Geek’s Advice

NNQP ransomware obiettivi per crittografare tutti i dati sul computer

NNQP ransomware è una variante di STOP/DJVU file-crittografia famiglia di virus. Dopo aver infettato il sistema di destinazione con l’inganno, inizia a scansionare tutte le cartelle e crittografare tutti i file trovati in esse con algoritmi di crittografia Salsa20 e RSA-2048, oltre a contrassegnare i file interessati con un ulteriore .estensione nnqp. Come puoi vedere, il nome del virus deriva dall’estensione che fornisce per i file crittografati. Ad esempio, un file originariamente chiamato 1.jpg diventa 1.jpg.nnqp dopo l’attacco. Inoltre, questo ransomware gocce _readme.note txt in ogni cartella dati interessati. Questa nota dovrebbe informare la vittima come ottenere lo strumento di decrittazione del file NNQP. Come spiegato nella nota, l’unico modo per farlo è quello di pagare un riscatto pesante per i criminali informatici.

Per chiarire, l’unico scopo di questo malware è quello di crittografare tutti i file sul computer della vittima e quindi cercare di estorcere all’utente di pagare un grosso riscatto per gli operatori di virus ransomware NNQP. Gli aggressori mettere algoritmi di crittografia dei dati a cattivo uso. Nelle comunicazioni quotidiane, la crittografia viene in genere utilizzata per proteggere la trasmissione delle informazioni in modo che solo la persona che ha la chiave di decrittografia possa accedervi. In questa situazione, i criminali informatici sono quelli che hanno la chiave, quindi cercano di venderla per te dopo aver bloccato illegalmente l’accesso ai tuoi file personali.

Per fornire alla vittima informazioni sull’attacco, il ransomware è progettato per eliminare le note di riscatto chiamate _readme.txt in tutto il sistema informatico. Queste note specificano che l’unico modo per decifrare .file nnqp è quello di pagare un riscatto. Gli aggressori suggeriscono di inviare un file crittografato che non contiene informazioni preziose a loro in modo che possano dimostrare di poter decifrare tutti i dati. La richiesta di riscatto specifica di includere ID personale della vittima nella e-mail a loro. Essi forniscono anche due indirizzi e-mail da utilizzare-quello primario, [email protected] e uno alternativo, [email protected]. Secondo la nota, il costo degli strumenti di decrittografia dipende da quanto velocemente la vittima scrive agli aggressori. Se questo viene fatto entro le prime 72 ore dopo l’infezione timestamp, i truffatori promettono uno sconto del 50%, che imposta il prezzo a $490. In caso contrario, il prezzo di decrittazione rimane $980.

Se stai pensando di pagare il riscatto, vorremmo avvertirti che questa non è un’opzione consigliata secondo gli esperti di sicurezza informatica e l’FBI. Non solo non garantisce il recupero dei dati, ma aiuta anche ad alimentare ulteriori operazioni di distribuzione ransomware. I criminali informatici dietro questo tipo di malware guadagnano milioni in dollari USA ogni anno, quindi li incoraggia solo a continuare i loro affari sporchi. Inoltre, non c’è modo di rintracciare gli aggressori se decidi di ascoltare le loro richieste: gli aggressori non accetteranno transazioni bancarie regolari per evitare di essere rintracciati. L’unico modo in cui accettano i pagamenti è tramite criptovaluta. Tendono a chiedere alle vittime di acquistare, ad esempio, Bitcoin del valore dell’importo del riscatto stabilito, e quindi comandare di trasferire l’importo sul loro portafoglio virtuale.

Un altro dettaglio preoccupante su questo ransomware è che tende a infettare i computer con informazioni-furto di malware, per esempio, AZORULT o VIDAR Trojan. Queste minacce consentono agli aggressori di eseguire comandi specifici sul computer della vittima in remoto ed estrarre vari dati sensibili che possono essere utilizzati in ulteriori attacchi o ricatti, ad esempio password, dettagli bancari, cronologia di navigazione, cookie, portafogli di criptovaluta e altro ancora. Pertanto, non pensare che pagare il riscatto risolverà tutti i problemi con il tuo computer e la tua privacy. Si può capire come subdolo questi aggressori sono perché non c’è una sola menzione di malware aggiuntivo caduto sul computer nel _readme.nota txt.

