Usuń wirusa STOP (Poradnik usuwania) - zaaktualizowano, sty 2019

Czym jest Ransomware STOP?

Ransomware STOP jest wciąż aktywnym wirusem blokującym pliki, wykorzystującym opracowane schematy do wyłudzania pieniędzy w 2020 roku

Ransomware STOP to wirus blokujący pliki, który został po raz pierwszy zauważony w grudniu 2017 roku. Malware ten korzysta z kombinacji akgorytmów AES i RSA, by szyfrować dane i dodawać rozszerzenie .STOP. Nowe wersje tego wirusa pojawiają się jednak co miesiąc. W chwili obecnej wirus dodaje następujące rozszerzenia: .SAVEfiles, .puma, .pumas, .pumax, .shadow, i .keypass. Warto też wspomnieć, że istnieją jego warianty nazwane Keypass i Djvu, które same okryły się złą sławą atakując ofiary w ponad dwudziestu krajach. W chwili obecnej, ransomware Djvu jest najaktywniejszą odmianą ransomware'a STOP i domaga się od 300 do 600 dolarów za rozszyfrowania. Malware wykorzystuje do przekazywania żądań plików _openme.txt, !readme.txt i podobnych i domaga się kontaktu pod adresami restoredjvu@firemail.cc, stopfilesrestore@bitmessage.ch, helpshadow@india.com itd,

Ransomware STOP został po raz pierwszy zauważony w grudniu 2017 roku. Nowe odmiany pojawiły się jednak w sierpniu 2018, 2019, 2020 i kolejnych miesiącach. Wszystkie z nich zachowują się podobnie, lecz dodają inne rozszerzenia do atakowanych danych, prezentują nieznacznie zmienione żądania okupu i korzystają z innych adresów mailowych.

Oryginalna wersja malware'a dodaje rozszerzenie .STOP, które blokuje pliki na komputerze z systemem Windows. Jak tylko ransomware STOP ukończy procedurę szyfrowania, wirus dostarcza żądanie okupu w formie pliku “!!! YourDataRestore !!! txt”. Wiadomość od złoczyńców mówi, że ofiara ma zapłacić okup w ciągu 72 godzin.

Autorzy wirusa STOP domagają się zapłaty 600 dolarów w ciągu trzech dni. By dać dowód, pozwalają też na wysłanie 1-3 „niedużych” plików w celu testowej dekrypcji pod adresem stopfilesrestore@bitmessage.ch lub stopfilesrestore@india.com. Mogą być to jednak jedyne pliki, które odzyskasz po ataku ransomware – gdy zapłacisz okup, oszuści mogą zniknąć. Dostali od Ciebie w końcu to, czego chcieli.

Chcemy jednak podkreślić, że zapłata okupu może być ryzykownym zajęciem prowadzącym do sporych strat pieniężnych. Gdy już zapłacisz to 600 dolarów, możesz zostać zmuszony do zapłaty kolejnych kwot. Jeśli zaś się nie zgodzisz, lib zostaniesz na lodzie bez dekryptera, nike nie będzie w stanie pomóc Ci odnaleźć przestępców i odzyskać pieniądze. Lepiej więc unikać jakiegkolwiek kontaktu i sprawdzić oficjalny dekrypter STOP, który znajdziesz na końcu artykułu.

Dlatego zalecamy na chwilę obecną zapomnieć o odzyskiwaniu danych. Najważniejszym zadaniem będzie usunięcie z komputera ransomware STOP, by uczynić system bezpiecznym. W tym celu zalecamy skan urządzenia programem anty-malware typu FortectIntego, które to usunie wirusa ransomware STOP.

Ważnym jest korzystanie z profesjonalnych narzędzi, ponieważ to cyberzagrożenie może zmienić Rejestr Windows, tworzyć nowe klucze, instalować złośliwe pliki bądź wpływać na procesy systemowe. Znaczy to, że ręczne wyłączenie wirusa jest niemal niemożliwe. Jeśli chcesz znaleźć i usunąć te wpisy samemu, możesz spowodować szkody na komputerze. Nie ryzykuj!

Gdy już zajmiesz się usunięciem ransomware'a STOP, będziesz mógł bezpiecznie podpiąć dysk z kopią zapasową bądź wyeksportować ważne pliki z chmury. Jeśli nie utworzyłeś jednak kopii zapasowej i nie możesz przywrócić danych, sprawdź narzędzia, o których wspominamy na końcu artykułu. Mamy nadzieję, że odzyskają one choć część plików. Co więcej, eksperci ostatnio wydali dekrypter tego ransomware'a, który może odzyskać dane. Zamieściliśmy go na dole artykułu.

Wirus ransomware STOP ma dwie wersje. Obydwie jednak domagają się 600$ w zamian za dekrypter

Nowe warianty ransomware'e pojawiały się praktycznie w każdym miesiącu 2020 roku

Ransomware Suspended

Na początku roku, w lutym, badacze malware informowali o odmianie malware STOP korzystającej z rozszerzenia .SUSPENDED do blokowania dokumentów, multimediów, bazy danych, archiwów i innych plików. Zachowanie tego ransomware'a jest podobne do innych wersji – pobiera jednak inne żądanie okupu po szyfrowaniu plików.

