Consejos de Geek

El ransomware NNQP tiene como objetivo cifrar todos los datos de su computadora

El ransomware NNQP es una variante de la familia de virus de cifrado de archivos STOP/DJVU. Después de infectar el sistema de destino por engaño, comienza a escanear todas las carpetas y encriptar todos los archivos que se encuentran en ellas con algoritmos de encriptación Salsa20 y RSA-2048, además de marcar los archivos afectados con un adicional .nnqp extensión. Como puede ver, el nombre del virus deriva de la extensión que da a los archivos cifrados. Por ejemplo, un archivo originalmente llamado 1.jpg se convierte en 1.jpg.nnqp después del ataque. Además, este ransomware cae _reame.notas txt en cada carpeta de datos afectada. Esta nota se supone que informa a la víctima cómo obtener la herramienta de descifrado de archivos NNQP. Como se explica en la nota, la única manera de hacerlo es pagar un fuerte rescate por los ciberdelincuentes.

Para aclarar, el único propósito de este malware es cifrar todos los archivos en el equipo de la víctima y luego intentar extorsionar al usuario para pagar un gran rescate por los operadores de virus ransomware NNQP. Los atacantes dieron un mal uso a los algoritmos de cifrado de datos. En las comunicaciones diarias, el cifrado se usa típicamente para asegurar la transmisión de información de modo que solo la persona que tiene la clave de descifrado pueda acceder a ella. En esta situación, los ciberdelincuentes son los que tienen la llave, por lo que intentan venderla por ti después de bloquear ilegalmente el acceso a tus archivos personales.

Para proporcionar a la víctima información sobre el ataque, el ransomware está diseñado para soltar notas de rescate llamadas _reame.txt en todo el sistema informático. Estas notas especifican que es la única forma de descifrar .los archivos nnqp son para pagar un rescate. Los atacantes sugieren enviar un archivo cifrado que no contenga ninguna información valiosa para que puedan demostrar que pueden descifrar todos los datos. La nota de rescate especifica incluir la identificación personal de la víctima en el correo electrónico que se le envíe. También proporcionan dos direcciones de correo electrónico para usar: la principal, [email protected] y una alternativa, [email protected] Según la nota, el costo de las herramientas de descifrado depende de la rapidez con la que la víctima escribe a los atacantes. Si esto se hace dentro de las primeras 72 horas después de la marca de tiempo de la infección, los ladrones prometen un descuento del 50%, lo que establece el precio en $490. De lo contrario, el precio de descifrado sigue siendo de 9 980.

Si está pensando en pagar el rescate, nos gustaría advertirle que esta no es una opción recomendada según los expertos en ciberseguridad y el FBI. No solo no garantiza la recuperación de datos, sino que también ayuda a impulsar más operaciones de distribución de ransomware. Los ciberdelincuentes detrás de este tipo de malware ganan millones de dólares estadounidenses al año, por lo que solo los alienta a continuar con su sucio negocio. Además, no hay forma de rastrear a los atacantes si decides escuchar sus demandas: los atacantes no aceptarán transacciones bancarias regulares para evitar ser rastreados. La única forma en que aceptan los pagos es a través de criptomonedas. Tienden a pedir a las víctimas que compren, por ejemplo, Bitcoins que valgan el monto del rescate establecido, y luego ordenan transferir el monto a su billetera virtual.

Otro detalle preocupante de este ransomware es que tiende a infectar computadoras con malware que roba información, por ejemplo, troyanos AZORULT o VIDAR. Estas amenazas permiten a los atacantes ejecutar comandos específicos en la computadora de la víctima de forma remota y extraer varios datos confidenciales que se pueden usar en otros ataques o chantaje, por ejemplo, sus contraseñas, detalles bancarios, historial de navegación, cookies, carteras de criptomonedas y más. Por lo tanto, no piense que pagar el rescate resolverá todos los problemas con su computadora y privacidad. Puede comprender lo astutos que son estos atacantes porque no hay una sola mención de malware adicional lanzado en su computadora en el _reame.txt nota.

