Geek’ s Advice

nnqp ransomware służy do szyfrowania wszystkich danych na komputerze

NNQP ransomware jest odmianą rodziny wirusów szyfrujących pliki STOP / DJVU. Po zainfekowaniu docelowego systemu oszustwem, rozpoczyna skanowanie wszystkich folderów i szyfrowanie wszystkich znajdujących się w nich plików za pomocą algorytmów szyfrowania Salsa20 i RSA-2048, a także znakowanie dotkniętych plików dodatkowym .rozszerzenie nnqp. Jak widać, nazwa wirusa pochodzi od rozszerzenia, które daje dla zaszyfrowanych plików. Na przykład plik pierwotnie nazwany 1.jpg staje się 1.jpg.nnqp po ataku. Dodatkowo to oprogramowanie Ransomware spada _readme.notatki txt w każdym folderze danych. Ta notatka ma informować ofiarę, jak uzyskać narzędzie do odszyfrowywania plików NNQP. Jak wyjaśniono w nocie, jedynym sposobem, aby to zrobić, jest zapłacenie ogromnego okupu za cyberprzestępców.

aby wyjaśnić, jedynym celem tego złośliwego oprogramowania jest zaszyfrowanie wszystkich plików na komputerze ofiary, a następnie próba wymuszenia na użytkowniku zapłaty dużego okupu za operatorów wirusów NNQP ransomware. Napastnicy źle wykorzystują algorytmy szyfrowania danych. W codziennej komunikacji szyfrowanie jest zwykle używane do zabezpieczenia transmisji informacji, aby tylko osoba, która ma klucz deszyfrujący, mogła uzyskać do niego dostęp. W tej sytuacji to cyberprzestępcy mają klucz, więc próbują go sprzedać za ciebie po nielegalnym zablokowaniu dostępu do Twoich osobistych plików.

aby zapewnić ofierze informacje o ataku, oprogramowanie ransomware ma na celu upuszczanie notatek okupu o nazwie _readme.txt w całym systemie komputerowym. Te uwagi określają, że jedynym sposobem, aby odszyfrować .pliki nnqp mają zapłacić okup. Atakujący sugerują wysłanie jednego zaszyfrowanego pliku, który nie zawiera żadnych cennych informacji, aby mogli udowodnić, że mogą odszyfrować wszystkie dane. W wiadomości e-mail z żądaniem okupu należy podać osobisty identyfikator ofiary. Udostępniają również dwa adresy e – mail do wykorzystania-główny, [email protected] i alternatywną, [email protected]. zgodnie z notatką koszt narzędzi deszyfrujących zależy od tego, jak szybko ofiara pisze do napastników. Jeśli zostanie to zrobione w ciągu pierwszych 72 godzin po znaczniku czasu infekcji, oszuści obiecują 50% zniżki, która ustala cenę na 490 USD. W przeciwnym razie cena deszyfrowania pozostaje $980.

jeśli myślisz o zapłaceniu okupu, ostrzegamy, że nie jest to zalecana opcja według ekspertów ds. cyberbezpieczeństwa i FBI. Nie tylko nie gwarantuje odzyskiwania danych, ale także pomaga napędzać dalsze operacje dystrybucji oprogramowania ransomware. Cyberprzestępcy stojący za takim złośliwym oprogramowaniem zarabiają miliony dolarów rocznie, więc zachęca ich to tylko do kontynuowania brudnej działalności. Co więcej, nie ma sposobu na śledzenie napastników, jeśli zdecydujesz się wysłuchać ich żądań – napastnicy nie będą akceptować regularnych transakcji bankowych, aby uniknąć wyśledzenia. Jedynym sposobem, w jaki akceptują płatności, jest kryptowaluta. Zwykle proszą ofiary o zakup, na przykład, bitcoinów o wartości ustalonej kwoty okupu, a następnie nakazują przelanie tej kwoty do ich Wirtualnego portfela.

innym niepokojącym szczegółem na temat tego oprogramowania ransomware jest to, że ma tendencję do infekowania komputerów złośliwym oprogramowaniem kradnącym informacje, na przykład trojanami AZORULT lub VIDAR. Zagrożenia te umożliwiają atakującym Zdalne uruchamianie określonych poleceń na komputerze ofiary i wyodrębnianie różnych poufnych danych, które mogą być wykorzystane w dalszych atakach lub szantażowaniu – na przykład haseł, danych bankowych, historii przeglądania, plików cookie, portfeli kryptowalut i innych. Dlatego nie myśl, że płacenie okupu rozwiąże wszystkie problemy z komputerem i prywatnością. Możesz zrozumieć, jak podstępni są ci napastnicy, ponieważ nie ma ani jednej wzmianki o dodatkowym złośliwym oprogramowaniu upuszczonym na Twój komputer w _readme.notka txt.

aby usunąć spustoszenie spowodowane na komputerze, zalecamy niezwłoczne usunięcie wirusa ransomware NNQP. W tym celu należy najpierw uruchomić komputer w Trybie Awaryjnym z siecią. Możesz znaleźć bezpłatne wskazówki, jak to zrobić poniżej tego artykułu. Aby zidentyfikować pliki związane z złośliwym oprogramowaniem i różnymi modyfikacjami rejestru, zalecamy użycie solidnego rozwiązania antywirusowego, na przykład INTEGO Antivirus. Dodatkowo możesz pobrać RESTORO i użyć go do naprawy uszkodzeń spowodowanych przez wirusy w plikach systemu operacyjnego Windows.

