Conseils de Geek

Cibles de ransomware NNQP pour crypter toutes les données de votre ordinateur

Le ransomware NNQP est une variante de la famille de virus de cryptage de fichiers STOP / DJVU. Après avoir infecté le système cible par tromperie, il commence à analyser tous les dossiers et à chiffrer tous les fichiers qui s’y trouvent avec des algorithmes de cryptage Salsa20 et RSA-2048, en plus de marquer les fichiers affectés avec un supplément.extension nnqp. Comme vous pouvez le voir, le nom du virus provient de l’extension qu’il donne aux fichiers cryptés. Par exemple, un fichier initialement appelé 1.jpg devient 1.jpg.nnqp après l’attaque. De plus, ce ransomware supprime _readme.notes txt dans chaque dossier de données affecté. Cette note est censée informer la victime comment obtenir l’outil de décryptage de fichier NNQP. Comme expliqué dans la note, la seule façon de le faire est de payer une rançon lourde pour les cybercriminels.

Pour clarifier, le seul but de ce logiciel malveillant est de crypter tous les fichiers sur l’ordinateur de la victime, puis d’essayer d’extorquer à l’utilisateur de payer une rançon importante pour les opérateurs de virus ransomware NNQP. Les attaquants utilisent mal les algorithmes de cryptage des données. Dans les communications quotidiennes, le cryptage est généralement utilisé pour sécuriser la transmission d’informations afin que seule la personne qui possède la clé de déchiffrement puisse y accéder. Dans cette situation, les cybercriminels sont ceux qui ont la clé, alors ils essaient de la vendre pour vous après avoir bloqué illégalement votre accès à vos fichiers personnels.

Pour fournir à la victime des informations sur l’attaque, le ransomware est conçu pour déposer des notes de rançon appelées _readme.txt dans tout le système informatique. Ces notes spécifient que la seule façon de déchiffrer.les fichiers nnqp doivent payer une rançon. Les attaquants suggèrent de leur envoyer un fichier crypté qui ne contient aucune information précieuse afin qu’ils puissent prouver qu’ils peuvent déchiffrer toutes les données. La note de rançon précise d’inclure l’identifiant personnel de la victime dans l’e-mail qui lui est envoyé. Ils fournissent également deux adresses e–mail à utiliser – la principale, [email protected] et une alternative, [email protected] . Selon la note, le coût des outils de décryptage dépend de la rapidité avec laquelle la victime écrit aux attaquants. Si cela est fait dans les 72 premières heures suivant l’horodatage de l’infection, les escrocs promettent une réduction de 50%, ce qui fixe le prix à 490 $. Sinon, le prix de décryptage reste de 980 $.

Si vous envisagez de payer la rançon, nous aimerions vous avertir que ce n’est pas une option recommandée selon les experts en cybersécurité et le FBI. Non seulement cela ne garantit pas la récupération des données, mais cela contribue également à alimenter d’autres opérations de distribution de ransomwares. Les cybercriminels derrière ce type de malware gagnent des millions de dollars américains chaque année, cela ne fait que les encourager à poursuivre leurs sales affaires. De plus, il n’y a aucun moyen de retrouver les attaquants si vous décidez d’écouter leurs demandes – les attaquants n’accepteront pas les transactions bancaires régulières pour éviter d’être traqués. La seule façon dont ils acceptent les paiements est via la crypto-monnaie. Ils ont tendance à demander aux victimes d’acheter, par exemple, des Bitcoins valant le montant de la rançon réglée, puis à commander de transférer le montant sur leur portefeuille virtuel.

Un autre détail inquiétant de ce ransomware est qu’il a tendance à infecter les ordinateurs avec des logiciels malveillants qui volent des informations, par exemple les chevaux de Troie AZORULT ou VIDAR. Ces menaces permettent aux attaquants d’exécuter des commandes spécifiques sur l’ordinateur de la victime à distance et d’extraire diverses données sensibles qui peuvent être utilisées lors d’autres attaques ou de chantage – par exemple, vos mots de passe, vos coordonnées bancaires, votre historique de navigation, vos cookies, vos portefeuilles de crypto-monnaie, etc. Par conséquent, ne pensez pas que le paiement de la rançon résoudra tous les problèmes liés à votre ordinateur et à votre vie privée. Vous pouvez comprendre à quel point ces attaquants sont sournois car il n’y a pas une seule mention de logiciels malveillants supplémentaires déposés sur votre ordinateur dans le _readme.note txt.

