Jaff ransomware virusHogyan távolítható el?

A Jaff ransomware a Necurs segítségével terjed, titkosítja a fájlokat, majd 2 BTC-t követel a visszafejtőért

A Jaff ransomware egy crypto-malware, amelyet a Necurs botnet terjeszt. Az álcázott kártékony szoftver e-mailben érkezik, amely PDF csatolmányt tartalmaz. Ha az áldozat megnyitja a fájlt, az egy MS Word fájl megnyitására kéri, amely pedig a makrók engedélyezésére szólítja fel. Ha az áldozat követi az utasításokat, a malware a rendszerbe jut és azonnal működésbe is lép. A Jaff hozzákezd az adatok titkosításához, melynek során 424 különböző fájltípust céloz meg. Az RSA és az AES titkosítási algoritmusok kombinációját használja, és a  .jaff kiterjesztést illeszti a fájlokhoz. A titkosítást követően három új fájlt is létrehoz: ReadMe.bmp, ReadMe.txt és ReadMe.html. Az asztali háttérképként is beállított képfájl tájékoztatja az áldozatot a Jaff bejutásáról. A másik két fájl váltságdíjat követel, méghozzá 2 bitcoint. Fontos, hogy a váltságdíj kifizetése kidobott pénz lehet, ezért a ransomware bejutását követően a fertőzés eltávolítására kell koncentrálnia. Amíg a rendszerben malware van, a számítógép és a személyes adatok is veszélyben vannak. Fontos tehát, hogy mielőbb eltávolítsa a Jaff ransomware-t egy megbízható malware-eltávolító szoftver segítségével, például: FortectIntego. Csak ezt követően térjen rá az adatmentési lehetőségekre.

A Jaff ransomware a Locky és a Dridex vírusokra emlékeztet, mert ugyanazt a Necurs malspam megoldást használja a terjedéshez, mint ezek a fertőzések. Egyéb tekintetben azonban nem kötődik hozzájuk, a támadók csak átvették a sikeres ransomware-ek egyes jellemzőit. Ahogyan már említettük is, a fertőző e-mail egy PDF fájlt tartalmaz, amely egy DOCM fájlt nyit meg. Ha az áldozat engedélyezi a makrótartalmakat, működésbe hozza a kártékony programot. A malware ekkor adatokat kezd gyűjteni az áldozatról, valamint különböző fájlokat tölt le, hogy aktiválhassa a Jaff vírust. A titkosítóvírus induláskor csatlakozik egy vezérlőkiszolgálóhoz, amelyet tájékoztat az új megtámadott rendszerről. A kiszolgáló a „Created” szóval válaszol, ezután pedig a malware hozzálát a titkosításhoz. Az AES és az RSA algoritmusokat használja a számos fájltípus titkosításához. Csak a rendszerfájlokat és egyéb, a számítógép működéséhez elengedhetetlen fájlokat kerüli el. A Jaff a rendszer árnyékmásolatait is törli a vssadmin.exe delete shadows /all /Quiet parancs segítségével, hogy a váltságdíj kifizetése nélkül szinte esélytelenné tegye az adatok megmentését. A malware minden titkosított fájlt tartalmazó mappába üzenetet helyez, amelyben a támadók leírják a visszafejtéshez szükséges kulcs beszerzésének módját.

A váltságdíjat követelő üzenet tartalmaz egy egyedi azonosítót, valamint egy fizetőoldalra vezető hivatkozást is, amelyet TOR böngészővel lehet elérni. A fizetőoldal megegyezik a Locky oldalával. Leírja, hogy a visszafejtő kulcs megszerzéséhez az áldozat hogyan vásárolhat bitcoint, majd hogyan továbbíthatja a megadott címre. Azonosításakor a Jaff ransomware 1,82 BTC-t követelt, de a legújabb verziók már 2 BTC-t szeretnének kapni. Sajnos semmi sem garantálja, hogy a támadók tényleg elküldik a Jaff visszafejtőt. Nyilvánvalóan csak a pénz érdekli őket. Ne kockáztassa meg 1,6 millió forint kidobását, és ne üzleteljen bűnözőkkel. Ha készített biztonsági másolatokat, szerencsésnek tekintheti magát, mert egyelőre ez az egyetlen biztos módja a fájlok visszaállításának. Ezen kívül kevés esély van az adatmentésre, de nem szabad, hogy ez a váltságdíj kifizetésére motiválja. Ne tegye kockára pénzét, inkább koncentráljon a Jaff eltávolítására. Miután számítógépét megtisztította, próbálkozzon meg az alternatív adatmentési lehetőségekkel, amelyekkel talán a fájlok egy részét visszaállíthatja – vagy várjon, hátha készül ingyenes visszafejtő.

