Αφαίρεση ιού PayDay (Εγχειριδίου Οδηγιών Αφαίρεσης) - ενημερώθηκε Ιαν 2018

Τι είναι το Ιός PayDay ransomware?

Ο ιός PayDay ransomware συνεχίζει την κακόβουλη δράση του με την κυκλοφορία νέων παραλλαγών

Ο ιός PayDay ransomware είναι ένα κακόβουλο πρόγραμμα, το οποίο πρωτο-εντοπίστηκε στο διαδίκτυο τέλη 2016. Η αρχική έκδοση του ιού στόχευε Πορτογαλικά συστήματα υπολογιστών. Ωστόσο, οι hackers δεν αρκέστηκαν σε αυτό. Με τις νέες εκδόσεις του ιού, πλέον κανένα σύστημα υπολογιστή δεν είναι ασφαλές, όπου κι αν βρίσκεται στον κόσμο. Η πιο πρόσφατη εντοπισμένη crypto-malware παραλλαγή του ιού είναι ο ιός Sexy ransomware, ο οποίος και πρωτο-εντοπίστηκε τον Νοέμβριο του 2017.

Ο ιός Payday virus βασίζεται στο HiddenTear και χρησιμοποιεί τον προηγμένο αλγόριθμο AES για τις κρυπτογραφήσεις του. Τα κρυπτογραφημένα αρχεία αποκτούν κακόβουλη επέκταση .sexy ή [email]-id-id.payday. Τα αρχεία που κρυπτογραφεί ο συγκεκριμένος ιός μπορούν να ανακτηθούν με τη χρήση είτε του standard ή του brute-force HiddenTear decryptor (αποκρυπτογράφου).

Όσο ο ιός While PayDay κρυπτογραφεί τα αποθηκευμένα δεδομένα, είναι πολύ πιθανό να σημειωθούν σημαντικές επιβραδύνσεις συστήματος. Δυστυχώς, οι περισσότεροι χρήστες-θύματα δεν έδειξαν την απαραίτητη προσοχή και εγρήγορση, καθώς η επιβράδυνση συστήματος μπορεί να γίνει εξαιτίας διάφορων λόγων, και έτσι ο ιός σε αυτές τις περιπτώσεις ολοκλήρωσε χωρίς πρόβλημα το καταστροφικό του έργο.

Μόλις ο ιός PayDay ransomware ολοκληρώσει την κρυπτογράφηση των αποθηκευμένων αρχείων στο σύστημα-στόχο, μετατρέποντας ουσιαστικά όλα αυτά τα αρχεία σε άχρηστα και μη προσβάσιμα δεδομένα, δημιουργεί κι αποθηκεύει ένα HyperText Markup Language format αρχείο με τίτλο !!!!!ATENÇÃO!!!!!.html . Το αρχείο αυτό αποθηκεύεται στην επιφάνεια εργασίας έτσι ώστε να μπορέσει να το δει ο χρήστης-θύμα. Ουσιαστικά το αρχείο δεν είναι τίποτα άλλο παρά ένα σημείωμα λύτρων (ransom note) το οποίο ανοίγει μέσω web browser και εξηγεί (στα Πορτογαλικά) στον χρήστη-θύμα ότι τα αρχεία του έχουν κρυπτογραφηθεί και θα πρέπει να πληρώσει χρηματικό ποσόν ως λύτρα ώστε να μπορέσει να αποκτήσει και πάλι πρόσβαση στα κρυπτογραφημένα αρχεία του.

Τα λύτρα που ζητάει ο ιός PayDay malware είναι R$950, δλδ. περίπου 286 USD. Όπως συμβαίνει με τη συντριπτική πλειοψηφία των ιών ransomware, έτσι και ο συγκεκριμένος ιός απαιτεί η πληρωμή να γίνει αποκλειστικά σε Bitcoins. Ο λόγος που συμβαίνει αυτό είναι πολύ απλός. Τα κρυπτονομίσματα (cryptocurrency) επιτρέπουν πλήρως ανώνυμες οικονομικές συναλλαγές, επομένως οι hackers παραμένουν ανώνυμοι και είναι αδύνατος ο εντοπισμός τους μέσω των οικονομικών συναλλαγών τους. Τέλος, οι hackers εμφανίζουν και ένα email, συγκεκριμένα το CatSexy@protonmail.com το οποίο μπορεί να χρησιμοποιήσει ο χρήστης-θύμα ως μέσο επικοινωνίας μαζί τους.

