Verwijder Globe Imposter virus (Verwijdering Handleiding) - aug 2017 update

Wat is Globe Imposter-gijzelsoftware-virus?

Introductie van de snel groeiende familie van het Globe Imposter-virus

Het Globe Imposter-virus is een kwaadaardig crypto-gijzelsoftware-virus dat de beruchte Globe- gijzelsoftware imiteert en computerbestanden codeert, zodat de afpersers de decodeer-sleutel konden verkopen aan de eigenaren van de gecorrumpeerde computers en daar wat geld aan verdienen . Zodra het virus klaar is met het coderen van de bestanden, markeert het virus ze met specifieke bestandsextensies.

Afhankelijk van de virusversie kan de Globe Imposter-malware bestanden toevoegen met de volgende extensies:

.goro, .au1crypt, .s1crypt, .nCrypt, .hNcrypt, .legally, .keepcalm, .fix, .515, .crypt, .paycyka, .pizdec, .wallet, .vdulm, .2cXpCihgsVxB3, .medal, .3ncrypt3d .[byd@india.com]SON, .troy, .Virginprotection, .BRT92, .725, .ocean, .rose, .GOTHAM, .HAPP, .write_me_[btc2017@india.com] en .skunk.

Uit de herhaaldelijke meldingen van slachtoffers die waren aangevallen door deze virussen blijkt dat de ontwikkelaars van de gijzelsoftware hun contactgegevens continu veranderen en verschillende e-mail of BitMessage-adressen opgeven in hun losgeldbrieven (deze documenten kunnen worden gelabeld als HOW_OPEN_FILES.hta, how_to_back_files.html, RECOVER-FILES.html, !back_files!.html, #HOW_DECRYPT_FILES#.html) inclusief:

• write_me_[btc2017@india.com],
• 511_made@cyber-wizard.com,
• btc.me@india.com
• chines34@protonmail.ch
• decryptmyfiles@inbox.ru
• garryweber@protonmail.ch
• keepcalmpls@india.com
• happydaayz@aol.com
• strongman@india.com
• support24@india.com
• support24_02@india.com
• oceannew_vb@protonmail.com
• asnaeb7@india.com
• asnaeb7@yahoo.com
• i-absolutus@bigmir.net
• laborotoria@protonmail.ch
• filesopen@yahoo.com
• openingfill@hotmail.com
• crypt@troysecure.me
• troysecure@yandex.by
• troysecure@yahoo.com

Aangezien malware-ontwikkelaars niet altijd namen geven aan hun kwaadaardige creaties, geeft de technisch gemeenschap hen vaak een label gebaseerd op de extensies of e-mailadressen die worden gebruikt voor de communicatie met de slachtoffers. Toch, om de dingen eenvoudiger te maken, worden deze parasieten Globe Impostor of Fake Globe genoemd. We moeten erop wijzen dat hoewel deze virussen slechts een na-apende versies van de originele parasiet zijn, hun destructiviteit niet vermindert of verwijdert.

Het Fake Globe-virus kan bestanden net zo succesvol versleutelen als elke andere gijzelsoftware die vanuit het niets is ontwikkeld. Gezien het feit dat er tal van varianten van deze gijzelsoftware bestaan, kunnen we alleen maar zeggen dat bepaalde virussen de neiging hebben om RSA en AES-codes te gebruiken die door de meeste gijzelsoftware-virussen worden gebruikt bij hun aanvallen . Hoewel sommige versies van de malware kunnen worden gedecodeerd, blijft de rest uiterst gevaarlijk.

De security experts van Emsisoft zijn erin geslaagd een decryptiehulpmiddel voor de gijzelsoftware te creëren – een gratis Globe Imposter-decodeerder die slachtoffers van de gijzelsoftware helpt om hun bestanden te herstellen en de orde te herstellen op hun computers . Op het moment van schrijven van dit artikel is dit reddingsmiddel al 11.844 keer gedownload, wat op zich alleen al aantoont dat de parasiet zich snel verspreidt en dat iedereen actie zou moeten ondernemen om hun apparaten ertegen te beschermen.

