Verwijder Petya virus (jun 2018 update) - Verwijdering Handleiding

Wat is Het Petya-virus?

De ontwikkelaars van Petya slaan opnieuw toe: de Bad Rabbit-gijzelsoftware dook in oktober 2017 op

Petya is een gijzelsoftwarevirus dat zich in 2016 begon te verspreiden. Dit jaar is het echter een paar keer geactualiseerd en de meest recente versie verscheen in oktober 2017 als Diskcoder.D of het Bad Rabbit gijzelsoftware-virus. Volgens de huidige rapporten heeft de nieuwste versie van deze gijzelsoftware vooral Russische en Oekraïense organisaties getroffen.

Ook wel bekend als PetrWrap, GoldenEye-gijzelsoftware, Mamba-virus en Mischa-gijzelsoftware, Petya begon op dezelfde manier als WannaCry: de uitbraak werd ineens vanuit het niets gesignaleerd en bleef zich daarna heel snel verspreiden. Sommige antivirusprogramma's identificeren de dreiging als NotPetya en de Nyetya-gijzelsoftware.

De gijzelsoftware heeft al verschillende banken, stroomleveranciers, de bedrijven “Rosneft”, “Maersk”, “Saint-Gobain” en andere bedrijven besmet. Het Oekraïense softwarebedrijf MeDoc is ervan beschuldigd het virus te hebben vrijgegeven. Hoewel het bedrijf deze beschuldigingen heeft ontkend, beweren sommige IT-experts bewijs te hebben waaruit blijkt dat het bedrijf de eerste bron was.

Kort overzicht van de Bad Rabbit-malware

De recente rapporten stellen dat de laatste versie van de Petya-gijzelsoftware op 24 oktober jl. de metro van Kiev en de Odessa International Airport trof. Hoewel de meerderheid van de aanvallen werd gemeld in Rusland (66%) en Oekraïne (12,2%), hebben ook andere landen, zoals Bulgarije, Turkije en Japan onder de Bad Rabbit-gijzelsoftware geleden.

De malware verspreidt zich via een nep-Flash-update die beschikbaar is op beschadigde websites. Het Bad Rabbit-virus wordt uitgevoerd vanaf de install_flash_player.exe die is geïnstalleerd in de Win32/Filecoder.D-map. Bovendien scant de malware een intern netwerk voor op openstaande Windows Server Message Block (SMB)-aandelen. Dezelfde infiltratiestrategie werd gebruikt door WannaCry, en er is geen twijfel dat het meer dan succesvol was. Deze versie van Petya maakt echter geen gebruik van de kwetsbaarheid van EthernalBlue.

Het virus voert volledige schijfversleuteling uit met behulp van de DiskCryptor en een combinatie van RSA-2048 en AES-128-CBC-cryptografie. Aan de gerichte bestanden voegt het ook een .encrypted-bestandsextensie toe. Afgezien van het in gijzeling nemen van bestanden, maakt de malware ook gebruik van het Mimikatz-tool waarmee inloggegevens, inclusief gebruikersnamen en wachtwoorden kunnen worden verzameld.

Na de gegevensversleuteling levert de malware een losgeldbrief af die omleidt naar de betalingswebsite. Aan de slachtoffers wordt gevraagd om 0,05 Bitcoins over te boeken om een ​​ontcijferingswachtwoord te krijgen. Men heeft daarna 41 uur de tijd om te betalen totdat de hoogte van het losgeld omhoog gaat. Het is echter niet aan te raden om het losgeld te betalen. Computergebruikers dienen Petya onmiddellijk te verwijderen met behulp van FortectIntego of een andere betrouwbare software voor het verwijderen van malware.

De Petya-gijzelsoftware is in juni 2017 geactualiseerd

In juni 2016 hebben de cybercriminelen Petya geüpdatet. Daarna gebruikten ze het e-mailadres wowsmith123456@posteo.net om losgeld te innen. Er wordt gevraagd om de tegenwaarde van $ 300 te betalen in Bitcoin in ruil voor het herstellen van de verbinding met de gegevens van de slachtoffers. Oekraïne, het VK, Spanje, Denemarken, Nederland, India en andere landen hebben de aanval al openbaar gemaakt.

De Petya-gijzelsoftware versleutelt de bestanden van het slachtoffer niet één voor één – dit is een duidelijk bewijs van het feit dat het virus onlangs is bijgewerkt. In plaats daarvan start het de computer eerst opnieuw en codeert vervolgens de MFT (master file table) van de harde schijf. De MBR (master boot record) stopt met werken wat de oorzaak is van het falen bij het proberen om de benodigde informatie over bestanden te achterhalen, zoals hun naam, grootte en locatie.

