Virus ransomware: come eliminare HowDecrypt e recuperare i dati criptati
HowDecrypt rappresenta una minaccia malware, identificata come "virus ransomware", molto complessa, pericolosa ed in continua evoluzione. Proprio mentre scrivo questo articolo (a distanza di pochi giorni dalla sua rimozione in una delle mie macchina windows) molti utenti potrebbero trovarsi davanti ad un'ennesima versione modifica dei suoi attacchi.
Della stessa famiglia di CryptoLocker, CryptorBit o DirtyDecrypt (questa guida è valida anche per la loro rimozione) anche HowDecrypt ha lo scopo di criptare i file presenti sul tuo PC e chiederti un riscatto per renderli nuovamente leggibili. Di norma ci si infetta aprendo o facendo clic su allegati o link (fraudolenti) presenti in un messaggio email, un messaggio istantaneo (chat), un social network o finto aggiornamento (es. flash player). Ovviamente anche semplicemente visitando un sito web apparentemente innocuo.
HowDecrypt si installa nella cartella dei programmi ed inizia a criptare tutti i documenti presenti nella macchina.
Estensioni colpite: .odt, .ods, .odp, .odm, .odc, .odb, .doc, .docx, .docm, .wps, .xls, .xlsx, .xlsm, .xlsb, .xlk, .ppt, .pptx, .pptm, .mdb, .accdb, .pst, .dwg, .dxf, .dxg, .wpd, .rtf, .wb2, .mdf, .dbf, .psd, .pdd, .pdf, .eps, .ai, .indd, .cdr, .jpg, .jpe, .jpg, .dng, .3fr, .arw, .srf, .sr2, .bay, .crw, .cr2, .dcr, .kdc, .erf, .mef, .mrw, .nef, .nrw, .orf, .raf, .raw, .rwl, .rw2, .r3d, .ptx, .pef, .srw, .x3f, .der, .cer, .crt, .pem, .pfx, .p12, .p7b, .p7c.
Il malware si addentra nelle cartelle secondo dopo secondo lasciando, in tutte quelle che riesce a scandagliare (per questo occorre rimuoverlo immediatamente) questi due file:
- how_decrypt.gif
- how_decrypt.html
Cosa sono? Sono i file dove il virus mostra cosa fare e dove farlo, ovvero le istruzioni ed il link per il pagamento attraverso il programma Tor. Solitamente vengono concesse 72/96 ore con la "garanzia" di ripristino entro 10 giorni..
Le figure di cui sopra raffigurano l'evoluzione del malware. La prima è l’originale e più nota tra il 2013 ed inizi 2014. La seconda rappresenta l'ultima versione (fine 2014, inizi 2015). Come si può notare cambiano anche gli importi, prima chiedevano $ 50 di riscatto oggi si arriva a $ 500. In alcuni forum americani ho letto anche $ 1000.
Personalmente ti consiglio di non pagare. In primis perché ti sto portando testimonianza di come ho risolto senza versare un euro, ma soprattutto perché non avrai mai la certezza che gli hacker/cracker ti invieranno, una volta versata la somma, la chiave per decriptare i file. Devo anche dire che in un paio di forum ho trovato chi ha ceduto alla richiesta ed ha pagato riottenendo la visibilità dei suoi documenti, ma allo stesso modo ed in percentuale maggiore ho letto altri casi che dopo aver effettuato la transazione non hanno ottenuto una decrittazione pulita. In questi casi infatti alcuni file possono rimanere corrotti in fase di apertura.
Rimuovere HowDecrypt (come gli altri virus ransomware) non è estremamente difficile, anche perché gli hacker contano sul fatto che l’utente (o peggio l’azienda) sia così terrorizzato da non voler eliminare l'unico modo per recuperare i file. Spesso perché non si eseguono copie di backup periodiche o peggio non si hanno. Ad ogni modo la prima fase è quella di eliminare il virus all'interno del nostro PC. L'elenco che segue raccoglie i software che permettono la rimozione di queste minacce ransomware:
Online si parla molto di SpyHunter (il download è free come la scansione ma l'eliminazione delle minacce è a pagamento) ma nel mio caso non l’ho usato. Stessa cosa per Norton Power Eraser, un tool antivirus di emergenza di Symantec che non necessita di installazione e che può essere memorizzato su una pendrive USB. Norton Power Eraser viene utilizzato nei casi più gravi, quando il tuo normale antivirus non riesce ad eliminare l'infezione che ha presumibilmente aggredito il tuo sistema. Nel caso la vostra situazione dovesse rivelarsi più grave del previsto non esitate ad utilizzarli.
Crea una cartella sul desktop e scarica i software al suo interno. Procedi con l’installazione di un programma alla volta, esegui l’aggiornamento del database qualora non partisse automaticamente ed avvia la scansione completa (preferibilmente in modalità provvisoria*). Noterai come ogni programma troverà minacce diverse e che non immaginavi esistere nel tuo PC. Lo scopo non è solo rimuovere virus ransomware ma anche tutti i vari spyware e malware (apparentemente dormienti o insignificanti) causa principale di lentezza ed instabilità della macchina.