Pour effacer les ravages causés sur votre ordinateur, nous vous recommandons de supprimer le virus NNQP ransomware sans délai. Pour cela, vous devez d’abord démarrer votre ordinateur en mode sans échec avec mise en réseau. Vous pouvez trouver des directives gratuites sur la façon de le faire ci-dessous cet article. Pour identifier les fichiers associés aux logiciels malveillants et aux diverses modifications du registre, nous vous suggérons d’utiliser une solution antivirus robuste, par exemple INTEGO Antivirus. De plus, vous voudrez peut-être télécharger RESTORO et l’utiliser pour réparer les dommages causés par des virus sur les fichiers du système d’exploitation Windows.

Ransomware Summary

SUPPRIMER LES LOGICIELS MALVEILLANTS & RÉPARER LES DOMMAGES CAUSÉS PAR LES VIRUS

Comment les virus de type ransomware sont distribués

Afin de prévenir d’autres infections par des logiciels malveillants et des ransomwares, il est important de savoir comment ces virus informatiques sont distribués et comment ils peuvent pénétrer dans votre ordinateur. En ce qui concerne ce ransomware particulier strain–STOP / DJVU (celui avec lequel vous avez été infecté), la méthode de distribution principale repose sur des versions logicielles piratées contenant des fissures, des générateurs de clés et d’autres outils. La plupart du temps, ceux-ci peuvent être téléchargés via des torrents. Les utilisateurs d’ordinateurs qui ont la mauvaise habitude de rechercher des téléchargements de logiciels sur des ressources en ligne non confirmées et louches risquent de compromettre leurs ordinateurs, car les cybercriminels sont la proie de ces utilisateurs. De plus, ces utilisateurs d’ordinateurs sont des cibles faciles car ils ignorent souvent les avertissements de leurs logiciels de cybersécurité concernant de tels téléchargements torrent.

Il existe une mauvaise opinion populaire sur les avertissements antivirus et les torrents – les utilisateurs ont tendance à supposer à tort que l’antivirus marque chaque fissure logicielle comme malveillante. Bien que dans certains cas, ces alertes puissent être des faux positifs, la plupart du temps, elles ne le sont pas. Par conséquent, pour éviter d’être infecté, nous vous recommandons de choisir des ressources en ligne officielles et confirmées pour obtenir vos programmes. Les victimes de STOP / DJVU ont déclaré avoir été infectées après l’ouverture de versions piratées de ces programmes populaires: Adobe Photoshop, Gestionnaire de téléchargement Internet, Corel Draw, Adobe Illustrator, VMware Workstation, Tenorshare 4ukey, League of Legends et bien d’autres.

Une autre façon de diffuser un ransomware consiste à insérer un script malveillant dans DOCX, PDF, XLS ou un autre format de fichier prenant en charge les langages de script, et à joindre ce fichier à des messages électroniques trompeurs. Les attaquants utilisent une technique de spam malveillante, prétendant souvent être une entité légitime (par exemple, une entreprise de vente au détail en ligne bien connue, un organisme d’application de la loi, une entreprise de livraison de colis et autres). La pièce jointe peut être nommée comme facture, détails de suivi de colis, récapitulatif de commande, lettre de transport, paiement en attente, etc. Les attaquants veulent que vous croyiez que la pièce jointe a été envoyée par une entité digne de confiance et vous convaincre d’ouvrir le fichier joint dès que possible. Malheureusement, l’ouverture d’un mode sécurisé et, pire encore, la désactivation du mode sécurisé peuvent exécuter des scripts insérés conçus pour télécharger la charge utile réelle et l’exécuter sur votre ordinateur.

De nos jours, il peut être difficile d’identifier les e-mails dangereux. Cependant, certains modèles sont utilisés par les cybercriminels, nous allons donc essayer de les décrire. Tout d’abord, évitez d’ouvrir des pièces jointes et des liens d’e-mail si vous pouvez sentir l’urgence dans le message de l’expéditeur. Deuxièmement, cherchez une ligne de voeux inconnue. Troisièmement, les escrocs ont tendance à écrire la ligne d’objet des e-mails en majuscules et à insérer des e-mails non alignés de manière professionnelle contenant des logos d’entreprise à basse résolution. Enfin, nous aimerions vous conseiller d’éviter les e-mails que votre fournisseur de messagerie marque comme des pourriels présumés. De nos jours, vous ne pouvez pas non plus faire confiance à l’adresse e-mail de l’expéditeur, car les criminels utilisent des techniques d’usurpation d’adresse e-mail qui aident à masquer l’adresse de l’expéditeur d’origine.

