Geeks råd

NNQP ransomware mål för att kryptera all data på din dator

NNQP ransomware är en variant av STOP/DJVU-filkrypterande virusfamilj. Efter att ha infekterat målsystemet genom bedrägeri börjar det skanna alla mappar och kryptera alla filer som finns i dem med salsa20 och RSA-2048 krypteringsalgoritmer, plus märkning av drabbade filer med ytterligare .nnqp förlängning. Som du kan se kommer virusnamnet från tillägget det ger för krypterade filer. Till exempel en fil som ursprungligen kallades 1.jpg blir 1.jpg.nnqp efter attacken. Dessutom, denna ransomware droppar _readme.Txt anteckningar i varje drabbade datamapp. Denna anteckning är tänkt att informera offret hur man får nnqp fil dekryptering verktyg. Som förklaras i anteckningen är det enda sättet att göra det att betala en rejäl lösen för cyberbrottslingar.

för att klargöra, det enda syftet med denna malware är att kryptera alla filer på offrets dator och sedan försöka pressa användaren att betala en stor lösen för nnqp ransomware virus operatörer. Angriparna sätter datakrypteringsalgoritmer till dålig användning. I daglig kommunikation används kryptering vanligtvis för att säkra informationsöverföring så att endast den person som har dekrypteringsnyckeln kan komma åt den. I den här situationen är cyberbrottslingar de som har nyckeln, så de försöker sälja den åt dig efter att du olagligt har blockerat din åtkomst till dina personliga filer.

för att ge offret information om attacken är ransomware utformad för att släppa lösenanteckningar som heter _readme.txt i hela datorsystemet. Dessa anteckningar anger att det enda sättet att dekryptera .nnqp filer är att betala en lösen. Angriparna föreslår att man skickar en krypterad fil som inte innehåller någon värdefull information till dem så att de kan bevisa att de kan dekryptera all data. Lösen anteckningen anger att inkludera offrets personliga ID i e-postmeddelandet till dem. De ger också två e – postadresser att använda-den primära, [email protected] och ett alternativ, [email protected] anteckningen beror kostnaden för dekrypteringsverktygen på hur snabbt offret skriver till angriparna. Om detta görs inom de första 72 timmarna efter infektionstiden, lovar skurkarna 50% rabatt, vilket sätter priset till $490. Annars förblir dekrypteringspriset $ 980.

om du funderar på att betala lösen, vill vi varna dig för att detta inte är ett rekommenderat alternativ enligt cybersäkerhetsexperter och FBI. Inte bara garanterar det inte dataåterställning, det hjälper också till att driva ytterligare ransomware-distributionsverksamhet. Cyberbrottslingar bakom sådan typ av skadlig kod tjänar miljoner i amerikanska dollar årligen, så det uppmuntrar dem bara att fortsätta sin smutsiga verksamhet. Dessutom finns det inget sätt att spåra angriparna om du bestämmer dig för att lyssna på deras krav – angriparna accepterar inte vanliga banktransaktioner för att undvika att spåras. Det enda sättet de accepterar betalningarna är via cryptocurrency. De tenderar att be offren att köpa till exempel Bitcoins värda det avvecklade lösenbeloppet och sedan beordra att överföra beloppet till sin virtuella plånbok.

en annan oroande detalj om denna ransomware är att den tenderar att infektera datorer med informationsstjälande skadlig kod, till exempel AZORULT eller Vidar trojaner. Dessa hot tillåter angripare att köra specifika kommandon på offrets dator på distans och extrahera olika känsliga data som kan användas vid ytterligare attacker eller utpressning – till exempel dina lösenord, bankuppgifter, webbhistorik, cookies, cryptocurrency plånböcker och mer. Tro därför inte att betala lösen kommer att lösa alla problem med din dator och integritet. Du kan förstå hur lömska dessa angripare är eftersom det inte finns ett enda omnämnande av ytterligare skadlig kod tappade på datorn i _readme.txt notera.