Στην περίπτωση που βρεθείς στη δυσάρεστη θέση να διαπιστώσεις ότι και τα δικά σου αρχεία κρυπτογραφήθηκαν απ' αυτόν τον ιό ransomware, το πρώτο πράγμα που θα πρέπει να θυμάσαι είναι να ΜΗΝ υποκύψεις στον εκβιασμό των hackers και φυσικά να ΜΗΝ πληρώσεις τα λύτρα που ζητούν. Το πρώτο σου μέλημα σε αυτή την περίπτωση είναι η άμεση και ολοκληρωτική αφαίρεση του ιού. Θα πρέπει να σημειωθεί ότι ο ιός Payday ransomware αποτελεί ακόμα μια decryptable παραλλαγή του HiddenTear, δλδ. τα αρχεία μπορούν να αποκρυπτογραφηθούν. Θα πρέπει να ακολουθήσεις προσεκτικά και βήμα προς βήμα τις οδηγίες ολοκληρωτικής αφαίρεσης του ιού PayDay, τις οποίες και θα βρεις πιο κάτω. Κατόπιν, θα πρέπει να 'προετοιμάσεις' το έδαφος για την διαδικασία αποκρυπτογράφησης, η οποία και θα αποκρυπτογραφήσει και θα επαναφέρει όλα τα κρυπτογραφημένα αρχεία με κακόβουλη επέκταση .sexy και πάλι στην κανονική τους μορφή, κάνοντας τα ξανά προσβάσιμα.

Για ολοκληρωτική αφαίρεση αυτού του crypto-malware, απαιτείται η εγκατάσταση και χρήση (εάν δε το έχεις προνοήσει ήδη) ενός πλήρως ενημερωμένου κι αξιόπιστου λογισμικού ασφαλείας τύπου antivirus / anti-malware, όπως πχ. τα εξαίρετα και πολυδοκιμασμένα FortectIntego και Malwarebytes. Ο αναλυτικός οδηγός αφαίρεσης του ιού PayDay που θα βρεις στο τέλος του άρθρου θα σε βοηθήσει να αποκτήσεις μια ολοκληρωμένη εικόνα σχετικά με την κατάσταση και για το τι πρέπει να γίνει.

Ο ιός Sexy ransomware αποτελεί συνέχεια του malware

Ο ιός Sexy virus επισυνάπτει .sexy κακόβουλη επέκταση στα αρχεία που κρυπτογραφεί. Το ακριβές ποσό των λύτρων δεν έχει σταθεροποιηθεί. Οι hackers επιμένουν ο χρήστης-θύμα να επικοινωνεί μαζί τους μέσω sexy_chief@aol.com για τον καθορισμό / διαπραγμάτευση του ύψους των λύτρων ώστε ο χρήστης-θύμα να λάβει το πολυπόθητο εργαλείο αποκρυπτογράφησης (decryption tool).

Μάλιστα, για να γίνουν πιο πειστικοί, οι hackers επιτρέπουν στον χρήστη-θύμα να τους στείλει ένα κρυπτογραφημένο αρχείο για μια δωρεάν επίδειξη αποκρυπτογράφησης. Και σε αυτή την περίπτωση, εάν διαπιστώσεις ότι τα αρχεία σου κρυπτογραφήθηκαν από τον ιό Sexy ransomware, το πρώτο και κύριο μέλημά σου θα πρέπει να είναι η άμεση και ολοκληρωτική αφαίρεση του ιού Sexy. Σε συμβουλεύουμε να ΜΗΝ πληρώσεις τα λύτρα και να μην υποκύψεις στους εκβιασμούς των κυβερνο-εγκληματιών! Η πληρωμή των λύτρων θα τους δώσεις δυνατό οικονομικό κίνητρο να συνεχίζουν να δημιουργούν νέες εκδόσεις / παραλλαγές του ιού PayDay ransomware και φυσικά να συνεχίζουν ακόμα πιο δυναμικά το κακόβουλο έργο τους.

Ο ιός PayDay εμφανίζει σημείωμα λύτρων γραμμένο στα Πορτογαλικά.

Εισαγωγή στη νέα παραλλαγή του ιού ransomware

Τον περασμένο Οκτώβριο, οι ειδικοί σε θέματα διαδικτυακής ασφάλειας συστημάτων της NoVirus.uk παρατήρησαν ότι το crypto-malware προσθέτει .[]-id-.payday κακόβουλη επέκταση αρχείου σε κάθε αρχείο που κρυπτογραφεί. Πιστεύουν ότι αυτός ο ιός ransomware έχει σχέση με BTCWare όπως και ο ιός PayDay virus.

