Skala niebezpieczeństwa:  
  (99/100)

Ransomware STOP. Jak się go pozbyć? (Poradnik usuwania)

stworzone przez Gabriel E. Hall - - | Rodzaj: Ransomware

Ransomware STOP jest wciąż aktywnym wirusem blokującym pliki, wykorzystującym opracowane schematy do wyłudzania pieniędzy w 2019 roku

Kryptowirus STOP

Ransomware STOP to wirus blokujący pliki, który został po raz pierwszy zauważony w grudniu 2017 roku. Malware ten korzysta z kombinacji akgorytmów AES i RSA, by szyfrować dane i dodawać rozszerzenie .STOP. Nowe wersje tego wirusa pojawiają się jednak co miesiąc. W chwili obecnej wirus dodaje następujące rozszerzenia: .SAVEfiles, .puma, .pumas, .pumax, .shadow, i .keypass. Warto też wspomnieć, że istnieją jego warianty nazwane Keypass i Djvu, które same okryły się złą sławą atakując ofiary w ponad dwudziestu krajach. W chwili obecnej, ransomware Djvu jest najaktywniejszą odmianą ransomware'a STOP i domaga się od 300 do 600 dolarów za rozszyfrowania. Malware wykorzystuje do przekazywania żądań plików _openme.txt, !readme.txt i podobnych i domaga się kontaktu pod adresami restoredjvu@firemail.cc, stopfilesrestore@bitmessage.ch, helpshadow@india.com itd,

Podsumowanie cyberzagrożenia
Nazwa Ransomware STOP
Typ Kryptowirus
Algorytmy szyfrujące AES oraz RSA-1024
Powiązane rozszerzenia plików .STOP, .SUSPENDED , .WAITING, .CONTACTUS, .DATASTOP, .PAUSA, .KEYPASS, .WHY, .SAVEfiles, .DATAWAIT, .INFOWAIT, .puma, .pumax, .pumas, .shadow, .djvu. .djvuu. .djvus, .udjvu, .uudjvu
Żądanie okupu

!!! YourDataRestore !!! txt,
!!RestoreProcess!!!.txt,
!!!!RESTORE_FILES!!!.txt,
!!!DATA_RESTORE!!!.txt
!!!DECRYPTION__KEYPASS__INFO!!!.txt
!!!WHY_MY_FILES_NOT_OPEN!!!.txt
!!SAVE_FILES_INFO!!!.txt
!readme.txt

Wysokość okupu $300 – $600
Adresy kontaktowe

stopfilesrestore@bitmessage.ch
topfilesrestore@india.com
suspendedfiles@bitmessage.ch
suspendedfiles@india.com
decryption@bitmessage.ch
BM-2cUMY51WfNRG8jGrWcMzTASeUGX84yX741@bitmessage.ch
keypassdecrypt@india.com
decryptionwhy@india.com
savefiles@india.com
helpshadow@india.com
helpshadow@firemail.cc
restoredjvu@india.com
restoredjvu@firemail.cc 

Metody dystrybucji Złośliwy spam, zhakowane strony, exploity, ataki typu brute-force, itd.
Dekrypter Pobierz tutaj (bezpośredni link)
Aby usunąć wirusa, zainstaluj Reimage i wykonaj pełny skan systemu

Ransomware STOP został po raz pierwszy zauważony w grudniu 2017 roku. Nowe odmiany pojawiły się jednak w sierpniu 2018 i kolejnych miesiącach. Wszystkie z nich zachowują się podobnie, lecz dodają inne rozszerzenia do atakowanych danych, prezentują nieznacznie zmienione żądania okupu i korzystają z innych adresów mailowych.

Oryginalna wersja malware'a dodaje rozszerzenie .STOP, które blokuje pliki na komputerze z systemem Windows. Jak tylko ransomware STOP ukończy procedurę szyfrowania, wirus dostarcza żądanie okupu w formie pliku “!!! YourDataRestore !!! txt”. Wiadomość od złoczyńców mówi, że ofiara ma zapłacić okup w ciągu 72 godzin.

