Αφαίρεση ιού Aesir (Οδηγίες Αφαίρεσης)

Τι είναι το Ιός ransomware Aesir?

Ο ιός Aesir αποτελεί ακόμα μια έκδοση του επικίνδυνου ιού Locky ransomware

Ο ιός ransomware Aesir αποτελεί ακόμα μια απόδειξη ότι οι δημιουργοί του πλέον επικίνδυνου ιού Locky virus όχι μόνο δε σταμάτησαν, αλλά αντιθέτως εξελίσσονται συνεχώς και συνεχίζουν να δημιουργούν περισσότερα και ακόμα πιο προηγμένα, επικίνδυνα malware.

Αξίζει να σημειωθεί ότι από τις αρχές του 2016, υπάρχει μια πραγματική έκρηξη στο πλήθος, τη συχνότητα, και τις αναβαθμίσεις των κακόβουλων λογισμικών της συγκεκριμένης ομάδας κυβερνο-εγκληματιών που πλήττουν την παγκόσμια διαδικτυακή κοινότητα. Καλά καλά δεν πέρασε ένας μήνας από τότε που ο ιός Thor ransomware βρίσκονταν στο απόγειό του, και εμφανίστηκε ακόμα ένας επικίνδυνος ιός, ο Aesir virus.

Σε γενικές γραμμές, ο ιός Aesir έχει πολλές ομοιότητες με τον ιό Thor. Ωστόσο, η κύρια διαφορά τους είναι ότι ο ιός Aesir προσθέτει διαφορετική επέκταση στα αρχεία που κρυπτογραφεί. Έτσι, αντί της επέκτασης .thor τα κρυπτογραφημένα αρχεία αποκτούν την επέκταση .aesir . Για αυτό τον λόγο, το συγκεκριμένο malware είναι γνωστό και ως ιός κακόβουλων επεκτάσεων .aesir.

Όπως συμβαίνει και με τις άλλες εκδόσεις ιών που σχετίζονται με τον ιό ransomware Locky, πχ. Odin, Heimdall, Zepto, έτσι και το συγκεκριμένο κακόβουλο λογισμικό κρυπτογραφεί τα αρχεία χρησιμοποιώντας τους προηγμένους, στρατιωτικού-τύπου, αλγόριθμους κρυπτογράφησης, RSA-2048 και AES-128. Κατά τη διάρκεια της κρυπτογράφησης, το συγκεκριμένο malware αλλάζει τα ονόματα των αρχείων που μολύνει, τα μετονομάζει με τυχαία τοποθέτηση χαρακτήρων, και προσθέτει την κακόβουλη επέκτασή του.

Έτσι, μόλις ολοκληρωθεί η κρυπτογράφηση το όνομα του αρχείου αλλάζει τελείως. Για παράδειγμα, ένα αρχείο με όνομα example.jpg, μόλις ολοκληρωθεί η κρυπτογράφηση θα μοιάζει κάπως έτσι: D2DJY3Y6-6L54-DD34-6H76-5B154054HQ32.aesir.

Μόλις ολοκληρωθεί η διαδικασία κρυπτογράφησης, ο ιός Aesir εμφανίζει δυο αρχεία στο σύστημα: “([random_number])-INSTRUCTION.html” και “([random_number])-INSTRUCTION.bmp”. Το BMP αρχείο μετατρέπεται σε εικόνα background και παρέχει οδηγίες στον χρήστη-θύμα σχετικά με το που μπορεί να βρει το σημείωμα λύτρων (ransom note) το οποίο είναι σε HTML μορφή.