Als het al te laat is om nog preventieve stappen te ondernemen, moet u naar beneden scrollen om de decodeerder te downloaden en erachter te komen hoe u Globe Imposter van uw computer kunt verwijderen. We raden u aan om gerenommeerde antivirussoftware zoals FortectIntego te gebruiken om uw apparaat op een effectieve wijze te repareren.

De Globe Imposter-gijzelsoftware duikt op in verschillende vormen en talen. U kunt hieronder een paar voorbeelden van deze gijzelsoftware zien.

Globe Imposter bootst alle hoofdelementen na van het oorspronkelijke Globe-virus. Het voegt bepaalde bestandsextensies toe aan versleutelde bestanden en deponeert een .html of .hta-bestand met de aanwijzingen voor het betalen van het losgeld in elke desbetreffende map op de computer. Het goede nieuws is dat het virus normaliter de oorspronkelijke bestandsnamen niet vervormt, zodat ze gemakkelijk kunnen worden beheerd nadat het virus is gedecodeerd.

U moet ook in gedachten houden dat de virusontwikkelaars gebruik zullen maken van de tactiek van het bang maken om de aandacht van de gebruiker af te leiden van andere mogelijkheden qua dataherstel. Dus, moet u altijd controleren of de virusanalisten al een gratis decodeerder hebben ontworpen. In dit specifieke geval heeft u geluk, omdat u uw bestanden kunt herstellen en de verwijdering van Globe Imposter kunt afronden zonder tegen ernstige gevolgen aan te lopen.

De momenteel actieve Globe Imposter-varianten:

Globe Imposter 2.0-virus

Nog een slecht gemaakte, maar licht verbeterde kopie van de Globe-gijzelsoftware. Deze bepaalde versie voegt .FIX-extensies toe aan de bestanden van het slachtoffer, die het eerst codeert met een krachtig encryptiealgoritme, waardoor ze onleesbaar zijn.

De infiltratiestrategieën van het virus variëren van spamcampagnes tot toevallige downloads of bedrieglijke advertenties. Er is vrijwel geen manier om er achter te komen wanneer het virus gaat toeslaan. Hoewel de oorspronkelijke Globe Imposter succesvol werd gedecodeerd, bleken de malware-experts niet in staat om hun succes te herhalen met de versie 2.0, en deze parasiet is daarom nog steeds niet-decodeerbaar.

Daarom is het altijd een goed idee om ergens een ​​back-up van uw belangrijkste bestanden op te slaan, waar het kwaadwillige gijzelsoftware-script ze niet kan bereiken en versleutelen. Op deze manier heeft u altijd het backup-herstelplan voor als uw gegevens gecorrumpeerd raken.

De Duitse versie van Globe Imposter

Om meer slachtoffers te bereiken, passen gijzelsoftware-ontwikkelaars hun kwaadaardige creaties vaak aan om zich op specifieke landen te richten en met de computergebruikers in hun moedertaal te communiceren.

De Duitse gijzelsoftware-versie is een perfect voorbeeld van deze strategie: de losgeldbrief met uitleg over het herstellen van de gecodeerde bestanden wordt in het Duits aangeboden. De criminelen eisen 0,5 Bitcoin voor de datarecovery-sleutel. Nadat het geld is overgemaakt, moeten de slachtoffers een screenshot van de transactie sturen naar een opgegeven e-mailadres, namelijk: decryptmyfiles@inbox.ru.

Maar zelfs het opvolgen van alle eisen van de criminelen garandeert niet dat er bestanden zullen worden hersteld. De afpersers zijn onvoorspelbaar en kunnen gewoon met het geld op de loop gaan. Daarom raden we aan om beschermd te blijven en in plaats van in te gaan op de eisen van de criminelen de Duitse versie van Globe Imposter te elimineren.

