Ransomware NM4 - Come rimuoverlo?

Il virus ransomware NM4 è un’infezione malware ben progettata che si concentra sulla cifratura dei file degli utenti con una combinazione complicata di algoritmi. Il virus NM4 appartiene alla famiglia di varianti di ransomware che utilizzano sia la crittografia AES che RSA per complicare il processo di decrittografia dei dati elettronici. Questo pezzo specifico di malware funziona insieme a due siti web che possono essere aperti solo dal browser TOR. Questa è un’altra caratteristica che potrebbe essere correlata a molte altre infezioni che presentano le istruzioni per il pagamento in file html, portando a domini online. L’eseguibile Recovers_your_files.html viene posto sui desktop delle vittime. Se viene avviato questo file, aprirà automaticamente un sito web nel browser preferito (Internet Explorer o qualsiasi altro programma). Tuttavia, la nota presentata indicherà alle persone di entrare nei due siti supportati tramite TOR.

Ransomware NM4: principali caratteristiche discusse

Prima che il cripto-virus NM4 possa completare la crittografia con le due cifre per la crittografia, deve acquisire persistenza in un dispositivo. Per farlo, il payload deve essere installato in modo segreto nel sistema operativo. Da quel momento in poi, l’eseguibile maligno punterà ad inserire delle voci nelle chiavi di Registro di sistema di Windows. Questa alterazione lancerà automaticamente il virus NM4 dopo che gli utenti attivano i propri dispositivi. È possibile notare la presenza di un’inflazione di ransomware nel Task Manager di Windows, ma questa ricerca è complicata dal fatto che gli eseguibili dannosi possono rappresentare sé stessi come processi legittimi.

Tuttavia, se il malware si è radicato nel sistema operativo, questo risentirà delle irregolarità come applicazioni che vengono eseguite in maniera lenta. Task Manager di Windows può indicare un’alta percentuale di risorse CPU utilizzate. Una volta che il virus NM4 otterrà la posizione che richiede, presumibilmente contatterà il suo server C&C per scambiare informazioni. Quindi, la crittografia, supportata da cifre AES-256 e RSA-2048, avrà la perfetta opportunità di avvenire. Il malware presumibilmente sceglierà da file diversi che diventeranno parte dei dati codificati. Gli eseguibili rovinati dispongono di un’estensione originale, chiamata .NM4, che è il motivo dietro al titolo di questa infezione da ransomware.

Gli autori non sono novizi nell’attività di ransomware. Il loro primo campione è stato R ransomware e entrambi chiedono di fare una donazione in cambio della chiave di decodifica. Mentre l’infezione da R richiedeva 2 BTC, gli hacker hanno aumentato il loro prezzo con la nuova variante. Il ransomware NM4 indica alle persone di pagare 3 BTC che corrisponde a circa 3870,90 dollari USA. Questo è un prezzo piuttosto alto, e non dovreste fare una transazione al portafoglio di bitcoin indicato. Offrirete semplicemente un supporto finanziario agli hacker, dando loro maggiori opportunità per creare virus ransomware aggiuntivi.

Ransomware NM4 ed opzioni di decriptazione

Il virus NM4 non è decriptabile al momento. Tuttavia, potrebbe essere che i ricercatori di sicurezza genereranno uno strumento gratuito per la decrittografia. Fino ad allora, vi consigliamo di non pagare il riscatto. Invece, dovete eliminare questo malware e continuare con degli altri trucchi possibili per ripristinare i vostri dati. È sufficiente eseguire delle scansioni di protezione con degli strumenti anti-malware quali Spyhunter, Malwarebytes o Hitman che mostreranno quali applicazioni dannose devono essere rimosse. Solo dopo aver eliminato il payload dannoso, è possibile tentare di recuperare i file. È necessario verificare se le copie dello Shadow Volume sono state distrutte. Inoltre, esiste la possibilità che gli strumenti universali di recupero dei file recuperino una parte dei dati contrassegnati dall’estensione .NM4.

Quale potrebbe essere la ragione del virus ransomware NM4?