Per chiarire il caos causato sul computer, si consiglia di rimuovere NNQP ransomware virus senza alcun ritardo. Per questo, è necessario avviare il computer in modalità provvisoria con la rete prima. Puoi trovare linee guida gratuite su come farlo sotto questo articolo. Per identificare i file associati con il malware e varie modifiche del registro di sistema, si consiglia di utilizzare una soluzione antivirus robusta, per esempio, INTEGO Antivirus. Inoltre, si consiglia di scaricare RESTORO e usarlo per riparare i danni causati da virus sui file del sistema operativo Windows.

Ransomware Summary

RIMUOVERE MALWARE & RIPARARE I DANNI DA VIRUS

Come vengono distribuiti i virus di tipo ransomware

Al fine di prevenire ulteriori infezioni da malware e ransomware, è importante sapere come vengono distribuiti questi virus informatici e come possono entrare nel computer. Quando si tratta di questo particolare ceppo ransomware-STOP / DJVU (quello che è stato infettato con), il metodo di distribuzione primaria si basa su versioni di software pirata contenenti crepe, generatori di chiavi e altri strumenti. La maggior parte del tempo, questi possono essere scaricati tramite torrent. Gli utenti di computer che hanno la cattiva abitudine di cercare download di software su risorse online non confermate e ombreggiate sono a rischio di compromettere i loro computer, perché i criminali informatici prede per tali utenti. Inoltre, questi utenti di computer sono bersagli facili perché spesso ignorano anche i loro avvisi software di sicurezza informatica riguardanti tali download torrent.

C’è un malinteso popolare su avvisi antivirus e torrent – gli utenti tendono a supporre erroneamente che antivirus contrassegna ogni crepa software come dannoso. Mentre in alcuni casi questi avvisi possono essere falsi positivi, il più delle volte non lo sono. Pertanto, per evitare di essere infettati, ti consigliamo di scegliere risorse online ufficiali e confermate da cui ottenere i tuoi programmi. Le vittime di STOP / DJVU hanno riferito di essere stati infettati dopo l’apertura di versioni pirata di questi programmi popolari: Adobe Photoshop, Internet Download Manager, Corel Draw, Adobe Illustrator, VMware Workstation, Tenorshare 4ukey, League of Legends e molti altri.

Un altro modo per diffondere ransomware è inserendo uno script dannoso in DOCX, PDF, XLS o un altro formato di file che supporta linguaggi di scripting, e allegando tale file ai messaggi di posta elettronica ingannevoli. Gli aggressori utilizzano la tecnica dello spam dannoso, spesso fingendo di essere un’entità legittima (ad esempio, una nota società di vendita al dettaglio online, un’agenzia di applicazione della legge, un’azienda di consegna pacchi e altri). L’allegato può essere denominato come fattura, dettagli di tracciamento dei pacchi, riepilogo dell’ordine, lettera di vettura, pagamento in sospeso, ecc. Gli aggressori vogliono che tu creda che l’allegato sia stato inviato da un’entità affidabile e ti convinca ad aprire il file allegato il prima possibile. Sfortunatamente, aprendone uno e, peggio ancora, disabilitando la modalità protetta, è possibile eseguire script inseriti progettati per scaricare il payload effettivo ed eseguirlo sul computer.

Al giorno d’oggi, può essere difficile identificare le email pericolose. Tuttavia, ci sono alcuni modelli utilizzati dai criminali informatici, quindi cercheremo di descriverli. Prima di tutto, evita di aprire allegati e link di posta elettronica se riesci a percepire l’urgenza nel messaggio del mittente. In secondo luogo, guardare fuori per linea di saluto sconosciuto. In terzo luogo, i truffatori tendono a scrivere la riga dell’oggetto e-mail in lettere maiuscole e inserire e-mail non professionali allineate contenenti loghi aziendali a bassa risoluzione. Infine, ti consigliamo di evitare le email che il tuo provider di posta elettronica contrassegna come spam sospetto. Al giorno d’oggi, non puoi fidarti dell’indirizzo email del mittente, perché i criminali fanno uso di tecniche di spoofing delle email che aiutano a mascherare l’indirizzo del mittente originale.

