Te oordelen naar de naam WildFire Locker crypto ransomware, zou men het kunnen opvatten als een grote bedreiging die gegevens van slachtoffers in een fractie van een seconde versleutelt en waar niets meer aan te doen is. In feite is het virus echter niet uniek. Het voert feilloos de Advanced Encryption Standard uit en de interactie van de gebruikersmodules zijn heel professioneel. Maar toch is het gewoon een alledaags ransomware die hoogstwaarschijnlijk uit de zogenaamde Zyklon-familie afkomstig is.
Er zijn verschillende opmerkelijke attributen die WildFire Locker tot een zelfstandig monster, die bestanden versleutelt, maakt. Ten eerste, is het een naamgeving format voor losgeld notities en gecodeerde bestanden. Iedere gecompromitteerde gebruiker krijgt een reeks van 10 hexadecimale tekens toegewezen. Deze persoonlijke ID wordt de kern, het onveranderlijke component van de namen van de hierboven genoemde decryptie. Bijvoorbeeld, als de ID 12c5c17b1a is, zullen de bestanden met herstelinstructies de titel HOW_TO_UNLOCK_FILES_README_ (12c5c17b1a) .txt krijgen, met .html en .bmp edities, die ook uit het systeem worden voortgebracht. De belangrijkste boodschap in deze toelichting wordt overgebracht via de zinsnede “Al je bestanden zijn door WildFire Locker versleuteld”.
Bovendien kent dit gewraakte programma een gebruiker specifieke reeks van 6 karakters, zoals 5c25ba en de .wflx uniforme extentie om het uiterlijk van de bestandsnamen te veranderen. Als de naam van een willekeurig bestand, voorafgaand aan de verandering, ‘Postcard.jpg’ was, zal dit transformeren tot ‘Postcard # WildFire_Locker # 5c25ba ##. Jpg.wflx. Al met al is het moeilijk om dit crypto virus monster met anderen te verwarren.
HOW_TO_UNLOCK_FILES_README.html
De exploitanten van deze ransomware maken voornamelijk gebruik van social engineering tactieken om hun infectie op Windows-computers te deponeren. Ze hebben het wiel niet opnieuw hoeven uit te vinden en kozen ervoor om voor dit doel spam te benutten. Gebruikers krijgen daarom een nieuw bericht in hun inbox en degenen die nieuwsgierig zijn en het bericht openen lopen in de val. Deze e-mails kunnen worden vermomd als een factuur, een kennisgeving van een UPS-levering of een brief. De berichten zelf zijn, in tegenstelling tot het aangehechte bestand, onschadelijk. Het is meestal een ZIP-bestand dat een verborgen JavaScript-code activeert als het wordt opgehaald.
HOW_TO_UNLOCK_FILES_README.bmp
Zodra de ransomware eenmaal actief is op een pc, detecteert het alle lokale en verwijderbare schijven en de gedeelde netwerken. Vervolgens scant deze alle bestanden die voor het slachtoffer waarschijnlijk belangrijk zijn. Uiteindelijk vergelijkt het programma alle data elementen met een hardcoded lijst met bestandsextensies, die overeenkomen met populaire formats. Om de objecten, gevonden tijdens deze scan en bijpassende routine te coderen, maakt WildFire Locker gebruik van CBC, wat staat voor cipher block chaining. Deze techniek zorgt ervoor dat de gegevens toegankelijk worden, tenzij de gebruiker de hoofdsleutel heeft. Dit ontsleutelingswachtwoord wordt helaas verkregen uit een geheime server en kan niet worden opgehaald door de geïnfecteerde computer.