Ransomware Suspended dostarcza instrukcje w pliku tekstowym ”!!RestoreProcess!!!.txt i prosi o wysłanie unikalnego ID ofiary oraz przykładowych plików do dekrypcji pod adres suspendedfiles@bitmessage.ch lub suspendedfiles@india.com. Rozmiar okupu oraz termin zapłaty pozostaje bez zmian

Ransomware CONTACTUS

Na końcu maja kolejny wariant ransomware'a STOP pojawił się na powierzchni. Wersja ta korzysta z rozszerzenia .CONTACTUS do blokowania zaatakowanych plików. Nie tylko rozszerzenie zostało zmienione. Oszuści zmienili też nazwę pliku z żądaniem okupu – teraz plik ten jest nazwany !!!RESTORE_FILES!!!.txt. Adres kontaktowy został zaś zmieniony na decryption@bitmessage.ch oraz decryption@india.com:

All your important files were encrypted on this PC.
All files with .CONTACTUS extension are encrypted.
Encryption was produced using unique private key RSA-1024 generated for this computer.

To decrypt your files, you need to obtain private key + decrypt software.

To retrieve the private key and decrypt software, you need to CONTACTUS us by email decryption@bitmessage.ch send us an email your !!!RESTORE_FILES!!!.txt file and wait for further instructions.

For you to be sure, that we can decrypt your files – you can send us a 1-3 any not very big encrypted files and we will send you back it in a original form FREE.
Price for decryption $600 if you contact us first 72 hours.

Your personal id:
[redacted 40 characters]

E-mail address to contact us:
decryption@bitmessage.ch

Reserve e-mail address to contact us:
decryption@india.com

Ransomware SaveFiles

Kolejna wersja ransomware'a STOP pojawiła się we wrześniu 2018 roku. Po wykorzystaniu pliku urpress.exe jako główny plik wykonywalny, ransomware ten szyfruje dane i oznacza zablokowane pliki rozszerzeniem .SAVEfiles. Tak jak inne wersje, zagrożenie to szyfruje z wykorzystaniem algorytmów AES i RSA. Po modyfikacji pliku, ransomware umieszcza żądanie okupu nazwane !!!SAVE_FILES_INFO!!!.txt w każdym folderze zawierającym zaszyfrowane dane.

Żądanie okupu zawiera następujący tekst:

WARNING!

Your files, photos, documents, databases and other important files are encrypted and have the extension: .SAVEfiles
The only method of recovering files is to purchase an decrypt software and unique private key.

After purchase you will start decrypt software, enter your unique private key and it will decrypt all your data.
Only we can give you this key and only we can recover your files.

You need to contact us by e-mail BM-2cXonzj9ovn5qdX2MrwMK4j3qCquXBKo4h@bitmessage.ch send us your personal ID and wait for further instructions.

For you to be sure, that we can decrypt your files – you can send us a 1-3 any not very big encrypted files and we will send you back it in a original form FREE.

Price for decryption $500.
This price avaliable if you contact us first 72 hours.

E-mail address to contact us:
BM-2cXonzj9ovn5qdX2MrwMK4j3qCquXBKo4h@bitmessage.ch

Reserve e-mail address to contact us:
savefiles@india.com

Your personal id:

Jak widzisz, twórcy wirusa twierdzą, że posiadają narzędzie do rozszyfrowywania plików i namawiają ludzi do kontaktu pod adresem mailowym savefiles@india.com. Nie powinieneś tego robić, ponieważ przestępcy nie są godni Twojego zaufania. Lepiej zastosuj się do poniższego poradnika, aby usunąć ransomware STOP. W tym celu możesz korzystać z aplikacji typu FortectIntego lub SpyHunter 5Combo Cleaner. Wykonaj pełny skan systemu, by jeszcze lepiej go oczyścić. Następnie skorzystaj z programów do odzyskiwania plików i przywróć swoje dokumenty.

Ransomware Puma

Ransomware Puma jest rozszyfrowywalnym wirusem. Jeśli zostałeś zainfekowany, możesz uznawać się za szczęściarza – masz szansę na odzyskanie plików. Tylko dane z rozszerzeniem .puma, .pumas, i .pumax mogą zostać odblokowane poprzez specjalny dekrypter (bezpośredni link) od ekspertów. Upewnij się jednak, że sprawdzisz go dopiero po usunięciu wirusa – w przeciwnym wypadku cała procedura rozpocznie się na nowo.

Będąc w systemie, wirus zostawia plik !readme.txt informujący ofiarę o obecnej sytuacji. Wcześniej, malware uruchamia procedurę szyfrującą (w tym celu wykorzystuje algorytmy AES i RSA), by sprawić, że wszystkie pliki w systemie staną się bezużyteczne. Ofierze daje się 72 dni na kontakt z hakerami. Nie powinieneś tego jednak robić, by zapobiec dalszym problemom z komputerem.