Le vittime di STOP / DJVU ransomware variazioni dovrebbero fare attenzione di strumenti di decrittografia falsi disponibili online. I rapporti mostrano che i criminali informatici tendono a caricare questi strumenti su risorse online sospette. Sfortunatamente, invece di decifrare .file nnqp, possono infettare il computer con il secondo ransomware e crittografare nuovamente i file. Per questo motivo, ti consigliamo di seguire gli aggiornamenti sul nostro sito o su siti di notizie affidabili sulla sicurezza informatica. Nel frattempo, ti consigliamo di leggere la situazione attuale sulla decrittografia e la riparazione di file crittografati STOP/DJVU.

Come funziona il ransomware NNQP: ripartizione della sua funzionalità

Questa sezione panoramica del modus operandi di virus NNPQ e che cosa fa dopo aver infettato il sistema informatico. Prima di tutto, arriva come un insieme di eseguibili, il più delle volte chiamato come build.exe, build2.exe e un altro chiamato come stringa di 4 caratteri, ad esempio, 6GV7.exe. Alcune varianti di STOP / DJVU mostrano anche una falsa finestra di Windows Update durante l’attacco per giustificare l’improvviso rallentamento del sistema. Questa finestra viene visualizzata da un eseguibile denominato winupdate.exe.

Prima di tutto, il ransomware controlla se il computer può essere infettato da malware crittografato dati. Per questo motivo, si connette a https / / api. 2ip. ua / geo. json e salva la risposta in geo.file json. Questo file può contenere il nome del paese, città, codice postale e altri dettagli. Puoi vedere uno screenshot di questo file in basso. Il ransomware controlla quindi la sua lista dei paesi di eccezione per garantire che il sistema possa essere attaccato. Il virus tende a cessare le sue operazioni se scopre che il tuo paese corrisponde a uno dei seguenti paesi: Tagikistan, Ucraina, Kirghizistan, Russia, Siria, Kazachstan, Armenia, Bielorussia o Uzbekistan.

Se non viene trovata una corrispondenza, il ransomware procede a raccogliere alcune informazioni sul sistema compromesso in informazioni.file txt (come illustrato di seguito). Il virus raccoglie dettagli come il nome del computer, nome utente, versione del sistema operativo, timestamp infezione, dettagli hardware, elenco software installato e processi attivi lista. Il virus prende anche uno screenshot del desktop e lo invia lungo le informazioni.file txt al suo comando & Server di controllo.

Successivamente, il ransomware cerca di ottenere una chiave di crittografia online dal suo server C&C. Se riesce a farlo, lo salva su bowsakkdestx.file txt con ID univoco della vittima. In caso contrario, il ransomware utilizza una chiave offline per la crittografia che è hardcoded nel codice del ransomware. In entrambi i casi, la chiave e l’ID verranno salvati nel file di cui sopra e l’ID verrà salvato in PersonalID.file txt situato in C:\SystemID. È anche importante ricordare che l’utilizzo della chiave di crittografia offline è noto come quello che dà la possibilità di decifrare i file in futuro, come spiegato qui. È possibile identificare se è stato utilizzato il tipo di crittografia online o offline osservando gli ultimi due caratteri nell’ID personale.file txt. Se questi sono t1, indica la crittografia della chiave offline.

Il ransomware inizia quindi utilizzando una combinazione di crittografia Salsa20 e RSA-2048 per bloccare tutti i file sul sistema informatico. Puoi vedere uno screenshot della cartella dati interessata nell’immagine qui sotto.

Contemporaneamente, il virus salva _readme.txt nota copia in ogni cartella di dati interessati. Uno screenshot della richiesta di riscatto è mostrato in basso.