Les victimes des variantes de ransomware STOP/DJVU doivent se méfier des faux outils de décryptage disponibles en ligne. Les rapports montrent que les cybercriminels ont tendance à télécharger ces outils vers des ressources en ligne suspectes. Malheureusement, au lieu de décrypter.fichiers nnqp, ils peuvent infecter votre ordinateur avec un deuxième ransomware et crypter à nouveau vos fichiers. Pour cette raison, nous vous recommandons de suivre les mises à jour sur notre site ou sur des sites d’actualités de cybersécurité réputés. En attendant, nous vous recommandons de lire la situation actuelle sur le décryptage et la réparation des fichiers cryptés STOP / DJVU.

Comment fonctionne le ransomware NNQP: répartition de ses fonctionnalités

Cette section donne un aperçu du modus operandi du virus NNPQ et de ce qu’il fait après avoir infecté votre système informatique. Tout d’abord, il arrive sous la forme d’un ensemble d’exécutables, le plus souvent nommé build.exe, bâtiment2.exe et un autre nommé chaîne de 4 caractères, par exemple, 6GV7.EXE. Certaines variantes de STOP /DJVU affichent également une fausse fenêtre de mise à jour de Windows pendant l’attaque pour justifier le ralentissement soudain du système. Cette fenêtre apparaît à partir d’un exécutable nommé winupdate.EXE.

Tout d’abord, le ransomware vérifie si l’ordinateur peut être infecté par des logiciels malveillants cryptés. Pour cette raison, il se connecte à https//api.2ip.ua/geo.json et enregistre la réponse dans geo.fichier json. Ce fichier peut contenir le nom de votre pays, votre ville, votre code postal et d’autres détails. Vous pouvez voir une capture d’écran de ce fichier ci-dessous. Le ransomware vérifie ensuite sa liste de pays d’exception pour s’assurer que le système peut être attaqué. Le virus a tendance à cesser ses opérations s’il constate que votre pays correspond à l’un des pays suivants: Tadjikistan, Ukraine, Kirghizistan, Russie, Syrie, Kazachstan, Arménie, Biélorussie ou Ouzbékistan.

Si une correspondance n’est pas trouvée, le ransomware procède à la collecte d’informations sur le système compromis en informations.fichier txt (comme illustré ci-dessous). Le virus rassemble des détails tels que le nom de votre ordinateur, le nom d’utilisateur, la version du système d’exploitation, l’horodatage de l’infection, les détails du matériel, la liste des logiciels installés et la liste des processus actifs. Le virus prend également une capture d’écran du bureau et l’envoie le long des informations.fichier txt à son serveur de contrôle de commande &.

Ensuite, le ransomware essaie d’obtenir une clé de cryptage en ligne à partir de son serveur C& C. S’il réussit à le faire, il l’enregistre dans bowsakkdestx.fichier txt avec l’identifiant unique de la victime. Sinon, le ransomware utilise une clé hors ligne pour le cryptage qui est codée en dur dans le code du ransomware. De toute façon, la clé et l’identifiant seront enregistrés dans le fichier susmentionné et l’identifiant sera enregistré dans PersonalID.fichier txt situé dans C:\SystemID . Il est également important de mentionner que l’utilisation de la clé de chiffrement hors ligne est connue comme celle qui donne des chances de déchiffrer des fichiers à l’avenir, comme expliqué ici. Vous pouvez identifier si le type de cryptage en ligne ou hors ligne a été utilisé en regardant les deux derniers caractères de l’identifiant personnel.fichier txt. S’il s’agit de t1, cela indique un cryptage de clé hors ligne.

Le ransomware commence alors à utiliser une combinaison de cryptage Salsa20 et RSA-2048 pour verrouiller tous les fichiers du système informatique. Vous pouvez voir une capture d’écran du dossier de données affecté dans l’image ci-dessous.

Simultanément, le virus enregistre _readme.copie de note txt dans chaque dossier de données affecté. Une capture d’écran de la demande de rançon est affichée ci-dessous.

Enfin, le virus supprime les logiciels malveillants supplémentaires apportés à ses côtés (tels que AZORULT ou VIDAR) et supprime les Shadow Copies de volume du système. Se débarrasser de ceux-ci garantit que la victime n’aura pas accès aux points de restauration du système existants. De plus, le virus peut modifier votre fichier HÔTES Windows pour empêcher l’accès à une liste de sites Web. Après avoir inspecté la liste des sites Web bloqués, nous pouvons dire que les attaquants essaient de vous empêcher de visiter des sites Web qui fournissent des nouvelles et des informations pertinentes sur la cybersécurité concernant la prévention des ransomwares et la réponse aux incidents. Les tentatives de visiter l’un des sites Web bloqués peuvent déclencher une erreur DNS_PROBE_FINISHED_NXDOMAIN dans votre navigateur Web.

Supprimer le virus Ransomware NNQP et Décrypter ou Réparer Vos fichiers

Dans un cas malheureux de devenir victime d’une attaque de logiciels malveillants cryptant les fichiers, nous vous recommandons de prendre des mesures et de supprimer le virus ransomware NNQP ainsi que d’autres logiciels malveillants de votre ordinateur exécutant le système d’exploitation Windows. La meilleure façon de le faire est d’exécuter votre ordinateur en mode sans échec avec la mise en réseau, alors assurez-vous de lire les directives sur la façon de le faire ci-dessous. Une fois que vous êtes dans ledit mode, choisissez le bon antivirus pour la tâche. Notre équipe recommande d’utiliser INTEGO Antivirus, qui est un excellent outil pour protéger votre PC et arrêter les logiciels malveillants avant qu’ils n’y pénètrent. De plus, nous vous suggérons de télécharger RESTORO pour réparer les dommages causés par les virus sur les fichiers du système d’exploitation Windows.

Vous pouvez trouver le tutoriel complet de suppression de virus NNQP ci-dessous. N’oubliez pas d’informer votre organisme d’application de la loi local de l’incident du ransomware et de modifier tous vos mots de passe associés à la machine infectée dès que possible. Vous pouvez utiliser des sauvegardes de données pour récupérer vos fichiers, ou en apprendre davantage sur les chances de déchiffrer / réparer des fichiers verrouillés par des variantes STOP / DJVU (voir la section correspondante ci-dessous ou lire un article détaillé à ce sujet ici).

NOS GEEKS RECOMMANDENT

Notre équipe recommande un plan de sauvetage en deux étapes pour supprimer les ransomwares et autres logiciels malveillants restants de votre ordinateur, ainsi que la réparation des dommages causés par les virus au système:

ÉTAPE 1. SUPPRIMER AUTOMATIQUEMENT AVEC UN ANTIVIRUS ROBUSTE

Obtenez INTEGO ANTIVIRUS pour Windows pour supprimer les ransomwares, chevaux de Troie, logiciels publicitaires et autres variantes de logiciels espions et de logiciels malveillants et protéger votre PC et vos lecteurs réseau 24h/24 et 7j/7.. Ce logiciel de sécurité certifié VB100 utilise une technologie de pointe pour fournir une protection contre les ransomwares, les attaques Zero-Day et les menaces avancées, Intego Web Shield bloque les sites Web dangereux, les attaques de phishing, les téléchargements malveillants et l’installation de programmes potentiellement indésirables.

Utilisez INTEGO Antivirus pour supprimer les menaces détectées de votre ordinateur.

Lire la critique complète ici.

ÉTAPE 2. RÉPARER LES DOMMAGES CAUSÉS PAR LES VIRUS À VOTRE ORDINATEUR

RESTORO fournit une analyse gratuite qui aide à identifier les problèmes de matériel, de sécurité et de stabilité et présente un rapport complet qui peut vous aider à localiser et à résoudre manuellement les problèmes détectés. C’est un excellent logiciel de réparation de PC à utiliser après avoir supprimé les logiciels malveillants avec un antivirus professionnel. La version complète du logiciel corrigera les problèmes détectés et réparera automatiquement les dommages causés par les virus à vos fichiers du système d’exploitation Windows.

RESTORO utilise le moteur d’analyse AVIRA pour détecter les logiciels espions et les logiciels malveillants existants. S’il en trouve, le logiciel les éliminera.

Lire la critique complète ici.

GeeksAdvice.com les éditeurs sélectionnent les produits recommandés en fonction de leur efficacité. Nous pouvons gagner une commission sur les liens d’affiliation, sans frais supplémentaires pour vous. En savoir plus.

Norbert Webb est le chef de l’équipe de conseil Geek. Il est le rédacteur en chef du site Web qui contrôle la qualité du contenu publié. L’homme aime également lire les nouvelles sur la cybersécurité, tester de nouveaux logiciels et partager ses idées à leur sujet. Norbert dit que suivre sa passion pour les technologies de l’information a été l’une des meilleures décisions qu’il ait jamais prises. « Je n’ai pas envie de travailler pendant que je fais quelque chose que j’aime. »Cependant, le geek a d’autres intérêts, comme le snowboard et les voyages.