Autorzy wirusa STOP domagają się zapłaty 600 dolarów w ciągu trzech dni. By dać dowód, pozwalają też na wysłanie 1-3 „niedużych” plików w celu testowej dekrypcji pod adresem stopfilesrestore@bitmessage.ch lub stopfilesrestore@india.com. Mogą być to jednak jedyne pliki, które odzyskasz po ataku ransomware – gdy zapłacisz okup, oszuści mogą zniknąć. Dostali od Ciebie w końcu to, czego chcieli.

Chcemy jednak podkreślić, że zapłata okupu może być ryzykownym zajęciem prowadzącym do sporych strat pieniężnych. Gdy już zapłacisz to 600 dolarów, możesz zostać zmuszony do zapłaty kolejnych kwot. Jeśli zaś się nie zgodzisz, lib zostaniesz na lodzie bez dekryptera, nike nie będzie w stanie pomóc Ci odnaleźć przestępców i odzyskać pieniądze. Lepiej więc unikać jakiegkolwiek kontaktu i sprawdzić oficjalny dekrypter STOP, który znajdziesz na końcu artykułu.

Wirus plików STOP

Dlatego zalecamy na chwilę obecną zapomnieć o odzyskiwaniu danych. Najważniejszym zadaniem będzie usunięcie z komputera ransomware STOP, by uczynić system bezpiecznym. W tym celu zalecamy skan urządzenia programem anty-malware typu Reimage, które to usunie wirusa ransomware STOP. 

Ważnym jest korzystanie z profesjonalnych narzędzi, ponieważ to cyberzagrożenie może zmienić Rejestr Windows, tworzyć nowe klucze, instalować złośliwe pliki bądź wpływać na procesy systemowe. Znaczy to, że ręczne wyłączenie wirusa jest niemal niemożliwe. Jeśli chcesz znaleźć i usunąć te wpisy samemu, możesz spowodować szkody na komputerze. Nie ryzykuj!

Gdy już zajmiesz się usunięciem ransomware'a STOP, będziesz mógł bezpiecznie podpiąć dysk z kopią zapasową bądź wyeksportować ważne pliki z chmury. Jeśli nie utworzyłeś jednak kopii zapasowej i nie możesz przywrócić danych, sprawdź narzędzia, o których wspominamy na końcu artykułu. Mamy nadzieję, że odzyskają one choć część plików. Co więcej, eksperci ostatnio wydali dekrypter tego ransomware'a, który może odzyskać dane. Zamieściliśmy go na dole artykułu.

Nowe warianty ransomware'e pojawiały się praktycznie w każdym miesiącu 2018 roku

Ransomware Suspended

Na początku roku, w lutym, badacze malware informowali o odmianie malware STOP korzystającej z rozszerzenia .SUSPENDED do blokowania dokumentów, multimediów, bazy danych, archiwów i innych plików. Zachowanie tego ransomware'a jest podobne do innych wersji – pobiera jednak inne żądanie okupu po szyfrowaniu plików.

Ransomware Suspended dostarcza instrukcje w pliku tekstowym ”!!RestoreProcess!!!.txt i prosi o wysłanie unikalnego ID ofiary oraz przykładowych plików do dekrypcji pod adres suspendedfiles@bitmessage.ch lub suspendedfiles@india.com. Rozmiar okupu oraz termin zapłaty pozostaje bez zmian

Zaszyfrowane dane wirusa STOP

Ransomware CONTACTUS

Na końcu maja kolejny wariant ransomware'a STOP pojawił się na powierzchni. Wersja ta korzysta z rozszerzenia .CONTACTUS do blokowania zaatakowanych plików. Nie tylko rozszerzenie zostało zmienione. Oszuści zmienili też nazwę pliku z żądaniem okupu – teraz plik ten jest nazwany !!!RESTORE_FILES!!!.txt. Adres kontaktowy został zaś zmieniony na decryption@bitmessage.ch oraz decryption@india.com:

All your important files were encrypted on this PC.
All files with .CONTACTUS extension are encrypted.
Encryption was produced using unique private key RSA-1024 generated for this computer.

To decrypt your files, you need to obtain private key + decrypt software.

To retrieve the private key and decrypt software, you need to CONTACTUS us by email decryption@bitmessage.ch send us an email your !!!RESTORE_FILES!!!.txt file and wait for further instructions.

For you to be sure, that we can decrypt your files – you can send us a 1-3 any not very big encrypted files and we will send you back it in a original form FREE.
Price for decryption $600 if you contact us first 72 hours.

