Ransomware Cerber
Napisany przez Tomasa Meskauskas dnia (zaktualizowany)
Instrukcje usuwania ransomware Cerber
Czym jest Cerber?
Cerber to ransomware typu malware, które infiltruje system, a następnie szyfruje różne pliki (.jpg, .doc, .raw, .avi itp.) (warto wspomnieć, że Cerber dodaje rozszerzenie a.cerber (.beef) do każdego zaszyfrowanego pliku). Po udanym szyfrowaniu, Cerber wymaga od użytkowników zapłacenia okupu w celu odszyfrowania tych plików. Stwierdza się, że użytkownicy muszą zapłacić okup w określonym przedziale czasowym (7 dni). W przeciwnym razie kwota okupu się podwoi.
Podczas szyfrowania, Cerber tworzy w każdym folderze zawierającym zaszyfrowane pliki 3 różne pliki (#DECRYPT MY FILES#.txt, #DECRYPT MY FILES#.html, #DECRYPT MY FILES#.vbs) zawierające instrukcje krok po kroku dotyczące płatności. Zawarta w nich wiadomość twierdzi, że użytkownicy mogą jedynie odszyfrować pliki przy użyciu deszyfratora opracowanego przez cyberprzestępców (zwanego 'Cerber Decryptor'). Plik #DECRYPT MY FILES#.vbs zawiera VBScript, który po uruchomieniu przedstawia na komputerze użytkownika komunikat „Twoje dokumenty, bazy danych i inne ważne pliki zostały zaszyfrowane!". W celu pobrania deszyfratora należy zapłacić okup 1,24 Bitcoin (w czasie badania było to równoznaczne z 546,72 $). Jeżeli okup nie zostanie zapłacony w terminie 7 dni, kwota podwoi się do 2,48 BTC. Powiedziane jest również, że użytkownicy mogą zapłacić tylko za pomocą przeglądarki Tor i postępując zgodnie z instrukcjami podanymi na wskazanej stronie internetowej. Niestety, w momencie badania nie było żadnych narzędzi będących w stanie rozszyfrować pliki zainfekowane Cerber. Z tego względu jedynym rozwiązaniem tego problemu jest przywrócenie systemu z kopii zapasowej.
Będąc szyfrującym ransomware, Cerber dzieli wiele podobieństw z innym malware, takim jak Locky, CryptoWall, CTB-Locker, Crypt0L0cker, TeslaCrypt i wiele innych. Wszystkie z nich zachowują się dokładnie tak samo - szyfrują pliki i zachęcają użytkowników do zapłacenia okupu w celu ich odszyfrowania. Jedynymi różnicami pomiędzy tymi wirusami jest algorytm używany do szyfrowania plików i wysokość okupu. Należy pamiętać, że nie ma gwarancji, że pliki zawsze zostaną rozszyfrowane nawet po zapłaceniu okupu. Płacenie jest równoznaczne z wysłaniem pieniędzy na cyberprzestępców - po prostu wspierać ich szkodliwą działalność. Z tego powodu nigdy nie płać okupu i nie podejmuj prób skontaktowania się z tymi osobami.
Takie malware jak Cerber jest najprawdopodobniej dystrybuowane poprzez złośliwe załączniki e-mail, sieci Peer to Peer (P2P) (np. Torrent), fałszywe aktualizacje oprogramowania i trojany. Z tego powodu, użytkownicy muszą być bardzo ostrożni podczas otwierania załączników z nierozpoznanych wiadomości e-mail. Bardzo ważne jest również, aby upewnić się, że żądane pliki są pobierane z zaufanych źródeł. Ponadto zawsze należy na bieżąco aktualizować zainstalowane oprogramowanie i używać legalnego oprogramowania antywirusowego lub antyspyware.