för att rensa upp den förödelse som orsakas på din dator, rekommenderar vi dig att ta bort NNQP ransomware virus utan dröjsmål. För detta bör du starta datorn i Säkert läge med nätverk först. Du kan hitta gratis riktlinjer för hur du gör det under den här artikeln. För att identifiera filer som är associerade med skadlig programvara och olika registerändringar föreslår vi att du använder en robust antiviruslösning, till exempel INTEGO Antivirus. Dessutom kanske du vill ladda ner RESTORO och använda den för att reparera viruspåverkade skador på Windows OS-filer.

Ransomware Summary

ta bort skadlig kod & reparera virusskador

hur ransomware-typ virus distribueras

för att förhindra ytterligare malware och ransomware infektioner, det är viktigt att lära sig hur dessa virus distribueras och hur de kan komma in i din dator. När det gäller denna speciella ransomware stam-STOP / DJVU (den du blev smittad med), den primära distributionsmetoden bygger på piratkopierade programversioner som innehåller sprickor, nyckel generatorer och andra verktyg. För det mesta kan dessa laddas ner via torrenter. Datoranvändare som har den dåliga vanan att söka nedladdning av programvara på obekräftade och skumma online-resurser riskerar att få sina datorer komprometterade, eftersom cyberbrottslingar byter för sådana användare. Dessutom är dessa datoranvändare enkla mål eftersom de ofta ignorerar sina varningar för cybersäkerhetsprogramvara angående sådana torrentnedladdningar.

det finns en populär missuppfattning om antivirusvarningar och torrenter – användare tenderar att felaktigt anta att antivirus markerar varje programspricka som skadlig. Även om dessa varningar i vissa fall kan vara falska positiva, för det mesta är de inte. Därför, för att undvika att bli smittade, rekommenderar vi dig att välja officiella och bekräftade online-resurser för att få dina program från. Offren för STOP / DJVU har rapporterat att bli smittade efter att ha öppnat piratkopierade versioner av dessa populära program: Adobe Photoshop, Internet Download Manager, Corel Draw, Adobe Illustrator, VMWare Workstation, Tenorshare 4ukey, League of Legends och många andra.

ett annat sätt att sprida ransomware är att infoga ett skadligt skript i DOCX, PDF, XLS eller ett annat filformat som stöder skriptspråk och bifoga en sådan fil till bedrägliga e-postmeddelanden. Angriparna använder skadlig skräppostteknik, som ofta låtsas vara en legitim enhet (till exempel ett välkänt online-detaljhandelsföretag, brottsbekämpande organ, paketleveransföretag och andra). Bilagan kan namnges som faktura, paketspårningsinformation, orderöversikt, fraktsedel, väntande betalning etc. Angriparna vill att du ska tro att bilagan skickades av en pålitlig enhet och övertyga dig om att öppna den bifogade filen så snart som möjligt. Tyvärr kan du öppna ett och, ännu värre, inaktivera Säkert läge köra insatta skript som är utformade för att ladda ner den faktiska nyttolasten och köra den på din dator.

numera kan det vara svårt att identifiera farliga e-postmeddelanden. Det finns dock vissa mönster som används av cyberbrottslingar, så vi kommer att försöka beskriva dem. För det första, undvik att öppna e-postbilagor och länkar om du kan känna brådska i avsändarens meddelande. För det andra, se upp för obekant hälsningslinje. Tredje, bedragare tenderar att skriva e-post Ämnesrad med versaler och infoga oprofessionellt inriktade e-postmeddelanden som innehåller låg upplösning företagslogotyper. Slutligen vill vi råda dig att undvika e-postmeddelanden som din e-postleverantör markerar som misstänkt skräppost. Numera kan du inte heller lita på avsändarens e-postadress, eftersom brottslingar använder sig av e-postförfalskningstekniker som hjälper till att maskera den ursprungliga avsändarens adress.