Para eliminar los estragos causados en su computadora, le recomendamos que elimine el virus ransomware NNQP sin demora. Para esto, primero debe arrancar su computadora en Modo Seguro con redes. Puedes encontrar pautas gratuitas sobre cómo hacerlo debajo de este artículo. Para identificar los archivos asociados con el malware y varias modificaciones del registro, sugerimos utilizar una solución antivirus robusta, por ejemplo, INTEGO Antivirus. Además, es posible que desee descargar RESTORO y usarlo para reparar daños causados por virus en archivos del sistema operativo Windows.

Ransomware Summary

ELIMINAR MALWARE & REPARAR DAÑOS POR VIRUS

Cómo se distribuyen los virus de tipo ransomware

Para evitar más infecciones de malware y ransomware, es importante saber cómo se distribuyen estos virus informáticos y cómo pueden entrar en su computadora. Cuando se trata de este ransomware en particular, strain-STOP / DJVU (con el que se infectó), el método de distribución principal se basa en versiones de software pirateadas que contienen grietas, generadores de claves y otras herramientas. La mayoría de las veces, se pueden descargar a través de torrents. Los usuarios de computadoras que tienen el mal hábito de buscar descargas de software en recursos en línea no confirmados y turbios corren el riesgo de que sus computadoras se vean comprometidas, porque los ciberdelincuentes se aprovechan de dichos usuarios. Además, estos usuarios de computadoras son objetivos fáciles porque a menudo también ignoran sus advertencias de software de ciberseguridad con respecto a tales descargas de torrents.

Hay una creencia errónea popular sobre las advertencias de antivirus y los torrentes: los usuarios tienden a asumir erróneamente que el antivirus marca cada grieta de software como malicioso. Si bien en algunos casos estas alertas pueden ser falsos positivos, la mayoría de las veces no lo son. Por lo tanto, para evitar infectarse, le recomendamos que elija recursos en línea oficiales y confirmados para obtener sus programas. Las víctimas de STOP / DJVU han informado que se infectaron después de abrir versiones pirateadas de estos populares programas: Adobe Photoshop, Internet Download Manager, Corel Draw, Adobe Illustrator, VMware Workstation, Tenorshare 4ukey, League of Legends y muchos otros.

Otra forma de propagar ransomware es insertando un script malicioso en DOCX, PDF, XLS u otro formato de archivo compatible con lenguajes de programación, y adjuntando dicho archivo a mensajes de correo electrónico engañosos. Los atacantes utilizan una técnica de spam malicioso, a menudo pretendiendo ser una entidad legítima (por ejemplo, una empresa minorista en línea conocida, una agencia de aplicación de la ley, una empresa de entrega de paquetes y otras). El archivo adjunto se puede nombrar como factura, detalles de seguimiento de paquetes, resumen de pedido, hoja de ruta, pago pendiente, etc. Los atacantes quieren que creas que el archivo adjunto fue enviado por una entidad confiable y te convencen de que abras el archivo adjunto lo antes posible. Desafortunadamente, abrir uno y, lo que es peor, deshabilitar el Modo seguro puede ejecutar scripts insertados que están diseñados para descargar la carga útil real y ejecutarla en su computadora.

Hoy en día, puede ser difícil identificar correos electrónicos peligrosos. Sin embargo, hay algunos patrones utilizados por los ciberdelincuentes, por lo que intentaremos describirlos. En primer lugar, evite abrir archivos adjuntos y enlaces de correo electrónico si puede sentir urgencia en el mensaje del remitente. En segundo lugar, busque una línea de saludo desconocida. En tercer lugar, los estafadores tienden a escribir la línea de asunto del correo electrónico en mayúsculas e insertar correos electrónicos no alineados profesionalmente que contienen logotipos de empresas de baja resolución. Por último, nos gustaría aconsejarle que evite los correos electrónicos que su proveedor de correo electrónico marque como spam sospechoso. Hoy en día, tampoco puedes confiar en la dirección de correo electrónico del remitente, porque los delincuentes utilizan técnicas de suplantación de correo electrónico que ayudan a enmascarar la dirección del remitente original.