Your personal id:
[redacted 40 characters]

E-mail address to contact us:
decryption@bitmessage.ch

Reserve e-mail address to contact us:
decryption@india.com

Ransomware SaveFiles

Kolejna wersja ransomware'a STOP pojawiła się we wrześniu 2018 roku. Po wykorzystaniu pliku urpress.exe jako główny plik wykonywalny, ransomware ten szyfruje dane i oznacza zablokowane pliki rozszerzeniem .SAVEfiles. Tak jak inne wersje, zagrożenie to szyfruje z wykorzystaniem algorytmów AES i RSA. Po modyfikacji pliku, ransomware umieszcza żądanie okupu nazwane !!!SAVE_FILES_INFO!!!.txt w każdym folderze zawierającym zaszyfrowane dane.

Żądanie okupu zawiera następujący tekst:

WARNING!

Your files, photos, documents, databases and other important files are encrypted and have the extension: .SAVEfiles
The only method of recovering files is to purchase an decrypt software and unique private key.

After purchase you will start decrypt software, enter your unique private key and it will decrypt all your data.
Only we can give you this key and only we can recover your files.

You need to contact us by e-mail BM-2cXonzj9ovn5qdX2MrwMK4j3qCquXBKo4h@bitmessage.ch send us your personal ID and wait for further instructions.

For you to be sure, that we can decrypt your files – you can send us a 1-3 any not very big encrypted files and we will send you back it in a original form FREE.

Price for decryption $500.
This price avaliable if you contact us first 72 hours.

E-mail address to contact us:
BM-2cXonzj9ovn5qdX2MrwMK4j3qCquXBKo4h@bitmessage.ch

Reserve e-mail address to contact us:
savefiles@india.com

Your personal id:

Jak widzisz, twórcy wirusa twierdzą, że posiadają narzędzie do rozszyfrowywania plików i namawiają ludzi do kontaktu pod adresem mailowym savefiles@india.com. Nie powinieneś tego robić, ponieważ przestępcy nie są godni Twojego zaufania. Lepiej zastosuj się do poniższego poradnika, aby usunąć ransomware STOP. W tym celu możesz korzystać z aplikacji typu Reimage lub Malwarebytes MalwarebytesCombo Cleaner. Wykonaj pełny skan systemu, by jeszcze lepiej go oczyścić. Następnie skorzystaj z programów do odzyskiwania plików i przywróć swoje dokumenty.

Ransomware Puma

Ransomware Puma jest rozszyfrowywalnym wirusem. Jeśli zostałeś zainfekowany, możesz uznawać się za szczęściarza – masz szansę na odzyskanie plików. Tylko dane z rozszerzeniem .puma, .pumas, i .pumax mogą zostać odblokowane poprzez specjalny dekrypter (bezpośredni link) od ekspertów. Upewnij się jednak, że sprawdzisz go dopiero po usunięciu wirusa – w przeciwnym wypadku cała procedura rozpocznie się na nowo.

Będąc w systemie, wirus zostawia plik  !readme.txt informujący ofiarę o obecnej sytuacji. Wcześniej, malware uruchamia procedurę szyfrującą (w tym celu wykorzystuje algorytmy AES i RSA), by sprawić, że wszystkie pliki w systemie staną się bezużyteczne. Ofierze daje się 72 dni na kontakt z hakerami. Nie powinieneś tego jednak robić, by zapobiec dalszym problemom z komputerem.

Dekrypter ransomware STOP

Ransomware Shadow

Na początku grudnia 2018 badacze odkryli wariant, który dodaje rozszerzenie .shadow do zainfekowanych plików. Rozszerzenie to było wcześniej wykorzystywane przez ransomware BTCWare w 2017 roku. Wygląda na to, że autorzy malware'a Shadow zaadaptowali je.

Wirus ransomware Shadow korzysta z żądania okupu !readme.txt wyjaśniającego, jak dokonać zapłaty w Bitcoinie. Oszuści oferują też rozszyfrowanie jednego pliku za darmo, by pokazać, że ich dekrypter działa. Proponują do kontaktu adresy helpshadow@india.com i helpshadow@firemail.cc, a także oferują 50% zniżki, jeśli okup zostanie zapłacony w ciągu 72 godzin od infekcji.