KeepCalm-virus

Het virus versleutelt bestanden en voegt ze er .keepcalm-extensies aan toe, en dat is waar dit virus zijn naam vandaan heeft. De parasiet laat een krachtig encryptiescript uitvoeren om de bestanden van het slachtoffer onleesbaar te maken en daarna biedt het aan om de bestanden te decoderen, maar alleen als het slachtoffer bereid is om een ​​grote som geld te betalen.

De afpersers geven een gedetailleerde beschrijving van het dataherstel in de losgeldbrief genaamd HOW_TO_BACK_FILES.html. In wezen moeten de slachtoffers contact opnemen met de criminelen via het e-mailadres: keepcalmpls@india.com. De snapshot van de losgeldbetaling, moet samen met het persoonlijke ID naar deze e-mail worden verzonden om de decodeertool te ontvangen. Helaas is dit niet wat er normaliter echt gebeurt.

Aan de andere kant hebben de criminelen de neiging om te verdwijnen zodra ze het geld in hun zakken hebben, waardoor de slachtoffers achterblijven met een hoop niet-decodeerbare informatie. In dat geval kunt u alleen nog maar KeepCalm van het geïnfecteerde apparaat verwijderen en de decodering omzeilen op andere veilige manieren.

Wallet-Globe Imposter-virus

Begin mei 2017 is een nieuwe nepversie van het Globe virus waargenomen. Deze keer gebruikt het .wallet-bestandsextensies om de Dharma-gijzelsoftware te spoofen, waarvan bekend is dat het gebruik maakt van de .wallet -bestandsextensie om versleutelde bestanden te markeren.

De gijzelsoftware plaatst een how_to_back_files.html-losgeldbrief op het bureaublad, waarin het ID van het slachtoffer en het BitMessage-adres is opgenomen voor het geval dat het slachtoffer met hen in contact wil komen: – BM- 2cXpCihgsVxB31uLjALsCzAwt5xyxr467U[@]bitmessage.ch.

Het virus verwijdert de volume-schaduwkopieën om te voorkomen dat het slachtoffer bestanden herstelt zonder het losgeld te betalen.

.s1crypt bestandsextensie-virus

Deze parasiet is weer een andere variatie van de gijzelsoftware. Het levert de eisen af in een how_to_back_files.html-losgeldbrief. Het informeert gebruikers ook dat al hun documenten en gegevens zijn versleuteld.

Om de bestanden te decoderen zouden de slachtoffers de specifieke decoder moeten aanschaffen die 2 Bitcoins zou kosten. Onnodig te zeggen dat de tool de kans op dataherstel niet verhoogt.

Daarnaast bieden de ontwikkelaars ook nog drie extra links aan voor gebruikers die niet weten hoe ze Bitcoins kunnen kopen. In geval van technische problemen kunnen ze contact opnemen met de dader via laboratoria@protonmail.ch.

Het einde van de e-mail kan mogelijk suggereren dat de cybercrimineel het domein heeft geregistreerd op het grondgebied van Zwitserland . Maar, het kan ook zomaar weer een afleidingsmanoeuvre zijn. Antivirusprogramma's kunnen de malware mogelijk als Trojan.Generic.DB75052 identificeren.

.au1crypt bestandsextensie-virus

Deze malware functioneert als de tegenhanger van de vorige versie. Zijn GUI verschilt ook. Het ID lijkt het resultaat van AES en RSA-cryptografie te zijn. De losgeldbrief, how_to_back_files.html, legt uit dat de bestanden van de computergebruiker zijn versleuteld als gevolg van een beveiligingsprobleem met zijn pc.

In tegenstelling tot de voormalige versie, die het Bitcoin-adres opgaf, geeft deze versie computergebruikers de mogelijkheid om de cybercriminelen te contacteren via summerteam@tuta.io en summerteam@india.com. Hoewel het lijkt dat de malware eerder een 'aangename zomeractiviteit' is voor de hackers, moeten leden van de virtuele gemeenschap waakzaam blijven.