Το δεύτερο αρχείο εμπεριέχει όλες τις απαραίτητες πληροφορίες που πρέπει να γνωρίζει ο χρήστης-θύμα σχετικά με την κρυπτογράφηση των αρχείων του. Επιπρόσθετα, τονίζεται στον χρήστη-θύμα ότι είναι πρακτικά αδύνατο να ανακτήσει τα κρυπτογραφημένα αρχεία. Παρουσιάζεται ως μοναδικός τρόπος η πληρωμή των λύτρων ύψους 0.5 Bitcoins (δλδ. περίπου 360 USD). Για να πραγματοποιηθεί η πληρωμή των λύτρων, είναι απαραίτητη η εγκατάσταση του Tor browser ώστε να μπορέσει να μεταβεί στον ιστότοπο όπου θα αποκτήσει τον ‘πολυπόθητο’ αποκρυπτογράφο Locky Decryptor. Μέσω αυτού του ιστότοπου θα γίνει και η οικονομική συναλλαγή στο Bitcoin wallet. Μόλις ολοκληρωθεί επιτυχώς η πληρωμή, οι κυβερνο-εγκληματίες υπόσχονται στον χρήστη-θύμα ότι θα αποκτήσει πρόσβαση και θα μπορέσει να χρησιμοποιήσει το συγκεκριμένο λογισμικό αποκρυπτογράφησης (decryption tool) ώστε να μπορέσει να ξεμπλοκάρει τα αρχεία του.

Δυστυχώς, η μεγάλη επιτυχία και το τεράστιο οικονομικό όφελος των κυβερνο-εγκληματιών που δημιουργούν ιούς ransomware, βασίζεται στο γεγονός ότι η συντριπτική πλειοψηφία των χρηστών δεν κάνουν τακτικά ή ακόμα και καθόλου backup τα σημαντικά αρχεία τους. Έτσι, μόλις ο υπολογιστής τους μολυνθεί από ιό ransomware και μπλοκάρει πολλά ή ακόμα και όλα τα πολύτιμα αρχεία τους, βρίσκονται με την πλάτη στο τοίχο, και μεγάλο μέρος των χρηστών αναγκάζεται να πληρώσει τα λύτρα.

Ωστόσο, οφείλουμε να τονίσουμε ότι είμαστε κάθετα εναντίον όσον αφορά την πληρωμή των λύτρων. Τα Bitcoins που απαιτούνται αντιστοιχούν σε πολλά λεφτά και η πληρωμή των λύτρων δίνει ένα πολύ ισχυρό οικονομικό κίνητρο στους κυβερνο-εγκληματίες να συνεχίσουν ακόμα πιο δυναμικά το κακόβουλο έργο τους. Εξάλλου, η πληρωμή των λύτρων δεν αποτελεί απαραίτητα εγγύηση ότι το λογισμικό αποκρυπτογράφησης θα δουλέψει. Μάλιστα, δεν υπάρχει καν εγγύηση ότι οι κυβερνο-εγκληματίες θα το δώσουν. ‘Αλλωστε, η εγκατάστασή του μπορεί να γίνει η αιτία κρυφών κι αυθαίρετων λήψεων στο σύστημα του υπολογιστή κι άλλων ανεπιθύμητων ή ακόμα και κακόβουλων προγραμμάτων/αρχείων.

Συνοψίζοντας από τα παραπάνω, στην περίπτωση που διαπιστώσεις ότι ο ιός ransomware Aesir έχει διεισδύσει κι εγκατασταθεί στο σύστημα του υπολογιστή σου, συνιστούμε άμεση κι ολοκληρωτική αφαίρεση του ιού. Στο τέλος του άρθρου θα βρεις αναλυτικές οδηγίες αφαίρεσης του ιού ransomware Aesir που ετοίμασε η ομάδα των ειδικών μας. Ο καλύτερος και πλέον αποτελεσματικός τρόπος αφαίρεσης του συγκεκριμένου ιού είναι η αυτόματη αφαίρεση, δλδ. χρησιμοποιώντας ένα πλήρως ενημερωμένο κι αξιόπιστο anti-malware, όπως πχ. το εξαίρετο και πολυδοκιμασμένο FortectIntego.

