cu decriptarea reușită, toate fișierele vor fi într-un folder separat și toate amestecate. Nimeni nu oferă o garanție de decriptare 100%. Am contactat Kaspersky Lab și nici acolo nu m-au ajutat..html# așa că am decis să contactez. Am trimis trei fotografii de test și după un timp am primit un răspuns cu o transcriere completă a acestora. În corespondența prin poștă mi s-a oferit fie de la distanță, fie acasă. Am decis să o fac acasă. Am decis data și ora sosirii specialistului. Imediat în corespondență s-a convenit suma pentru decodor și după decriptarea cu succes am semnat un acord asupra lucrării și am făcut plata conform acordului. Decriptarea fișierelor a durat foarte mult, deoarece unele videoclipuri au fost dimensiune mare. După transcrierea integrală M-am asigurat că toate fișierele mele revin la forma lor originală și la extensia corectă de fișier. Capacitatea hard disk-urilor a devenit aceeași ca înainte de a fi infectate, deoarece în timpul infecției unitățile erau aproape complet pline. Cei care scriu despre escroci etc., nu sunt de acord cu asta. Acest lucru este scris fie de concurenți din furie, că nu reușesc, fie de oameni care sunt jigniți de ceva. În cazul meu, totul a ieșit grozav, temerile mele sunt în trecut. Mi-am văzut din nou vechile fotografii de familie pe care le-am făcut cu mult timp în urmă și videoclipuri de familie pe care le-am editat singur. Aș dori să-mi exprim recunoștința față de compania dr.Shifro și personal lui Igor Nikolaevich, care m-a ajutat să-mi restabilesc toate datele. Multumesc mult si mult succes! Tot ce este scris este părerea mea personală și tu decideți singur pe cine să contactați.

La sfârșitul anului 2016, lumea a fost atacată de un virus troian foarte nebanal care criptează documentele utilizatorului și conținutul multimedia, numit NO_MORE_RANSOM. Cum să decriptați fișierele după expunerea la această amenințare va fi discutat în continuare. Cu toate acestea, merită avertizați imediat toți utilizatorii care au fost atacați că nu există o tehnică uniformă. Acest lucru se datorează utilizării unuia dintre cele mai avansate și gradului de pătrundere a virusului în sistemul informatic sau chiar în retea locala(deși inițial nu a fost conceput pentru impactul rețelei).

Ce este virusul NO_MORE_RANSOM și cum funcționează?

În general, virusul în sine este de obicei clasificat ca o clasă de troieni, cum ar fi I Love You, care pătrund într-un sistem informatic și criptează fișierele utilizatorului (de obicei multimedia). Adevărat, dacă progenitorul diferea doar în ceea ce privește criptarea, atunci acest virus a împrumutat foarte mult de la amenințarea cândva senzațională numită DA_VINCI_COD, combinând funcțiile unui ransomware.

După infectare, majorității fișierelor de documente audio, video, grafice sau de birou li se atribuie un nume lung cu extensia NO_MORE_RANSOM care conține o parolă complexă.

Când încercați să le deschideți, pe ecran apare un mesaj care spune că fișierele sunt criptate, iar pentru a le decripta trebuie să plătiți o anumită sumă.

Cum intră amenințarea în sistem?

Să lăsăm în pace deocamdată întrebarea cum să decriptăm fișierele de oricare dintre tipurile de mai sus după expunerea la NO_MORE_RANSOM și să ne întoarcem la tehnologia pentru modul în care un virus pătrunde într-un sistem informatic. Din păcate, indiferent cum ar suna, pentru asta se folosește vechea metodă dovedită: la adresă e-mail Un e-mail sosește cu un atașament, iar atunci când utilizatorul îl deschide, se declanșează codul rău intenționat.

După cum vedem, această tehnică nu este originală. Cu toate acestea, mesajul poate fi deghizat ca text lipsit de sens. Sau, dimpotrivă, de exemplu, dacă vorbim de companii mari, să schimbăm termenii unor contracte. Este clar că un funcționar obișnuit deschide o investiție și apoi obține un rezultat dezastruos. Una dintre cele mai strălucitoare focare a fost criptarea bazelor de date ale popularului pachet 1C. Și aceasta este deja o problemă serioasă.

NO_MORE_RANSOM: cum se decriptează documentele?

Dar încă merită să abordăm problema principală. Cu siguranță toată lumea este interesată de cum să decripteze fișierele. Virusul NO_MORE_RANSOM are propria sa secvență de acțiuni. Dacă utilizatorul încearcă să decripteze imediat după infectare, există încă o modalitate de a face acest lucru. Dacă amenințarea s-a stabilit ferm în sistem, din păcate, nu se poate face fără ajutorul specialiștilor. Dar adesea se dovedesc a fi neputincioși.

Dacă amenințarea a fost detectată în timp util, există o singură cale - contactați serviciile de asistență ale companiilor antivirus (nu toate documentele au fost încă criptate), trimiteți câteva fișiere inaccesibile și, pe baza unei analize a originalelor stocate pe suporturi amovibile, încercați să restaurați documentele deja infectate, după ce prin copierea pe aceeași unitate flash tot ce este încă disponibil pentru deschidere (deși nu există nici o garanție completă că virusul nu a pătruns în astfel de documente). După aceasta, pentru a fi sigur, mediul trebuie verificat cel puțin scaner antivirus(nu se stie niciodata).