In de bovenstaande afbeelding ziet u een voorbeeld van een losgeldbrief die het Petya-virus op de geïnfecteerde apparaten weergeeft, evenals een screenshot van de betalingspagina. In de bovenstaande afbeelding ziet u een voorbeeld van een losgeldbrief die het Petya-virus op de geïnfecteerde apparaten weergeeft, evenals een screenshot van de betalingspagina.

U kunt nog steeds geïnfecteerd raken met het gijzelsoftware-virus na het downloaden van een nep-document van office, dus wees voorzichtig met onbekende e-mails. Echter, The Hacker News heeft gemeld dat het virus DAADWERKELIJK dezelfde Windows SMBv1-kwetsbaarheid heeft gebruikt die eerder werd gebruikt bij de WannaCry-infectie. Zorg ervoor dat u FortectIntego installeert om Petya te verwijderen met zijn schadelijke bestanden, om uzelf te beschermen.

UPDATE: Volgens IT-expert Lawrence Abrams is er een oplossing om de Petya-kaping te voorkomen: computergebruikers zouden een tekstbestand moeten aanmaken met de titel perfc en dat moeten plaatsen in de map C:Windows. Het lijkt erop dat de gijzelsoftware zichzelf verwijdert als het een dergelijk bestand detecteert op het systeem.

UPDATE juli 2017: Na een lange wachttijd gaven malware-analisten eindelijk een decryptor vrij voor het Petya-virus en het belooft dat het de bestanden zal decoderen die zijn verwerkt door de kwaadaardige code van de gijzelsoftware. De Petya Decryptor bestaat in twee basisvormen: een CD-versie en een Windows-uitvoerbaar bestand. We moeten er rekening mee houden dat deze tool alleen is ontworpen om de individuele decoderingssleutel te extraheren, terwijl het dataherstel kan worden uitgevoerd met behulp van de decoderingssoftware, waaronder Mischa en GoldenEye-decrypters. Meer gedetailleerde instructies over het gebruik van deze hulpmiddelen vindt u in het instructiegedeelte van ons artikel.

Helaas is de decryptor nog steeds machteloos tegen hybride Petya-versies zoals PetyaWrap of EternalPetya.

Kenmerken en gedrag van Petya

Terwijl de virtuele gemeenschap op zoek was naar een snelle oplossing of een andere onderbrekingsschakelaar om de dreiging te beëindigen, hebben IT-experts merkwaardige details onthuld die de houding tegenover deze malware veranderen. Toen de originele versie van Petya verscheen, beschikte het over een “kill disk”-functie. Met andere woorden, zelfs bij het versleutelen van bestanden beheerde het niet de juiste communicatie met de Commando en Controle-servers om de identificatienummers van de slachtoffers te kunnen monitoren.

Verder hebben ExPetr/NotPetya/Petna/Petya ook geknoeid met het ID-proces. Bovendien is een van de e-maildomeinen die verband houden met de daders geannuleerd. Kortom, vanwege deze factoren wordt gegevensherstel onmogelijk omdat aan de computer van het slachtoffer geen specifieke code wordt toegewezen die zou helpen bij het ophalen van de overeenkomende decrypter.

De malware genereert gewoon willekeurige getallen en tekens in plaats van een specifieke sleutel. Met andere woorden, IT-specialisten noemen de malware een gegevenswisser, hoewel het er technisch gezien alleen voor zorgt dat het terugzetten van gegevens nutteloos is. Ten slotte speculeren deskundigen vanwege de omvang van de toegebrachte schade dat de Petya-bedreiging een combinatie van exploten gebruikte: PSExec, WMI en Eternal Blue, om zich te richten op het MKB en lokale netwerken.. Het heeft dus geen zin om de betaling over te boeken, aangezien de betrokken gebruikers hun gegevens niet terug zullen krijgen.

De lijst met Petya-aanvallen

Helaas groeit het aantal slachtoffers nog steeds. Ze hebben niet allemaal melding gemaakt van hun problemen in verband met Petya. Er wordt echter aangenomen dat er enkele duizenden bedrijven zijn geïnfecteerd met deze gijzelsoftware.

De functionaliteit van de gijzelsoftware

Zoals we al vermeldden, herstart deze malware onmiddellijk de computer, dit, in tegenstelling tot de andere gijzelsoftwareprogramma's. Wanneer de computer opnieuw wordt opgestart, verschijnt er een bericht op het scherm met de melding:

DO NOT TURN OFF YOUR PC!
IF YOU ABORT THIS PROCESS, YOU COULD DESTROY ALL OF YOUR DATA!
PLEASE ENSURE THAT YOUR POWER CABLE IS PLUGGED IN!

Hoewel het op een systeemfout kan lijken, voert het Petya-virus in feite op een gegeven moment stiekem een bestandscodering uit op de achtergrond van het systeem. Als de gebruiker probeert het systeem opnieuw op te starten of als de bestandsversleuteling wordt uitgevoerd, verschijnt een vuurrood skelet op het scherm samen met de tekst “DRUK OP EEN KNOP!”. Nadat u op een toets heeft gedrukt, verschijnt er een nieuw venster met een losgeldbrief.

In het begin van zijn functionaliteit werd het slachtoffer meestal gevraagd om 0,9 BitCoin te betalen, wat overeenkomt met ongeveer $ 400. Nu vraagt het echter om de tegenwaarde van $ 300 in Bitcoin. Daarom kunnen verschillende bedrijven, die over veel computers beschikken, gevraagd om een ander bedrag aan losgeld te betalen.

De Petya-gijzelsoftware codeert bestanden met zeer complexe RSA-4096 en AES-256 algoritmen, die zelfs worden gebruikt voor militaire doeleinden. Een dergelijke code is onmogelijk te decoderen zonder een privésleutel. Natuurlijk, meestal wordt bij andere gijzelsoftware-programma’s zoals het Locky-virus, het CryptoWall-virus en CryptoLocker, deze privésleutel opgeslagen op een externe server, die alleen toegankelijk is door het losgeld te betalen aan de makers van het virus.

Gijzelsoftware veroorzaakt nog meer problemen dan de gegevensversleuteling

Zodra dit virus zich in het systeem bevindt, zal het proberen de Windows-opstartbestanden of de zogenaamde master boot record te overschrijven, wat nodig is om uw besturingssysteem te laden. U kunt het Petya-virus niet van uw computer verwijderen, tenzij u uw MBR-instellingen herstelt.

Zelfs als u deze instellingen kunt herstellen en het virus van uw systeem kunt verwijderen, blijven uw bestanden helaas vergrendeld omdat het verwijderen van het virus de gecodeerde documenten niet ontsleutelt, maar alleen de besmette bestanden verwijdert. Vanzelfsprekend is deze procedure essentieel als u uw computer wilt blijven gebruiken. We adviseren u om geavanceerde en gerenommeerde antivirusprogramma's zoals FortectIntego te gebruiken voor de verwijdering van Petya.

Beveiligingsexperts hebben zojuist aangekondigd over de decryptiesleutel van gijzelsoftware, die u kan helpen om uw bestanden te decoderen met het speciale algoritme. Om een ​​kans te krijgen om dit algoritme te gebruiken, moet u deze website bezoeken. Het decoderen van uw bestanden zou echter niet uw enige kopzorg moeten zijn.

U moet er ook voor zorgen dat u de Petya-gijzelsoftware van uw computer verwijdert voordat het met de tweede codering van uw bestanden kan starten. Als u problemen ondervindt bij het verwijderen, kijk dan in de gedetailleerde gids op de tweede pagina van dit bericht.

In de bovenstaande afbeelding ziet u een voorbeeld van een losgeldbrief die het Petya-virus op de geïnfecteerde apparaten weergeeft, evenals een screenshot van de betalingspagina. In de bovenstaande afbeelding ziet u een voorbeeld van een losgeldbrief die het Petya-virus op de geïnfecteerde apparaten weergeeft, evenals een screenshot van de betalingspagina.

Versies van Petya

Deze gijzelsoftware is sinds het op internet kwam in 2016 constant verder gegroeid: de ontwikkelaars van Petya hebben al de volgende gijzelsoftware-versies vrijgegeven:

De Mischa-gijzelsoftware werd voor het eerst gespot in mei 2016. Het is bekend dat het deel uitmaakt van de Janus Cybercrime Solutions-campagne via welk amateurhackers zich bij het aangesloten netwerk van Petya kunnen aansluiten. Als u echter een van zijn distributeurs wilt worden, moet u een registratievergoeding betalen.

Afhankelijk van de hoogte van de losgeldbetaling, kunnen de gebruikers tot 85% van het inkomstenaandeel verdienen voor het verspreiden van het virus op het internet. Als u zelfs overweegt om u aan te sluiten bij zo'n kwaadaardig bedrijf, houd er dan rekening mee dat voor de makers niets heilig is en dat ze ook gemakkelijk van u kunnen profiteren, dus wees voorzichtig.

De Petrwrap-gijzelsoftware behoort niet tot de Janus Cybercrime Solutions-campagne die wordt beschouwd als een gelieerd netwerk van de gijzelsoftware. Het is een afzonderlijk virus dat is gebaseerd op het gewijzigde Petya's ECDH-algoritme, waardoor de ontwikkelaars privé- en openbare sleutels buiten het RaaS-systeem om kunnen genereren.

De malware gebruikte een kwetsbaar RDP-netwerk en de PsExec-tool om PC-systemen te infiltreren en het virus te lanceren. Desondanks is het ook mogelijk om de malware binnen te krijgen na het downloaden van een geïnfecteerde e-mailbijlage.

Het GoldenEye gijzelsoftware-virus lijkt veel op Petya. Om het slachtoffer zijn of haar verlies te tonen, voegt het specifieke bestandsextensies aan de doelbestanden toe. Het virus omzeilt ook het Gebruikersaccountbeheer (= User Account Control = UAC) om een aanval op laag niveau te implementeren en de Petya-gijzelsoftware in het systeem te droppen. Als de UAC is ingesteld op het maximum, wordt het slachtoffer herhaaldelijk gevraagd om toe te staan ​​dat het schadelijke programma wijzigingen op de computer aanbrengt. Bij een “Ja” gaat de malware draaien.

De Mamba-gijzelsoftware is op zichzelf extreem gevaarlijk en kan vrijwel elke pc infecteren, maar de primaire doelen zijn de computers van Duitse bedrijven. Dit schadelijke programma komt op stiekeme wijze de computers van de slachtoffers binnen en voert zijn schadelijke activiteiten uit zonder dat de eigenaar van de computer zelfs maar vermoedt dat de computer mogelijk wordt bedreigd.

In deze versie slaagden hackers er uiteindelijk in om een ​​Salsa20-coderingsalgoritme toe te passen, waardoor de eerdere kwetsbaarheden van de Petya werden geëlimineerd. Voor het overige werkt het virus op dezelfde manier als de vorige versie en verspreidt het zich in de vorm van een beschadigd PDF-bestand. De virusontwikkelaars gebruiken voornamelijk spam-e-mails en nep-software-updates om de dreiging te verspreiden.

Het Bad Rabbit gijzelsoftware-virus is ook bekend als Diskcoder.D. Het werd ontdekt in oktober 2017 toen het organisaties in Rusland en Oekraïne trof. Malware gebruikt een combinatie van AES- en RSA-versleutelingscodes en voegt gecodeerde bestandsextensies toe. Deze versie van malware verspreidt zich via nep-Flash-updates en kan SMB-kwetsbaarheden misbruiken. Bovendien kan het niet alleen bestanden coderen en eisen om 0,05 Bitcoins te betalen, maar ook de inloggegevens stelen.

Infiltratiemethoden en preventietips

Het Petya-virus wordt meestal verspreid via spam-e-mails, die een Dropbox-downloadlink bevatten naar een bestand met de naam “application folder-gepackt.exe”. Het virus wordt geactiveerd wanneer het genoemde bestand wordt gedownload en geopend. De nieuwste versie van dit virus gebruikt echter het CVE-2017-0199 Office RTF-beveiligingslek om een ​​computer te infiltreren.

Omdat u al weet hoe dit virus zich verspreidt, heeft u misschien al een idee hoe u uw computer kunt beschermen tegen deze virusaanval. Natuurlijk moet u voorzichtig zijn met het openen van e-mails die worden ontvangen van verdachte en onbekende bronnen, met zogenaamd relevante informatie die geen betrekking heeft op de door u verwachte correspondentie.

U moet er ook zeker van zijn dat u MS17-010 en andere Microsoft-reparaties downloadt om het SMB-beveiligingslek te verhelpen. Op het moment wordt het verondersteld een van de bronnen van gijzelsoftware te zijn. Zorg er ten slotte voor dat u uw systeem uitrust met betrouwbare antivirussoftware en deze up-to-date houdt.

Om uw bestanden te beschermen tegen versleuteling, is het altijd aan te raden om van tijd tot tijd een back-up van uw bestanden te maken. In dit geval moet u ervoor zorgen dat uw belangrijke gegevens worden opgeslagen op drie fysieke plaatsen, zoals de cloud, een externe schijf, enzovoort.

Instructies voor het totaal verwijderen van Petya

Zoals we al vermeldden, is het verwijderen van de Petya-gijzelsoftware van uw computer essentieel voor de veiligheid van uw toekomstige bestanden. Het herstellen van gegevens van externe schijfeenheden kan ook alleen worden uitgevoerd als het virus en alle bijbehorende onderdelen volledig zijn verwijderd van de pc. Anders kan Petya ook de bestanden op deze externe platforms infiltreren en vergrendelen.

U kunt het virus niet van uw computer verwijderen via de eenvoudige verwijderingsprocedure, omdat een dergelijke optie niet mogelijk is bij dit schadelijke programma. Dit betekent dat u het virus automatisch moet verwijderen. Automatische verwijdering van Petya moet worden uitgevoerd met behulp van een vertrouwde antivirussoftware, die dit virus op uw computer zal detecteren en zal verwijderen. Voor deze taken raden we FortectIntego, SpyHunter 5Combo Cleaner of Malwarebytes aan.

Als u enig probleem ondervindt bij het automatisch verwijderen van dit virus of als het uw antivirus blokkeert, kunt u altijd onze gedetailleerde instructies voor het verwijderen van virussen raadplegen aan het einde van dit artikel.