Κάτι το οποίο είναι σημαντικό και θα πρέπει να τονιστεί είναι το γεγονός ότι ο ιός ransomware Aesir έχει ακόμα ένα μοναδικό χαρακτηριστικό. Δε χρειάζεται να επικοινωνήσει με τους Command & Control servers για να λάβει τα κλειδιά κρυπτογράφησης δεδομένων (data encryption keys). Η συγκεκριμένη έκδοση malware χρησιμοποιεί C2 server, και δυστυχώς η δραστηριότητα του συγκεκριμένου ιού δεν εντοπίζεται από πολλά antivirus προγράμματα. Με άλλα λόγια, η νέα αυτή παραλλαγή του ιού Locky έγινε ακόμα πιο επικίνδυνη, πιο καταστροφική, και πιο δύσκολα αντιμετωπίσιμη.

Πώς μπορεί να διεισδύσει στο σύστημα του υπολογιστή μου ο συγκεκριμένος ιός ransomware?

Έχουμε διαπιστώσει ότι οι δημιουργοί του ιού Aesir χρησιμοποιούν αρκετές τεχνικές διαδικτυακής εξάπλωσης. Ωστόσο, η δημοφιλέστερη τεχνική παραμένει η διαδικτυακή εξάπλωση μέσω κακόβουλων email επισυνάψεων. Οι κύριες μορφές αυτών των επισυνάψεων είναι JS, VBS, και ZIP.

Μέσω διάφορων παραπλανητικών καμπανιών, οι κυβερνο-εγκληματίες προσπαθούν να ξεγελάσουν το μεγαλύτερο δυνατό αριθμό χρηστών και να τους ωθήσουν να ανοίξουν τις κακόβουλες επισυνάψεις. Τα κακόβουλα emails εμφανίζονται ως δήθεν τιμολόγια, αλληλογραφία οικονομικής ενημέρωσης από τράπεζες και χρηματοπιστωτικά ιδρύματα, ειδοποιήσεις διαφόρων ειδών, κι άλλα “σημαντικά” έγγραφα.

Πολλές φορές, τα emails αυτά προωθούνται ως δήθεν emails από την Amazon ή από άλλες γνωστές εταιρείες που δραστηριοποιούνται στο τομέα του online shopping. Μια από τις πρόσφατες malware προωθητικές καμπάνιες εμφανίζει emails που δήθεν έχουν σταλθεί από το διαδικτυακό πάροχο του χρήστη-θύματος (βλ. ISP, δλδ Internet Service Provider). Ως επί το πλείστον, το email που ανήκει στη συγκεκριμένη κατηγορία εμφανίζεται ότι έχει σταλθεί από το διαδικτυακό πάροχο γιατί ο υπολογιστής του χρήστη-θύματος στέλνει μαζικά spam emails ζητώντας από τον χρήστη να πατήσει τις επισυνάψεις, οι οποίες βεβαίως εμπεριέχουν το συγκεκριμένο ιό ransomware. Συνήθως, το επισυναπτόμενο zip αρχείο έχει αυτή τη μορφή: _[target_name].zip.

Ακόμα, αξίζει να αναφερθεί ότι πρόσφατα οι δημιουργοί του ιού Locky κατάφεραν να σπάσουν τα επίπεδα ασφάλειας ακόμα και του Facebook. Έτσι, άρχισαν να εξαπλώνουν τον επικίνδυνο ιό ransomware Aesir ακόμα και μέσω της νο1 δημοφιλούς πλατφόρμας κοινωνικής δικτύωσης. Ο ιός εξαπλώνεται στο Facebook μέσω του κακόβουλου αρχείου SVG.

Στη συγκεκριμένη περίπτωση, μόλις ο χρήστης κάνει το λάθος να κλικάρει στη συγκεκριμένη φωτογραφία, ανακατευθύνεται σε ιστοσελίδα σχεδόν πανομοιότυπη με αυτή του YouTube. Εκεί, θα ζητηθεί να εγκαταστήσει ένα συγκεκριμένο plugin. Μόλις το κάνει αυτό, θα δώσει άθελά του έγκριση να κατέβει στον υπολογιστή του το Nemucod – ένα Trojan που ευθύνεται για την εγκατάσταση και ενεργοποίηση του ιού ransomware Aesir virus.