Po infiltracji komputerów swoich ofiar ransomware Cerber obiera za cel pliki z następującymi rozszerzeniami:
.gif, .groups, .hdd, .hpp, .log, .m2ts, .m4p, .mkv, .mpeg, .ndf, .nvram, .ogg, .ost, .pab, .pdb, .pif, .png, .qed, .qcow, .qcow2, .rvt, .st7, .stm, .vbox, .vdi, .vhd, .vhdx, .vmdk, .vmsd, .vmx, .vmxf, .3fr, .3pr, .ab4, .accde, .accdr, .accdt, .ach, .acr, .adb, .ads, .agdl, .ait, .apj, .asm, .awg, .back, .backup, .backupdb, .bay, .bdb, .bgt, .bik, .bpw, .cdr3, .cdr4, .cdr5, .cdr6, .cdrw, .ce1, .ce2, .cib, .craw, .crw, .csh, .csl, .db_journal, .dc2, .dcs, .ddoc, .ddrw, .der, .des, .dgc, .djvu, .dng, .drf, .dxg, .eml, .erbsql, .erf, .exf, .ffd, .fh, .fhd, .gray, .grey, .gry, .hbk, .ibd, .ibz, .iiq, .incpas, .jpe, .kc2, .kdbx, .kdc, .kpdx, .lua, .mdc, .mef, .mfw, .mmw, .mny, .mrw, .myd, .ndd, .nef, .nk2, .nop, .nrw, .ns2, .ns3, .ns4, .nwb, .nx2, .nxl, .nyf, .odb, .odf, .odg, .odm, .orf, .otg, .oth, .otp, .ots, .ott, .p12, .p7b, .p7c, .pdd, .pem, .plus_muhd, .plc, .pot, .pptx, .psafe3, .py, .qba, .qbr, .qbw, .qbx, .qby, .raf, .rat, .raw, .rdb, .rwl, .rwz, .s3db, .sd0, .sda, .sdf, .sqlite, .sqlite3, .sqlitedb, .sr2, .srf, .srw, .st5, .st8, .std, .sti, .stw, .stx, .sxd, .sxg, .sxi, .sxm, .tex, .wallet, .wb2, .wpd, .x11, .x3f, .xis, .ycbcra, .yuv, .contact, .dbx, .doc, .docx, .jnt, .jpg, .msg, .oab, .ods, .pdf, .pps, .ppsm, .ppt, .pptm, .prf, .pst, .rar, .rtf, .txt, .wab, .xls, .xlsx, .xml, .zip, .1cd, .3ds, .3g2, .3gp, .7z, .7zip, .accdb, .aoi, .asf, .asp, .aspx, .asx, .avi, .bak, .cer, .cfg, .class, .config, .css, .csv, .db, .dds, .dwg, .dxf, .flf, .flv, .html, .idx, .js, .key, .kwm, .laccdb, .ldf, .lit, .m3u, .mbx, .md, .mdf, .mid, .mlb, .mov, .mp3, .mp4, .mpg, .obj, .odt, .pages, .php, .psd, .pwm, .rm, .safe, .sav, .save, .sql, .srt, .swf, .thm, .vob, .wav, .wma, .wmv, .xlsb,3dm, .aac, .ai, .arw, .c, .cdr, .cls, .cpi, .cpp, .cs, .db3, .docm, .dot, .dotm, .dotx, .drw, .dxb, .eps, .fla, .flac, .fxg, .java, .m, .m4v, .max, .mdb, .pcd, .pct, .pl, .potm, .potx, .ppam, .ppsm, .ppsx, .pptm, .ps, .r3d, .rw2, .sldm, .sldx, .svg, .tga, .wps, .xla, .xlam, .xlm, .xlr, .xlsm, .xlt, .xltm, .xltx, .xlw, .act, .adp, .al, .bkp, .blend, .cdf, .cdx, .cgm, .cr2, .crt, .dac, .dbf, .dcr, .ddd, .design, .dtd, .fdb, .fff, .fpx, .h, .iif, .indd, .jpeg, .mos, .nd, .nsd, .nsf, .nsg, .nsh, .odc, .odp, .oil, .pas, .pat, .pef, .pfx, .ptx, .qbb, .qbm, .sas7bdat, .say, .st4, .st6, .stc, .sxc, .sxw, .tlg, .wad, .xlk, .aiff, .bin, .bmp, .cmt, .dat, .dit, .edb, .flvv
Zrzut ekranu pliku #DECRYPT MY FILES#.html:
Instrukcje pobierania deszyfratora Cerber:
Jak otrzymać?
1. Utwórz Portfel Bitcoin (zalecamy Blockchain.info)
2. Kup wymaganą liczbę Bitcoinów
Nie zapomnij o prowizji od transakcji w sieci Bitcoin (0,0005 BTC).
3. Prześlij 1,24 Bitcoinów na następujący adres Bitcoin: -
4. Potwierdź kwotę transakcji w panelu poniżej.
5. Zdobądź link i pobierz oprogramowanie.
Tekst prezentowany w pliku #DECRYPT MY FILES#.txt:
Twoje dokumenty, zdjęcia, bazy danych i inne ważne pliki zostały zaszyfrowane!
