Il virus DJVU (Ransomware) - Come rimuoverlo?

Il Ransomware DJVU è una famiglia di parassiti relativamente nuova distribuita tramite allegati e-mail infetti e vulnerabilità del sistema. Se il tuo provider di posta elettronica non esegue la scansione dei file allegati da malware, potresti visualizzare e-mail con varie “fatture”, “offerte” o informazioni sui pacchetti DHL / FedEx che non è stato possibile recapitare al tuo indirizzo. Le intestazioni di tali e-mail sono contraffatte, cioè non vengono inviate dai proprietari delle e-mail da cui sembrano provenire.

Se apri questi file, il tuo PC viene infettato e di conseguenza i file vengono crittografati. Questo viene fatto in background, in quanto non è un processo estremamente veloce. Nella maggior parte dei casi, il computer infetto non dispone di un antivirus aggiornato, che potrebbe impedire il verificarsi di tali infezioni. Esistono molti strumenti anti-ransomware in grado di rilevare l’inizio della crittografia e bloccare il processo.

Un’altra possibilità è la connessione a reti informatiche non protette infette da worm. Anche se questo modo è stato utilizzato dal parassita Wannacry, altri ransomware incluso DJVU usano vari exploit o provano a forzare password anche attraverso la rete.

La terza possibilità è quella dei siti per crackare. DJVU (vale a dire almeno, le varianti .tro e .churk) sono noti per essere distribuiti attraverso il tool di crack KMSpico per Windows. Se si installa e si tenta di violare Microsoft Office, si rischia di essere infetti. È meglio usare alternative gratuite come Libre office.

Come identificare la famiglia di malware DJVU

La prima campagna di riscatto di DJVU è stata lanciata a metà dicembre 2018 e in seguito sono state lanciate diverse nuove versioni di questo malware. Si differenziano per estensioni, file di informazioni ed e-mail per contattare i produttori di malware, tuttavia la nota di riscatto rimane la stessa:

Don’t worry, you can return all your files!

All your files documents, photos, databases and other important are encrypted with strongest encryption and unique key.

The only method of recovering files is to purchase decrypt tool and unique key for you.

This software will decrypt all your encrypted files.

What guarantees do we give to you?

You can send one of your encrypted file from your PC and we decrypt it for free.

But we can decrypt only 1 file for free. File must not contain valuable information

Don’t try to use third-party decrypt tools because it will destroy your files.

Discount 50% available if you contact us first 72 hours.

——————————————————————————————————-

To get this software you need write on our e-mail:

[email protected]

Reserve e-mail address to contact us:

[email protected]

Your personal ID:

xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx

La prima parte del nome dell’email è solitamente la stessa per entrambe le e-mail e una volta chiusa la nuova versione di DJVU viene rilasciata con delle modifiche nelle note.

Il ransomware DJVU originale utilizzava il nome .djvu (o versioni di esso) in estensioni di file criptate (da cui il nome della famiglia parassita). Esistono alcune versioni diverse: .djvuu, .djvuq, .udjvu, .djvut, .djvus, ecc … Le versioni successive usano varie estensioni come .charck.

Le istruzioni per la rimozione vengono lasciate nel file chiamato _openme.txt o _readme.txt

Come e cosa è crittografato da DJVU

Al momento dell’esecuzione, il malware di DJVU contatta il server di controllo con le informazioni sulla macchina e scarica le chiavi pubbliche per crittografare la macchina. Quindi inizia a mostrare un falso popup di aggiornamento di Windows per giustificare l’utilizzo significativo del disco del computer. Inoltre, potrebbe creare un’attività programmata per crittografare file aggiuntivi aggiunti in seguito.

Questo malware tenta di crittografare tutti i file che non vorresti mai perdere: documenti (.doc *, .odt, ecc.), Immagini (.jpg, .png, .gif), video (.mp4, .wma), archivi ( .rar, .zip, ecc.). Può anche crittografare file importanti, inclusi quelli dei crypto wallet. Questo viene fatto per costringerti a pagare per la decodifica, che potrebbe costare tra 500 e 1000 dollari in qualche criptovaluta, tipicamente Bitcoin.

In genere, i ransomware come DJVU utilizzano algoritmi di crittografia simmetrici e asimmetrici per crittografare tutti i file sul disco rigido. I file vengono crittografati utilizzando una chiave specifica della macchina prima e un algoritmo veloce. Successivamente, la chiave di crittografia viene crittografata con l’algoritmo asimmetrico e inviata ai produttori di malware. Maggiori informazioni su questo argomento possono essere lette in Questa guida sui metodi di crittografia utilizzati Quindi è quasi impossibile recuperare i file infetti se le informazioni sulle chiavi private sono trapelate, tuttavia a volte i produttori di malware commettono errori e alcune versioni di DJVU possono essere decifrate.

Dovresti pagare per la decrittografia di DJVU?

In generale, non si dovrebbe pagare nulla ai produttori di malware, in quanto li aiuta a creare più ransomware. Alcuni produttori di malware possono decodificare un singolo file gratuitamente per provare che il processo di decodifica funziona. Inoltre, esistono strumenti di decodifica che possono decifrare gratuitamente alcune versioni del ransomware DJVU come . Nota che non funziona con tutti i malware di questa famiglia. Ad esempio, dovrebbe funzionare con i file denominati .djvu *, ma potrebbe essere necessario attendere se le estensioni dei file sono diverse nonostante il messaggio abbia lo stesso aspetto.

Se hai intenzione di pagare per la decodifica, fai attenzione: molte infezioni includono funzioni mirate ai tuoi crypto wallet. Quindi è fondamentale pulire il tuo PC da keylogger, Cryptojackers (software che dirotta gli indirizzi di trasferimento) e trojan bancari prima di fare qualsiasi operazione con i tuoi soldi. Esegui il backup del messaggio di riscatto ed esegui la scansione con Spyhunter o (su Mac) .

Come rimuovere l’infezione DJVU e provare a recuperare i file da soli

Nota: questo processo rimuoverà l’infezione da DJVU dal tuo PC. Tuttavia, non è sempre possibile recuperare i file senza pagare. Inoltre, per il ransomware, è importante eseguire il backup della chiave univoca della macchina (dalla nota di riscatto) o non sarà possibile ripristinare i file se qualcosa va storto.

Se non riesci ad accedere a Download in questa guida, ti consiglio di controllare il file hosts sulla macchina infetta usando la nostra guida ed eliminando le righe inutili. Alcune versioni di DJVU (distribuite attraverso crack) bloccano i siti relativi alla sicurezza per impedirne la rimozione.

Strumenti di Malware rimozione automatica

Come rimuovere Il virus DJVU (Ransomware) utilizzando il Ripristino di Sistema?

1. Riavvia il tuo computer in Modalità Provvisoria con Prompt di Comandi

Per Windows 7 / Vista/ XP

• Start → Spegni → Riavvia → OK.
• Premi ripetutamente F8 finché non apparirà una finestra contenente le opzioni avanzate di avvio.
• Scegli la Modalità Provvisoria con Prompt di Comandi.

Per Windows 8 / 10

• Premi Power nella schermata di login di Windows. Successivamente tieni premuto Shift e clicca su Riavvia.
• Scegli Troubleshoot → Opzione Avanzate → Impostazioni di avvio e clicca Riavvia.
• Non appena si caricherà, seleziona Abilita Modalità Provvisoria con Prompt di Comandi dalla lista delle impostazioni di avvio.

2. Ripristinare i file di sistema e le impostazioni

• Una volta caricato il Prompt dei Comandi, inserisci cd restore e premi invio.
• Successivamente digita rstrui.exe e premi nuovamente invio.
• Clicca “Avanti” nelle finestre che appariranno.
• Seleziona uno dei punti di ripristino disponibili prima che DJVU Virus si sia infiltrato nel tuo sistema e clicca su “Avanti”.
• Per avviare il ripristino di sistema clicca su "Si"

2. Rimozione complete di Stopransom ransomware

Dopo aver ripristinato il tuo sistema, ti consigliamo di scansionare il tuo computer con un anti-malware, come Spyhunter per rimuovere tutti i file malevoli collegati a Churk ransomware.

3. Ripristino dei file corrotti da Il virus DJVU (Ransomware) utilizzando le Copie Shadow

Se non utilizzassi le opzioni di ripristino di sistema nel tuo sistema operativo, esiste anche la possibilità di utilizzare gli snapshot delle copie shadow. Queste ultime salvano copie dei tuoi file nel momento in cui lo snapshot viene creato. Solitamente DJVU Virus cercherà di cancellare tutte le copie Shadow esistenti, per questo motivo questo metodo potrebbe non funzionare su tutti i computer. Tuttavia, provare non costa nulla.

Le Copie Shadow sono disponibili solo su Windows XP Service Pack 2, Windows Vista, Windows 7, e Windows 8. Esistono due modi per recuperare i tuoi file attraverso le copie Shadow. Potrai farlo sia tramite le versioni precedenti di Windows sia tramite Shadow Explorer.

a) Versioni precedenti di Windows

Clicca con il destro sul file criptato e seleziona Proprietà>Versioni precedenti. Adesso sarai in grado di vedere tutte le copie esistenti di quel particolare file e il momento in cui sono state salvate come Copie Shadow. Scegli la versione del file che vuoi recuperare e clicca su Copia, nel caso in cui volessi salvarlo in una directory di tua scelta. O Ripristina nel caso in cui volessi sostituirlo con quello esistente, ovvero il file criptato. Se volessi vedere prima il suo contenuto, clicca su Apri.

b) Shadow Explorer

E’ un programma che può essere trovato online gratuitamente. Potrai scaricare sia la versione completa sia quella portatile di Shadow Explorer. Apri il programma. Nell’angolo superiore sinistro seleziona il drive in cui hai salvato il file che vuoi ripristinare. Adesso vedrai tutte le cartelle presenti il quel drive. Per selezionare un’intera cartella, clicca con il destro e seleziona “Esporta”. Successivamente scegli dove vuoi che venga salvata.

Nota: In molti casi è impossibile ripristinare i file corrotti dai moderni ransomware. Per questo motivo ti consiglio di utilizzare per precauzione un buon software per il backup su cloud. Ti consiglio di dare un’occhiata a Carbonite, BackBlaze, CrashPlan o Mozy Home.