Temos rastreou ainda uma outra versão do ransomware Cerber notório sendo liberado, muito semelhante à primeira versão do vírus. Ele usa RSA-512 cifra para criptografar os arquivos no computador comprometido e também renomeia os arquivos, bem como adiciona uma extensão de arquivo aleatório para eles. Se você se tornou uma vítima desta variante do Cerber ransomware, ser aconselhável que você deve ler este artigo para se familiarizar com esta versão do ransomware e aprender novos métodos em removê-la e restaurar alguns dos dados.
Mais informações sobre Cerber _README_{RAND}_.hta
Semelhante ao iteração Cerber anterior, este também muda o papel de parede do computador infectado com um que tem a mesma mensagem cerber, mas escrito em fromt de uma fonte vermelha:
Cerber ransomware também tem a capacidade de usar as mesmas táticas como suas versões anteriores para infectar os computadores dos usuários. Ele pode infectar em vários lugares on-line através de links suspeitos ou suspeitas de spam e-mails:
- sites de mídia social.
- Sites relacionados a torrentes.
- sites suspeitos que anunciam software duvidosa.
- via PUPs (Programas Potencialmente Indesejáveis).
- Via e-mails de spam de publicidade serviços aparentemente legítimos.
O que também é novo em relação a esta variante, descoberto no início de dezembro, 2016 é que Cerber ransomware utiliza a rede Tor e Google para espalhar um script perigoso que é injetado através de um processo svchost32.exe corrupto de origem falsos. Esta utilização da rede Tor também ajuda a esconder o local de infecção e ajuda a preservar o local de distribuição de Cerber por mais tempo .
O que faz Cerber _README_{RAND}.hta Do?
Após uma infecção foi causada, a primeira atividade do Cerber ransomware é para encerrar processos e serviços do Windows cruciais se eles estão executando, por exemplo bootsect, iconcache, ntuser, polegares.
Depois de ter feito isso, esta iteração do Cerber também ataca vários processos de banco de dados associados com o Oracle, SQL e outros bancos de dados de servidor. O fechamento desses processos, se ativa, permite Cerber ransomware para causar uma criptografia maciça de bases de dados inteiras. Mas isso não é tão longe como Cerber vai quando se trata de criptografia de arquivos. O vírus ransomware também pretende encriptar ainda mais extensões de arquivo do que seus antecessores. Os tipos de arquivos associados com esta variante do Cerber são relatados pelos pesquisadores para ser o seguinte:
Após a criptografia dos arquivos não podem mais ser abertos. Isto é porque seu código chave tem 5 blocos de que são enciphered através do método RC4 eo algoritmo RSA-512. Isso gera uma chave única para os arquivos que são enviados para os servidores dos ciber-criminosos por trás Cerber usar um método sofisticado para esconder as informações enviadas via tráfego postal. Usam porta 6482 em TCP e UDP para vários endereços IP informações POST.
Assim como outras versões do Cerber ransomware, os nomes nos arquivos criptografados pode ser alterado para completamente aleatória, bem como as extensões após criptografia.
Após o processo de encriptação é completa, Cerber também cai é _README_ única{RAND}.nota de resgate hta permitindo que o usuário veja mais instruções e uma URL personalizada onde a soma de 500$ é solicitada a ser pago em um prazo para obter os arquivos de volta, caso contrário, a soma duplica.
Remover Cerber _README_{RAND}_.hta Ransomware
Para excluir totalmente essa iteração do Cerber, é aconselhável para continuar com o mesmo cuidado como qualquer outro vírus Cerber e removê-lo com um software avançado anti-malware.
Após a remoção do Cerber ransomware também exortá-lo a experimentar algumas ferramentas alternativas para tentar restaurar seus arquivos. Eles podem não funcionar plenamente, mas você pode restaurar pelo menos uma parte dos dados:
- software de recuperação de dados.
- O uso de um sniffer de rede para rastrear empacotadores de comunicação com o objetivo de obter espero que a chave de decodificação, Cerber envia para os ciber-criminosos depois de criptografia.
- Sombra Explorador uso para tentar obter cópias ShaDo, Apesar de tudo.
- Usando decryptors de terceiros (não recomendado). Se você fizer isto, faça um backup dos arquivos criptografados, porque eles podem quebrar indefinidamente se adulterado.