Um novo vírus de ransomware se espalha pelo Protocolo da Área de Trabalho Remota (RDP) encontrado em muitos sistemas de computador. Seu nome verdadeiro é Xpan, mas muitas vítimas e alguns pesquisadores se referem a ele como ransomware TeamXRat. O nome TeamXRat vem dos cibercriminosos que desenvolveram o ransomware e deixaram seu nome na nota de resgate como assinatura. A extensão .___ xratteamLucked é anexada aos arquivos que são criptografados.

O ransomware é originário do Brasil, mas residentes de outros países também podem ser infectados. Para remover o vírus e ver como você pode descriptografar seus arquivos, leia este artigo com atenção.

Resumo ameaça

Nome	TeamXrat
Tipo	ransomware, Cryptovirus
Pequena descrição	O ransomware distribui explorando senhas fracas no protocolo de área de trabalho remota (RDP). De lá, ele carrega o cavalo de Tróia Xpan e infecta os arquivos em um PC comprometido.
Os sintomas	O vírus anexará a extensão .___ xratteamLucked aos arquivos, que criptografa.
distribuição Método	Ataques direcionados, Protocolo área de trabalho remota (RDP)
Ferramenta de detecção	Veja se o seu sistema foi afetado por malware Baixar Remoção de Malware Ferramenta
Experiência de usuário	Participe do nosso Fórum para discutir TeamXrat.

Vírus TeamXRat - Infecção

o TeamXRat O vírus é único na forma como infecta, em comparação com outros vírus ransomware. Ele utiliza ataques direcionados, por força bruta de servidores por meio do protocolo de área de trabalho remota (RDP). O sistema operacional Windows tem uma conexão de área de trabalho remota implementada e pode ser ativada por padrão. Outros sistemas operacionais também têm um programa equivalente executando o mesmo protocolo, o que o torna viável para um ataque de hacker. Uma vez que uma senha fraca é quebrada com o método de força bruta, é imediatamente explorado. o Xpan O Trojan ransomware está sendo instalado depois que os hackers ativaram manualmente o software antivírus encontrado no servidor em que entraram.

Contudo, não é excluído para o TeamXRat vírus a se espalhar de outras maneiras. Algumas dessas formas incluem campanhas de e-mail de spam malicioso ou o uso de redes como mídia social ou serviços de compartilhamento de arquivos. Lá, um arquivo malicioso contendo a carga útil do malware pode ser colocado. Se você interagir com ele, especialmente executando-o, toda a máquina do seu computador será criptografada. Antes de abrir arquivos de origem desconhecida, realizar verificações de assinaturas neles, Tamanho, e também os escaneia com uma ferramenta de segurança. Você deveria ver mais dicas para prevenção de ransomware em nosso tópico do fórum.

Vírus TeamXRat - Informações

o Xpan Vírus Trojan é o que muitas pessoas apelidaram TeamXRat. Isso se deve em grande parte ao fato de que este ransomware tinha a assinatura TeamXRat na nota de resgate e no papel de parede que define após a criptografia do arquivo. O ransomware é desenvolvido por criminosos brasileiros que se identificam como TeamXRat ou CorporacaoXRat (CorporationXRat). Embora o vírus seja originário do Brasil e a maioria dos computadores comprometidos esteja no Brasil, pessoas de outros países também foram vítimas desta ameaça cibernética.

Os cibercriminosos TeamXRat desenvolveram outro ransomware antes, que é conhecido como o Ransomware Xrat (Xorist). Eles aprimoraram seu ransomware mais recente com um algoritmo de criptografia mais forte.

O ransomware usa cria a seguinte subchave no Registro do Windows:

→HKEY_CLASSES_ROOT .____ xratteamLucked

Depois disso, as seguintes entradas do Registro são criadas na subchave mencionada acima:

→HKEY_CLASSES_ROOT .____ xratteamLucked ”Padrão” = “Criptografado!!”

→HKEY_CLASSES_ROOT.____xratteamLuckedDefaultIcon”Padrão” = “%SystemDrive%System32shell32.dll,47”

→HKEY_CLASSES_ROOT.____xratteamLuckedshellopencommand”Padrão” = “[DOS SCRIPT]”

Das entradas de registro acima, um script será iniciado para começar a partir de um arquivo .DLL. No topo de tudo, os seguintes processos (marcado com .exe) e os serviços serão interrompidos pelo ransomware:

• fb_inet_server.exe
• pg_ctl.exe
• sqlservr.exe
• postgresql-9.0
• FirebirdServerDefaultInstance
• SSQL $ SQLEXPRESS
• MSSQLSERVER

No final, o seguinte arquivo com as instruções de pagamento é criado:

→[CAMINHO DE ARQUIVOS CRIPTOGRAFADOS]\Como descriptografar os seus arquivos.txt

O arquivo está escrito em português do Brasil e se parece com este:

Outra mudança que você pode notar é que o papel de parede da área de trabalho será alterado com esta imagem:

Eles escrevem sobre o algoritmo de criptografia que é usado, exigir um Bitcoin para pagamento e o endereço de e-mail xRatTeam@mail2tor.com é fornecido para você entrar em contato com os cibercriminosos.

Nem pense em pagar aos fabricantes de malware, pois ninguém pode garantir que você receberá seus arquivos de volta após o pagamento bem-sucedido. O dinheiro será inegavelmente usado para apoiar financeiramente outras atividades criminosas, como o desenvolvimento de um novo ransomware ou ainda pior.

Todos os arquivos criptografados terão a extensão .___xratteamLucked ou .____xratteamLucked anexado a eles. O ransomware usa um 255 senha do personagem e o RSA de 2048 bits algoritmo de criptografia com 256 bits Cifras AES criptografar arquivos. Normalmente listamos os tipos de arquivo, que são criptografados por tal criptovírus, mas desta vez você pode ver os tipos de arquivo que não são criptografados, porque eles são adicionados a uma lista de exceções:

→.exe .dll .lnk .bat .ini .msi .scf

Aqui está uma lista completa contendo todos os caminhos de arquivo que são excluídos da criptografia:

o TeamXRat ransomware é muito provável para apagar o As cópias de sombra de volume encontrado no seu sistema operacional Windows. Após a criptografia, o ransomware exclui alguns dos arquivos dos quais se origina, incluindo o arquivo de carga útil. Continue lendo e abaixo você verá como remover o vírus completamente e o que você pode tentar descriptografar seus arquivos.

Remova o vírus TeamXRat e restaure os arquivos .___ xratteamLucked