Jak zwykle, zalecamy unikania kontaktu z oszustami. Wirus plików .shadow może nie być rozszyfrowywalny na chwilę obecną – powinieneś poczekać na wydanie darmowego dekryptera, tak jak się stało w wypadku ransomware'a Puma.

Ransomware Djvu

Najnowszą wersją wirusa jest ransomware Djvu, który dodaje następujące rozszerzenia:: .djvu, .djvus, .djvuu, .udjvu, .uudjvu, .djvuq, .djvur. Wirus ten już zaatakował tysiące użytkowników na całym świecie z pomocą najpopularniejszego sposobu ransomware'ów na wniknięcie do komputera – spam. Ofiary zazwyczaj otrzymują wiadomość e-mail oferującą więcej na temat paczki, rachunku, raportu lub przesyłki. Pobranie załącznika powoduje jednak wniknięcie wirusa do systemu.

Ransomware Djvu jest obecnie nierozszyfrowywalny – jedynym sposobem na odzyskanie zaszyfrowanych danych jest usunięcie wirusa, a następnie skorzystanie z zewnętrznych narzędzi. Oczywiście, jeśli utworzyłeś kopie zapasowe plików przez ich zaszyfrowaniem, powinieneś nie mieć żadnych problemów. Po prostu usuń zaszyfrowane pliki z systemu i wrzuć te prawidłowe.

Kryptowirus może dostać się do systemu, jak tylko otworzysz złośliwy spam

Plik wykonywalny wirusa zazwyczaj rozpowszechnia się poprzez złośliwy spam zawierający załączniki. Z pomocą socjoinżynierii, przestępcy nakłaniają ofiary do otwierania załączników i pozwalają malware'om na wniknięcie do systemu. Możesz rozpoznać groźną wiadomość po następujących znakach:

  • Nie spodziewasz się takiej wiadomości (przykładowo: nic nie zamawiałeś z Amazona i nie spodziewasz się kuriera, który miałby dostarczyć paczkę).
  • W liście brakuje danych nadawcy, logotypu czy podpisu.
  • List jest pełen błędów bądź dziwnie zbudowanych zdań.
  • List nie zawiera tematu, posiada pustą treść oraz załącznik.
  • Treść wiadomości namawia do sprawdzenia załącznika.
  • Adres nadawcy wygląda podejrzanie. 

Malware STOP

Eksperci z NoVirus.uk mówią też o tym, że malware może wniknąć do systemu, gdy użytkownik kliknie na złośliwą reklamę, pobierze uszkodzoną aplikację bądź jej aktualizację oraz na inne sposoby.

Z tego powodu użytkownicy powinni nauczyć się, jak zidentyfikować potencjalne ryzyko ukrywające się w sieci. Chcemy przypomnieć, że każdy program ochronny może zabezpieczyć komputer przed atakiem malware. Dlatego też regularne aktualizacje są obowiązkiem!

Pozbądź się ransomware'a STOP i odzyskaj pliki

Na początek, chcemy odradzić ręczne usuwanie ransomware'a. Cyberzagrożenie składa się z licznych plików i komponentów, które mogą wyglądać jak procesy systemowe. Dlatego, z łatwością możesz usunąć nie te pliki i spowodować jeszcze większe szkody. Z tego powodu musisz zdecydować się na automatyczną eliminację ransomware'a STOP.

Wirus może blokować programom dostęp, który jest potrzebny do jego usunięcia. Najpierw powinieneś więc wyłączyć wirusa uruchamiając Tryb Awaryjny z Obsługą Sieci. Poniższe instrukcje wyjaśnią, jak to zrobić. Nie ma znaczenia też, jaka wersja pojawiła się Tobie w systemie – instrukcja usuwania pozostaje taka sama.

Będąc w Trybie Bezpiecznym pobierz, zainstaluj i zaktualizuj Reimage, Plumbytes Anti-MalwareMalwarebytes Malwarebytes lub Malwarebytes MalwarebytesCombo Cleaner. Następnie, uruchom pełny skan systemu i poczekaj, aż program ukończy czyszczenie, pomagając z usunięciem ransomware'a STOP. Później będziesz mógł podpiąć kopię zapasową bądź skorzystać z alternatywnych metod odzyskiwania plików.

