Ta bort MOLE | Cyber Security LAB

april 14, 2017 - I kategori: Adware - No responses

Den .MOLE fil virus kan sprida sin smitta genom olika metoder. Just nu främst med distribution via spam e-post. Det har bekräftats av malware forskare. Sådan e-post som kommer att låtsas vara fråga om någon form av en leverans anmälan och i de flesta fall att paketet inte kunde levereras. Ett exempel med innehållet i en liknande e-post kan ses från skärmdumpen här nere:

Som du kan se ovan, en länk kommer att finnas i e-post om att du kan hitta ytterligare information om ärendet lagt ut inuti elektroniskt brev. Klicka på den länk som kommer att utlösa en omdirigering till en webbadress som porträtterar en falsk Microsoft Word-Dokument. Du kan se ett exempel på att dokumentet nedan:

Dokumentet säger att det är oläslig om du inte installerar en plug-in som kommer att ”låsa upp” den. Att trycka på Ladda ner och installera senaste version plugin-knappen kommer att ladda ner cryptovirus till din dator och starta den.

Hämta Removal Toolta bort MOLE

Den .MOLE fil virus är också möjligt att distribuera liknande meddelanden som innehåller dess nyttolast fil på sociala medier och fildelningstjänster. Avstå från att öppna filer direkt efter att du har laddat ner dem, speciellt om de kommer från skumma källor, såsom länkar eller e-postmeddelanden som visas ovan. Istället bör du skanna dem på förhand med säkerhet verktyg. Du bör läsa den ransomware förebyggande tips som skrivits i vårt forum avsnitt.

Den .MOLE fil virus är dubbad som på grund av det faktum att det krypterar filer samtidigt placera .MOLE förlängning till dem. Malware forskare hävdar att den ransomware är en variant av CryptoMix ransomware virus.

Efter att du har laddat ner den ransomware från den falska MS Word-dokument, ransomware kommer att visa ett felmeddelande:

Meddelandet anger:

Sedan, när ”OK” – knappen är nedtryckt, UAC (User Account Control) kommer att lansera ber dig att ge tillstånd för utförande av följande kommando:

→”C:WindowsSysWOW64wbemWMIC.exe” processen samtal skapa ”%UserProfile%pluginoffice.exe”

Vilket ger att tillstånd kommer att re-lansera ransomware med Administrativa privilegier, och din dator kommer att skannas så att dina filer blir krypterad.

Följande processer kommer att stoppas:

sc sluta wscsvc
sc sluta WinDefend
sc-stop wuauserv
sc stoppbitar
sc sluta ERSvc
sc sluta WerSvc

Lösen notering kommer att visas efter att den här processen är klar. Anteckningen är skriven på engelska. Inuti kommer du se instruktioner med de krav som ställs för betalningen och hur du kan återställa dina filer. Den gisslan anteckning är inne i en fil som heter ”INSTRUCTION_FOR_HELPING_FILE_RECOVERY.txt”.

Som gisslan anteckning lyder följande:

Lösen del av den .MOLE fil virus bör inte följas. Du bör INTE under några omständigheter betala eller kontakta cyberbrottslingar. Dina filer kan inte ens vara återställd, och ingen kan garantera dig det. Dessutom stöder brottslingar är inte en bra idé. Skurkar får bli motiverad att göra mer kriminella aktiviteter, som att skapa mer ransomware virus.

.MOLE fil virus har en intressant kryptering process. De krypteringsalgoritmer som används för processen är både RSA och AES. En unik hexadecimal-ID skapas för varje offer. Detta ID som kommer att skickas till C2 (Command and Control) – server som kommer att använda en RSA-1024 publik krypteringsnyckel. Dina filer kommer först att få krypterad med en AES - nyckel och sedan nyckeln som kommer att få ytterligare krypterad med RSA 1024 nyckel som skickas över C2 server.

Filen ”%UserProfile%AppDataRoaming26E14BA00B70A5D0AE4EBAD33D3416B0.MOLE” innehåller den publika RSA-nyckel.

Innehållet i filen är följande:

→–BEGIN OFFENTLIGA NYCKEL–
MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiqkbgqce5+kCm02LQPVKdMT8OyzAKsagRFk3KL4UXubb7ogyzinex7y3lqebwc/49jbnSaFZAm1ucIXK2CPrgC0g4FolRSH7iz5tjuc3cgjzyn4ucp8z44zvk3wwlox9suvarmvqxtkcm4nmr0jsr+3YbcB8ABMs
pUOBAHv+DlbcagmMbQIDAQAB
–END PUBLIC KEY–

Varje fil som blir krypterad kommer att få samma extension, som bifogas till var och en av dem, och det är det .MOLE förlängning. Till exempel Work.doc kommer se ut som SUD87S87S79DD8SF76SD7F8SD8F4F321.MOLE efter kryptering är gjort.

Den .MOLE fil virus cryptovirus kommer att ta bort Skuggan Volym Kopior från Windows operativsystem med utfärdande av följande tre kommandon:

→vssadmin.exe ta Bort Skuggor /Alla /Quiet

→bcdedit /set {default} recoveryenabled Nr

→bcdedit /set {default} bootstatuspolicy ignoreallfailures

Som också gör den här processen mer lönsamt, eftersom det eliminerar ett sätt för att dekryptera dina data. Läs igenom och se vilken typ av sätt som du kan prova för att eventuellt få tillbaka en del av dina filer.