Αφαίρεση ιού Princess Locker (Δεκ 2016 ενημέρωση) - ενημερώθηκε Δεκ 2016

Τι είναι το Ιός Princess Locker ransomware?

Ο ιός Princess Locker ransomware αντιγράφει τις τεχνικές του ιού Cerber

Ο ιός Princess Locker αποτελεί ακόμα μια περίπτωση επικίνδυνου και πολύ προηγμένου ιού τύπου crypto-ransomware (τύπος ιών που κρυπτογραφούν τα αρχεία του συστήματος-στόχου και κατόπιν απαιτούν υψηλά χρηματικά ποσά ως λύτρα απελευθέρωσης/αποκρυπτογράφησης των μπλοκαρισμένων αρχείων). Φυσικά, ασχέτως του ονόματός του, δεν υπάρχει τίποτα το “βασιλικό” σε αυτό τον ιό. Μάλιστα, διαπιστώσαμε ότι η συγκεκριμένη κακόβουλη κυβερνο-απειλή έχει πολλά κοινά στοιχεία με τον ιό Cerber ransomware. Έτσι, φτάνουμε στο συμπέρασμα ότι ο ιός Princess Locker virus αποτελεί το “μικρό αδερφάκι” του ιού Cerber – αυτό βεβαίως δε σημαίνει ότι είναι λιγότερο επικίνδυνος και καταστροφικός!

Ας αναλύσουμε τι κάνει μόλις διεισδύσει στο σύστημα-στόχο. Μόλις τα καταφέρει, ο ιός Princess Locker ransomware αρχίζει άμεσα να κρυπτογραφεί όλα τα αρχεία του χρήστη-θύματος που βρίσκονται αποθηκευμένα στο σύστημα-στόχο. Κατά την κρυπτογράφηση χρησιμοποιείται ο προηγμένος αλγόριθμος κρυπτογραφήσεων AES. Μόλις ολοκληρωθεί η διαδικασία της κρυπτογράφησης, τα αρχεία μπλοκάρονται παντελώς και η πρόσβαση σε αυτά είναι αδύνατη χωρίς το μοναδικό κλειδί αποκρυπτογράφησης (βλ. unique decryption key). Μάλιστα, για να “θωρακίσουν” ακόμα περισσότερο την κρυπτογράφηση, οι κυβερνο-εγκληματίες παράγουν ένα μοναδικό κλειδί αποκρυπτογράφησης για τον κάθε χρήστη-θύμα ξεχωριστά.

Μόλις λοιπόν ολοκληρωθεί η κρυπτογράφηση, ο ιός ransomware δημιουργεί κι αποθηκεύει στο σύστημα-στόχο δυο διαφορετικών μορφών αρχεία που είναι ουσιαστικά τα σημειώματα λύτρων (βλ. ransom notes):

• !_HOW_TO_RESTORE_[η μοναδική επέκταση αρχείου].TXT;
• !_HOW_TO_RESTORE_[η μοναδική επέκταση αρχείου].HTML.

Μόλις ο χρήστης-θύμα ανοίξει αυτά τα αρχεία, το πρώτο πράγμα που θα δει είναι μια φράση με τεράστια γράμματα: Your files are encrypted! (Τα αρχεία σου είναι κρυπτογραφημένα!).

Κατόπιν, στο περιεχόμενο εμπεριέχονται το ID του χρήστη-θύματος, η μοναδική επέκταση που απέκτησαν όλα τα αρχεία του που κρυπτογραφήθηκαν, καθώς και αναλυτικές οδηγίες σχετικά με το πως μπορεί να επιτευχθεί αποκρυπτογράφηση των μπλοκαρισμένων αρχείων. Επίσης, ο ιός ζητάει από τον χρήστη-θύμα να εγκαταστήσει τον Tor browser και μέσω αυτού να μπει σε συγκεκριμένο ιστότοπο που λήγει σε .onion, γνωστός και ως ιστότοπος πληρωμών (βλ. “the payment site”).