In haar beschrijving over het losgeld vraagt WildFire Locker aan zijn slachtoffers om 0,5 Bitcoins te betalen. Het equivalent in non-crypto valuta’s is ongeveer 300 EUR/USD. Dit bedrag zal worden verhoogd als de besmette persoon er niet in slaagt om het aanvankelijke losgeld binnen een termijn van 7 dagen te voldoen. De getroffen gebruiker kan 2 bestanden gratis gedecodeerd krijgen; tenminste, dat is wat de criminelen beweren. Als geen van deze losgeld-gerelateerde opties bij je past – en dat is hopelijk het geval – kun je de onderstaande tips gebruiken om de .wflx bestanden, versleuteld door WildFire Locker, te herstellen.
Het verwijderen van deze ransomware kan efficiënt worden bereikt met betrouwbare beveiligingssoftware. Je vasthouden aan de automatische opschoningstechniek zorgt ervoor dat alle onderdelen van de infectie grondig uit je systeem worden weggevaagd.
Mogelijkheid 1: Gebruik software om bestanden te herstellen
Het is belangrijk om te weten dat het WildFire Locker virus kopieën van je bestanden creëert en deze versleutelt. In de tussentijd worden de oorspronkelijke bestanden verwijderd. Er zijn applicaties die de verwijderde data kunnen herstellen. Je kunt voor dit doel gebruikmaken van hulpmiddelen zoals Data Recovery Pro. De nieuwste versie van de ransomware in kwestie heeft de neiging om met een aantal overschrijvingen veilig verwijderen toe te passen, maar het is in ieder geval de moeite waard om deze methode te proberen.
Mogelijkheid 2: Maak gebruik van back-ups
Eerst en vooral is dit een geweldige manier van het herstellen van je bestanden. Het is helaas alleen van toepassing als je al een back-up van de informatie, die is opgeslagen op je computer, hebt gemaakt. Als dat zo is, moet je het niet nalaten om te profiteren van je voorbedachtheid.
Mogelijkheid 3: Gebruik Schaduwvolumekopieën
In het geval je het nog niet wist, het besturingssysteem creëert zogenaamde Shadow Volume Copies van elk bestand zolang de functie Systeemherstel op de computer is geactiveerd. Omdat er op bepaalde tijdstippen herstelpunten worden gemaakt, zullen er ook momentopnamen van bestanden worden gemaakt op het moment dat ze worden gegenereerd. Wees wel gewaarshuwd want deze methode zal niet zorgen voor het herstel van de nieuwste versies van je bestanden. Maar het is zeker de moeite waard om het te proberen. Deze workflow is op twee manieren uitvoerbaar: handmatig en door gebruik te maken van een automatische oplossing. Laten we eerst een kijkje nemen bij het handmatige proces.
Het dialoogvenster Eigenschappen voor willekeurige bestanden bevat een tabblad genaamd Vorige versies. Dat is waar de back-up-versies worden weergegeven en kunnen worden verhaald. Selecteer het laatste item en klik op Kopiëren als je wenst om het object te herstellen naar een nieuwe locatie die je kunt opgeven. Als je op de Terugzetten knop drukt zal het item worden hersteld naar de oorspronkelijke locatie.
Het bovenstaande proces kan worden geautomatiseerd met een tool genaamd ShadowExplorer. Het doet in principe hetzelfde (ophalen kopieën schaduwvolume), maar dan op een gemakkelijke manier. Download en installeer de applicatie dus, start het op en blader naar bestanden en mappen van vorige versies die u wilt herstellen. Om de klus af te maken, klik met de rechtermuisknop op één van de vermeldingen en selecteer de functie Export.
Nogmaals, het verwijderen van malware alleen zal niet leiden tot het ontcijferen van je persoonlijke bestanden. De herstelmethoden voor data, die hierboven zijn besproken, kunnen het wel of niet doen, maar de ransomware zelf behoort niet op de computer. Overigens gaat het vaak samen met andere malware en daarom is het zeker zinvol om je systeem herhaaldelijk te scannen met automatische beveiligingssoftware om ervoor te zorgen dat er geen schadelijke overblijfselen van dit virus en de bijbehorende bedreigingen in het Windows-register en andere locaties zijn achtergebleven.
