Cyber Security LAB

Infektion processen av NK_ ransomware börjar med det distributionsprocessen. Det sker via flera olika metoder. En av dem är via spam e-post som skickas ut till användarna, att låtsas vara legitima. De e-postmeddelanden som innehåller vanligen ett av två:

En länk för att omdirigera till en webbplats där skadlig fil laddas upp.
En skadlig arkiv laddas upp som en e-postbilaga.

Dessa två skadliga objekt kan också åtföljas av bedrägliga meddelanden som syftar till att övertyga de som fallit offer för denna ransomware virus för att öppna bifogade filer eller klicka på länkar. De kan likna faktura meddelanden, underrättelser om misstänkt aktivitet på ditt konto och även falska LinkedIn, PayPal, eBay eller Facebook-meddelanden med samma bilder och innehåll som den ursprungliga e-post som skickas. Detta är anledningen till att användare bör känna till, hur man skyddar sig mot skadliga e-postmeddelanden samt arkiv.

Utöver dessa metoder andra metoder för skadlig kod replikering kan också användas. Dessa metoder inkluderar vanligtvis användningen av falska updater-program, falska software licensing program och spel sprickor som innehåller skadliga koder. Dessa kan laddas upp på misstänkta webbplatser och också laddas upp på webbplatser som erbjuder torrent-nedladdningar.

Efter att användaren öppnar den skadliga filen infekteras med NK_ ransomware, flera typer av filer, inklusive lösen not NK_ I DIN FILES.txt kan släppas på datorn för användaren. Filerna kan anta olika namn och i olika Windows mappar, till exempel:

Så snart som den skadliga filer som hör till NK_ File virus föll på datorn för användaren, ransomware kan börja med att ta bort skuggan volym kopior på det. Dessa kopior skugga är i huvudsak de säkerhetskopierade filerna på utvalda viktiga mappar för Windows. De kommandon som NK_ ransomware kan ta bort dessa säkerhetskopior utan att offret märker är följande:

→ process kallar skapa ”cmd.exe /c
vssadmin.exe ta bort skuggor /alla /quiet
bcdedit.exe – /set {default} recoveryenabled nr
bcdedit.exe – /set {default} bootstatuspolicy ignoreallfailures

Dessa kommandon permanent ta bort skuggan kopior utan att användaren märker det. Utöver detta ransomware också kraftigt stör Windows registerposter skapa flera registervärde strängar som kan finnas i följande Windows sub-nycklar:

→ HKEY_CURRENT_USERControl PanelDesktop
HKEY_USERS.DEFAULTControl PanelDesktop
HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun
HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunOnce
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRunOnce

Andra skadliga aktiviteter i samband med denna ransomware virus, omfattar driften av felaktiga processer som imiterar legitima Windows värdar, som svchost.exe.

För det är kryptering för att vara framgångsrik, NK_ File virus är programmerad att inrikta sig på specifika filer bara och hoppa över viktiga filer som kan skada Windows OS. De filer som berörs av NK_ ransomware är mest sannolikt viktiga ljudfiler, dokument, filer i databasen, videor, bilder och andra besläktade, filformat. Om vi skulle sammanfatta alla filer krypterade med denna ransomware infektion, de flesta av dem skulle vara bland de som finns i listan nedan:

När krypteringen är klar, byte av den algoritm som används av NK_ ransomware virus ersätter original data i filer, vilket gör dem inte längre är öppningsbara. Filerna kan se ut som på följande bild:

Då ransomware gör att användaren ser det är lösen not textfil, som har följande innehåll:

Lösen not innehåller även versioner på andra språk.

Manual [postnamn] avlägsnande Guide

Steg 1. Avinstallera [postnamn] och relaterade program

Windows XP

1. Öppna Start-menyn och klicka på Kontrollpanelen
2. Välj Lägg till eller ta bort program
3. Välj det oönskade programmet
4. Klicka på ta bort

Windows 7 och Vista

1. Klicka på Start och välj Kontrollpanelen
2. Gå till avinstallera ett program
3. Högerklicka på den misstänkta programvaran
4. Välj avinstallera

Windows 8

1. Flytta markören till det nedre vänstra hörnet
2. Högerklicka och öppna Kontrollpanelen
3. Välj avinstallera ett program
4. Ta bort oönskade program

Steg 2. Ta bort [postnamn] från din webbläsare

Ta bort [postnamn] från Internet Explorer

1. Öppna IE och klicka på växel ikonen
   
2. Välj Hantera tillägg
   
3. Ta bort oönskade tillägg
4. Ändra din startsida: kugghjulet → Internet-alternativ (fliken Allmänt)
   
5. Återställa din webbläsare: kugghjulet → Internet-alternativ (fliken Avancerat)
6. Klicka på Återställ, markera rutan och klicka på Återställ igen
   

Ta bort [postnamn] från Mozilla Firefox

1. Öppna Mozilla och klicka på menyn
   
2. Välj tillägg och gå till anknytningar
3. Välj oönskade tillägg och klicka på ta bort
   
4. Återställ Mozilla: Alt + H → felsökningsinformation
   
5. Klicka på Återställ Firefox, bekräfta det och klicka på Slutför
   

Avinstallera [postnamn] från Google Chrome

1. Öppna Google Chrome och klicka på menyn
   
2. Välj verktyg → tillägg
3. Välj tillägget och klicka på papperskorgsikonen
   
4. Ändra din sökmotor: menyn → Inställningar
5. Klicka på Hantera sökmotorer under Sök
   
6. Ta bort oönskade sökleverantör
   
7. Återställa din webbläsare: inställningar → Återställ webbläsarens inställningar
   
8. Klicka på Återställ för att bekräfta din åtgärd