offer för STOP / DJVU ransomware variationer bör akta sig för falska dekryptering verktyg tillgängliga online. Rapporter visar att cyberbrottslingar tenderar att ladda upp dessa verktyg till misstänkta online-resurser. Tyvärr, istället för att dekryptera .nnqp-filer, de kan infektera din dator med andra ransomware och kryptera dina filer igen. Av denna anledning rekommenderar vi att du följer uppdateringar på vår webbplats eller på ansedda webbplatser för cybersäkerhet. Under tiden rekommenderar vi att du läser nuvarande situation på dekryptera och reparera STOP/DJVU-krypterade filer.

hur nnqp ransomware fungerar: uppdelning av dess funktionalitet

detta avsnitt översikter modus operandi av NNPQ virus och vad den gör efter att infektera din dator. Först och främst kommer den som en uppsättning körbara filer, oftast namngivna som build.exe, build2.exe och en annan som heter 4-teckensträng, till exempel 6GV7.exe. Vissa variationer av STOP / DJVU visar också ett falskt Windows-uppdateringsfönster under attacken för att motivera den plötsliga systemnedgången. Det här fönstret visas från en körbar namngiven winupdate.exe.

först och främst kontrollerar ransomware om datorn kan infekteras med datakrypterad skadlig kod. Av denna anledning ansluter den till https/ / api.2ip.ua / geo.json och sparar svaret i geo.json-fil. Den här filen kan innehålla ditt lands namn, stad, postnummer och andra detaljer. Du kan se en skärmdump av den här filen nedan. Ransomware kontrollerar sedan sin undantagslandslista för att säkerställa att systemet kan attackeras. Viruset tenderar att upphöra med sin verksamhet om det upptäcker att ditt land matchar ett av följande länder: Tadzjikistan, Ukraina, Kirgizistan, Ryssland, Syrien, Kazachstan, Armenien, Vitryssland eller Uzbekistan.

om en matchning inte hittas fortsätter ransomware att samla in information om det komprometterade systemet till information.txt-fil (som visas nedan). Viruset samlar information såsom datorns namn, användarnamn, operativsystem version, infektion tidsstämpel, hårdvara detaljer, installerad programvara lista och aktiva processer lista. Viruset tar också en skärmdump av skrivbordet och skickar den längs informationen.txt-fil till dess kommando &kontrollserver.

därefter försöker ransomware att få en online-krypteringsnyckel från sin C&C-server. Om det lyckas göra det sparar det det till bowsakkdestx.txt-fil tillsammans med offrets unika ID. Annars använder ransomware en offline-nyckel för kryptering som är hårdkodad i ransomware-koden. Hur som helst sparas nyckeln och ID: t i den ovannämnda filen och ID: t sparas i PersonalID.txt-fil finns i C:\SystemID. Det är också viktigt att nämna att offline krypteringsnyckelanvändning är känd som den som ger chanser att dekryptera filer i framtiden som förklaras här. Du kan identifiera om krypteringstyp online eller offline användes genom att titta på de två sista tecknen i PersonalID.txt-fil. Om dessa är t1 indikerar det offline – nyckelkryptering.

ransomware börjar sedan använda en kombination av salsa20 och RSA-2048-kryptering för att låsa alla filer på datorsystemet. Du kan se en skärmdump av den drabbade datamappen i bilden nedan.

samtidigt sparar viruset _readme.Txt notera kopia i varje drabbade datamapp. En skärmdump av hotbrev visas nedan.

slutligen släpper viruset ytterligare skadlig kod som tagits med det (som AZORULT eller Vidar) och tar bort Volymskuggkopior från systemet. Att bli av med dem säkerställer att offret inte har tillgång till befintliga systemåterställningspunkter. Dessutom kan viruset redigera din Windows HOSTS-fil för att förhindra åtkomst till en lista över webbplatser. Efter att ha inspekterat listan över blockerade webbplatser kan vi säga att angriparna försöker hindra dig från att besöka webbplatser som tillhandahåller relevanta cybersäkerhetsnyheter och information om förebyggande av ransomware och incidentrespons. Försök att besöka en av de blockerade webbplatserna kan utlösa dns_probe_finished_nxdomain-fel i din webbläsare.