Las víctimas de variaciones de ransomware STOP / DJVU deben tener cuidado con las herramientas de descifrado falsas disponibles en línea. Los informes muestran que los ciberdelincuentes tienden a cargar estas herramientas en recursos en línea sospechosos. Desafortunadamente, en lugar de descifrar .archivos nnqp, pueden infectar su computadora con un segundo ransomware y cifrar sus archivos de nuevo. Por esta razón, le recomendamos que siga las actualizaciones en nuestro sitio o en sitios de noticias de ciberseguridad de buena reputación. Mientras tanto, le recomendamos que lea la situación actual sobre descifrado y reparación de archivos cifrados STOP/DJVU.

Cómo funciona el ransomware NNQP: desglose de su funcionalidad

Esta sección describe el modus operandi del virus NNPQ y lo que hace después de infectar su sistema informático. En primer lugar, llega como un conjunto de ejecutables, con mayor frecuencia llamados build.exe, edificio 2.exe y otra llamada cadena de 4 caracteres, por ejemplo, 6GV7.exe. Algunas variaciones de STOP / DJVU también muestran una ventana de actualización de Windows falsa durante el ataque para justificar la repentina desaceleración del sistema. Esta ventana aparece desde un ejecutable llamado winupdate.exe.

En primer lugar, el ransomware comprueba si el equipo puede estar infectado con malware cifrado de datos. Por esta razón, se conecta a https//api.2ip.ua/geo.json y guarda la respuesta en geo.archivo json. Este archivo puede contener el nombre de su país, ciudad, código postal y otros detalles. Puede ver una captura de pantalla de este archivo a continuación. A continuación, el ransomware comprueba su lista de países de excepción para asegurarse de que el sistema pueda ser atacado. El virus tiende a cesar sus operaciones si descubre que su país coincide con uno de los siguientes países: Tayikistán, Ucrania, Kirguistán, Rusia, Siria, Kazachstan, Armenia, Bielorrusia y Uzbekistán.

Si no se encuentra una coincidencia, el ransomware procede a recopilar información sobre el sistema comprometido en información.archivo txt (como se muestra a continuación). El virus recopila detalles como el nombre de su computadora, nombre de usuario, versión del sistema operativo, marca de tiempo de infección, detalles de hardware, lista de software instalado y lista de procesos activos. El virus también toma una captura de pantalla del escritorio y la envía junto con la información.archivo txt a su servidor de control Comando&.

A continuación, el ransomware intenta obtener una clave de cifrado en línea de su servidor C& C. Si lo logra, lo guarda en bowsakkdestx.archivo txt junto con la identificación única de la víctima. De lo contrario, el ransomware utiliza una clave de cifrado fuera de línea que está codificada en el código del ransomware. De cualquier manera, la clave y el ID se guardarán en el archivo mencionado anteriormente y el ID se guardará en PersonalID.archivo txt ubicado en C:\SystemID. También es importante mencionar que el uso de claves de cifrado fuera de línea se conoce como el que da posibilidades de descifrar archivos en el futuro, como se explica aquí. Puede identificar si se utilizó el tipo de cifrado en línea o fuera de línea mirando los dos últimos caracteres en el PersonalID.archivo txt. Si estos son t1, indica cifrado de claves sin conexión.

El ransomware comienza a usar una combinación de cifrado Salsa20 y RSA – 2048 para bloquear todos los archivos en el sistema informático. Puede ver una captura de pantalla de la carpeta de datos afectada en la imagen de abajo.

Al mismo tiempo, el virus guarda _reame.copia de notas txt en cada carpeta de datos afectada. Una captura de pantalla de la nota de rescate se muestra a continuación.

Por último, el virus elimina el malware adicional que lleva consigo (como AZORULT o VIDAR) y elimina las instantáneas de volumen del sistema. Deshacerse de ellos garantiza que la víctima no tenga acceso a los Puntos de restauración del Sistema existentes. Además, el virus puede editar el archivo HOSTS de Windows para impedir el acceso a una lista de sitios web. Después de inspeccionar la lista de sitios web bloqueados, podemos decir que los atacantes intentan evitar que visite sitios web que proporcionan noticias de ciberseguridad relevantes e información sobre prevención de ransomware y respuesta a incidentes. Los intentos de visitar uno de los sitios web bloqueados pueden desencadenar un error DNS_PROBE_FINISHED_NXDOMAIN en su navegador web.

