Il virus ransomware Hades LockerCome rimuoverlo?

Il pericoloso ransomware Hades Locker si sta diffondendo ad un ritmo allarmante

Il curioso caso del virus Hades Locker ci ha mostrato come gli autori di Wildfire ransomware abbiamo deciso di combattere la cattiva sorte creando un ransomware imbattibile. In passato, i ricercatori malware erano riusciti a sconfiggere il virus dopo aver preso il controllo dei server di Comando e Controllo. Tuttavia, il ransomware HadesLocker è un nuovo software rilasciato dagli stessi autori di WildFire,e questa volta sembra che gli sviluppatori lo abbiamo sviluppato facendo molta più attenzione – al momento infatti non è possibile decriptare Hades Locker. Una volta installato, questo software malevolo carica il sito ip-api.com/xml, che identifica la provenienza della vittima, e raccoglie tutta una serie di informazioni legate alla vittima stessa come il nome della regione, la città, il codice postale, il provider internet, l’indirizzo IP e anche le coordinate in cui si trova il computer compromesso! Dopo di che, manda queste informazioni al server C&C. Il server è controllato dal virus e rilascia un’unica chiave di criptazione AES, che verrà usata per criptare tutti i file della vittima. Durante la criptazione, il malware HadesLocker aggiunge specifiche estensioni file, aggiunge .~HL e i primi 5 simboli della password per la criptazione. Dovete notare che il programma è settato per prendere di mira un’ampia gamma di file, quindi non appena trova un file con un’estensione inclusa in questa lista, lo cripta. Il virus è settato per criptare questi file:

.apk, .bmp, .cdr, .cer, .chm, conf, .dat, .db, .dbf, .djvu, .dbx, .docm, ,doc, .epub, .docx .fb2, .flv, .gif, .gz, .iso .ibooks,.jpeg, .jpg, .key, .mdb .md2, .mdf, .mht, .mobi, .mp3, .mp4, .mhtm, .mkv, .mov, .mpg .mpeg, .pict, .pdf, .pps, .pkg, .png, .ppt .pptx, .ppsx, .rtf, .scr, .swf, .sav, .psd, .rar, .tiff, .tif, .tbl, .torrent, .txt, .wmv, .xls, .xlsx, .xps, .xml, .ckp, zip, .java, .py, .asm, .c, .cpp, .cs, .js, .php, .dacpac, .rbw, .rb, .mrg, .sql, .sqlite3, .sqlite, .sqlitedb, .psd, .psp, .pdb, .dxf, .dwg, .drw, .casb, .ccp, .cal, .cmx, .css, .csv, .cr2, .3gp, .7z, .avi., .dcx, .db3,  .vsd.

Ovviamente il virus evita di toccare alcune cartelle per far funzionare ancora il computer, si tratta di:

• Recycle bin;
• Windows;
• Program Files;
• Program files (x86);
• System Volume Information.

Il virus rilascia in tutte le cartelle in cui sono presenti file criptati una nota di testo in cui è contenuta la richiesta di riscatto. Il testo del riscatto solitamente viene inviato in tre diversi formati, e sorprendentemente, è lo stesso usato da Locky virus.

• README_RECOVER_FILES_[victim’s ID].html;
• README_RECOVER_FILES_[victim’s ID].png;
• README_RECOVER_FILES_[victim’s ID].txt.