Algoritm

De menționat, de asemenea, că virusul folosește pentru criptare algoritmul RSA-3072, care, spre deosebire de tehnologia RSA-2048 folosită anterior, este atât de complex încât alegerea parolei potrivite, chiar dacă întregul contingent de laboratoare antivirus este implicat în acest lucru poate dura luni sau ani. Astfel, întrebarea cum să decriptați NO_MORE_RANSOM va necesita destul de mult timp. Dar ce se întâmplă dacă trebuie să restaurați imediat informațiile? În primul rând, eliminați virusul în sine.

Este posibil să eliminați un virus și cum se face?

De fapt, acest lucru nu este greu de făcut. Judecând după obrăznicia creatorilor virusului, amenințarea din sistemul informatic nu este mascată. Dimpotrivă, este chiar benefic pentru ea să „se îndepărteze” după finalizarea acțiunilor efectuate.

Cu toate acestea, la început, ca urmare a virusului, acesta ar trebui să fie neutralizat. Primul pas este să utilizați utilități portabile de securitate precum KVRT, Malwarebytes, Dr. Web CureIt! si altele asemenea. Vă rugăm să rețineți: programele utilizate pentru testare trebuie să fie portabile (fără instalare pe hard disk cu lansare în varianta optima de pe suporturi amovibile). Dacă se descoperă o amenințare, aceasta ar trebui eliminată imediat.

Dacă astfel de acțiuni nu sunt furnizate, trebuie să mergeți mai întâi la „Task Manager” și să încheiați toate procesele asociate cu virusul din acesta, sortând serviciile după nume (de obicei, acesta este procesul Runtime Broker).

După anularea sarcinii, trebuie să apelați editorul registru de sistem(regedit în meniul Run) și căutați după nume " Client Server Runtime System” (fără ghilimele), apoi folosind meniul de deplasare prin rezultatele „Găsiți următorul...”, ștergeți toate elementele găsite. Apoi, trebuie să reporniți computerul și să verificați în „Manager de activități” pentru a vedea dacă procesul pe care îl căutați este acolo.

În principiu, întrebarea cum să decriptați virusul NO_MORE_RANSOM în stadiul de infecție poate fi rezolvată folosind această metodă. Probabilitatea neutralizării sale este, desigur, mică, dar există o șansă.

Cum să decriptați fișierele criptate cu NO_MORE_RANSOM: copii de siguranță

Dar există o altă tehnică despre care puțini oameni știu sau chiar ghicesc. Faptul este că sistemul de operare în sine își creează în mod constant propria umbră copii de rezervă(de exemplu, în caz de recuperare), sau utilizatorul creează în mod intenționat astfel de imagini. După cum arată practica, virusul nu le afectează tocmai aceste copii (pur și simplu nu este prevăzut în structura sa, deși nu este exclus).

Deci, problema modului de descifrare a NO_MORE_RANSOM se rezumă la utilizarea lor. Cu toate acestea, utilizați standard Instrumente Windows nerecomandat (și mulți utilizatori bcc nu va avea acces deloc). Prin urmare, trebuie să utilizați utilitarul ShadowExplorer (este portabil).

Pentru a restaura, trebuie doar să rulați executabilul, să sortați informațiile după date sau secțiuni, să selectați copia dorită (a unui fișier, folder sau a întregului sistem) și să utilizați linia de export prin meniul RMB. Apoi, pur și simplu selectați directorul în care va fi salvată copia curentă și apoi utilizați procesul standard de recuperare.

Utilități terțe

Desigur, la problema modului de descifrare a NO_MORE_RANSOM, multe laboratoare oferă propriile soluții. De exemplu, Kaspersky Lab recomandă utilizarea propriei sale produs software Kaspersky Decryptor, prezentat în două modificări - Rakhini și Rector.

Evoluții similare precum decodorul NO_MORE_RANSOM de la Dr. nu par mai puțin interesante. Web. Dar aici merită să țineți cont imediat de faptul că utilizarea unor astfel de programe este justificată numai dacă o amenințare este detectată rapid, înainte ca toate fișierele să fie infectate. Dacă virusul este ferm stabilit în sistem (când fișierele criptate pur și simplu nu pot fi comparate cu originalele lor necriptate), astfel de aplicații pot fi, de asemenea, inutile.

Ca urmare

De fapt, o singură concluzie sugerează: este necesar să lupți împotriva acestui virus exclusiv în faza de infecție, când doar primele fișiere sunt criptate. În general, cel mai bine este să nu deschideți atașamente în mesajele de e-mail primite din surse dubioase (acest lucru se aplică exclusiv clienților instalați direct pe computer - Outlook, Oulook Express etc.). În plus, dacă un angajat al companiei are la dispoziție o listă de adrese ale clienților și partenerilor, deschiderea mesajelor „la stânga” devine complet nepractică, deoarece majoritatea oamenilor semnează acorduri de nedezvăluire privind secretele comerciale și securitatea cibernetică atunci când aplică pentru un loc de muncă.