Ransomware Shadow

Na początku grudnia 2018 badacze odkryli wariant, który dodaje rozszerzenie .shadow do zainfekowanych plików. Rozszerzenie to było wcześniej wykorzystywane przez ransomware BTCWare w 2017 roku. Wygląda na to, że autorzy malware'a Shadow zaadaptowali je.

Wirus ransomware Shadow korzysta z żądania okupu !readme.txt wyjaśniającego, jak dokonać zapłaty w Bitcoinie. Oszuści oferują też rozszyfrowanie jednego pliku za darmo, by pokazać, że ich dekrypter działa. Proponują do kontaktu adresy helpshadow@india.com i helpshadow@firemail.cc, a także oferują 50% zniżki, jeśli okup zostanie zapłacony w ciągu 72 godzin od infekcji.

Jak zwykle, zalecamy unikania kontaktu z oszustami. Wirus plików .shadow może nie być rozszyfrowywalny na chwilę obecną – powinieneś poczekać na wydanie darmowego dekryptera, tak jak się stało w wypadku ransomware'a Puma.

Ransomware Djvu

Najnowszą wersją wirusa jest ransomware Djvu, który dodaje następujące rozszerzenia:: .djvu, .djvus, .djvuu, .udjvu, .uudjvu, .djvuq, .djvur. Wirus ten już zaatakował tysiące użytkowników na całym świecie z pomocą najpopularniejszego sposobu ransomware'ów na wniknięcie do komputera – spam. Ofiary zazwyczaj otrzymują wiadomość e-mail oferującą więcej na temat paczki, rachunku, raportu lub przesyłki. Pobranie załącznika powoduje jednak wniknięcie wirusa do systemu.

Ransomware Djvu jest obecnie nierozszyfrowywalny – jedynym sposobem na odzyskanie zaszyfrowanych danych jest usunięcie wirusa, a następnie skorzystanie z zewnętrznych narzędzi. Oczywiście, jeśli utworzyłeś kopie zapasowe plików przez ich zaszyfrowaniem, powinieneś nie mieć żadnych problemów. Po prostu usuń zaszyfrowane pliki z systemu i wrzuć te prawidłowe.

Kryptowirus może dostać się do systemu, jak tylko otworzysz złośliwy spam

Plik wykonywalny wirusa zazwyczaj rozpowszechnia się poprzez złośliwy spam zawierający załączniki. Z pomocą socjoinżynierii, przestępcy nakłaniają ofiary do otwierania załączników i pozwalają malware'om na wniknięcie do systemu. Możesz rozpoznać groźną wiadomość po następujących znakach:

• Nie spodziewasz się takiej wiadomości (przykładowo: nic nie zamawiałeś z Amazona i nie spodziewasz się kuriera, który miałby dostarczyć paczkę).
• W liście brakuje danych nadawcy, logotypu czy podpisu.
• List jest pełen błędów bądź dziwnie zbudowanych zdań.
• List nie zawiera tematu, posiada pustą treść oraz załącznik.
• Treść wiadomości namawia do sprawdzenia załącznika.
• Adres nadawcy wygląda podejrzanie.

Eksperci z NoVirus.uk mówią też o tym, że malware może wniknąć do systemu, gdy użytkownik kliknie na złośliwą reklamę, pobierze uszkodzoną aplikację bądź jej aktualizację oraz na inne sposoby.

Z tego powodu użytkownicy powinni nauczyć się, jak zidentyfikować potencjalne ryzyko ukrywające się w sieci. Chcemy przypomnieć, że każdy program ochronny może zabezpieczyć komputer przed atakiem malware. Dlatego też regularne aktualizacje są obowiązkiem!

Pozbądź się ransomware'a STOP i odzyskaj pliki

Na początek, chcemy odradzić ręczne usuwanie ransomware'a. Cyberzagrożenie składa się z licznych plików i komponentów, które mogą wyglądać jak procesy systemowe. Dlatego, z łatwością możesz usunąć nie te pliki i spowodować jeszcze większe szkody. Z tego powodu musisz zdecydować się na automatyczną eliminację ransomware'a STOP.

Wirus może blokować programom dostęp, który jest potrzebny do jego usunięcia. Najpierw powinieneś więc wyłączyć wirusa uruchamiając Tryb Awaryjny z Obsługą Sieci. Poniższe instrukcje wyjaśnią, jak to zrobić. Nie ma znaczenia też, jaka wersja pojawiła się Tobie w systemie – instrukcja usuwania pozostaje taka sama.

Będąc w Trybie Bezpiecznym pobierz, zainstaluj i zaktualizuj FortectIntego, Malwarebytes lub SpyHunter 5Combo Cleaner. Następnie, uruchom pełny skan systemu i poczekaj, aż program ukończy czyszczenie, pomagając z usunięciem ransomware'a STOP. Później będziesz mógł podpiąć kopię zapasową bądź skorzystać z alternatywnych metod odzyskiwania plików.