Op dit moment is zijn Trojan identificeerbaar als Variant.Adware.Graftor.lXzx.

.goro bestandsextensie-virus

Dit virus richt zich specifiek op slachtoffers via zwakke Remote Desktop Protocols (RDP). Aangezien de versie nog steeds nieuw is, is er nog geen decodeerder vrijgegeven. De ontwikkelaars hebben ook een soortgelijke .html losgeldbrief gebruikt voor het geven van hun instructies.

U kunt de goro.exe-taak in uw taakbeheerder beëindigen om het malware-proces te onderbreken. Deze versie is ook geassocieerd met de Wallet-virus-versie uit de Dharma-gijzelssoftware familie.

Op dit moment is deze variatie door de meeste beveiligingsapplicaties detecteerbaar als Trojan [Ransom] / Win32.Purgen, Arcabit Trojan.Ransom.GlobeImposter.1. Het Mk.goro@aol.com e-mailadres is een andere indicator van deze versie.

.{email}.BRT92 bestandsextensie-virus

Dit virus doet wat zijn naam suggereert: het voegt .{email}.BRT92-extensies toe aan de versleutelde bestanden. Naast de nieuwe extensie toont deze opvolger van het Globe-virus zijn losgeldbrief via het #HOW_DECRYPT_FILES # .html-bestand.

Op deze html-pagina worden de slachtoffers voorzien van een persoonlijk identificatienummer dat in principe een code is die het voor de daders mogelijk maakt om onderscheid te maken tussen hun slachtoffers .

De hackers geven twee e-mailadressen op, asnaeb7@india.com en asnaeb7@yahoo.com, voor de communicatie met het slachtoffer.

.ocean bestandsextensie-virus

Dit is een van de Globe Virus-versies die in 2017 verschenen. Het virus voegt .ocean-extensies toe en laat een losgeldbrief genaamd !Back_files!.html achter om de betaling te eisen. Om hun bestanden te kunnen ophalen, moeten de slachtoffers contact opnemen met de criminelen via het e-mailadres: oceannew_vb@protonmail.com.

De hackers beweren dat de prijs van de bestandsdecodering afhangt van hoe snel het slachtoffer erin slaagt om met hen contact op te nemen. Desondanks is het samenwerken met de criminelen nooit een goede optie, want u kunt wellicht opgelicht worden.

A1Lock-virus

A1Lock is een van de meest succesvolle versies van het Globe Imposter-virus. Er zijn verscheidene versies van deze parasiet en elk van hen voegt bestanden met verschillende extensies toe. We kennen op dit moment varianten die gebruik maken van .rose, .troy en .707-extensies.

De losgeldeis wordt gewoonlijk vermeld in de documenten met de naam How_to_back_files.html en RECOVER-FILES.html. Voor de communicatie met de slachtoffers geven criminelen de volgende adressen aan: i-absolutus@bigmir.net, crypt@troysecure.me, troysecure@yandex.by en troysecure@yahoo.com.

.Write_me_ [btc2017@india.com] bestandsextensie-virus

Kijkend naar zijn ontwerp verschilt deze versie van Fake Globe van de meeste andere virusversies. Desondanks werkt het precies hetzelfde: het versleutelt bestanden en biedt een betaalde decodeerder aan. Slachtoffers die bereid zijn om voor hun bestanden te betalen, moeten contact opnemen met de misdadigers via het e-mailadres: btc2017@india.com.

Het risico is enorm groot omdat de criminelen moeiteloos kunnen verdwijnen nadat de slachtoffers de decodeerder betalen. Op deze manier kunnen bestanden die de parasiet markeert met .Write_me_ [btc2017@india.com]-extensies voor altijd ongewijzigd achterblijven.

Vectoren van de Globe Imposter-infiltratie

De Globe Imposter-gijzelsoftware maakt gebruik van een traditionele malware-distributietechniek en verspreidt zich via kwaadaardige spamberichten. Andere bekende aanvalsvectoren zijn met malware geladen advertenties en stiekeme downloads samen met legitieme programma’s .