La nota di testo può essere aperta con Notepad, visualizzatori online o browser web, in base al formato del file. Queste note contengono le stesse informazioni fornite da qualsiasi altro virus ransomware – le istruzioni su come decriptare i dati criptati. Viene chiesto alla vittima di scaricare il browser Tor, di accedere con questo ad una particolare pagina web e di pagare il riscatto per ricevere la chiave di decriptazione. Hade Locker richiede solitamente 600 USD, 500 EUR o 400 GBP, e stando a quanto richiesto dai cyber criminali, questa somma di denaro in Bitcoin (si tratta di circa un 1 BTC) dovrebbe essere trasferita ad un indirizzo Bitcoin. Inoltre, il sito per il pagamento di Hades Locker fornisce altre pagine web, tra cui la FAQ, un Test Decrypt, un Tutotial per la Decriptazione, e un Helpdesk. Qui ci sono tutte le informazioni che abbiamo raccolto da queste pagine:

• Mentre solitamente i progetti ransomware permettono alle vittime di testare un tool per la decriptazione, qui è impossibile caricare qualsiasi file nella pagina per il Test Decryption, che ci potrebbe far pensare che non ci sarà nessuna decriptazione dei file alla fine.
• La pagina dell’ Help Desk permette di inserire e spedire un messaggio ai creatori del ransomware.
• La sezione con il tutorial sulla decriptazione propone un tutorial con alcune immagine che spiegano come decriptare i file con Hades Locker decrypter.
• La pagina con le FAQ fornisce le domande più popolari che vengono fatte dalle vittime. Quello che è interessante è che i criminali spiegano alle vittime il motivo per cui dovrebbero fidarsi di loro e pegare il riscatto – infatti stando a quanto dicono se il loro tool per decriptare i file non funzionasse, allora la notizia si diffonderebbe velocemente su internet e nessuno pagherebbe il riscatto. 

Se i vostri file sono stati criptati dal ransomware Hades Locker, controllate se avete dei backup e recuperate da li i vostri dati – vi consigliamo di non pagare il riscatto. Prima di fare qualsiasi tentativo per decriptare i file, ricordatevi prima di tutto di rimuovere il virus usando FortectIntego, SpyHunterCombo Cleaner o un altro potente tool anti-malware. Prima di decriptare i file dovete rimuovere completamente Hades Locker!

Il numero delle vittime di ransomware aumenta ogni giorno

HadesLocker è stato diffuso rapidamente tramite Kelihos botnet, che è stato usato recentemente per diffondere il ransomware Wildfire. Questo botnet è stato utilizzato anche per diffondere i ransomware CryptFile2 e JokeFromMars, il che ci fa pensare che questi virus siano tra loro strettamente collegati. Ci sono vari modi in cui i file malevoli possono infiltrarsi nel computer della vittima, quindi consigliamo agli utenti di prendere le giuste misure di sicurezza, come per esempio:

1. Non aprire email sospette spedite da individui sconosciuti – i ransomware proliferano attraverso campagne email di spam. Queste email infette contengono allegati email nasconsti o link nel messaggio, che, una volta aperta, rilasciano il ransomware sul sistema.
2. Evitate di cliccare su annunci commerciali sospetti che appaiono aggressivamente sullo schermo quando state navigando su Internet. Raccomandiamo fortemente di evitare di cliccare sugli annunci commerciali presenti sui siti web che contengono contenuti per adulti, giochi d’azzardo o siti di gaming
3. Non accettate mai di installare alcun tipo di programma o aggiornamento scaricato da un sito che non ha nulla a che fare con gli sviluppatori di quel software. Questi finti download sono contengono tipicamente dei file esecutivi malevoli.
4. Installate un software anti-malware che possa proteggervi dai siti internet ad alto rischio e che possa bloccare i download pericolosi.

Qual è il modo migliore per rimuovere Hades Locker?

I virus ransomware come HadesLocker, tendono ad essere molto testardi e a non voler lasciare il computer; inoltre non forniscono dei metodi di disinstallazione, per cui ci metterete molto tempo in più per rimuoverlo rispetto ad un normale programma. Tuttavia, con un tool anti-malware aggiornato, potete rimuovere il virus Hades Locker e tutti i suoi file molto velocemente. Per avviare il software anti-malware o per scaricarlo da internet, dovrete avviare il vostro PC nella modalità Safe Mode. Per farlo, seguite le linee guida per la rimozione di Hades Locker: