he jij,
BE op de hoogte!

35,000 ransomware infecties per maand en je nog steeds geloven dat je beschermd?

Meld je aan en ontvang:

  • alerts
  • nieuws
  • gratis how-to-gidsen te verwijderen

van de nieuwste online bedreigingen - direct in je inbox:


Wana Decrypt0r 2.0 .WNCRY File Virus (bestanden terugzetten)

Dit artikel is gemaakt om te helpen bij het verwijderen van de .WNCRY Wana Decrypt0r 2.0 ransomware infectie (nieuwe WannaCry variant) en het herstel van bestanden versleuteld met de .WNCRY bestandsextensie.

Een nieuwe ransomware, genoemd Wana Decrypt0r 2.0 door malware jagers is gemeld om bestanden te versleutelen op de computers besmet door haar. De ransomware virus maakt gebruik van de .WNCRY bestandsextensie en het is in principe gemeld aan een nieuwe versie van het zijn WannaCry Ook bekend als WCry familie van ransomware virussen. De infectie daalt een losgeldbrief, vernoemd @ Please_Read_Me @ .txt en verandert de achtergrond evenals voegt software met instructies voor het betalen van het losgeld. In het geval dat u een slachtoffer van deze ransomware infectie geworden, raden wij aan het volgende artikel aandachtig door te lezen.

bedreiging Samenvatting

Naam

.WNCRY

Type Ransomware
Korte Omschrijving nieuwe mei 2017 versie van de WannaCry ransomware virussen. Versleutelt bestanden en vraagt ​​het slachtoffer om een ​​flinke losgeld betalen om de gecodeerde bestanden te herstellen.

Symptomen Bestanden worden versleuteld met de .WNCRY bestandsextensie toegevoegd aan hen. Naast dit een losgeld notitie is toegevoegd, genaamd @ Please_Read_Me @ .txt. voegt ook een lockscreen, de naam “Wana Decrypt0r 2.0”.
Distributie Methode Via een exploit kit, Dll-bestand aanval, kwaadaardige JavaScript of een drive-by download van de malware zich in een verduisterd wijze.
Detection Tool Zien of je systeem is getroffen door .WNCRY

Download

Malware Removal Tool

Gebruikerservaring Word lid van onze forum om Bespreek .WNCRY.
Data Recovery Tool Windows Data Recovery door Stellar Phoenix kennisgeving! Dit product scant uw schijf sectoren om verloren bestanden te herstellen en het kan niet herstellen 100% van de gecodeerde bestanden, maar slechts weinigen van hen, afhankelijk van de situatie en of u uw schijf hebt geformatteerd.

.WNCRY Virus – Hoe werkt het Spread

Vergelijkbaar met de vorige .wcry variant , dit ransomware iteratie kan ook precies dezelfde methoden te gebruiken om zich te verspreiden. Ze zijn verbonden met het gebruik van de verschillende soorten instrumenten die specifiek gebruikt om kwaadaardige bestanden en URL's te verspreiden zonder te worden ontdekt:

  • Het Eternalblue en DOUBLEPULSARE Exploits gelekt door de ShadowBrokers in een lek, genoemd “Verloren in vertaling” die terug gebeurde in april 2017
  • spammen software (spam bots, crawlers, etc)
  • Vooraf geconfigureerde lijst met e-mailadressen van potentiële slachtoffers die spam-mail kunnen worden verzonden.
  • Intermediair malware om de besmetting uit te voeren.
  • Een set van C2 servers en distributie domeinen voor commando en controle en het downloaden van .WNCRY bestand virus’ payload.

Hoewel de WanaCrypt0r 2.0 ransomware kunnen zich via torrent websites, nep-updates of andere nep-opstellingen en uitvoerbare bestanden geupload op schaduwrijke hots, primaire methode van verspreiding van het virus kan plaatsvinden via overtuigend gemaakt e-mails. Dergelijke e-mails gericht aan de slachtoffers te krijgen om te klikken op een schadelijke e-mailbijlage en dus besmet raken met de .WNCRY bestand virus.

De bijlagen kunnen meestal Js, .exe of andere vorm van uitvoerbare bestanden, maar in sommige situaties zijn ze ook te maken met kwaadaardige macro's. Deze kwaadaardige macro's kunnen worden geactiveerd zodra de gebruiker de inhoud in staat stelt op een document. Hier is hoe deze infectie wordt uitgevoerd:

De eerste besmettingen van Wana Decrypt0r 2.0 zijn in Duitsland geweest, Rusland, Taiwan, Turkije, Kazachstan, Indonesië, Vietnam, Japan, Spanje, Oekraïne en de Filipijnen. Maar de landen aantal kan zeer snel snel stijgen, aangezien dit patroon toont wereldwijde distributie campagne.

.WNCRY File Virus Hoe werkt het

De belangrijkste activiteit van de Wana Decrypt0r 2.0 ransomware virus na infectie is om een ​​ingesloten bestand vallen in de map waar de infectie bestand zich bevindt. Het bestand is een met een wachtwoord beveiligd .zip, genaamd wcry.zip. Het heeft de volgende inhoud:

  • b.wnry
  • c.wnry
  • r.wnry
  • s.wnry
  • t.wnry
  • u.wnry
  • taskse.exe
  • taskdl.exe

De Wana Decrypt0r 2.0 ransomware's infectie bestand wordt vervolgens uitpakken die gecomprimeerde bestanden in een map en beginnen om verbinding met het downloaden webpagina van de TOR webbrowser. Vanaf daar, de .Wana Decrypt0r 2.0 virus kan verbinding maken met meerdere command and control servers:

  • 57g7spgrzlojinas.onion
  • xxlvbrloxvriy2c5.onion
  • 76jdd2ir2embyv47.onion
  • cwwnhwhlz52maqm7.onion

Dan, Wana Decrypt0r 2.0 bereidt zich voor op het versleutelen van vitale slachtoffer bestanden. Om dit te doen, het loopt een administratieve commando in Windows om de Administrator functies te verkrijgen:

→ icacls . /verlenen Iedereen:F / T / C / Q

Dan, de Wana Decrypt0r 2.0 virus schakelt de volgende Windows-systeem processen van de Task Manager:

→ Mysqld.exe
Sqlwriter.exe
sqlserver.exe
MSExchange
Microsoft.Exchange

Het laadvermogen mag bestaan ​​uit meerdere verschillende typen bestanden. Sommige van deze bestanden kan de Windows Register-editor te wijzigen en richten op de volgende sub-keys:

→ HKCU Software Microsoft Windows CurrentVersion Run
HKEY_CURRENT_USER Software WanaCrypt0r
HKEY_CURRENT_USER Software WanaCrypt0r wd
HKCU Control Panel Desktop Wallpaper

In die toetsen, aangepaste waarde snaren met gegevens in hen kan worden ingevoerd, zodat het mogelijk is dat de ransomware te draaien op het opstarten en beginnen met het versleutelen van bestanden op boot.

In aanvulling op de activiteit van WanaCrypt0r .WNCRY infectie kan zijn om het volume kopieën schaduw te schrappen en uit te roeien alle kansen van het terugzetten van je bestanden via back-up op de geïnfecteerde computer. Dit wordt gedaan door het uitvoeren van de volgende administratieve Windows commando's:

→ vssadmin schaduwen / all / quiet verwijderen
wmic ShadowCopy verwijderen
bcdedit / set boostatuspolicy ignoreallfailures
bcdedit / set {standaard} recoveryenabled geen & wbadmin catalogus -quiet verwijderen

In aanvulling op deze activiteit, WannaCry .WNCRY virus daalt ook een programma, vernoemd @ WanaDecryptor @ .exe dat een effectief timer met geavanceerde instructies over hoe het losgeld te betalen. Dit programma heet “Wana Decrypt0r 2.0” en het is bericht er als volgt uitziet:

Na de timer van dit programma loopt uit de kosten van het losgeld payoff mag verdubbelen, volgens de scareware berichten en de vorige versie, Ook het gebruik van deze software.

Een andere actie van het programma maakt, is dat het verandert ook het behang op de computer van het slachtoffer met het volgende bericht:

Ooops, uw belangrijke bestanden worden versleuteld.
Als u deze tekst, maar zien niet de “Wana Decrypt0r” venster,
dan is uw antivirus verwijderde het decoderen software of je verwijderd van uw computer.
Als u uw bestanden nodig hebt moet je het decoderen software te draaien.
Hieronder vindt u een applicatie bestand met de naam “@ WanaDecryptor @ .exe” in een map of te herstellen van de antivirus quarantaine.
Uitvoeren en volg de instructies!

.WNCRY File Virus - Encryption Process

Twee encryptie-algoritmen kunnen worden gebruikt voor deze specifieke ransomware infectie. Een van die staat bekend als AES (Advanced Encryption Standard) en kan worden gebruikt in 128-bit kracht. Het is een van de sterkste cijfers en kan niet worden gedecodeerd, tenzij de criminelen een fout te maken in de encryptie-code. Het kan een symmetrische sleutel te genereren, riep FEK sleutel na het encryptie. Deze sleutel kan de enige methode om de bestanden te decoderen zijn, omdat daarmee het proces kan worden teruggedraaid.

Naast deze, een ander cijfer bekend als Rivers-Shamir-Adleman of RSA wordt ook gebruikt in combinatie met de AES cipher om unieke publieke en private sleutels te genereren voor elk van de bestanden. Dit maakt de decryptie van elk bestand apart en zeer moeilijk en uniek proces.

Voor de codering, de .WNCRY virus targets bestanden die op grote schaal worden gebruikt. Deze bestanden zijn meestal de volgende:

→ .ldf, .SLN, .zijn, .cpp, .niet, .ASM, .cmd, .knuppel, .vbs, .onderdompeling, .DCH, .sch, .GOMB, .jsp, .php, .klasse, .wav, .swf, .fla, .wmv, .mpg, .vob, .mpeg, .asf, .avi, .mov, .mkv, .flv, .wma, .midden, .DjVu, .svg, .psd, .middenschip, .tiff, .tif, .cgm, .rauw, .gif, .png, .bmp, .jpg, .jpeg, .vcd, .iso, .backup, .ritssluiting, .rar, .tgz, .neemt, .achter, .tbk, .PAQ, .BOOG, .aes, .GPG, .VMX, .VMDK, .VDI, .sldm, .sldx, .sti, .zij, .plooi, .cents, .onetoc2, .dwg, .pdf, .wkn, .rtf, .csv, .txt, .vsdx, .vsd, .computer, .Reageer, .OTP, .SXD, .std, .UOP, .antwoord, .otg, .sxm, .MML, .leggen, .lay6, .ASC, .sqlite3, .sqlitedb, .sql, .accdb, .CIS, .dbf, .odb, .frm, .wereld, .uitverkocht, .IBD, .mdf, .msg, .ost, .pst, .paden, .potx .eml, .de, .pfx, .sleutel, .crt, .mvo, .pem, .odt, .er, .sxw, .stw, .uot, .max, .paragraaf, .ots, .sxc, .STC, .dif, .slk, .adder, .Java, .PPAM, .ppsx, .PPSM, .pps, .pot, .PPTM, .pptx, .ppt, .XLTM, .xltx, .XLC, .xlm, .XLT, .xlw, .XLSB, .xlsm, .xlsx, .xls, .dotx, .DOTM, .stip, .docm, .docb, .docx, .doc, .pot

Nadat de encryptie wordt gedaan, de .WNCRY virus kan de decryptie sleutel tot de cyber-criminelen sturen, zodat zij een aangepaste decrypter voor het slachtoffer, die terug zal worden gestuurd om hem te kunnen maken zodra het losgeld wordt betaald. Het betalen van het losgeld, maar wordt sterk afgeraden.

De bestanden hebben een toegevoegde .WNCRY bestandsextensie aan hen die uniek is voor de infectie. De bestanden kunnen worden weergegeven als het volgende en kan niet worden geopend met alle software:

Verwijder WanaCrypt0r 2.0 en herstellen .WNCRY gecodeerde bestanden

Om .WNCRY ransomware verwijderen, Wij verzoeken u dringend om een ​​backup van je bestanden eerst door het creëren van kopieën van hen en dan door te gaan met het verwijderen. Een methode om het te verwijderen is als volgt u de instructies voor het verwijderen aan de onderkant van dit artikel. Ze zijn zorgvuldig gemaakt om u te helpen alle bestanden verwijderen door het isoleren van het .WNCRY virus eerste. Wilt u automatisch en volledig verwijderen van de WanaCrypt0r 2.0 bedreiging, aanbevelingen zijn gericht op het verwijderen van de ransomware infectie met behulp van een geavanceerde anti-malware tool die zullen ervoor zorgen dat het verwijderen is swift.