Net zoals de meeste gijzelsoftware verschuilt deze variant zijn destructieve springlading achter legitiem uitziende programma's of Windows-bestanden, zodat de potentiële slachtoffers niet vermoeden dat ze kwaadaardige bestanden op hun computers downloaden.

Om het systeem te beschermen tegen malware-aanvallen, is een fatsoenlijke en actuele anti-malware software nodig. Bovendien raden we aan om kopieën van uw bestanden extern op te slaan. U kunt gebruik maken van USB-sticks, externe HDD's of elk ander apparaat dat u verkiest. Vergeet echter niet om het los te koppelen van de computer!

Bijgewerkt op 23 mei 2017. De gijzelsoftware blijft zijn aanvalstechnieken wijzigen en volgens de laatste berichten wordt dit kwaadaardige virus gepromoot door de Blank Slate-malspam die ook verantwoordelijk was voor de distributie van Cerber.

Het blijkt dat kwaadaardige bestanden zijn ingepakt in .zip-archieven die benoemd zijn met een willekeurig geheel van karakters, bijvoorbeeld 8064355.zip. Wanneer dit bestand wordt uitgepakt en uitgevoerd, verbindt het er in zittende .js of .jse-bestand met een bepaald domein en downloadt daarvandaan de gijzelsoftware.

Criminelen hebben de neiging om regelmatig de domeinen te vervangen die de gijzelsoftware hosten, maar de momenteel bekende domeinen zijn: newfornz[.]top, pichdollard[.]top en 37kddsserrt[.]pw.

Bijgewerkt op 1 augustus 2017: Er is een nieuwe Globe Imposter-malspam-campagne (meest waarschijnlijk gebaseerd op de Necurs-botnet) met nieuwe onderwerpnamen gespot. Hieronder vindt u een lijst met e-mailadressen, onderwerptitels en bijlagebestanden die verband houden met de distributie van FakeGlobe:

• donotreply@jennieturnerconsulting.co.uk — Payment Receipt_72537 — P72537.zip
• donotreply@ritson.globalnet.co.uk — Payment 0451 — P0451.zip
• donotreply@vintageplanters.co.uk — Payment Receipt#039 — P039.zip
• donotreply@bowker61.fastmail.co.uk — Receipt 78522 — P78522.zip
• donotreply@satorieurope.co.uk — Receipt#6011 — P6011.zip
• donotreply@npphotography.co.uk — Payment-59559 — P59559.zip
• donotreply@anytackle.co.uk — Receipt-70724 — P70724.zip
• donotreply@gecko-accountancy.co.uk — Receipt#374 — P374.zip
• donotreply@corbypress.co.uk — Payment Receipt#03836 — P03836.zip
• donotreply@everythingcctv.co.uk — Payment_1479 — P1479.zip

Volgens de malware-traffic-analysis.net-website die deze lijst heeft samengesteld, bevatten de zip-bestanden vbs-bestanden die de kwaadaardige spinglading bevatten.

Daarnaast zijn nieuwe onderwerptitels toegevoegd aan de spamcampagne die FakeGlobe distribueren als .js-bestand. Wees voorzichtig met e-mails die beginnen met “Voice Message Attached,” of “Scanned Image”.

Suggesties voor een complete verwijdering van het Globe Imposter-virus

Als uw systeem besmet is geraakt met het Fake Globe-virus, moet u heel voorzichtig zijn om uw computersysteem niet nog meer te beschadigen. Probeer geen virusverwijdering uit als het de eerste keer is dat u te maken heeft met een dergelijk virus.

De virusontwikkelaars zullen proberen om de verwijdering van Globe Imposter zo moeilijk mogelijk te maken, waardoor mogelijk verschillende valstrikken achterblijven. Alleen een gerenommeerde en krachtige beveiligingssoftware kan deze obstakels omzeilen en het Globe Imposter-virus verwijderen uit het beschadigde systeem door het met wortel en al te elimineren.