Elimine el Virus Ransomware NNQP y Descifre o Repare Sus archivos

En un caso desafortunado de convertirse en víctima de un ataque de malware de cifrado de archivos, le recomendamos que tome medidas y elimine el virus ransomware NNQP junto con otro malware de su computadora que ejecuta el sistema operativo Windows. La mejor manera de hacer esto es ejecutar su computadora en Modo Seguro con redes, así que asegúrese de leer las pautas sobre cómo hacerlo a continuación. Una vez que esté en dicho modo, elija el antivirus adecuado para la tarea. Nuestro equipo recomienda utilizar INTEGO Antivirus, que es una excelente herramienta para proteger su PC y detener el malware antes de que entre en él. Además, sugerimos descargar RESTORO para reparar el daño de virus en los archivos del sistema operativo Windows.

Puede encontrar el tutorial completo de eliminación de virus NNQP a continuación. No olvide informar a su agencia local de aplicación de la ley sobre el incidente del ransomware y cambiar todas sus contraseñas asociadas con la máquina infectada lo antes posible. Puede usar copias de seguridad de datos para recuperar sus archivos, o aprender sobre las posibilidades de descifrar/reparar archivos bloqueados por variantes STOP/DJVU (consulte la sección correspondiente a continuación o lea un artículo en profundidad al respecto aquí).

NUESTROS GEEKS RECOMIENDAN

Nuestro equipo recomienda un plan de rescate en dos pasos para eliminar el ransomware y otro malware restante de su computadora, además de reparar los daños causados por virus en el sistema:

PASO 1. ELIMINAR AUTOMÁTICAMENTE CON UN ANTIVIRUS ROBUSTO

Obtenga INTEGO ANTIVIRUS para Windows para eliminar ransomware, troyanos, adware y otras variantes de spyware y malware, y proteja su PC y unidades de red las 24 horas del día, los 7 días de la semana.. Este software de seguridad con certificación VB100 utiliza tecnología de vanguardia para proporcionar protección contra ransomware, ataques de día Cero y amenazas avanzadas, Intego Web Shield bloquea sitios web peligrosos, ataques de phishing, descargas maliciosas e instalación de programas potencialmente no deseados.

Utilice INTEGO Antivirus para eliminar las amenazas detectadas de su equipo.

Lea la reseña completa aquí.

PASO 2. REPARAR EL DAÑO DE VIRUS EN SU COMPUTADORA

RESTORO proporciona un análisis gratuito que ayuda a identificar problemas de hardware, seguridad y estabilidad y presenta un informe completo que puede ayudarlo a localizar y solucionar problemas detectados manualmente. Es un gran software de reparación de PC para usar después de eliminar malware con antivirus profesional. La versión completa del software solucionará los problemas detectados y reparará el daño de virus causado a los archivos del sistema operativo Windows automáticamente.

RESTORO utiliza el motor de análisis AVIRA para detectar spyware y malware existentes. Si se encuentran, el software los eliminará.

Lea la reseña completa aquí.

GeeksAdvice.com los editores seleccionan los productos recomendados en función de su eficacia. Podemos ganar una comisión de enlaces de afiliados, sin costo adicional para usted. Más información.

Norbert Webb es el jefe del equipo de asesoramiento de Geek. Es el editor jefe del sitio web que controla la calidad del contenido publicado. Al hombre también le encanta leer noticias de ciberseguridad, probar software nuevo y compartir sus conocimientos sobre ellos. Norbert dice que seguir su pasión por la tecnología de la información fue una de las mejores decisiones que ha tomado. «No tengo ganas de trabajar mientras hago algo que amo.»Sin embargo, el geek tiene otros intereses, como el snowboard y los viajes.