Αυτό που διαπιστώσαμε είναι ότι ο ιστότοπος πληρωμών φαίνεται πως είναι αντιγραφή του ιστότοπου πληρωμών που χρησιμοποιεί ο ιός Cerber, με τη μόνη διαφορά ότι στο λογότυπο εμφανίζεται το “Princess”. Όπως στην περίπτωση του ιού Cerber, έτσι και εδώ, παρέχονται οι πληροφορίες σε 12 διαφορετικές γλώσσες, ζητείται από τον χρήστη-θύμα το μοναδικό του ID ώστε να εισέλθει στον ιστότοπο πληρωμών, και μόλις γίνουν όλα τα παραπάνω εμφανίζεται το εξής μήνυμα:

Your files are encrypted!

It means that your files have been transformed on a structural level and became inaccessible. In order to be able to access them again, you have to transform them back to the original state. This can be done only with the help of special software – «Princess Decryptor» which can be purchased only on this website. Each copy of «Princess Decryptor» works individually for each pair ID + Extension. Therefore, you have to purchase your own one as any other user whose files have also been encrypted. We accept only Bitcoin.

Όχι μόνο οι hackers απαιτούν να πληρωθούν σε Bitcoins, αλλά απαιτούν και ένα πολύ μεγάλο χρηματικό ποσόν – 3 Bitcoins, δλδ. περίπου $1812 USD. Και τα πράγματα γίνονται ακόμα χειρότερα, γιατί οι hackers απαιτούν να πληρωθούν σε πολύ σύντομο χρονικό διάστημα. Σε διαφορετική περίπτωση, η τιμή του αποκρυπτογράφου (βλ. decryptor) διπλασιάζεται!

Είναι ξεκάθαρο ότι η κακτική τρομοκράτησης που ακολουθεί ο ιός Princess Locker είναι πολύ καλά δομημένη, για αυτό τον λόγο άλλωστε ο ιός παρουσιάζει και τόσο μεγάλη επιτυχία με χιλιάδες απεγνωσμένων και τρομοκρατημένων χρηστών-θυμάτων να σπεύδουν έντρομοι να πληρώσουν τα λύτρα χωρίς δεύτερες σκέψεις! Μάλιστα, για να γίνουν ακόμα πειστικότεροι οι δημιουργοί του ιού, δίνουν τη δυνατότητα στο χρήστη-θύμα να τεστάρει την αξιοπιστία του αποκρυπτογράφου. Ο χρήστης-θύμα έχει το δικαίωμα να ανεβάσει στον ιστότοπο ένα και μοναδικό κρυπτογραφημένο αρχείο του για να το ξεμπλοκάρει ο αποκρυπτογράφος.

Στην περίπτωση που βρεθείς στην πολύ δυσάρεστη θέση να διαπιστώσεις ότι ο ιός Princess Locker malware έχει κρυπτογραφήσει τα αρχεία σου, τότε το πρώτο πράγμα που σε συμβουλεύουμε είναι να ΜΗΝ πληρώσεις τα λύτρα! Η πληρωμή των λύτρων δίνει επιπλέον σοβαρό οικονομικό κίνητρο στους hackers να συνεχίζουν ακάθεκτοι το κακόβουλο έργο τους, δλδ. με το τρόπο αυτό στηρίζεις οικονομικά το κυβερνο-έγκλημα. Άλλωστε, οι ειδικοί σε θέματα ασφάλειας διαδικτύου και συστημάτων δουλεύουν πυρετωδώς για τη δημιουργία αξιόπιστου και νόμιμου εργαλείου αποκρυπτογράφησης για το συγκεκριμένο ιό ransomware!

Βεβαίως, έως ότου γίνει κάτι τέτοιο, δεν πρέπει να πληρώσεις τα λύτρα. Το πρώτο πράγμα που θα πρέπει να κάνεις άμεσα είναι να εντοπίσεις και να αφαιρέσεις ολοκληρωτικά τον ιό Princess Locker virus. Ο αποτελεσματικότερος, γρηγορότερος, κι ευκολότερος τρόπος είναι η αυτόματη αφαίρεση, δλδ. η χρήση ενός πλήρως ενημερωμένου κι αξιόπιστου anti-malware, όπως πχ. το εξαίρετο και πολυδοκιμασμένο FortectIntego.

Αναλυτικές οδηγίες αφαίρεσης του ιού Princess Locker μπορείς να βρεις στο τέλος αυτού του άρθρου.

Πώς καταφέρνει κι εξαπλώνεται διαδικτυακά ο ιός Princess Locker?

Όπως συμβαίνει στην περίπτωση του ιού Cerber ή οποιουδήποτε άλλου ιού ransomware, έτσι και ο ιός Princess Locker virus καταφέρνει κι εξαπλώνεται διαδικτυακά μέσω spam emails, ύποπτων και παραπλανητικών διαφημίσεων και συνδέσμων ανακατεύθυνσης τρίτων, και exploit kits. Συνήθως, ο ιός εγκαθιστά στο σύστημα-στόχο το κακόβουλο περιεχόμενό του μόλις ο χρήστης-θύμα κάνει το λάθος να ανοίξει την κακόβουλη email επισύναψη μέσα στην οποία κρύβεται ο ιός ransomware.

Σε αυτό το σημείο οφείλουμε να σε προειδοποιήσουμε ότι αυτού του είδους οι κακόβουλες επισυνάψεις είναι ειδικά σχεδιασμένες ώστες να μοιάζουν αξιόπιστες και πέραν πάσας υποψίας. Μάλιστα, έχουν “πιασάρικους” τίτλους ώστε να μεγιστοποιούνται οι πιθανότητες οι χρήστες να κατεβάσουν τα κακόβουλα αρχεία. Ορισμένοι ενδεικτικοί τίτλοι: “invoice,” “speeding_ticket,” “test_results” , κτλ.

Συνοψίζοντας, η καλύτερη προστασία από αυτές τις κακόβουλες διεισδύσεις είναι η αποφυγή ανοίγματος spam emails από άγνωστους αποστολείς, και φυσικά απαγορεύεται αυστηρώς η λήψη των επισυνάψεων.

Επίσης, άλλοι πολύ δημοφιλείς τρόποι διαδικτυακής εξάπλωσης του ιού ransomware είναι μέσω κλικαρίσματος ύποπτων και παραπλανητικών διαφημίσεων ή μέσω επισκέψεων σε κακόβουλους ιστότοπους που εμπεριέχουν exploit kits!

Εν κατακλείδι, οι άπειροι χρήστες αποτελούν την ομάδα υψηλότερου κινδύνου όσον αφορά τις διεισδύσεις ιών ransomware. Βεβαίως, ακόμα και οι πλέον έμπειροι χρήστες μπορεί να κάνουν λάθη και να πέσουν κι αυτοί θύματα κυβερνο-επιθέσεων. Έτσι, πέραν της πολύ μεγάλης προσοχής που είναι απαραίτητη, είναι απαραίτητη και η εγκατάσταση ενός πλήρως ενημερωμένου κι αξιόπιστου λογισμικού ασφάλειας anti-malware το οποίο θα θωρακίζει σε πραγματικό χρόνο το σύστημα του υπολογιστή σου από τις κυβερνο-απειλές!

Τρόποι αφαίρεσης του ιού Princess Locker

Ο ιός Princess Locker virus είναι μια ιδιαιτέρως επικίνδυνη κυβερνο-απειλή, για αυτό τον λόγο συνιστούμε να αποφύγεις να προσπαθήσεις να αφαιρέσεις χειροκίνητα το συγκεκριμένο ιό ransomware. Ο αποτελεσματικότερος τρόπος είναι η εγκατάσταση και χρήση ενός πλήρως ενημερωμένου κι αξιόπιστου λογισμικού ασφάλειας. Αυτό, θα αναλάβει αυτόματα να εντοπίσει και να αφαιρέσει ολοκληρωτικά τον ιό, αλλά και όλα τα βοηθητικά/σχετικά αρχεία του.

Μόλις ολοκληρωθεί η αφαίρεση του ιού Princess Locker, μπορείς κατόπιν να ξεκινήσεις τις προσπάθειες ανάκτησης των δεδομένων που έχουν κρυπτογραφηθεί από τον ιό ransomware. Παρακάτω, προτείνουμε κάποιες ενδεχόμενες λύσεις. Αν και δεν έχει κυκλοφορήσει επισήμως κάποιο εργαλείο αποκρυπτογράφησης του ιού, τα παρακάτω μπορεί να σε βοηθήσουν να ανακτήσεις τουλάχιστον μέρος των μπλοκαρισμένων αρχείων σου.