Μόλις ολοκληρώσει τη διαδικασία κρυπτογράφησης στο σύστημα-στόχο, ο ιός εμφανίζει το !! RETURN FILES !!.txt αρχείο, το οποίο ενημερώνει τον χρήστη-θύμα ότι το σύστημα του υπολογιστή του έχει μολυνθεί και τα αρχεία του έχουν κρυπτογραφηθεί:

all your files have been encrypted
want return files?
write on email: keyforyou@tuta.io

Μετά από κάποιο χρονικό διάστημα, το malware ανοίγει το payday.hta αρχείο με περαιτέρω οδηγίες προς τον χρήστη-θύμα. Μάλιστα, η πιο πρόσφατη έκδοση περιλαμβάνει νέες emai διευθύνσεις, συγκεκριμένα: checkzip@india.com και payday@cryptmaster.info. Παρατηρήθηκε ότι το malware εξαπλώνεται διαδικτυακά μέσω spam email με τίτλο Schedule_order.r03. Οι hackers προσποιούνται αντιπροσώπους της εταιρείας KAVITA, όπως φαίνεται στο παρακάτω χαρακτηριστικό μήνυμα:

Dear Sir,

Attached, please find attached Memo in the folder for purchase requests

Kindly issue requested Order confirmation at your earliest.

Looking forward to your cooperation in the matter for which thank you beforehand.

Όπως φαίνεται, οι malware developers δε μπήκαν καν στον κόπο να γράψουν σε σωστά Αγγλικά το μήνυμα. Σε αυτό το σημείο, θα πρέπει να τονιστεί ότι τα περισσότερα παραπλανητικά spam emails, κυρίως δε αυτά που φαίνεται ότι έχουν δήθεν σταλθεί από εταιρείες και οργανισμούς, έχουν γραμματικά ή/και ορθογραφικά λάθη. Αυτό από μόνο του αποτελεί μια πολύ δυνατή ένδειξη ότι πρόκειται για spam και όχι για αυθεντικό μήνυμα από τον αποστολέα που δήθεν έχει σταλθεί.

Επιπρόσθετα, κατόπιν ερευνών και δοκιμών, οι ειδικοί έφτασαν στο συμπέρασμα ότι ο ιός PayDay ransomware ακολουθεί μια ιδιαιτέρως επιθετική στρατηγική διαδικτυακής εξάπλωσης, εντοπίζοντας και διεισδύοντας σε συστήματα υπολογιστών με κενά ασφαλείας στα Remote Desktops πρωτόκολα. Καλό θα ήταν να τσεκάρεις το επίπεδο ασφαλείας του συστήματος του υπολογιστή σου και να προχωρήσεις σε διόρθωση κενών ασφαλείας που τυχόν εντοπιστούν.

Για να ελαχιστοποιήσεις τις πιθανότητες κυβερνο-επιθέσεων από ιούς ransomware, καλό θα ήταν να διαβάσεις και να εφαρμόσεις τις παρακάτω προτάσεις διαδικτυακής ασφάλειας:

• Όρισε ανώτατο όριο ανεπιτυχών προσπαθειών σύνδεσης
• Ενεργοποίησε το two-step verification (επαλήθευση 2 σταδίων)
• Είναι καίριας σημασίας η τακτική λήψη όλων των πρόσφατων ενημερώσεων για τα λογισμικά ασφαλείας που έχεις εγκαταστημένα, καθώς και για σημαντικά λογισμικά, όπως πχ. Java και Adobe Flash Player. Καλή ιδέα είναι η ενεργοποίηση της αυτόματης λήψης ενημερώσεων
• Όρισε περίπλοκους κωδικούς πρόσβασης, οι οποίοι να αποτελούνται από συνδυασμό γραμμάτων, σημείων στίξης, χαρακτήρων, και αριθμών (καλό θα ήταν να αποφεύγεις να γράφεις σωστά ή ολοκληρωμένες τις λέξεις)

Εν κατακλείδι, στην περίπτωση που εντοπίσεις τον ιό ransomware στο σύστημα του υπολογιστή σου, επιβάλλεται η άμεση και ολοκληρωτική αφαίρεσή του. Κατόπιν, για να αποκρυπτογραφήσεις τα κρυπτογραφημένα αρχεία, μπορείς να δοκιμάσεις είτε το BTCWare ή το HiddenTear λογισμικό αποκρυπτογράφησης.

ΜΗΝ ανοίγεις spam e-mails

Η πλέον διαδεδομένη μέθοδος διαδικτυακής εξάπλωσης PUPs (potentially unwanted programs, δλδ. δυνητικά ανεπιθύμητων προγραμμάτων) και malware, όπως πχ. οι ιοί ransomware, είναι οι spam καμπάνιες phishing e-mails, μέσω των οποίων κατεβαίνουν στο σύστημα του υπολογιστή τα εκτελέσιμα αρχεία των malware.

