Рансъмуер вируса Hades LockerКак да премахнем?

Hades Locker надмина рансъмуер вируса Wildfire и изненада специалистите по зловреден софтуер 

Появата на вируса Hades Locker показва, че авторите на рансъмуер вируса Wildfire са решили да не допускат повече грешки и са създали непреклонен рансъмуер вирус – Hades Locker. Преди известно време специалистите по зловреден софтуер успяха да поемат контрола над този вирус след като свалиха командните и контролните му сървъри. Обаче рансъмуер вируса Hades Locker е чисто нов софтуер пуснат от същите хора, които стоят зад WildFire и изглежда този път измамниците са успели да разработят програмата по-внимателно – този път декриптирането на Hades Locker е невъзможно. След като бъде инсталиран, този зловреден софтуер зарежда сайта http://ip-api.com/xml,  който определя от къде е жертвата, включително и информация като код на страната, име на региона, град, пощенски код, интернет доставчик, IP адрес и дори координати на мястото, където се намира компрометирания вече компютър. След това изпраща тази информация към командния и контролен сървър (C&C). Сървърът праща отговор към зловредния вирус и изпраща уникален AES криптиращ ключ, който ще се използва за заключване на всички файлове на жертвата. По време на криптирането зловредният софтуер Hades Locker добавя специфични файлови разширения, които съдържат .~HL и първите пет символа от криптиращата парола. Трябва да отбележим, че в програмата са зададени широк набор от файлове, така че веднага след като попадне на файл с определено файлово разширение, което се съдържа в целевия списък., тя го криптира. Разбира се, вирусът пропуска някои папки, за да може компютърът да продължава работата си и това са следните директории:

• Кошче/Recycle bin;
• Windows;
• Програмни файлове/Program Files;
• Програмни файлове (х86)/Program files (x86);
• Информация за системни томове/System Volume Information.

След това вирусът пуска съобщени за откуп във всяко място в компютърът, където има криптирани поне няколко файла. Съобщението за откупа обикновено се получава в три различни формата:

• README_RECOVER_FILES_[victim’s ID].html;
• README_RECOVER_FILES_[victim’s ID].png;
• README_RECOVER_FILES_[victim’s ID].txt.

Съобщението се отваря или в Notepad, или чрез програма за разглеждане на изображения или в уеб браузъра, в зависимост от формата на файла. Тези съобщения съдържат същата информация, както и информацията, предоставяна от всеки друг рансъмуер вирус – инструкции как да декриптирате криптираните данни. От жертвата се иска да изтегли Tor браузър, чрез него да отвори специфична уеб страница и да плати откупа, за да получи декриптиращ ключ. Hade Locker иска или 600 щатски долара, или 500 евро, или 400 британски лири и според изискванията на киберпрестъпниците тази сума в нейния еквивалент в биткойни (около 1 BTC) трябва да бъде прехвърлена към определен Bitcoin адрес. Освен това сайтът за плащане на Hades Locker предоставя няколко различни страници, включително FAQ (често задавани въпроси), Test Decrypt (Пробно декриптиране), Decryption Tutorial (Ръководство за декриптиране) и Helpdesk (Помощен център). Ето какво научихме за тези страници:

• Докато типичните рансъмуер проекти позволяват на жертвата да изпробва декриптиращия инструмент, в случая беше невъзможно да качим какъвто и да е файл на страницата за Пробно декриптиране (Test Decryption), което ни навежда на мисълта, че може въобще да няма такъв декриптиращ инструмент.
• Помощният център (Help Desk) позволява да въведете и изпратите съобщение на авторите на рансъмуер вируса.
• Разделът с Ръководства за декриптиране осигурява кратко ръководство с изображения, в което е обяснено как става декриптиранирането на файловете с Hade Locker decrypter.
• Страницата с често задавани въпроси дава отговори на най-често задаваните от жертвите въпроси. Това, което е по-интересно е, че престъпниците обясняват на жертвите, че трябва да им се доверят и да платят откупа – според тях, ако не осигурят работещ декриптиращ инструмент, тази информация бързо ще се разпространи и никой няма да плаща откупи.

Ако файловете ви са криптирани от рансъмуера Hades Locker, потърсете някакви резервни копия, които сте направили и възстановете данните си от тях – не ви препоръчваме плащането на откупа. Преди да предприемете каквито и да е мерки за декриптиране на информацията; първо трябва да премахнете вируса с помощта на FortectIntego, SpyHunterCombo Cleaner или друг надежден антишпионски инструмент. Трябва да сте приключили с премахването на Hades Locker преди да започнете с декриптирането на файловете!

Как се разпространява този вирус?

За съжаление, това е много нов вирус и все още не е известно какви методи използва, за да разпространява зловредния си изпълним файл, Ето защо, насърчаваме компютърните потребители да предприемат задължителни мерки за сигурност, като например:

Не отваряйте съмнителни имейли изпратени от непознати – рансъмуер вирусите най-често се разпространяват чрез електронни спам кампании. Такива заразени електронни писма съдържат скрити прикачени файлове или линкове включени в самото съобщение, които след като бъдат отворени, пускат рансъмуер вируса в системата. 
Избягвайте да отваряте съмнителни реклами, които се показват на екрана ви, докато сърфирате в интернет. Силно препоръчваме да избягвате да отваряте и реклами, които идват от уеб страници със съдържание за възрастни, сайтове за залагания или игри.  
Никога не инсталирайте програма или нейно обновление от уеб страници, които нямат нищо общо със създателя на този софтуер. Такива измамни обновления обикновено са пълни със зловредни изпълними файлове. 
Инсталирайте антишпионски софтуер, който може да ви предпази от високорискови интернет страници и да блокира изтеглянето на зловредни приложения.

Как да премахнем рансъмуер вируса Hades Locker?

Рансъмуер вирусите, както и Hades Locker са доста упорити и не е лесно да се отървете от тях. Освен това те не предлагат опция за деинсталиране, затова деинсталирането им от системата отнема значително повече време. И все пак, с обновен антишпионски инструмент, може да премахнете Hades Locker и неговите файлове доста бързо. За да стартирате антишпионски софтуер или да го изтеглите от интернет, трябва да стартирате компютъра си в Безопасен режим с мрежа (Safe Mode with Networking). За тази цел, моля спазвайте следните препоръки за премахване на Hades Locker: