Mamba vírus eltávolítása (eltávolítási instrukciók) - (frissítve: 2017. aug)

Mi az, hogy Mamba zsarolóvírus?

A Mamba ransomware visszatér, vállalati hálózatokat céloz Brazíliában és Szaúd-Arábiában

A Mamba egy fájltitkosító vírus, amely először 2016-ban bukkant fel, mikor San Francisco közlekedési társaságát támadta meg novemberben, melynek során 73.000 dolláros váltságdíjat követelt. 2017 augusztusában a zsarolóvírus visszatért, és több vállalat ellen is támadást indított Brazíliában és Szaúd-Arábiában.

A Mamba ransomware ismert HDD Cryptor néven is. A vizsgálatok szerint hasonló lemeztitkosítási módszert használ, mint a hírhedt Petya vírus. Az új változat azonban felhasználói adatokat titkosít, nem a rendszerbetöltő adatokat, mint a Petya. Ehhez a DiskCryptor szoftvert használja fel.

A jelentések szerint egy 152.exe vagy 141.exe nevű fájlt helyez el a rendszerben, ezek felelnek a titkosítási folyamat kezeléséért. Az áldozat adatainak titkosítása után a vírus újraindítja a számítógépet, majd a következő üzenetet jeleníti meg a betöltési képernyőn:

“You are Hacked ! H.D.D. Encrypted , Contact Us For Decryption Key ([email protected])
YOURID: [az áldozat azonosítója]”

Az áldozat megadhatja a visszafejtési jelszót ezen a képernyőn, de ezt persze először meg kell szereznie. Ehhez kapcsolatba kell lépniük a malware fejlesztőivel, akiktől tájékoztatást kaphatnak az adatvisszaállítás menetéről. A vírus 1 bitcoint követel váltságdíjként, a pénzt a megadott bitcointárcába kell továbbítani.

Mi azonban –mint mindig – azt javasoljuk, hogy NE fizesse ki a váltságdíjat, hiszen semmi sem garantálja, hogy tényleg visszaadják a fájlokat. A legfontosabb teendő a Mamba eltávolítása; ehhez használjon antimalware szoftvert, például: FortectIntego vagy SpyHunter 5Combo Cleaner.

A Mamba ransomware 2017 augusztusában újra támadásba lendült

A Mamba vírus a PSEXEC eszköz segítségével a hálózat minden kliensére telepítheti magát. Ugyanezt láthattuk a NotPetya esetében is. A hálózat fertőzése során mappát készít a C: \xampp\http útvonalon, ide telepíti a DiskCryptor komponenseit. Ez az eszköz felel a ransomware futtatásáért a helyi számítógépen.

Feladata továbbá az egyedi jelszavak létrehozása a hálózat minden számítógépéhez, a következő parancs segítségével:

C: \TEMP\721.exe longPassword /accepteula

A malware egyik legsunyibb tulajdonsága, hogy Windows-szolgáltatásként telepíti magát, és DefragmentationService néven próbál rejtve maradni. LocalSystem jogosultságot is szerez, azaz teljes mértékben irányíthatja a rendszert.

Az előkészítés végére minden kártékony komponens készen áll, ekkor a malware újraindítja a fertőzött rendszert. Ennek során módosítja a fő rendszerindító rekordot (MBR), és hozzálát az adatok titkosításához a DiskCrypot segítségével.

A Mamba titkosítja a partíciókat, majd szokatlan üzenetet jelenít meg. A támadók azt kérik, hogy az áldozat vegye fel velük a kapcsolatot a visszafejtő kulcs ügyében az alábbi e-mail címek valamelyikén:

• [email protected]
• [email protected]

Az üzenet tartalmazza az áldozat egyedi azonosítóját is. Ismét hangsúlyozni szeretnénk, hogy jobb, ha nem pocsékolja idejét a támadók felkeresésére; ne hallgasson a követelésekre. Inkább távolítsa el a Mamba vírus egy anitmalware szoftver segítségével, majd állítsa vissza az adatokat biztonsági mentésekből vagy az alternatív adatmentési módszerek segítségével.

A Mamba zsarolóvírus a PSEXEC szoftvert használja a telepítéshez és a helyi hálózaton keresztüli terjedéshez, majd a DiskCryptor segítségével titkosítja a fájlokat.

A Mamba 2016 novemberében San Francisco közlekedési rendszerét támadta meg

2016 novemberének végén a Mamba ransomware sikeresen bejutott San Francisco vasúti rendszerének kiszolgálóiba, ahol elengedhetetlen adatokat sikerült feltörhetetlenül titkosítania. A jelentések szerint a vírus 2112 számítógépet ért el a 8656-ból, blokkolva ezzel az e-mail-rendszert, a fizetési rendszert és a vasúti ütemezőrendszert is.

A vírus minden számítógépen azonos üzenetet jelenített meg: You hacked, all data encrypted, contact for a key ([email protected]). Sikerült működésképtelenné tennie a jegykiadó automatákat is.

Sőt, a Mamba malware fejlesztője válaszolt San Francisco néhány újságírójának. Állítása szerint nem tervezte a vasúti rendszer megtámadását, de ha már így alakult, a szervezetnek ki kell fizetnie a 300 bitcoin (73.000 dollár) összegű váltságdíjat a visszafejtő szoftverért.

A fejlesztő az Any Saolis nevet használja, természetesen álnévről van szó. A támadó azt is elmondta, hogy hozzáfért a vállalat privát dokumentumaihoz, amelyeket online közzé fog tenni, ha nem kapja meg a váltságdíjat.

A vállalat azonban már visszaállította a rendszert, és megerősítette, hogy a támadónak valójában nem sikerült érzékeny adatokat szereznie. A váltságdíjat nem fizették ki.

A zsarolóvírus terjedési módjai

A vírus trójai falóként terjed, tehát a felhasználó biztonságos fájlnak gondolva telepíti. Letölthető kártékony e-mailes csatolmányból vagy kártékony szoftverfrissítésből.

Nagyon fontos tehát, hogy elkerülje a kétes letöltőoldalakat és a frissítések azonnali telepítésére ösztönző webes felugró ablakokat. Az ilyen hamis frissítések jellemzően malware-eket rejtenek.

A ransomware fenyegetések emellett exploit kitekkel is terjedhetnek. Ha el szeretné kerülni a ransomware-eket, a következőkre van szükség:

• védje számítógépét antimalware program telepítésével,
• készítsen adatairól biztonsági másolatot,
• kerülje el a gyanús weboldalakat.

A Mamba ransomware eltávolítása

Útmutató a Mamba ransomware eltávolításához
A Mamba vírus eltávolításához azt javasoljuk, hogy telepítsen antimalware szoftvert, például: FortectIntego vagy SpyHunter 5Combo Cleaner. Azért érdemes ilyen szoftvert használnia, mert szakértők készítik őket, akik az egyes vírusok elemzésével készítenek algoritmusokat, amelyekkel a szoftver minden hozzájuk tartozó fájlt azonosíthat és eltávolíthat.

Ha ön nem kifejezetten jártas a területen, ne próbálkozzon a Mamba önálló eltávolításával, mert véletlenül rossz fájlt törölhet, vagy meghagyhatja a vírus komponenseit.

A Mamba vírushoz egyelőre nem sikerült ingyenes visszafejtő programot készíteni, ezért az adatok visszaállításának egyetlen biztos módját korábban elkészített másolatok jelentik.