Вирус HERMES вымогатели сообщают аналитики вредоносных программ распространяется через вредоносные почтовые спам-сообщения. Эти сообщения могут содержать:
Вредоносный веб-ссылки или веб-ссылка, ведущая на скачивание файла-инфекции.
Файл-инфекции, встроенных как вложение(документ с вредоносным макросы, исполняемый, файл JavaScript или другие вредоносные исполняемые файлы).
Другие методы, с помощью которых HERMES 2.0 инфекцией может произойти через использование вредоносных эксплойтов, обновления, а также инфицированные монтажников, упаковать файлы и поддельные генераторы ключей или активаторов программного обеспечения. Такое может быть загружен на торрент-сайтов, а также сайтов, которые являются рискованными. Такое может быть автоматически открыт при наличии потенциально нежелательные программы, в результате перенаправлений(http://cyber-securitylab.com/remove-wowstart-online-redirect/) на вашем веб-браузере.
Когда пользователь открывает файл заражения вирусом вымогателей, он может подключиться к удаленному серверу для загрузки следующие файлы на зараженном компьютере:
- Reload.exe
- system_.летучая мышь
- тени.летучая мышь
- DECRYPT_INFO.txt
- DECRYPT_INFORMATION.html
- UNIQUE_ID_DO_NOT_REMOVE
- HERMES.exe
- тени.вбс
Помимо тех файлов, вирус также может упасть на следующих объектах:
- Cversions.2.дБ
- Управление Компьютером.лнк
- Несколько .БД объектов со случайными именами, расположенные в каталоге %Схроны%.
Если зараза произошло, HERMES 2.0 ransomware может немедленно начать использовать метод Эвелен в обход службы контроля учетных записей. Потом, вирус может выполнять следующие команды без пользователя, замечающего с целью удаления теневых копий:
→ процесс создания «cmd.exe /с
программ vssadmin.exe удалить тени /все /тихий
команды bcdedit.exe-файл /набор {по умолчанию} recoveryenabled нет
команды bcdedit.ехе /набор {по умолчанию} загрузки ignoreallfailures
Удаление теневых копий, включает в себя удаление файлов со следующими типами файлов:
→ .VHD-файл .ДКС .бак .wbcat все .бкф ,резервное копирование, .набор, .выиграть .ДСК
После того, как вирус удалил теневые копии, он может начать изменения в Windows редактор реестра. Эти изменения могут включать нападения на запустить и после запуска ключи windows со следующими данными:
→ Раздел реестра hkey_current_userпрограммное обеспечениеМайкрософтWindowsCurrentVersion равноевыполнить” в “allkeeper” /т типа reg_sz /D “в%USERPROFILE%DesktopDECRYPT_INFORMATION.html” /Ф
Раздел реестра hkey_current_userпрограммное обеспечениеМайкрософтWindowsCurrentVersion равноевыполнить” в “sysrep” /т типа reg_sz /D “в%PUBLIC%Reload.exe” /Ф
Раздел реестра hkey_current_userпрограммное обеспечениеМайкрософтWindowsраздел CurrentVersionвыполнить” в “allkeeper команду” /T reg_sz С /Д
Раздел реестра hkey_current_userпрограммное обеспечениеМайкрософтWindowsраздел CurrentVersionвыполнить” в “sysrep команду” /T reg_sz С /Д
В hkcuпрограммное обеспечениеМайкрософтWindowsраздел CurrentVersionзапуститьallkeeper C:usersUserDesktopDECRYPT_INFORMATION.html
После Reload.exe файл был побежал, вымогателей вируса начинается процесс шифрования.