Voor het herstel van uw bestanden, Wij verzoeken u dringend om te proberen de alternatieve methoden voor het herstellen van gecodeerde bestanden. Zij mogen niet volledig herstellen van al uw bestanden, maar kan de meeste van uw versleutelde bestanden in de juiste scenario herstellen. U kunt de methoden In stap vinden "2. bestanden versleuteld door .WNCRY herstellen” onder.

Handmatig verwijderen .WNCRY vanaf uw computer

Aantekening! Substantiële mededeling over de .WNCRY bedreiging: Handmatig verwijderen van .WNCRY vereist interferentie met systeembestanden en registers. Zo, het kan leiden tot schade aan uw pc. Zelfs als uw computer vaardigheden niet op een professioneel niveau, maak je geen zorgen. U kunt de verwijdering zelf doen alleen in 5 notulen, met behulp van een malware removal tool.

1. Start de pc in de veilige modus te isoleren en te verwijderen .WNCRY bestanden en objecten
2. Vind kwaadaardige bestanden die door .WNCRY op uw pc

Verwijder automatisch .WNCRY door het downloaden van een geavanceerde anti-malware programma

1. Verwijder .WNCRY met SpyHunter Anti-Malware Tool en een back-up van uw gegevens
2. bestanden versleuteld door .WNCRY herstellen
Facultatief: Het gebruik van alternatieve Anti-Malware Gereedschap

UPDATE MEI 2017 We hebben samengevat mogelijke manieren waarop je zou theoretisch proberen en herstellen van uw bestanden. We hebben ook nieuwe informatie over hoe werkt de verspreiding van het virus. De instructies zijn in het volgende artikel.

Vencislav Krustev

Een netwerkbeheerder en malware onderzoeker bij SensorsTechForum met passie voor de ontdekking van nieuwe veranderingen en innovaties in cyber security. Geloof sterk in het basisonderwijs van elke gebruiker naar online veiligheid.

Meer berichten - Website

  • QuatNet

    en VHD en .AVHD ook. Containers voor Hyper-V Server,

    • yes, en ik geloof ook dat u kunt gebruiken .VHDX, maar ik heb het niet getest

  • Is er iemand die mij een virus voorbeeld kon geven?

    • zijn m

      Als het nodig kan ik u het bestand te geven, maar we moeten een oplossing voor de getroffen bestanden te decoderen vinden. Zoals in mijn onderzoek hebben ze alle bestanden in de computer versleutelde, het verwijderen van het virus is gemakkelijk, maar het bestand kan nodig terug te vorderen. Voeg hier uw e-mail zodat ik u de virus bestand delen

  • Muhammad Bintang Religion

    Ik moet dat virus ook voor educatieve doeleinden

    • Goed, gegeven over de omvang ervan, Ik denk niet dat het zal een uitdaging zijn voor u om een ​​monster te verkrijgen.

  • Biswas Sea

    Systeemherstel kan helpen verwijderen van dit virus…Met behulp van Windows installatie-dvd…

  • Doomday Joseph

    goedemiddag, als dit virus zal komen om mijn pc beïnvloeden, het kan elimineren het formatteren van de machine?, Dit virus treft linux?

Delen op Facebook Aandeel
Loading ...
Delen op Twitter Gekwetter
Loading ...
Delen op Google Plus Aandeel
Loading ...
Delen op Linkedin Aandeel
Loading ...
Delen op Digg Aandeel
Deel op Reddit Aandeel
Loading ...
Delen op StumbleUpon Aandeel
Loading ...
Even geduld aub...

Abonneer u op onze nieuwsbrief

Wilt worden gewaarschuwd wanneer het artikel wordt gepubliceerd? Vul uw e-mailadres en naam onder de eerste op de hoogte te zijn.