Ransomware Summary

Usuń złośliwe oprogramowanie & napraw uszkodzenia wirusów

w jaki sposób rozpowszechniane są wirusy typu ransomware

aby zapobiec dalszym infekcjom złośliwym oprogramowaniem i oprogramowaniem ransomware, ważne jest, aby dowiedzieć się, w jaki sposób te wirusy komputerowe są rozpowszechniane i jak mogą dostać się do komputera. Jeśli chodzi o ten konkretny szczep ransomware-STOP / DJVU (ten, który został zainfekowany), podstawowa metoda dystrybucji opiera się na pirackich wersjach oprogramowania zawierających pęknięcia, generatory kluczy i inne narzędzia. Przez większość czasu można je pobrać za pośrednictwem torrentów. Użytkownicy komputerów, którzy mają zły nawyk wyszukiwania programów do pobrania na niepotwierdzonych i zacienionych zasobów internetowych, są narażeni na ryzyko naruszenia ich komputerów, ponieważ cyberprzestępcy żerują na takich użytkownikach. Co więcej, ci użytkownicy komputerów są łatwymi celami, ponieważ często ignorują Ostrzeżenia dotyczące oprogramowania cyberbezpieczeństwa dotyczące pobierania torrentów.

istnieje popularne błędne przekonanie o ostrzeżeniach antywirusowych i torrentach – użytkownicy mają tendencję do błędnego zakładania, że program antywirusowy oznacza każde pęknięcie oprogramowania jako złośliwe. Chociaż w niektórych przypadkach alerty te mogą być fałszywie dodatnie, w większości przypadków tak nie jest. Dlatego, aby uniknąć zakażenia, zalecamy wybranie oficjalnych i potwierdzonych zasobów internetowych, z których można pobrać programy. Ofiary STOP / DJVU zgłosiły zakażenie po otwarciu pirackich wersji tych popularnych programów: Adobe Photoshop, Internet Download Manager, Corel Draw, Adobe Illustrator, VMWare Workstation, Tenorshare 4ukey, League of Legends i wielu innych.

innym sposobem rozprzestrzeniania oprogramowania ransomware jest wstawianie złośliwego skryptu do DOCX, PDF, XLS lub innego formatu pliku obsługującego języki skryptowe i dołączanie takiego pliku do zwodniczych wiadomości e-mail. Napastnicy wykorzystują technikę złośliwego spamu, często udając legalny podmiot (na przykład znaną firmę zajmującą się sprzedażą detaliczną online, organy ścigania, firmę dostarczającą paczki i inne). Załącznik może być nazwany jako faktura, szczegóły śledzenia paczek, podsumowanie zamówienia, list przewozowy, oczekująca płatność itp. Atakujący chcą, abyś uwierzył, że Załącznik został wysłany przez godny zaufania podmiot i przekonał cię do jak najszybszego otwarcia załączonego pliku. Niestety, otwarcie jednego i, co gorsza, wyłączenie trybu zabezpieczonego może uruchomić wstawione skrypty, które są przeznaczone do pobrania rzeczywistego ładunku i uruchomienia go na komputerze.

w dzisiejszych czasach trudno jest zidentyfikować niebezpieczne e-maile. Istnieją jednak pewne wzorce stosowane przez cyberprzestępców, więc postaramy się je opisać. Przede wszystkim unikaj otwierania załączników i łączy e-mail, jeśli możesz wyczuć pilność w wiadomości nadawcy. Po drugie, zwróć uwagę na nieznaną linię powitania. Po trzecie, oszuści mają tendencję do pisania tematu wiadomości wielkimi literami i wstawiania nieprofesjonalnie wyrównanych wiadomości e-mail zawierających logo firmy o niskiej rozdzielczości. Na koniec chcielibyśmy doradzić, aby unikać wiadomości e-mail, które dostawca poczty e-mail oznacza jako podejrzewany spam. W dzisiejszych czasach nie można również ufać adresowi e-mail nadawcy, ponieważ przestępcy wykorzystują techniki fałszowania wiadomości e-mail, które pomagają maskować oryginalny adres nadawcy.