Θα πρέπει να σημειωθεί ότι τα τελευταία χρόνια οι spammers / hackers έχουν βελτιωθεί πολύ, και τα spam emails δείχνουν ολοένα και πειστικότερα. Έτσι, αυξάνεται ο αριθμός των χρηστών που κάνει το λάθος να ανοίξει αυτά τα emails και να κατεβάσει τις κακόβουλες επισυνάψεις, οι οποίες επισυνάψεις έχουν σχεδιαστεί ειδικά ώστε, μόλις εγκατασταθούν στο σύστημα-στόχο, να εγκαταστήσουν και να ενεργοποιήσουν το malware, σε αυτή την περίπτωση ιό ransomware. Επίσης, οι ιοί κρυπτογραφήσεων, γνωστοί και ως crypto-malware / virus ransomware, εξαπλώνονται διαδικτυακά και μέσω κακόβουλων διαφημίσεων, καθώς και μέσω exploit kits.

Οι διαφημίσεις που παραέχουν καλό περιεχόμενο για να είναι αληθινό ή που εμφανίστηκαν από το πουθενά ή που άρχισαν να εμφανίζονται μετά από επισκέψεις σου σε πειρατικούς / πορνογραφικούς / ύποπτους ιστότοπους, είναι ύποπτες και δυνητικά επικίνδυνες. Πολλές από αυτές τις διαφημίσεις, χρησιμοποιώντας διάφορες δικαιολογίες, προσπαθούν να πείσουν τους χρήστες να πατήσουν σε κουμπία για 'Εγκατάσταση σημαντικών ενημερώσεων' (βλ. install “required updates”). Συνήθως, αυτές οι 'ενημερώσεις' εμπεριέχουν κακόβουλο λογισμικό. Τέλος, μεγάλη προσοχή θέλουν και τα exploit kits, τα οποία εντοπίζουν και εκμεταλλεύονται κενά ασφαλείας στα συστήματα υπολογιστών των χρηστών. Τα exploit kits, ως επί το πλείστον, κρύβονται σε ύποπτους / άγνωστους / πορνογραφικούς / πειρατικούς / παράνομους στοιχηματικούς, κτλ. ιστότοπους. Επομένως, το προτιμότερο θα ήταν να αποφεύγεις να τους επισκέπτεσαι πόσο δε να κλικάρεις συνδέσμους που θα βρεις σε αυτούς.

Η διαδικασία ολοκληρωτικής αφαίρεσης του ιού PayDay

Σε συμβουλεύουμε να αφαιρέσεις τον ιό PayDay virus χρησιμοποιώντας ένα πλήρως ενημερωμένο κι αξιόπιστο λογισμικό ασφαλείας, καθώς η αυτόματη αφαίρεση όχι μόνο είναι γρηγορότερη, ευκολότερη, κι αποτελεσματικότερη, αλλά, παράλληλα, το λογισμικό ασφαλείας μέσω της σάρωσης συστήματος θα μπορέσει να εντοπίσει και να αφαιρέσει ολοκληρωτικά όχι μόνο το συγκεκριμένο ιό ransomware, αλλά και όποιο άλλο PUP ή malware κατάφερε να 'τρυπώσει' κρυφά στο σύστημα και να το μολύνει. Επίσης, το λογισμικό ασφαλείας προσφέρει προστασία συστήματος από κυβερνο-επιθέσεις, σε πραγματικό χρόνο.

Σε αυτό το σημείο, καλό είναι να αναφερθεί ότι υπάρχει η πιθανότητα το malware να μπλοκάρει την προσπάθειά σου να κατεβάσεις και να εγκαταστήσεις λογισμικό ασφαλείας antivirus. Σε αυτή την περίπτωση, θα πρέπει να προβείς σε Επανεκκίνηση (Reboot) συστήματος και να το τρέξεις σε Ασφαλής Λειτουργία (Safe Mode).

Η χειροκίνητη αφαίρεση του ιού PayDay είναι δυνατή, ωστόσο συνιστούμε να την αποφύγεις. Εάν δε διαθέτεις την κατάλληλη εμπειρία και αρκετά μεγάλο βάθος γνώσης γύρω από θέματα πληροφορικής και ασφάλειας συστημάτων, είναι πολύ πιθανό να διαγράψεις τα λάθος αρχεία ή Registry Keys, και με το τρόπο αυτό να δημιουργήσεις σοβαρά προβλήματα σταθερότητας και λειτουργικότητας του συστήματος του υπολογιστή σου.

Προτείνουμε, η αφαίρεση αυτού, όπως και κάθε ιού ransomware, να γίνει με τη χρήση κάποιου από τα παρακάτω εξαιρετικά λογισμικά ασφαλείας ή άλλου παρομοίων δυνατοτήτων antivirus: FortectIntego, SpyHunter 5Combo Cleaner, Malwarebytes. Εάν ο ιός ransomware μπλοκάρει την λήψη / εγκατάσταση ή χρήση του λογισμικού ασφαλείας, τότε σίγουρα οι παρακάτω οδηγίες θα σου φανούν ιδιαιτέρως χρήσιμες.