Oferta
zrób to teraz!
Download
Reimage (usuwanie) Gwarantujemy
zadowolenie
Download
Reimage (usuwanie) Gwarantujemy
zadowolenie
Program jest kompatybilny z Microsoft Windows Supported versions Program jest kompatybilny z OS X Supported versions
Co zrobić w przypadku porażki?
Jeśli nie udało się Tobie usunąć wirusa z pomocą Reimage, zadaj pytanie naszemu zespołowi, zapewniając tak wiele szczegółów, jak to możliwe..
Do usuwania szkód po wirusie zalecamy Reimage. Darmowy skaner oprogramowania pozwoli ci uzyskac informacje odnosnie tego czy twoj komputer zostal zainfekowany czy tez nie. Jezeli chcialbys usunac oprogramowanie malware lepiej bedzie jezeli zakupisz pelna licencje oprogramowania Reimage ktory jest sprawdznym oprogramowaniem do usuwania plikow malware.

Instrukcja ręcznego usuwania wirusa STOP:

Usuń STOP korzystająć z Safe Mode with Networking

Wykonaj te kroki, by uruchomic komputer w Trybie Awaryjnym z Obsługą Sieci. Pozwoli to na wyłączenie ransomware'a STOP:

  • Krok 1: Zresetuj swój komputer Safe Mode with Networking

    Windows 7 / Vista / XP
    1. Kliknij Start Shutdown Restart OK .
    2. Kiedy już włączysz swój komputer, zacznij wciskać przycisk F8 tak długo aż zobaczysz okno Advanced Boot Options
    3. Wybierz $1$s z listy Wybierz 'Safe Mode with Networking'

    Windows 10 / Windows 8
    1. Wciśnij przycisk Power w oknie logowania oznaczonym Windows. Następnie wciśnij i przytrzmaj Shift, który znajduje się na twojej klawiaturze i wciśnij dodatkowo Restart.
    2. Teraz wybierz Troubleshoot Advanced options Startup Settings a na końcu dodatkowo wybierz Restart
    3. Jak tylko włączysz swój komputer wybierz -Enable Safe Mode with Networking w oknie Startup Settings Wybierz 'Enable Safe Mode with Networking'
  • Krok 2: Usuń STOP

    Zaloguj się na zainfekowane konto a następnie uruchom przeglądarkę internetową. Pobierz Reimage lub też inny sprawdzony program antyszpiegujący. Zaaktualizuj go przed wykonaniem pełnego skanu systemu a następnie usuń podejrzane pliki powiązane z wirusem ransomware, zakończ usuwanie STOP.

Jeżeli program ransomware blokuje skorzystanie z Safe Mode with Networking, skorzystaj z innej metody

Usuń STOP korzystająć z System Restore

Ta metoda także jest w stanie pomóc w automatycznej eliminacji wirusa:

  • Krok 1: Zresetuj swój komputer Safe Mode with Command Prompt

    Windows 7 / Vista / XP
    1. Kliknij Start Shutdown Restart OK .
    2. Kiedy już włączysz swój komputer, zacznij wciskać przycisk F8 tak długo aż zobaczysz okno Advanced Boot Options
    3. Wybierz $1$s z listy Wybierz 'Safe Mode with Command Prompt'

    Windows 10 / Windows 8
    1. Wciśnij przycisk Power w oknie logowania oznaczonym Windows. Następnie wciśnij i przytrzmaj Shift, który znajduje się na twojej klawiaturze i wciśnij dodatkowo Restart.
    2. Teraz wybierz Troubleshoot Advanced options Startup Settings a na końcu dodatkowo wybierz Restart
    3. Jak tylko włączysz swój komputer wybierz -Enable Safe Mode with Command Prompt w oknie Startup Settings Wybierz 'Enable Safe Mode with Command Prompt'
  • Krok 2: Przywróć ustawienia fabryczne i pliki systemowe
    1. Jak tylko zobaczysz okno Command Prompt, wpisz cd restore i wybierz Enter Wpisz 'cd restore' bez cudzysłowia a nastepnie wybierz 'Enter'
    2. Teraz wybierz rstrui.exe a nastepnie kliknij Enter jeszcze raz. Wpisz 'rstrui.exe' bez cudzysłowia a nastepnie wybierz 'Enter'
    3. Kiedy pokaże ci się nowe okno wybierz Next a nastepnie wybierz punkt przywracania systemu, który wypada przed zainstalowaniem STOP. Zaraz po tym wybierz $3$s. Kiedy pojawi się okno 'System Restore' wybierz 'Next'. Wybierz punkt przywracania systemu i wybierz 'Next'
    4. Teraz wybierz Yes aby rozpocząć przywracanie systemu Kliknij 'Yes' i rozpocznij przywracanie systemu.
    Jak tylko przywrócisz system do poprzednich ustawien, pobierz na swoj komputer program Reimage i z jego pomoca dokonaj skanowania swojego systemu, upewnij się że udało ci sie usunąć oprogramowanie STOP