Процесс шифрования HERMES 2.0 вымогателей предназначено много различных типов файлов для кодирования. Расширения файлов, которые зашифрованы, если обнаружен этот вирус вымогателей, сообщили исследователи вредоносных программ должны быть следующие:
→ .accdb файл, .агиф .awdb по, .бобовые, .cdmm, .cdmz все, .cdr3 по, .cdr4, .cdr6, .выполнении .clkw, .crwl по, .ddoc по, .Формат djvu, .файлы docm, .Формат docx .docz по, .дотм, .условия, .dtsx, который .мультимедийная, .epsf, .fdxt все, .fh10 по, .fh11, .fodt, .fpos, .ft10, .ft11, .fwdn, .gdoc по, .gfie все, .глобокс, .gthr по, .форматов hpgl, .формате HTML .значок .идея .itc2 по, .мбд .jbig по, .формате JPEG .jpg2 успешно, .jrtf все, .kdbx по, .в mbox, .мелл, .mgcb все, .mgmf, .упр, .mgmx, .mgtx по, .ммат, .Моби .mrxs по, .пано, .пикт, .pjpg все, .pntg по, .pobj по, .пптм, .рртх, .psdx все, .фунт, .rctd, .reloc по, .рифф, .s2mv по, .сохранить .ставриду, .зпс, .смил .файла ssfn, .сумо, .акций, .текст .тифф .как UTF8, .язык vrml, .vsdm, .последние, .встм .данные, .Формат wbmp, .с webp, .wmdb по, .xhtm по, .xlgc, .файл xlsb, .файл xlsm, .контакты .zabw (более 700)
Для шифрования этой итерации HERMES вымогателей использует расширение файла из его имени и добавит его без отделены, точка. Файлы отображаются следующим образом:
Шифрование HERMES 2.0 осуществляется при помощи двух наиболее сложные шифры, до сих пор AES и RSA алгоритмов. Процесс шифрования включает в себя шифрование файлов с использованием AES шифрования, а затем алгоритма RSA добавляет дополнительный ключ к файлов, уникальный для всякой заразы.
После этого была завершена, личная информация дешифрования передается на кибер-преступников и вторая версия выходит в следующий выкуп записку с просьбой связаться с кибер-жуликов по адресу Bitmessage:
Скачать утилитучтобы удалить HERMESРуководство по удалению руководство HERMES
Шаг 1. Удалите HERMES и программ
Windows XP
- Откройте меню Пуск и выберите Панель управления
- Выберите Установка и удаление программ
- Выберите нежелательные приложения
- Нажмите кнопку Удалить
Windows 7 и Vista
- Нажмите кнопку Пуск и выберите Панель управления
- Перейти к Uninstall Программа
- Щелкните правой кнопкой мыши на подозрительное программное обеспечение
- Выберите Удалить
Windows 8
- Переместить курсор в левом нижнем углу
- Щелкните правой кнопкой мыши и откройте панель управления
- Выберите Удаление программы
- Удаление нежелательных приложений
Шаг 2. Удалить из ваших браузеров HERMES
Удалите HERMES от Internet Explorer
- Откройте IE и нажмите на значок шестеренки
- Выберите пункт Управление надстройками
- Удаление ненужных расширений
- Изменить домашнюю страницу: значок шестеренки → свойства обозревателя (вкладка «Общие»)
- Сброс вашего браузера: значок шестеренки → свойства обозревателя (дополнительно)
- Нажмите кнопку Сброс, установите флажок и нажмите кнопку Сброс снова
Удаление HERMES от Mozilla Firefox
- Откройте Mozilla и нажмите на меню
- Выберите пункт дополнения и перейти к расширения
- Выберите нежелательные дополнения и нажмите кнопку Удалить
- Сброс Mozilla: Сведения об устранении неполадок → Alt + H
- Нажмите кнопку Сброс Firefox, подтвердите его и нажмите кнопку Готово
Удаление HERMES от Google Chrome
- Открыть Google Chrome и выберите в меню команду
- Выберите из меню Инструменты → расширения
- Выберите дополнения и нажмите значок корзины
- Изменение поисковой системы: меню → настройки
- Нажмите Управление поисковыми под Поиск
- Удаление нежелательных Поиск поставщика
- Сброс вашего браузера: настройки → сброс браузера настройки
- Нажмите кнопку Сброс для подтверждения ваших действий