Virusul de tip ransomware Bad RabbitCum se poate elimina?

Ransomware-ul BadRabbit – un nou moştenitor al lui NotPetya/Petya.A?

Virusul Bad Rabbit funcţionează ca un nou cripto-malware, care a reuşit să creeze haos în Europa de Est. Operează în mod similar cu ransomware-ul Petya sau NotPetya care a devastat spaţiul cibernetic acum câteva luni. La o privire mai îndeaproape, cu toate că există unele similarităţi iar experţii din IT suspectează că este posibil să fie acelaşi dezvoltator, codul sursă este destul de diferit.

În acest moment, se spune că numărul victimelor a trecut de 200. Se pare că programatorilor nu le place Rusia şi Ucraina, deoarece aceste două ţări sunt cel mai mult afectate. Aeroportul internaţional Odessa din Ucraina, şi alte câteva corporaţii media din Rusia, inclusiv Interfax, Fontanka.ru et al, au fost principalele ţinte. . În plus, atacul s-a extins şi în ţările vecine, precum Turcia şi Bulgaria.

Atacul de tip drive-by a fost livrat prin intermediul actualizărilor false de Flash Player

Produsul lui Adobe, Flash Player, a adus cu succes, din nou, beneficii dezvoltatorilor de malware. Principalul kit al malware-ului este deghizat ca şi actualizare falsă de Flash . Malware-ul este descărcat ca şi fişier install_flash_player.exe de pe site-uri corupte. De asemenea, este posibil ca Bad Rabbit să se ascundă şi sub alte nume de fişiere.

După cum dezvăluie analiza celor de la VirusTotal , ameninţarea ar putea călători sub un anumit „Uninstaller”. Din fericire, infecţia este deja detectabilă de majoritatea aplicaţiilor de securitate. Malware-ul exploatează anumite vulnerabilităţi din serverele SMB, care explică abilitatea lui de a se infiltra pe servere.

După invazie, ransomware-ul Bad Rabbit creează fişierul C:\Windows\infpub.dat. Ca şi consecinţă, acesta generează următoarele fişiere – C:\Windows\cscc.dat şi C:\Windows\dispci.exe. Acestea sunt responsabile pentru modificarea setărilor MBR. Interesant este faptul că malware-ul sugerează referinţe din caracterele serialului Urzeala Tronurilor. Malware-ul Bad Rabbit creează trei sarcini numite după cei trei dragoni din serie :

• C:\Windows\system32\rundll32.exe C:\Windows\infpub.dat,#1 15
• cmd.exe /c schtasks /Delete /F /TN rhaegal
• cmd.exe /c schtasks /Create /RU SYSTEM /SC ONSTART /TN rhaegal /TR
• cmd.exe /c schtasks /Create /SC once /TN drogon /RU SYSTEM /TR:00
• C:\Windows\AF93.tmp” \

De asemenea, utilizează serviciul de criptare gratuit, DiskCryptor . Mai târziu, foloseşte metoda standard de criptare AES şi RSA-2048. Ţinteşte o gamă largă de formate de fişiere. Ca şi Petya.A nu adaugă nicio extensie de fişier, ci modifică setările Master Boot Record (MBR).

Reporneşte sistemul şi afişează aceiaşi notă de recompensă ca şi NotPetya. De asemenea, redirecţionează victimele către site-ul lui unic de plată. Le informează pe scurt despre malware, şi cere 0.05 BTC ca şi recompensă. După infiltrarea cu succes în sistem, malware-ul angajează Mimikatz pentru a obţine informaţii tehnice despre alte dispozitive ce sunt vizibile pe aceiaşi reţea .

Trucuri de prevenire pentru BadRabbit 

În ceea ce priveşte faptul că cripto-malware-ul se deghizează sub Flash Player şi intră în servere, măsura principală de prevenire ar fi instalarea imediată a actualizărilor curente. Există puţine informaţii despre vulnerabilităţile exploatate de Bad Rabbit. Asiguraţi-vă că uneltele dumneavoastră de securitate sunt actualizate. Cel mai bine ar fi să descărcaţi diferite tipuri de aplicaţii.

De exemplu, FortectIntego sau MalwarebytesMalwarebytes vă pot ajuta cu identificarea infecţiei. Astfel de unelte vă pot ajuta şi la eliminarea lui Bad Rabbit. Mai jos, veţi găsi instrucţiunile pentru recuperarea accesului la calculator. După, ar trebui să puteţi elimina virusul Bad Rabbit.

Eliminarea cripto-malware-ului BadRabbit

Datorită metodelor de operare neobişnuite, nu este surprinzător faptul că acest malware este numit următorul Petya. Dacă aţi întâlnit acest ghinion cibernetic, urmaţi instrucţiunile de mai jos. Deoarece ransomware-ul modifică setările MBR, nu veţi putea porni din prima calculatorul în Safe Mode. Implementaţi instrucţiunile de resetare MBR.

După, porniţi PC-ul în Safe Mode, reactivaţi aplicaţiile de securitate şi eliminaţi virusul Bad Rabbit. După scanare, lansaţi calculatorul în mod normal şi repetaţi procedura. Acest lucru va confirma faptul că eliminarea lui Bad Rabbit este completă. Reţineţi că eliminarea malware-ului nu recuperează fişierele criptate. Încercaţi să le recuperaţi din copiile de rezervă. Mai jos, găsiţi unele sugestii. 

În Windows 7:

1. Introduceţi DVD-ul Windows 7.
2. Lansaţi DVD-ul.
3. Selectaţi limba şi preferinţele tastaturii. Optaţi pentru Continuare.
4. Selectaţi sistemul de operare, selectaţi Utilizaţi unelte de recuperare şi apăsaţi Continuare.
5. Aşteptaţi să apară pe ecran Opţiuni de recuperare sistem şi selectaţi Command Prompt.
6. Tastaţi următoarele comenzi şi apăsaţi Enter după fiecare din ele: bootrec /rebuildbcd, bootrec /fixmbr, andbootrec /fixboot.
7. Scoateţi DVD-ul pentru instalare şi reporniţi PC-ul.

Pe sistemele Windows 8/10:

1. Introduceţi DVD-ul de instalare sau USB-ul de recuperare.
2. Selectaţi opţiunea Reparaţi calculatorul.
3. Alegeţi Troubleshoot şi selectaţi Command Prompt.
4. Tastaţi comenzile următoare şi apăsaţi Enter după fiecare din ele: bootrec /FixMbr, bootrec /FixBoot, bootrec /ScanOs, şi bootrec /RebuildBcd.
5. Scoateţi DVD-ul sau USB-ul de recuperare.
6. Tastaţi exit şi apăsaţi Enter.
7. Reporniţi PC-ul.