Internet đã trở nên rất không an toàn. Một trong những mối đe dọa bảo mật gây chết người mới nhất trên Internet là ransomware Xorist. Các nhà phân tích bảo mật đã nhận thấy sự gia tăng rõ rệt về số lần lây nhiễm ransomware Xorist.
Chúng tôi đã biên soạn bài viết này để giải thích phần mềm ransomware Xorist là gì, nó có tác dụng gì với bạn, phương thức xâm nhập và cách loại bỏ nó. Thực hiện theo hướng dẫn loại bỏ ransomware mà chúng tôi đã cung cấp ở cuối bài viết để loại bỏ ransomware Xorist.
Giới thiệu về Xorist Ransomware
Xorist ransomware thuộc họ Trojan phần mềm độc hại (tất cả đều là ransomware) được cung cấp dưới dạng RaaS (Ransomware as a Service). Tin tặc tạo ra các biến thể ransomware Xorist khác nhau bằng cách sử dụng trình tạo ransomware. Điều này giúp những kẻ lừa đảo và kẻ lừa đảo dễ dàng tạo ra các phiên bản tùy chỉnh một cách nhanh chóng.
Vì có thể dễ dàng tùy chỉnh các biến thể của ransomware Xorist nên việc bảo mật PC trở nên phức tạp hơn. Nhà nghiên cứu nhận thấy việc đưa ra các giải pháp là một thách thức vì nó có vô số biến thể. Nó sử dụng các thông điệp đòi tiền chuộc được mã hóa khác nhau, phần mở rộng tệp, mã hóa và nhiều mưu kế khác.
Các biến thể khác nhau của ransomware Xorist cũng tiếp tục phát triển mặc dù đã có giải mã tích cực. Kể từ khi xuất hiện, ransomware Xorist vẫn hoạt động và các phiên bản mới tiếp tục xuất hiện.
Xorist Ransomware làm gì?
Xorist là một phần mềm độc hại mã hóa các tệp, thường có trên PC Microsoft Windows. Nó sử dụng một thuật toán mã hóa mạnh mẽ. Nó yêu cầu người dùng trả tiền chuộc để các tệp được giải mã. Nó thường nhắm mục tiêu người dùng nói tiếng Anh và tiếng Nga. Xorist được phân phối bằng cách hack thông qua cấu hình RDP không an toàn bằng cách sử dụng:
- đưa vào web,
- khai thác,
- thư rác,
- tệp đính kèm độc hại,
- cập nhật giả mạo,
- tải xuống gian lận,
- bị nhiễm và
- trình cài đặt đóng gói lại.
Phương pháp Xorist Ransomware Xâm nhập
Xorist ransomware sao chép các tệp của nó vào đĩa cứng PC của nạn nhân. Vì các biến thể khác nhau, chúng có các tên tệp khác nhau, ví dụ:(tên ngẫu nhiên) .dll. Tuy nhiên, tiện ích mở rộng mặc định của Xorist là .EnCiPhErEd.
Sau đó, ransomware tạo một khóa khởi động mới với tên Xorist ransomware và giá trị (randomname) .dll. Sau đó, nạn nhân có thể tìm thấy nó trong danh sách quy trình của họ với tên ransomware Xorist hoặc (tên ngẫu nhiên) .dll. Nó cũng có thể tạo thêm một thư mục trong hệ thống của nạn nhân, cụ thể là trong C:\ Program Files \ hoặc C:\ ProgramData, với tên Xorist ransomware.
Tất cả các biến thể của ransomware Xorist đều có ghi chú đòi tiền chuộc mặc định có tên là 'HOW TO DECRYPT FILES.txt' và nó bao gồm một văn bản với thông báo sau:
Chú ý! Tất cả các tệp của bạn đều được mã hóa!
Để khôi phục tệp của bạn và truy cập chúng,
vui lòng gửi SMS với văn bản XXXX tới số YYYY.
Bạn có N lần thử nhập mã.
Khi con số đó đã bị vượt quá,
tất cả dữ liệu không thể khôi phục được sẽ bị phá hủy.
Hãy cẩn thận khi bạn nhập mã!
Làm thế nào để loại bỏ phần mềm Ransomware Xorist?
Phần mềm tống tiền Xorist có thể được gỡ bỏ bằng hai phương pháp:
- Theo cách thủ công, bằng cách xóa tất cả các tệp và khóa đăng ký tương ứng của nó, xóa nó khỏi danh sách khởi động và hủy đăng ký tất cả các tệp DLL tương ứng của nó.
