Home
Công nghệ thông tin
An ninh, bảo mật
Hướng dẫn loại bỏ tận gốc virus *.OSIRIS - Ransomware Locky
Hướng dẫn loại bỏ tận gốc virus *.OSIRIS - Ransomware Locky
Làm thế nào để loại bỏ tận gốc virus *.OSIRIS - Ransomware
Locky ?
Nếu mở bất kỳ một tài liệu cá nhân nào đó và bạn thấy tài liệu đó có phần
đuôi mở rộng là [8_random_characters]-[4_random_characters]-
[4_random_characters]-[8_random_characters]-
[12_random_characters].osiris. Rất có thể máy tính của bạn đã bị
ransomware Locky rấn công.
Locky là ransomware mã hóa tập tin, nó sẽ mã hóa các tài liệu cá nhân mà nó
phát hiện trên máy tính của các "nạn nhân" bị nó tấn công, sử dụng key RSA-
2048 (thuật toán mã hóa AES CBC 256-bit), sau đó sẽ hiển thị thông báo nói
rằng để giải mã dữ liệu bạn cần thanh toán khoảng 2,5 Bitcoins, hoặc xấp xỉ
khoảng 1880$.
Các hướng dẫn được “gói trọn” trên máy tính các nạn nhân trong 3
file: OSIRIS.html, OSIRIS_ [4_digit_number] .html, và OSIRIS.bmp.
1. Ransomware Locky OSIRIS tấn công máy tính của bạn như thế nào?
Ransomware Locky được “phân phối” thông qua các thư rác có chứa các file
đính kèm hoặc link đến các trang web độc hại. Cyber-criminals là email spam
có thông tin tiêu đề giả mạo, lừa người dùng để họ tin rằng nó là email từ
công ty DHL hoặc FedEx.
Hoặc khi cài đặt một phần mềm nào đó, người dùng vô hình cài đặt thêm các
phần mềm giả mạo mà họ không hề hay biết.
2. OSIRIS – ransomware Locky là gì?
Locky ransomware nhắm mục đích tới tất cả các phiên bản Windows, trong
đó bao gồm Windows 10, Windows Vista, Windows 8 và Windows 7. Loại
Ransomware này sử dụng cách mã hóa các tập tin của người dùng khá đặc
biệt, nó sử dụng phương pháp mã hóa AES-265 và RSA để đảm bảo rằng nạn
nhân sẽ không có sự lựa chọn nào.
Khi ransomware Locky được cài đặt trên máy tính của bạn, nó sẽ tạo ra các
tên thực thi ngẫu nhiên trong thư mục %AppData" hoặc thư mục
%LocalAppData". Thực thi này khởi chạy và bắt đầu quét tất cả các ổ trên
máy tính của bạn để mã hóa các tập tin dữ liệu.
Ransomeware Lock sẽ tìm kiếm các tập tin có phần đuôi mở rộng cụ thể để
mã hóa. Các tập tin nó mã hóa bao gồm các tài liệu và các tập tin quan trọng
như .doc, .docx, .xls, .pdf và một số tập tin khác. Khi các tập tin được phát
hiện, nó sẽ thêm phần đuôi mở rộng mới vào tên tập tin (ezz, .exx,
.7z.encrypted).
Dưới đây là danh sách các tập tin mở rộng mà ransomware nhắm đến:
.sql, .mp4, .7z, .rar, .m4a, .wma, .avi, .wmv, .csv, .d3dbsp, .zip, .sie, .sum,
.ibank, .t13, .t12, .qdf, .gdb, .tax, .pkpass, .bc6, .bc7, .bkp, .qic, .bkf, .sidn,
.sidd, .mddata, .itl, .itdb, .icxs, .hvpl, .hplg, .hkdb, .mdbackup, .syncdb, .gho,
.cas, .svg, .map, .wmo, .itm, .sb, .fos, .mov, .vdf, .ztmp, .sis, .sid, .ncf, .menu,
.layout, .dmp, .blob, .esm, .vcf, .vtf, .dazip, .fpk, .mlx, .kf, .iwd, .vpk, .tor,
.psk, .rim, .w3x, .fsh, .ntl, .arch00, .lvl, .snx, .cfr, .ff, .vpp_pc, .lrf, .m2,
.mcmeta, .vfs0, .mpqge, .kdb, .db0, .dba, .rofl, .hkx, .bar, .upk, .das, .iwi,
.litemod, .asset, .forge, .ltx, .bsa, .apk, .re4, .sav, .lbf, .slm, .bik, .epk, .rgss3a,
.pak, .big, wallet, .wotreplay, .xxx, .desc, .py, .m3u, .flv, .js, .css, .rb, .png,
.jpeg, .txt, .p7c, .p7b, .p12, .pfx, .pem, .crt, .cer, .der, .x3f, .srw, .pef, .ptx,
.r3d, .rw2, .rwl, .raw, .raf, .orf, .nrw, .mrwref, .mef, .erf, .kdc, .dcr, .cr2, .crw,
.bay, .sr2, .srf, .arw, .3fr, .dng, .jpe, .jpg, .cdr, .indd, .ai, .eps, .pdf, .pdd, .psd,
.dbf, .mdf, .wb2, .rtf, .wpd, .dxg, .xf, .dwg, .pst, .accdb, .mdb, .pptm, .pptx,
.ppt, .xlk, .xlsb, .xlsm, .xlsx, .xls, .wps, .docm, .docx, .doc, .odb, .odc, .odm,
.odp, .ods, .odt
Sau khi các tập tin được mã hóa bằng đuôi mở rộng .osiris, ransomeware
Locky có thể tạo một tập tin OSIRIS.html,
OSIRIS_[4_digit_number].html, hoặc OSIRIS.bmp filescho mỗi thư mục
có tập tin đã được mã hóa và trên máy tính Windows.
Các tập tin này nằm trong mỗi thư mục có chứa các tập tin đã được mã hóa
cũng như trong thư mục Startup, thư mục có chứa các chương trình tự động
hiển thị khi người dùng đăng nhập. Các tập tin này sẽ chứa các thông tin làm
thế nào để truy cập các trang web thanh toán và nhận lại các tập tin của bạn.
Trong hầu hết các trường hợp, ransomeware Locky sẽ chiếm quyền điều
khiển phần đuôi mở rộng .EXE, khi bạn khởi động một thực thi nó sẽ cố gắng
xóa Shadow Volume Copies trên máy tính.
Sau khi hoàn tất việc mã hóa các tập tin dữ liệu, nó sẽ xóa tất cả Shadow
Volume Copies trên máy tính của bạn. Nó không cho phép người dùng sử
dụng Shadow Volume Copies để khôi phục (restore) các tập tin đã bị mã hóa.
3. Máy tính của bạn có bị ransomware Locky - OSIRIS tấn công?
Khi ransomeware Lock tấn công máy tính của bạn, nó sẽ quét tất cả các ổ
trên hệ thống để tìm các tập tin mà nó nhắm đích đến, mã hóa các tập tin đó
và thêm phần đuôi mở rộng .osiris vào các tập tin.
Sau khi các tập tin đã được mã hóa, bạn không thể mở các tập tin này bằng
các chương trình như bình thường mà bạn vẫn mở nữa. Ngoài ra khi
ransomware Locky kết thúc quá trình mã hóa các tập tin của nạn nhân, nó
cũng sẽ làm thay đổi hình nền trên máy tính của nạn nhân.
Ngoài ra nó cũng sẽ hiển thị một ghi chú khoản tiền chuộc dưới dạng HTML
trên trình duyệt mặc định của bạn. Những ghi chú này bao gồm cách hướng
dẫn làm thế nào để kết nối với các dịch vụ Decrypt Service, nơi bạn có thể
tìm hiểu thêm về những gì đã xảy ra với các tập tin của mình và làm thế nào
để thanh toán.
Ransomware Locky sẽ hiển thị thông báo:
IMPORTANT INFORMATION !!!!
All of your files are encrypted with RSA-2048 and AES-128 ciphers.
More information about the RSA and AES can be found here:
hxxps://en.wikipedia.org/wiki/RSA_(cryptosystem)
hxxps://en.wikipedia.org/wiki/Advanced_Encryption_Standard
Decrypting of your files is only possible with the private key and decrypt
program, which is on our secret server.
To receive your private key follow one of the links:
[edited]
If all of this addresses are not available, follow these steps:
1. Download and install Tor Browser:
hxxps://www.torproject.org/download/download-easy.html
2. After a successful installation, run the browser and wait for initialization.
3. Type in the address bar: [edited]
4. Follow the instructions on the site.
!!! Your personal identification ID: [edited]
4. Liệu có thể giải mã các tập tin đã được mã hóa bởi ransomware Locky
hay không?
Tính cho đến thời điểm này thì không thể khôi phục các tập tin được mã hóa
bởi phần đuôi mở rộng .osiris.
Điểm đáng chú ý nhất của ransomware Locky là cách mà nó mã hóa các tập
tin của người dùng. Cụ thể là, nó sử dụng phương pháp mã hóa AES-265 và
RSA - để đảm bảo rằng người dùng bị “tấn công” không có sự lựa chọn nào
khác ngoài việc mua key private.
Key RSA public có thể được giải mã với key private tương ứng của nó. Lí do
bởi vì key AES bị ẩn khi sử dụng mã hóa RSA và key RSA private không có
sẵn, việc giải mã các tập tin là không khả thi.
Và bởi vì phải có key private để mở khóa các tập tin mã hóa, mà các key này
có sẵn thông qua tội phạm mạng (cyber criminal), do đó các “nạn nhân” có
thể bị “dụ” để mua và trả một khoản phí cắt cổ.
4.1. Sử dụng phần mềm để khôi phục các tập tin bị mã hóa bởi
ransomware Locky
Tùy chọn 1: Sử dụng ShadowExplorer để khôi phục các tập tin bị mã
hóa bởi ransomware Locky
1. Tải ShadowExplorer về máy và cài đặt.
2. Sau khi tải và cài đặt xong ShadowExplorer, bạn có thể tham khảo các
bước hướng dẫn để restore các tập tin bằng ShadowExplorer trong video dưới
đây:
Tùy chọn 2. Sử dụng phần mềm khôi phục tập tin để khôi phục các tập
tin bị mã hóa bởi phần mở rộng .osiris
Khi phần mở rộng .osiris mã hóa một tập tin bất kỳ nào đó, bước đầu tiên nó
sẽ sao chép tập tin đó, mã hóa tập tin mà nó sao chép và xóa tập tin gốc đi.
Do đó để khắc phục các tin đã bị mã hóa bởi phần mở rộng .osiris , bạn có thể
sử dụng phần mềm khôi phục tập tin như:
có thể bạn quan tâm
Các loại virus Ransomware siêu nguy hiểm và đáng sợ nhất
5
2.338
220
An ninh, bảo mật
5
(New)
Loại bỏ virus mà không cần đến trình diệt virus
8
1.042
299
An ninh, bảo mật
8
(New)
Tổng hợp một số loại ransomware có thể bạn không biết
4
781
257
An ninh, bảo mật
4
(New)
Xác định thành phần protein của VIRUS gây hội chứng đốm trắng (White s...
68
656
322
Kinh tế quản lý
68
(New)
Cách loại bỏ virus shortcut
7
964
378
An ninh, bảo mật
7
(New)
Đừng chủ quan với các loại virus có thể gây bệnh ung thư
4
1.031
280
Bệnh thường gặp
4
(New)
Loại bỏ hoàn toàn URL Mal Virus - http://107.170.47.181
13
765
301
An ninh, bảo mật
13
(New)
Phát hiện CMV (Cucumber Mosaic Virus), TMV (Tobacco Mosaic Virus) tron...
69
736
408
Khoa học tự nhiên
69
(New)
thông tin tài liệu
Nếu mở bất kỳ một tài liệu cá nhân nào đó và bạn thấy tài liệu đó có phần đuôi mở rộng là [8_random_characters]-[4_random_characters]-[4_random_characters]-[8_random_characters]-[12_random_characters].osiris. Rất có thể máy tính của bạn đã bị ransomware Locky rấn công
Mở rộng để xem thêm
từ khóa liên quan
tài liệu mới trong mục này
tài liệu hot trong mục này
tài liệu giúp tôi
Nếu bạn không tìm thấy tài liệu mình cần có thể gửi yêu cầu ở đây để chúng tôi tìm giúp bạn!
×
