Verwijder Magniber virus (Verwijdering Handleiding) - geüpdatet aug 2018

Wat is Het Magniber ransomware virus?

Magniber – een gevaarlijk ransomware virus dat terugkeert met een sterkere versie om Koreaanse gebruikers te infecteren

Magniber is een gevaarlijk crypto-virus dat voor het eerst opdook in oktober van 2017. Zijn naam vind zijn oorsprong in twee woorden: Magnitude (de ransomware werd verspreid via de Magnitude exploit kit) en Cerber. De malware gebruikt AES-128 om gegeens te vergrendelen en voegt een bestandsextensie van 5 tot 9 letters toe. Daarna eist het een losgeld van 0,2 BTC, wat later verdubbelt wordt naar 0,4 BTC. Hoewel Zuid-Koreaanse beveiligingsonderzoekrs erin slaagden een decoder te maken voor de meeste varianten van het Magniber virus, kwam het in jli 2018 sterker terug met bijgewerkte verduisteringstechnieken. Terwijl her oorspronkelijk exclusief gericht was op Koreaanse gebruikers, werd zijn spectrum verbreedt en kan het nu ook bestanden van Chinese en Maleisische gebruikers versleutelen. De ransomware voegt de .dyaaghemy bestandsextensie toe en kan, op het moment van schrijven, nog niet worden gedecodeerd.

Er werd gemerkt dat de Magniber cyberdreiging verspreid werd via de. Deze exploit kit werd reeds gebruikt door het Cerber virus. Dit is echter niet de enige gelijkenis met de beruchte ransomware..

Oorspronkelijk, richtte het crypto-virus zich enkel op Zuid-Koreaanse computergebruikers. Nu werd het echter ook opgemerkt in andere Aziatische landen – China en Malaysië. Wat interessant is, is dat de malware zichzelf uitschakelt (door zijn ping.exe uitvoeringsbestand te deleten) als het een andere taal dan het Koreaans, Chinees of Maleisisch detecteert.

De malware gebruikt een AES codering. Voor eind maart 2018, was het bijna onmogelijk om bestanden te decoderen zonder AES sleutel. Zuid Koreaanse cyberbeveiliging experts zijn er echter in geslaagd om voor de meeste van de Magniber ransomware versies de code te kraken.

Dit feit, voedt het vermoeden dat Noord-Koreaanse hackers wel eens verantwoordelijk kunnen zijn voor de malware. Deze veronderstelling is niet ongefundeerd als we rekening houden met de cyber capaciteiten van dit land Er moet echter nog bewijs gevonden worden voor deze theorie.

De Magniber ransomware werd ontworpen om bestanden te versleutelen en een losgeld te eisen. De malware werd reeds verscheidene keren bijgewerkt en de recentste updates werden opgemerkt in juni 2018. Deze versie voegt de .ndpyhss bestandsextensie toe en plaats een losgeldbrieg, genaamd README.txt.

Elk van de nieuwe varianten voegt een andere bestandsextensie toe. Momenteel vergrendelt de malware bestanden met deze achtervoegsels:

• .fprgbk;
• .ihsdj;
• .kgpvwnr;
• .vbdrj;
• .skvtb;
• .vpgvlkb;
• .dlenggrl;
• .dxjay;
• .fbuvkngy;
• .xhspythxn;
• .demffue;
• .mftzmxqo;
• .qmdjtc;
• .wmfxdqz;
• .ndpyhss

Na het versleutelen van de gegevens, biedt de malware je aan om My Decryptor te kopen om je gecorrumpeerde bestanden te herstellen. Op dit moment kost het 0,2 bitcoins ($1140). Na vijf dagen zal het verdubbelen naar 0,4. Betaal niet want de malware kan gedecodeerd worden. Concentreer je in plaats daarvan op het verwijderen van Magniber. FortectIntego of Malwarebytes is een betrouwbare beveiliging software die je kan helpen bij een snelle verwijdering van malware.

Er wordt gezegd dat het Magniber virus de nieuwste versie van Cerber is. Het wordt verspreid met de hulp van een Trojaans paard

Vorige pogingen om de kwaadaardige code te kraken

Simone “evilsocket” Margaritelli, de onderzoeker van het mobiele beveiligingsbedrijf Zimperium, slaagde erin een decodering tool te maken dat kan helpen bij het herstellen van bestanden na de Magniber aanval. Om het te gebruiken moeten de slachtoffers echter de AES sleutel kennen.

Volgens de onderzoeker zou de decoder moeten werken als de slachtoffers geïnfecteerd werden vanop een niet-Koreaans IP-adres of ze geen verbinding kunnen maken met de Command & Control (C&C) server. Deze mensen zouden de sterk gecodeerde sleutel en IV die in de ransomeware code verwerkt zitten moeten kennen.

Een Zuid-Koreaans beveiligingsteam heeft nieuwe decoders uitgebracht

Eind maart 2018, hebben beveiligingsonderzoekers van AhnLab meerdere decoders uitgebracht voor verschillende versies van het Magniber virus. Het recovery tool functioneert gebaseerd op een coderingsbug die over het hoofd gezien werd door de hackers.

Hieronder vind je de tabel met de versies van de Magniber ransomware die nu gedecodeerd kunnen worden:

Het lijkt erop dat beveiligingsexperts nieuwe versies uitbrengen in korte intervallen. Deze informatie kan dus al snel veroudert zijn. Om de recentste releases te bekijken, bezoek je de AhnLab's website.