Είναι δυνατή η ολοκληρωτική αφαίρεση του ιού ransomware Aesir και η αποκρυπτογράφηση των αρχείων files?

Ο ιός Aesir virus ανήκει στην πλέον επικίνδυνη κατηγορία ιών ransomware. Ωστόσο, σαφώς και είναι δυνατή η ολοκληρωτική αφαίρεσή του. Φυσικά, η ιδέα και μόνο της χειροκίνητης αφαίρεσης, απορρίπτεται. Πρόκειται για έναν εξαιρετικά προηγμένο και περίπλοκο ιό ο οποίος είναι πάρα πολύ δύσκολο να αφαιρεθεί ολοκληρωτικά, δλδ. χωρίς να μείνουν κατάλοιπά του μέσα στο σύστημα, με τη μέθοδο της χειροκίνητης αφαίρεσης. Έχει τη μοναδική ικανότητα να ελίσσεται συνεχώς και να αλλάζει τα ονόματα των αρχείων που σχετίζονται μαζί του. Οπότε, ο εντοπισμός και η ολοκληρωτική αφαίρεση όχι μόνο του ιού, αλλά και όλων των βοηθητικών/σχετικών αρχείων του είναι πολύ δύσκολο εγχείρημα ακόμα και για τους πιο έμπειρους προγραμματιστές ειδικούς σε θέματα διαδικτυακής ασφάλειας και συστημάτων.

Ο μοναδικός και πλέον βέλτιστος τρόπος για ολοκληρωτική αφαίρεση του ιού ransomware Aesir είναι σαφώς η αυτόματη αφαίρεση, δλδ. η χρήση ενός αξιόπιστου και πλήρως ενημερωμένου antivirus ή antimalware λογισμικού ασφάλειας. Για δύσκολες περιπτώσεις όπως αυτή, προτείνουμε τη χρήση κάποιου από αυτά τα δυο εξαίρετα και πολυδοκιμασμένα λογισμικά ασφάλειας: FortectIntego ή SpyHunter 5Combo Cleaner.

Πριν να εγκαταστήσεις κάποιο από αυτά τα εργαλεία, καλό θα ήταν να ρίξεις μια ματιά στις παρακάτω οδηγίες. Το τονίζουμε αυτό, γιατί υπάρχει η πιθανότητα ο ιός να μπλοκάρει την εγκατάσταση λογισμικού ασφάλειας. Σε αυτή την περίπτωση, θα πρέπει να επανεκκινήσεις τον υπολογιστή σου σε Ασφαλή Λειτουργία με Δικτύωση (Safe Mode with Networking) και κατόπιν να ακολουθήσεις προσεκτικά και βήμα προς βήμα τις παρακάτω οδηγίες. Επίσης, τα antimalware / antivirus λογισμικά ασφάλειας μπορούν μόνο να αφαιρέσουν ολοκληρωτικά τον ιό Aesir virus, και όχι να επαναφέρουν τα κρυπτογραφημένα αρχεία!

Δυστυχώς, δεν έχει κυκλοφορήσει έως τώρα κάποιο αξιόπιστο λογισμικό αποκρυπτογράφησης του συγκεκριμένου ιού. Για άλλη μια φορά, οφείλουμε να τονίσουμε πόσο σημαντικό είναι να γίνεται τακτικό backup των σημαντικών αρχείων. Στην περίπτωση που είχε γίνει backup πριν την μόλυνση του υπολογιστή, τότε με την ολοκλήρωση της αφαίρεσης του ιού, τα κρυπτογραφημένα αρχεία μπορούν να διαγραφούν και να επανέλθουν από την backup αποθηκευτική μονάδα.

Αν δεν πρόλαβες ή δεν προνόησες να κάνεις backup, τότε μπορείς να δοκιμάσεις κάποια από τις μεθόδους ανάκτησης δεδομένων που προτείνουμε παρακάτω. Ωστόσο, μη περιμένεις θεαματικά αποτελέσματα.