Bonus: przywróć swoje dane

Poradnik zaprezentowany powyżej powinien pomóc ci w usunieciu oprogramwania STOP z twojego komputera. Celem przywrócenia zaszyfrowanych danych prosze skorzystaj z dokladnego poradnika przygotowanego przez naszych ekspertow do spraw bezpieczenstwa usunwirusa.pl

Jezeli twoje pliki zostaly zaszyfrowane przez STOP mozesz skorzystac z podanych metod aby je przywrocic

Spróbuj Data Recovery Pro

Oryginalnie, narzędzie to zostało stworzone do odzyskiwania plików po awarii systemu bądź przypadkowym usunięciu. Może się jednak okazać przydatne też po ataku ransomware.

  • Pobierz Data Recovery Pro;
  • Zapoznaj się z nastepującymi krokami Data Recovery a nastepnie zainstaluj program na swoim komputerze.
  • Uruchom go a nastepnie przeskanuj swoj zaszyfrowany komputer w poszukiwaniu STOP.
  • Przywróć je

Skorzystaj z funkcji poprzednich wersji plików Windows

Metoda ta pozwala na skopiowanie wcześniejszych wersji plików, jeśli przed atakiem była aktywowana funkcja Przywracania Systemu.

  • Znajdź zaszyfrowany plik, który chcesz przywrócić i kliknij na nim prawym przyciskiem myszy
  • Wybierz “Properties” a nastepnie przejdz do zakladki “Previous versions”
  • Tutaj sprawdz dostepne kopie pliku w “Folder versions”. Powinienes wybrac wersje ktora cie interesuje i kliknac przycisk przywracania “Restore”

Spróbuj ShadowExplorera

ShadowExplorer może odzyskać pliki z ukrytych kopii woluminu, jeśli rasomware STOP nie usunął ich.

  • Pobierz Shadow Explorer (http://shadowexplorer.com/);
  • W odniesieniu do manadzera instalacji Shadow Explorer po prostu postepuj z pozostalymi krokami instalacji.
  • Uruchom program, przejdz przez menu a nastepnie w górnym lewym roku kliknij dysk z zaszyfronwanymi danymi. Sprawdz jakie wystepuja tam foldery
  • Kliknij prawym przyciskiem na folder ktory chcesz przywrocic i wybierz “Export”. Nastepnie wybierz gdzie chcesz go skladowac.

Dekrypter ransomware'a STOP został niedawno opublikowany. Możesz znaleźć go tutaj (link bezpośredni)

Na końcu powinienes dodatkowo pomyśleć o ochronie swojego komputera przed oprogramowaniem ransomware. Aby chronić swój komputer przed STOP i innym szkodliwym oprogramowaniem polecamy skorzystanie ze sprawdzonego oprogramowania antyszpiegującego takiego jak Reimage, Malwarebytes MalwarebytesCombo Cleaner lub Plumbytes Anti-MalwareMalwarebytes Malwarebytes

O autorze

Gabriel E. Hall
Gabriel E. Hall - Pasjonat wyszukiwania wirusów komputerowych.

Jeżeli ten darmowy poradnik usuwania plików pomógł ci i jesteś zadowolony z działania naszego serwisu, prosimy o rozważenie dotacji, aby serwis mógł pozostać aktywny. Nawet najmniejsze sumy są mile widziane.

Skontaktuj się z autorem
O firmie Esolutions

Źródło: https://www.2-spyware.com/remove-stop-ransomware.html

Poradniki w innych językach