Cerber en Magniber analogieën

Hoewel het dezelfde betalingssite gebruikt, blijkt zijn broncode veel minder uitgebreidt te zijn dan deze van Cerber. Dit doet de hoop opleven dat het virus gedecodeerd kan worden. Na infiltratie, codeert de malware data en voegt er de .ihsdj of .kgpvwnr extensie aan toe. Daarnaast zal het een losgeld bestand openen, genaamd READ_ME_FOR_DECRYPT_[id].txt.

Dit bevat de typische tekst dat al je documenten, foto's en databases versleuteld werden. De manier waarop de tekst geschreven werd verschilt lichtjes van de oorspronkelijke tekst van Cerber.

Bovendien vertoont het Magniber virus een specifieke eigenschap. Meestal wijzen ransomware dreigingen de geïnfecteerde apparaten gebruiker ID's toe. Bovendien moeten aangetaste gebruikers de code invoeren op een aangegeven TOR website om verder te gaan met de data decodering.

Langs de andere kant, brengt de Magniber crypto-malware gebruikers naar een subdomein van de betalingssite, die de ID van het slachtoffer bevat. Deze is onderverdeelt in vier secties: Startpagina, Support, Decodeer 1 bestand GRATIS en Herlaad inhoudspagina.

Het crypto-virus ontwijkt ook bepaalde mappen bij het zoeken naar te versleutelen bestanden. Zoals normaal voor een ransomware, slaat het Programma Bestanden, Prullenmand, lokale instellingen en bepaalde AppData submappen over. Bovendien is de malware in staat om het bitcoin betaal adres te wijzigen als het een URL detecteert met een andere slachtoffer ID.

De Magniber ransomware kwam sterker terug in juli 2018

Beveiligingsonderzoekers van Malwarebytes Labs publiseerden een gedetailleerd technisch rapport over een nieuwe versie van het Magniber virus. Volgens experts onderging de ransomware enorme veanderingen gedurende het voorbije jaar en kwam het sterker als ooit terug.

De eerste belangrijke wijziging in de code van het virus is de mogelijkheden van de infectie. De nieuwe Magniber richt zich nu ook op gebruikers buiten Zuid-Korea, d.w.z. het virus activeert zijn payload als het Zuid Koreaans, Chinees (Macau, China, Singapore) of Maleisisch (Malaysië, Brunei) detecteert als invoertaal. Onderzoekers vermoeden dus dat het nog verder zal uitbreiden en uiteindelijk gebruikers wereldwijd door deze dreiging getroffen zullen worden.

De nieuwe versie van Magniber gebruikt de Magnitude exploit kit welke de Internet Explorer zero-day kwetsbaarheid (CVE-2018-8174) uitbuit, welke voor het eerst ontdekt werd in april van dit jaar en de maand erna hersteld werd. Gebruikers die dus op tijd hun browsers updaten zouden veilig moeten zijn voor de aanval van het nieuwe Magniber virus. Bovendien kent het virus ook weinig succes als het gaat over andere moderne browsers, zoals Google Chrome of Mozilla Firefox.

De Magniber ransomware vertrouwd niet langer op de Command & Control server of de sterk gecodeerde sleutel, en gebruikt tevens verbeterde verduisteringsmethodes. De verbeterde versie van het virus versleuteld bestanden door er het .dyaaghemy achtervoegsel aan toe te voegen, en vanaf nu, kan deze variant van Magniber niet worden gedecodeerd.

De Magnitude exploit kit werd gebruikt om het crypto-virus te verspreiden

Zoals we reeds vermelden, wordt de malware op dit moment verspreidt met de hulp van de Magnitude exploit kit. Deze richt zich op een specifieke CVE-2016-0189 kwetsbaarheid in Internet Explorer. Deze fout werd reeds herstelt. Als je deze brwser gebruikt moet je er dus voor zorgen dat hij up to date is.

Als de exploit kit de kwetsbaarheid detecteerd op een browser, wordt de gebruiker omgeleid naar een frauduleuze site die aangepast is aan zijn geografische locatie. Deze sites bevatten zeer waarschijnlijk een link. Het activeren hiervan zak de malware downloaden en de Magniber hijack starten.

Op dit moment, richt de malware zich enkel op Zuid-Korea, maar zijn activeteiten zouden weleens snel uitgebruid kunnen worden naar andere Oost Aziatische landen, bijvoorbeeld, Japanse sites. Verwijder Magniber dus zonder verwijl.

Verwijder het Magniber virus en herstel daarna je bestanden

Hoewel de malware je probeert te overtuigen dat het de nieuwste Cerber versie is, wordt er getwijfeld of de ontwerpers wel dezelfde zijn omwille van de verschillen in werkingsmodus en broncode. Hoewel beveiligingsexperts beweren dat de malware in feite Cerber is, spreekt de minder uitgebreide broncode dit tegen.

In elk geval, het verwijderen van de malware zou je top prioriteit moeten zijn. Verlies geen tijd met het handmatig prutsen aan het virus. Installeer een beveiligingstool, bijvoorbeeld, FortectIntego of SpyHunter 5Combo Cleaner, om het Magniber virus te verwijderen. Het virus kan verhinderen dat je beveiliging software opstart. In dit geval moet je het systeem opstarten in Veilige Modus en het programma starten. De onderstaande instructies tonen je hoe dit te doen. Enkel wanneer het verwijderen van Magniber voltooid is, kun je verdergaan met het herstellen van je gegevens.