ta bort Nnqp Ransomware Virus och dekryptera eller reparera dina filer

i en olycklig händelse av att bli ett offer för fil-kryptering av skadlig kod attack, rekommenderar vi att du vidta åtgärder och ta bort NNQP ransomware virus tillsammans med andra skadliga program från datorn som kör Windows operativsystem. Det bästa sättet att göra detta är att köra din dator i Säkert läge med nätverk, så se till att läsa riktlinjer för hur du gör det nedan. När du är i nämnda läge väljer du rätt antivirus för uppgiften. Vårt team rekommenderar att du använder INTEGO Antivirus, vilket är ett utmärkt verktyg för att skydda din dator och stoppa skadlig kod innan den går in i den. Dessutom föreslår vi att du laddar ner RESTORO för att reparera virusskador på Windows OS-filer.

du hittar den fullständiga nnqp-virusborttagningshandledningen nedan. Glöm inte att informera din lokala brottsbekämpande organ om ransomware incident och ändra alla dina lösenord i samband med den infekterade maskinen så snart som möjligt. Du kan använda säkerhetskopior för att återställa dina filer, eller lära sig om chanser att dekryptera/reparera filer låsta av STOP/DJVU varianter (se motsvarande avsnitt nedan eller läsa fördjupad artikel om det här).

våra nördar rekommenderar

vårt team rekommenderar en tvåstegs räddningsplan för att ta bort ransomware och annan återstående skadlig kod från din dator, plus reparation orsakade virusskador på systemet:

steg 1. Ta bort automatiskt med ROBUST ANTIVIRUS

få INTEGO ANTIVIRUS för Windows för att ta bort ransomware, trojaner, adware och andra spionprogram och malware varianter och skydda din dator och nätverksenheter 24/7.. Denna VB100-certifierade säkerhetsprogram använder state-of-art teknik för att ge skydd mot ransomware, Zero-Day attacker och avancerade hot, Intego Web Shield blockerar farliga webbplatser, nätfiskeattacker, skadliga nedladdningar och installation av potentiellt oönskade program.

använd INTEGO Antivirus för att ta bort upptäckta hot från din dator.

Läs hela recensionen här.

steg 2. Reparera virusskador på din dator

RESTORO tillhandahåller en kostnadsfri genomsökning som hjälper till att identifiera maskinvaru -, säkerhets-och stabilitetsproblem och presenterar en omfattande rapport som kan hjälpa dig att hitta och åtgärda upptäckta problem manuellt. Det är en stor PC reparation programvara att använda när du tar bort skadlig kod med professionell antivirus. Den fullständiga versionen av programvaran fixar upptäckta problem och reparerar virusskador som orsakas av dina Windows OS-filer automatiskt.

RESTORO använder AVIRA scanning engine för att upptäcka befintliga spionprogram och skadlig kod. Om någon hittas kommer programvaran att eliminera dem.

Läs hela recensionen här.

GeeksAdvice.com redaktörer väljer rekommenderade produkter baserat på deras effektivitet. Vi kan tjäna en provision från affiliate länkar, utan extra kostnad för dig. Läs mer.

Norbert Webb är chef för Geeks Rådgivningsteam. Han är chefredaktör för webbplatsen som kontrollerar kvaliteten på publicerat innehåll. Mannen älskar också att läsa cybersäkerhetsnyheter, testa ny programvara och dela sina insikter om dem. Norbert säger att efter hans passion för informationsteknologi var ett av de bästa besluten han någonsin har fattat. ”Jag känner inte för att arbeta medan jag gör något jag älskar.”Nörd har dock andra intressen, som snowboard och resor.