Il virus NM4 potrebbe utilizzare delle mail di spam per la sua distribuzione. Se ricevete un messaggio di posta elettronica da strutture presunte legittime che vi esortano a seguire un collegamento o a scaricare un allegato, controllate che questa mail non contenga dettagli sospetti. Se l’indirizzo di posta elettronica del messaggio ha un’origine che sembra scoraggiante, non dovete seguire i suoi suggerimenti. Lo stesso vale se la mail contiene un sacco di errori grammaticali o vi invita a partecipare ad attività a cui non vi siete iscritti. Inoltre, provate a navigare in modo più sicuro ed evitare di visitare domini che si impegnano in servizi sospetti.

Come rimuovere Ransomware NM4 utilizzando il Ripristino di Sistema?

1. Riavvia il tuo computer in Modalità Provvisoria con Prompt di Comandi

Per Windows 7 / Vista/ XP

• Start → Spegni → Riavvia → OK.
• Premi ripetutamente F8 finché non apparirà una finestra contenente le opzioni avanzate di avvio.
• Scegli la Modalità Provvisoria con Prompt di Comandi.

Per Windows 8 / 10

• Premi Power nella schermata di login di Windows. Successivamente tieni premuto Shift e clicca su Riavvia.
• Scegli Troubleshoot → Opzione Avanzate → Impostazioni di avvio e clicca Riavvia.
• Non appena si caricherà, seleziona Abilita Modalità Provvisoria con Prompt di Comandi dalla lista delle impostazioni di avvio.

2. Ripristinare i file di sistema e le impostazioni

• Una volta caricato il Prompt dei Comandi, inserisci cd restore e premi invio.
• Successivamente digita rstrui.exe e premi nuovamente invio.
• Clicca “Avanti” nelle finestre che appariranno.
• Seleziona uno dei punti di ripristino disponibili prima che NM4 ransomware si sia infiltrato nel tuo sistema e clicca su “Avanti”.
• Per avviare il ripristino di sistema clicca su "Si"

2. Rimozione complete di NM4 virus

Dopo aver ripristinato il tuo sistema, ti consigliamo di scansionare il tuo computer con un anti-malware, come Spyhunter per rimuovere tutti i file malevoli collegati a Ransomware NM4.

3. Ripristino dei file corrotti da NM4 ransomware utilizzando le Copie Shadow

Se non utilizzassi le opzioni di ripristino di sistema nel tuo sistema operativo, esiste anche la possibilità di utilizzare gli snapshot delle copie shadow. Queste ultime salvano copie dei tuoi file nel momento in cui lo snapshot viene creato. Solitamente NM4 virus cercherà di cancellare tutte le copie Shadow esistenti, per questo motivo questo metodo potrebbe non funzionare su tutti i computer. Tuttavia, provare non costa nulla.

Le Copie Shadow sono disponibili solo su Windows XP Service Pack 2, Windows Vista, Windows 7, e Windows 8. Esistono due modi per recuperare i tuoi file attraverso le copie Shadow. Potrai farlo sia tramite le versioni precedenti di Windows sia tramite Shadow Explorer.

a) Versioni precedenti di Windows

Clicca con il destro sul file criptato e seleziona Proprietà>Versioni precedenti. Adesso sarai in grado di vedere tutte le copie esistenti di quel particolare file e il momento in cui sono state salvate come Copie Shadow. Scegli la versione del file che vuoi recuperare e clicca su Copia, nel caso in cui volessi salvarlo in una directory di tua scelta. O Ripristina nel caso in cui volessi sostituirlo con quello esistente, ovvero il file criptato. Se volessi vedere prima il suo contenuto, clicca su Apri.

b) Shadow Explorer

E’ un programma che può essere trovato online gratuitamente. Potrai scaricare sia la versione completa sia quella portatile di Shadow Explorer. Apri il programma. Nell’angolo superiore sinistro seleziona il drive in cui hai salvato il file che vuoi ripristinare. Adesso vedrai tutte le cartelle presenti il quel drive. Per selezionare un’intera cartella, clicca con il destro e seleziona “Esporta”. Successivamente scegli dove vuoi che venga salvata.

Nota: In molti casi è impossibile ripristinare i file corrotti dai moderni ransomware. Per questo motivo ti consiglio di utilizzare per precauzione un buon software per il backup su cloud. Ti consiglio di dare un’occhiata a Carbonite, BackBlaze, CrashPlan o Mozy Home.

Source: https://www.2-viruses.com/remove-nm4-ransomware

Strumenti di Malware rimozione automatica