ofiary ransomware STOP / DJVU powinny uważać na fałszywe narzędzia deszyfrujące dostępne online. Raporty pokazują, że cyberprzestępcy mają tendencję do przesyłania tych narzędzi do podejrzanych zasobów internetowych. Niestety, zamiast odszyfrować .pliki nnqp, mogą zainfekować komputer drugim oprogramowaniem ransomware i ponownie zaszyfrować pliki. Z tego powodu zalecamy Śledzenie aktualizacji na naszej stronie lub w renomowanych witrynach z wiadomościami o cyberbezpieczeństwie. W międzyczasie zalecamy zapoznanie się z aktualną sytuacją dotyczącą deszyfrowania i naprawy zaszyfrowanych plików STOP / DJVU.

jak działa nnqp ransomware: podział jego funkcjonalności

w tej sekcji omówiono sposób działania wirusa NNPQ i to, co robi po zainfekowaniu systemu komputerowego. Przede wszystkim pojawia się jako zbiór plików wykonywalnych, najczęściej nazywanych jako build.exe, build2.exe i inny o nazwie 4-znakowego łańcucha, na przykład 6gv7.exe. Niektóre odmiany STOP / DJVU również wyświetlają fałszywe okno aktualizacji Windows podczas ataku, aby uzasadnić nagłe spowolnienie systemu. To okno zostanie wyświetlone z pliku wykonywalnego o nazwie winupdate.exe.

przede wszystkim oprogramowanie ransomware sprawdza, czy komputer może zostać zainfekowany złośliwym oprogramowaniem zaszyfrowanym danymi. Z tego powodu łączy się z https / / api. 2IP. ua / geo.JSON i zapisuje odpowiedź do geo.plik json. Ten plik może zawierać nazwę kraju, Miasto, Kod pocztowy i inne szczegóły. Możesz zobaczyć zrzut ekranu tego pliku poniżej. Ransomware następnie sprawdza listę krajów WYJĄTKÓW, aby upewnić się, że system może zostać zaatakowany. Wirus ma tendencję do zaprzestania działalności, jeśli stwierdzi, że twój kraj pasuje do jednego z następujących krajów: Tadżykistan, Ukraina, Kirgistan, Rosja, Syria, Kazachstan, Armenia, Białoruś czy Uzbekistan.

jeśli dopasowanie nie zostanie znalezione, oprogramowanie ransomware zbierze pewne informacje o zagrożonym systemie NA informacje.plik txt (jak pokazano poniżej). Wirus gromadzi szczegóły, takie jak nazwa komputera, nazwa użytkownika, wersja systemu operacyjnego, znacznik czasu infekcji, szczegóły sprzętu, lista zainstalowanego oprogramowania i lista aktywnych procesów. Wirus wykonuje również zrzut ekranu pulpitu i wysyła go wraz z informacjami.plik txt do Komendy & Control server.

następnie ransomware próbuje uzyskać klucz szyfrowania online z serwera C&C. Jeśli mu się to uda, zapisuje go bowsakkdestx.plik txt wraz z unikalnym identyfikatorem ofiary. W przeciwnym razie ransomware używa klucza offline do szyfrowania, który jest zakodowany na stałe w kodzie ransomware. Tak czy inaczej, klucz i identyfikator zostaną zapisane do wyżej wymienionego pliku, a identyfikator zostanie zapisany do PersonalID.plik txt znajdujący się w C:\SystemID. Ważne jest również, aby wspomnieć, że użycie klucza szyfrowania offline jest znane jako ten, który daje szanse na odszyfrowanie plików w przyszłości, jak wyjaśniono tutaj. Możesz określić, czy typ szyfrowania online czy offline był używany, patrząc na dwa ostatnie znaki PersonalID.plik txt. Jeśli są to t1, oznacza to szyfrowanie klucza offline.

następnie ransomware zaczyna używać kombinacji szyfrowania Salsa20 i RSA-2048, aby zablokować wszystkie pliki w systemie komputerowym. Możesz zobaczyć zrzut ekranu folderu danych, którego dotyczy problem, na poniższym obrazku.

jednocześnie wirus oszczędza _readme.Kopiuj notatkę txt w każdym folderze danych, którego dotyczy problem. Poniżej znajduje się zrzut ekranu z okupem.

wreszcie wirus usuwa dodatkowe złośliwe oprogramowanie (takie jak AZORULT lub VIDAR) i usuwa kopie woluminów z systemu. Pozbycie się ich gwarantuje, że ofiara nie będzie miała dostępu do istniejących punktów przywracania systemu. Ponadto wirus może edytować plik Windows HOSTS, aby uniemożliwić dostęp do listy witryn. Po sprawdzeniu listy zablokowanych witryn możemy powiedzieć, że atakujący starają się uniemożliwić odwiedzanie witryn internetowych, które dostarczają odpowiednich wiadomości z zakresu cyberbezpieczeństwa i informacji dotyczących zapobiegania oprogramowaniu ransomware i reagowania na incydenty. Próby odwiedzenia jednej z zablokowanych stron internetowych mogą wywołać błąd DNS_PROBE_FINISHED_NXDOMAIN w przeglądarce internetowej.