- Tự động, sử dụng các công cụ chống phần mềm độc hại và phần mềm khôi phục dữ liệu của bên thứ ba như Wipersoft, Spyhunter Remediation, Emsisoft và Kaspersky cùng nhiều công cụ khác.
May mắn thay, các nhà phân tích và nghiên cứu bảo mật PC đã tìm ra trình tạo ransomware mà tin tặc đã sử dụng để tạo ra các biến thể ransomware Xorist. Sau đó, họ đã sử dụng trình tạo này để tạo chương trình giải mã dưới dạng phần mềm của bên thứ ba cho tất cả các mối đe dọa liên quan đến tất cả các biến thể của ransomware Xorist.
Do đó, một phần mềm chống phần mềm độc hại hoặc phần mềm chống vi-rút có uy tín có thể loại bỏ phần mềm tống tiền Xorist thành công. Nạn nhân sẽ cần sử dụng một tiện ích tối ưu hóa chuyên nghiệp để khắc phục thiệt hại.
Hướng dẫn loại bỏ Ransomware Xorist
Bạn có thể gỡ bỏ phần mềm tống tiền Xorist theo cách thủ công bằng cách làm theo các hướng dẫn bên dưới:
- Xóa tất cả các tệp và khóa đăng ký liên quan của nó.
- Xóa nó khỏi danh sách khởi động.
- Hủy đăng ký tất cả các tệp DLL tương ứng của nó. Ngoài ra, bạn nên khôi phục các tệp DLL bị thiếu, nếu chúng bị hỏng bởi Xorist r
Để loại bỏ phần mềm tống tiền Xorist theo cách thủ công, bạn nên thực hiện các bước sau:
- Sao lưu tất cả các tệp và thư mục của bạn trong bộ nhớ an toàn.
- Khởi động PC của bạn vào Chế độ An toàn.
- Dọn dẹp tất cả các sổ đăng ký được tạo bởi ransomware Xorist trên PC của bạn. Các đăng ký Windows thường được nhắm mục tiêu là:
HKEY_LOCAL_MACHINE \ Software \ Microsoft \ Windows \ CurrentVersion \ Run
HKEY_CURRENT_USER \ Software \ Microsoft \ Windows \ CurrentVersion \ Run
HKEY_LOCAL_MACHINE \ Software \ Microsoft \ Windows \ CurrentVersion \ RunOnce
HKEY_CURRENT_USER \ Software \ Microsoft \ Windows \ CurrentVersion \ RunOnce- Mở Cửa sổ Chạy, nhập “regedit” và nhấp vào OK.
- Trong trình chỉnh sửa sổ đăng ký, tự do điều hướng đến các phím Run và RunOnce, những vị trí được hiển thị ở trên.
- Xóa giá trị của phần mềm độc hại bằng cách nhấp chuột phải vào nó và xóa nó.
- Định vị các tệp được tạo bởi ransomware Xorist.
- Chạy Windows, nhập explorer.exe và nhấp vào OK.
- Nhấp vào PC này hoặc PC của tôi hoặc Máy tính của tôi từ thanh truy cập nhanh.
- Tìm hộp ‘tìm kiếm’ và nhập ‘fileextension:’, sau đó nhập phần mở rộng tệp, ví dụ:“fileextension:exe.” Sau đó, để lại một khoảng trống và nhập tên tệp mà bạn cho rằng phần mềm độc hại đã tạo.
- Chờ thanh tải màu xanh lục đầy lên như một dấu hiệu cho biết tệp đã được tìm thấy hay chưa.
- Xóa tệp hoặc thư mục bị nhiễm.
- Khởi động trở lại chế độ bình thường.
- Nếu bạn có công cụ chống phần mềm độc hại, hãy chạy ứng dụng để quét PC của bạn để tìm bất kỳ dấu vết nào còn lại của phần mềm độc hại.
Kết luận
Đó là nó!
Chúng tôi hiểu ransomware Xorist có thể gây khó chịu như thế nào. Nhưng chúng tôi tin rằng bây giờ bạn đã hiểu nó và biết cách để thoát khỏi nó. Nếu bạn gặp bất kỳ vấn đề nào khác với các cuộc tấn công bằng ransomware, hãy thông báo cho chúng tôi qua phần nhận xét.