Aby je odszyfrować postępuj zgodnie z instrukcjami:
---------------------------------------------------------------------------------------
1. Pobierz i zainstaluj "Tor Browser" z https://www.torproject.org/2. Uruchom ją
3. W polu otwartej strony "Tor Browser":
http://decrypttozxybarc.onion/[redacted]4. Postępuj zgodnie z instrukcjami na tej stronie internetowej
---------------------------------------------------------------------------------------
Wiadomość stwierdzająca, że pliki ofiary zostały zaszyfrowane:
Tekst w tej wiadomości:
DESZYFRATOR CERBER
Twoje dokumenty, zdjęcia, bazy danych i inne ważne pliki zostały zaszyfrowane!
Aby odszyfrować pliki musisz kupić specjalne oprogramowanie -.
Wszystkie transakcje powinny być wykonywane wyłącznie za pośrednictwem sieci bitcoin.
W ciągu 7 dni możesz zakupić ten produkt w specjalnej cenie 1,24 BTC (około 524 $).
Po 7 dniach cena tego produktu wzrośnie do 2,48 BTC (około 1048 $).
Usuwanie ransomware Cerber:
Natychmiastowe automatyczne usunięcie Cerber (wirus):
Ręczne usuwanie zagrożenia może być długim i skomplikowanym procesem, który wymaga zaawansowanych umiejętności obsługi komputera. Spyhunter to profesjonalne narzędzie do usuwania złośliwego oprogramowania, które jest zalecane do pozbycia się Cerber (wirus). Pobierz go klikając poniższy przycisk:
▼ POBIERZ Spyhunter
Bezpłatny skaner sprawdza, czy twój komputer został zainfekowany. Aby usunąć malware musisz zakupić pełną wersję Spyhunter. Pobierając jakiekolwiek oprogramowanie wyszczególnione na tej stronie zgadzasz się z naszą Polityką prywatności oraz Regulaminem.
Szybkie menu:
- Czym jest Cerber?
- KROK 1. Usuwanie wirusa Cerber przy użyciu Trybu awaryjnego z obsługą sieci.
- KROK 2. Usuwanie ransomware Cerber przy użyciu Przywracania Systemu.
Krok 1
Użytkownicy Windows XP i Windows 7: Uruchom swój komputer w Trybie awaryjnym z obsługą sieci: Kliknij przycisk Start, kliknij polecenie Zamknij, kliknij opcję Uruchom ponownie, kliknij przycisk OK. Podczas uruchamiania komputera naciśnij klawisz F8 na klawiaturze tak wiele razy, aż zobaczysz Menu opcji zaawansowanych systemu Windows, a następnie wybierz opcję Tryb awaryjny z obsługą sieci z listy.
Film pokazujący jak uruchomić system Windows 7 w "Trybie awaryjnym z obsługą sieci":
Użytkownicy Windows 8: Przejdź do ekranu startowego Windows 8, wpisz Advanced. W wynikach wyszukiwania wybierz opcję Ustawienia. Kliknij na zaawansowane opcje startowe. W otwartym oknie „Ogólne ustawienia komputera" wybierz Zaawansowane uruchamianie. Kliknij przycisk "Uruchom ponownie teraz". Komputer zostanie ponownie uruchomiony w "Menu zaawansowanych opcji uruchamiania." Kliknij przycisk "Rozwiązywanie problemów", a następnie kliknij przycisk "Opcje zaawansowane". Na ekranie zaawansowanych opcji kliknij na "Ustawienia uruchamiania." Kliknij przycisk "Restart". Komputer uruchomi się ponownie do ekranu Ustawienia startowe. Naciśnij "5", aby uruchomić w Trybie awaryjnym z obsługą sieci.
Film pokazujący jak uruchomić Windows 8 w "Trybie awaryjnym z obsługą sieci":
Użytkownicy Windows 10: Kliknij logo Windows 10 i wybierz ikonę Power. W otwartym menu kliknij „Restart" jednocześnie przytrzymując przycisk „Shift" a swojej klawiaturze. W oknie „Wybierz opcję" kliknij „Rozwiązywanie problemów", a następnie wybierz "Opcje zaawansowane". Na ekranie zaawansowanych opcji kliknij "Ustawienia uruchamiania." Kliknij przycisk "Restart". W następującym oknie powinieneś kliknąć przycisk „F5 na swojej klawiaturze. To spowoduje ponowne uruchomienie twojego systemu operacyjnego w Trybie awaryjnym z obsługą sieci.