Usuń wirusa Nnqp Ransomware i Odszyfruj lub napraw pliki

w niefortunnym przypadku padnięcia ofiarą ataku złośliwego oprogramowania szyfrującego pliki, zalecamy podjęcie działań i usunięcie wirusa nnqp ransomware wraz z innym złośliwym oprogramowaniem z komputera z systemem operacyjnym Windows. Najlepszym sposobem, aby to zrobić, jest uruchomienie komputera w Trybie Awaryjnym z sieci, więc upewnij się, aby przeczytać wskazówki, jak to zrobić poniżej. Gdy znajdziesz się w tym trybie, wybierz odpowiedni program antywirusowy do zadania. Nasz zespół zaleca stosowanie INTEGO Antivirus, który jest doskonałym narzędziem do ochrony komputera i zatrzymywania złośliwego oprogramowania przed jego wejściem. Dodatkowo sugerujemy pobranie RESTORO w celu naprawy uszkodzeń wirusów w plikach systemu operacyjnego Windows.

pełny samouczek usuwania wirusów NNQP znajdziesz poniżej. Nie zapomnij poinformować lokalnego organu ścigania o incydencie z oprogramowaniem ransomware i jak najszybciej zmienić wszystkie hasła związane z zainfekowanym komputerem. Możesz użyć kopii zapasowych danych, aby odzyskać pliki lub dowiedzieć się o szansach na odszyfrowanie/naprawę plików zablokowanych przez warianty STOP/DJVU (zobacz odpowiednią sekcję poniżej lub przeczytaj dogłębny artykuł na ten temat tutaj).

nasi maniacy polecają

nasz zespół zaleca dwuetapowy plan ratunkowy, aby usunąć ransomware i inne pozostałe złośliwe oprogramowanie z komputera, a także naprawę spowodowaną uszkodzeniem systemu przez wirusy:

punkt 1. Usuń automatycznie za pomocą solidnego programu antywirusowego

Pobierz INTEGO ANTIVIRUS for Windows, aby usunąć ransomware, trojany, adware i inne warianty oprogramowania szpiegującego i złośliwego oprogramowania i chronić komputer i dyski sieciowe 24/7.. To oprogramowanie zabezpieczające z certyfikatem VB100 wykorzystuje najnowocześniejszą technologię do ochrony przed oprogramowaniem ransomware, atakami typu Zero-Day i zaawansowanymi zagrożeniami, Intego Web Shield blokuje niebezpieczne strony internetowe, ataki phishingowe, złośliwe pobieranie i instalację potencjalnie niechcianych programów.

Użyj programu antywirusowego INTEGO, aby usunąć wykryte zagrożenia z komputera.

Przeczytaj pełną recenzję tutaj.

punkt 2. Naprawa uszkodzeń wirusów w komputerze

RESTORO zapewnia bezpłatne skanowanie, które pomaga zidentyfikować problemy ze sprzętem, bezpieczeństwem i stabilnością oraz prezentuje kompleksowy raport, który może pomóc ręcznie zlokalizować i naprawić wykryte problemy. Jest to świetne oprogramowanie do naprawy komputera po usunięciu złośliwego oprogramowania za pomocą profesjonalnego oprogramowania antywirusowego. Pełna wersja oprogramowania naprawi wykryte problemy i automatycznie naprawi uszkodzenia wirusów spowodowane plikami systemu operacyjnego Windows.

RESTORO używa silnika skanowania AVIRA do wykrywania istniejącego oprogramowania szpiegującego i złośliwego oprogramowania. Jeśli jakiekolwiek zostaną znalezione, oprogramowanie je wyeliminuje.

Przeczytaj pełną recenzję tutaj.

GeeksAdvice.com redaktorzy wybierają Rekomendowane produkty na podstawie ich skuteczności. Możemy zarobić prowizję od linków partnerskich, bez dodatkowych kosztów dla Ciebie. Dowiedz się więcej.

Norbert Webb jest szefem Zespołu porad Geeka. Jest redaktorem naczelnym serwisu, który kontroluje jakość publikowanych treści. Mężczyzna uwielbia również czytać wiadomości o cyberbezpieczeństwie, testować nowe oprogramowanie i dzielić się swoimi spostrzeżeniami na ich temat. Norbert mówi, że podążanie za swoją pasją do technologii informatycznych było jedną z najlepszych decyzji, jakie kiedykolwiek podjął. „Nie mam ochoty pracować, kiedy robię coś, co kocham.”Jednak geek ma inne zainteresowania, takie jak snowboard i Podróże.