Infine, il virus scende malware aggiuntivo portato al suo fianco (come AZORULT o VIDAR) ed elimina le copie Shadow del volume dal sistema. Sbarazzarsi di quelli assicura che la vittima non avrà accesso ai punti di ripristino del sistema esistenti. Inoltre, il virus può modificare il file HOSTS di Windows per impedire l’accesso a un elenco di siti web. Dopo aver ispezionato l’elenco dei siti Web bloccati, possiamo dire che gli aggressori cercano di impedirti di visitare siti Web che forniscono notizie e informazioni pertinenti sulla sicurezza informatica per quanto riguarda la prevenzione del ransomware e la risposta agli incidenti. I tentativi di visitare uno dei siti Web bloccati possono innescare errore DNS_PROBE_FINISHED_NXDOMAIN nel browser web.

Rimuovere NNQP Ransomware Virus e decifrare o riparare i file

In uno sfortunato caso di diventare vittima di un attacco di malware di crittografia dei file, si consiglia di agire e rimuovere NNQP ransomware virus insieme ad altri malware dal computer che esegue il sistema operativo Windows. Il modo migliore per farlo è eseguire il computer in modalità provvisoria con rete, quindi assicuratevi di leggere le linee guida su come farlo qui sotto. Una volta che sei in questa modalità, scegli l’antivirus giusto per l’attività. Il nostro team consiglia di utilizzare INTEGO Antivirus, che è uno strumento eccellente per proteggere il PC e fermare il malware prima che entri in esso. Inoltre, ti consigliamo di scaricare RESTORO per riparare i danni da virus sui file del sistema operativo Windows.

Puoi trovare il tutorial completo per la rimozione dei virus NNQP qui sotto. Non dimenticare di informare la tua agenzia di polizia locale sull’incidente ransomware e modificare tutte le password associate alla macchina infetta il prima possibile. È possibile utilizzare i backup dei dati per recuperare i file, o conoscere le possibilità di decifrare/riparare i file bloccati da STOP/DJVU varianti (vedere la sezione corrispondente qui sotto o leggere l’articolo approfondito su di esso qui).

I NOSTRI GEEK RACCOMANDANO

Il nostro team raccomanda un piano di salvataggio in due fasi per rimuovere ransomware e altri malware rimanenti dal computer, oltre a riparare causato danni da virus al sistema:

PUNTO 1. RIMUOVERE AUTOMATICAMENTE CON ANTIVIRUS ROBUSTO

Ottieni INTEGO ANTIVIRUS per Windows per rimuovere ransomware, trojan, adware e altre varianti di spyware e malware e proteggere il tuo PC e le unità di rete 24/7.. Questo software di sicurezza certificato VB100 utilizza una tecnologia all’avanguardia per fornire protezione contro ransomware, attacchi Zero-Day e minacce avanzate, Intego Web Shield blocca siti Web pericolosi, attacchi di phishing, download dannosi e installazione di programmi potenzialmente indesiderati.

Utilizzare INTEGO Antivirus per rimuovere le minacce rilevate dal computer.

Leggi la recensione completa qui.

PUNTO 2. RIPARARE I DANNI DA VIRUS AL COMPUTER

RESTORO fornisce una scansione gratuita che aiuta a identificare i problemi di hardware, sicurezza e stabilità e presenta un rapporto completo che può aiutare a individuare e risolvere i problemi rilevati manualmente. Si tratta di un ottimo software di riparazione PC da utilizzare dopo aver rimosso il malware con antivirus professionale. La versione completa del software risolverà i problemi rilevati e riparare i danni da virus causati ai file del sistema operativo Windows automaticamente.

RESTORO utilizza AVIRA scanning engine per rilevare spyware e malware esistenti. Se ne vengono trovati, il software li eliminerà.

Leggi la recensione completa qui.

GeeksAdvice.com gli editori selezionano i prodotti consigliati in base alla loro efficacia. Possiamo guadagnare una commissione da link di affiliazione, senza alcun costo aggiuntivo per voi. Per saperne di più.

Norbert Webb è il capo del team di consulenza di Geek. È il capo redattore del sito web che controlla la qualità dei contenuti pubblicati. L’uomo ama anche leggere notizie di sicurezza informatica, testare nuovi software e condividere le sue intuizioni su di loro. Norbert dice che seguendo la sua passione per la tecnologia dell’informazione è stata una delle migliori decisioni che abbia mai fatto. “Non ho voglia di lavorare mentre faccio qualcosa che amo.”Tuttavia, il geek ha altri interessi, come lo snowboard e viaggiare.