Film pokazujący jak uruchomić Windows 8 w "Trybie awaryjnym z obsługą sieci":
Krok 2
Zaloguj się na konto zainfekowane wirusem Cerber. Uruchom przeglądarkę internetową i pobierz legalny program antyspyware. Zaktualizuj oprogramowanie antyspyware i rozpocznij pełne skanowanie systemu. Usuń wszystkie wykryte wpisy.
Jeśli nie możesz uruchomić komputera w trybie awaryjnym z obsługą sieci, spróbuj wykonać przywracania systemu.
Film pokazujący jak usunąć wirusa ransomware za pomocą "Trybu awaryjnego z wierszem polecenia" i "Przywracania systemu":
1. W trakcie procesu uruchamiania komputera, naciśnij klawisz F8 na klawiaturze tak wiele razy, aż pojawi się Menu opcji zaawansowanych systemu Windows, a następnie wybierz opcję Tryb awaryjny z wierszem polecenia z listy i naciśnij ENTER.
2. Gdy ładuje się tryb wiersza poleceń, wprowadź następujący wiersz: cd restore i naciśnij ENTER.
3. Następnie wpisz tę linię: rstrui.exe i naciśnij ENTER.
4. W otwartym oknie kliknij przycisk "Dalej".
5. Wybierz jeden z dostępnych punktów przywracania i kliknij "Dalej" (spowoduje to przywrócenie systemu komputera do wcześniejszego stanu i daty przed zainfekowaniem twojego PC ransomware Cerber).
6. W otwartym oknie kliknij przycisk "Tak".
7. Po przywróceniu komputera do poprzedniej daty, pobierz i przeskanuj swój komputer zalecanym oprogramowaniem usuwania malware, aby wyeliminować wszelkie pozostałe pliki Cerber.
Aby przywrócić pojedyncze pliki zaszyfrowane przez to ransomware, spróbuj użyć funkcji poprzednich wersji systemu Windows. Metoda ta jest skuteczna tylko wtedy, gdy funkcja przywracania systemu została włączona na zainfekowanym systemie operacyjnym. Zauważ, że niektóre warianty Cerber są znane z usuwania kopii woluminów plików, więc ta metoda może nie działać na wszystkich komputerach.
Aby przywrócić plik, kliknij na niego prawym przyciskiem myszy, przejdź do Właściwości, wybierz kartę Poprzednie wersje. Jeśli odpowiedni plik ma punkt przywracania, zaznacz go i kliknij przycisk "Odzyskaj".
Jeśli nie możesz uruchomić swojego komputera w trybie awaryjnym z obsługą sieci (lub z wiersza polecenia), uruchom swój komputer przy pomocy dysku ratunkowego. Niektóre warianty ransomware wyłączają tryb awaryjny, przez co ich usunięcie jest skomplikowane. Na tym etapie wymagany jest dostęp do innego komputera.
Aby odzyskać kontrolę nad plikami zaszyfrowanymi przez Cerber, możesz również spróbować użyć programu o nazwie Shadow Explorer. Więcej informacji na temat korzystania z tego programu jest dostępne tutaj.
Aby chronić komputer przed takim szyfrującym pliki ransomware należy użyć renomowanych programów antywirusowych i antyspyware. Jako dodatkowej metody ochrony użytkowników komputerów można użyć programów o nazwie HitmanPro.Alert i Malwarebytes Anti-Ransomware, które sztucznie implementują obiekty polityki grupy do rejestru w celu zablokowania programów nieuczciwych programów, takich jak Cerber.)
HitmanPro.Alert CryptoGuard - wykrywa szyfrowanie plików i neutralizuje takie próby bez konieczności interwencji użytkownika:
Malwarebytes Anti-Ransomware Beta używa zaawansowanej proaktywnej technologii, która monitoruje aktywność ransomare i natychmiast ją zatrzymuje – zanim dotrze do plików użytkownika.
- Najlepszym sposobem na uniknięcie zniszczeń spowodowanych infekcjami ransomware jest regularne tworzenie kopii zapasowych. Więcej informacji o internetowych rozwiązaniach kopii zapasowych i oprogramowaniu o odzyskiwaniu danych znajduje się Tutaj.
Inne narzędzia znane z usuwania ransomware Cerber:
Źródło: https://www.pcrisk.com/removal-guides/9842-cerber-ransomware