A ransomware terjedése


A Jaff vírus a Necurs botnet segítségével terjed kártékony e-mailekben, PDF dokumentumok formájában. Ahogyan említettük is, ezt a módszert alkalmazza a Locky vírus is. Az adathalász e-mail tárgyában a következő szavak szerepelhetnek, amelyeket számok követnek: File, Document, Copy, Scan, PDF. Egy lehetséges tárgy mező például: „File_123456”. A levél egy „nm.pdf” nevű csatolmányt tartalmaz, valamint valamilyen ösztönzést a fájl megnyitására. Az egyik spamkampány például azt kéri, hogy az áldozat nyomtasson két példányt a dokumentumból. Megnyitáskor a PDF egy Word dokumentumot nyit meg, amely a makrók engedélyezését kéri. A telepített PDF-olvasótól és a számítógéptől függően a DOCM fájl automatikusan megnyílhat, vagy felhasználói engedélyt igényelhet. Megnyitás után üzenet jelenik meg, amely szerint a fájl védett, és meg kell nyomni a „Tartalom engedélyezése” gombot. A gomb mögött kártékony makróparancs áll, amelynek célja, hogy letöltse a ransomware-hez tartozó fájlokat a támadók szerveréről, majd elindítsa a Jaff Decryption System folyamatot. Ne nyisson meg gyanús e-mailt, különösen akkor, ha nem is vár ilyen dokumentumot! A csatolmányok megnyitása előtt mindig ellenőrizze, hogy ismert, megbízható feladóról van-e szó. Ha nem, törölje az e-mailt!

A Jaff ransomware közösségi oldalakon és fájlmegosztókon is terjedhet, fontos tehát odafigyelnie az ismerősöktől (vagy ismeretlenektől) kapott, látszólag videóra vagy képre mutató hivatkozásokra is. Mindig ellenőrizze a hivatkozások megbízhatóságát, mielőtt megnyitná őket! Például kérdezze meg ismerősét, hogy szándékosan küldte-e az üzenetet. A malware hasznos programnak álcázva is felbukkanhat különböző peer-to-peer hálózatokon. Ne használjon ismeretlen weboldalakat a programok beszerzéséhez. Mindig a fejlesztők vagy a kiadók saját oldalát használja, hogy elkerülhesse a fertőzött változatokat.

A Jaff ransomware vírus teljes eltávolítása

A Jaff teljes eltávolításának egyetlen biztos módját egy megbízható malware-eltávolító szoftver teljes rendszervizsgálata jelenti. Azt javasoljuk, hogy ne próbálkozzon a ransomware kézi eltávolításával, mert komplex módon a rendszerbe épülhetett, így akár nagyobb kárt is tehet a fontos folyamatok leállításával vagy valamilyen elengedhetetlen fájl törlésével. Inkább telepítse a kiválóFortectIntego, SpyHunterCombo Cleaner vagy más malware-eltávolító legújabb változatát! Ha ezt a vírus megakadályozza, indítsa a számítógépet „Csökkentett mód hálózattal” üzemmódban az alábbi lépéseket követve. Így már telepíteni tudja majd a választott programot, és a rendszervizsgálatot is elindíthatja. A vírus eltávolítása után visszaállíthatja a fájlokat biztonsági másolatokból, vagy megpróbálkozhat az alternatív adatmentési módszerekkel.