Modalita Provvisoria
Riavvia il computer e premi continuamente il tasto F8 della tastiera prima che compaia il logo di avvio di Windows sullo schermo. Verrà visualizzato un menu con tutte le opzioni di avvio disponibili per Windows, scegli Modalità provvisoria. Una volta eseguite le scansioni, sempre in modalità provvisoria, andate ad effettuare un controllo nel registro attraverso i seguenti percorsi:
HKEY_LOCAL_MACHINE \ Software \ Microsoft \ Windows \ CurrentVersion \
HKEY_LOCAL_MACHINE \ Software \ Microsoft \ Windows \ CurrentVersion \ Run
HKEY_CURRENT_USER \ Software \ Microsoft \ Windows \ CurrentVersion \
HKEY_CURRENT_USER \ Software \ Microsoft \ Windows \ CurrentVersion \ Run
All'interno di questi percorsi cerca ed elimina eventuali file con nome o parte di esso contenente la parola crypt o xho3.
Infine fai un controllo in C:\User\Admin\AppData\Roaming\ e cerca l'eventuale presenza di file come il seguente xho3sghg (tipico file di Cryptorbit/Bitcrypt). Ricordati di abilitare la visualizzazione di cartelle e file nascosti.
Utilizza anche un programma come CCleaner per rimuovere file temporanei, cookie, frammenti file chkdsk ecc. Con lo stesso software fai un'analisi dei problemi del registro e riparateli. Questo suggerimento rimane sempre una buona prassi da eseguire per qualsiasi sistema Windows. Ora puoi riavviare il PC in modalità normale. Non soltanto sarà pulito da virus ransomware ma da molte altre piccole e medie minacce che precludevano le performance ottimali della macchina.
Iniziamo con il dire che allo stato attuale non c'è modo di decodificare i file crittografati da questi ultimi virus ransomware. HowDecrypt, infatti, utilizza una chiave RSA a 2048 bit che rende praticamente impossibile effettuare un attacco brute force. In questi casi è fondamentale (personalmente è stato vitale) disporre di backup. Pendrive, HD esterni, file archiviati su Dropbox, SkyDrive o Drive, sono tutti allenati per tornare a respirare. In questi casi sarà sufficiente copiare i file sovrascrivendo quelli criptati. Se il virus non è di ultima generazione potete provare con una serie di tool messi a disposizione da Kaspersky Lab:
Solo per Decrypt Cryptolocker leggi questo articolo: "Decodificare i file bloccati da Cryptolocker: ecco il tool pronto per l'uso"
In ultimo puoi provare la soluzione "te94decrypt.exe" sviluppata da Doctor Web, Ltd. (online si può ancora trovare il download).
Prendi un file criptato, mettilo in una cartella di radice (es. nuova cartella dentro C), poi lancia: te94decrypt nome_file. All’interno della cartella dove è presente il file "nome_file" , verranno creati più o meno 100 files con estensione k. Ognuno di questi va rinominato (potete farlo con un ren *.* *.doc , se l'estensione deve essere doc o pdf se pdf e cosi' via). Poi, partendo dal numero piu' grande, si verifica quale di questi file si apre, a quel punto se l'estensione è k92 potete usare : te94decrypt -k 92 per decrittare tutti i file nel vostro file system. Considerando che il Trojan può cambiare (e credetemi cambierà ancora) va fatta una verifica come spiegato prima per trovare il numero corretto. Ovviamente nel caso di successo ricordati di eliminare i vecchi files criptati.
Nello sciagurato caso non si potesse usufruire di backup ed i vari tools decrypt restituissero "bandiera bianca", allora l'unica strada per tentare di ripristinare i propri dati, consiste nel ricorrere alla funzionalità "versioni precedenti" (copie shadow) integrata nelle più recenti versioni di Windows. Qui trovi maggiori informazioni sulle "copie shadow".
Puoi anche accedere a tutte le copie shadow presenti sul tuo disco rigido mediante lo strumento gratuito ShadowExplorer. Ti suggerisco la lettura dell'articolo Windows 7: "a spasso nel tempo con la funzionalità Versioni precedenti". Grazie a questa funzionalità si potranno recuperare le copie di file memorizzate in numerose cartelle.
Gli autori di questi virus ransomware hanno progettato il malware in base a semplici principi: tutti apriamo gli allegati senza troppi controlli o diffidenze e nessuno (o quasi) ha delle copie di backup recenti dei propri documenti. I consigli essenziali, quindi, rimangono i seguenti:
- Antivirus e Anti-malware sempre aggiornati
- Firewall attivo e ben configurato
- Non aprire mail sospette
- Non cliccare su link sospetti
- Attiva le copie Shadow di Windows
- Configura un sistema di backup
- Fai costantemente manutenzione (pulizia e scansione) della tua macchina
Valuta l'adozione di ottimi antivirus come Kaspersky, Bitdefender, Trend Micro. Lo stesso Avast integra meccanismi in grado di rilevare tempestivamente componenti ransomware. Tecnologie come AutoSandbox e DeepScreen sono in grado di individuare elementi dannosi prima ancora che questi siano oggetto di analisi nei laboratori della software house. Da provare HitmanPro.Alert, applicazione di recente sviluppo, che permette di bloccare operazioni sospette e mirate a modificare file di sistema e documenti del vostro PC. Una volta in esecuzione, HitmanPro.Alert è capace di neutralizzare automaticamente qualunque ransomware (es. Cryptolocker). Per mettere maggiormente in sicurezza Windows - a disposizione - c'è anche un altro programma freeware, ovvero CryptoPrevent. La sua funzione è quella di monitorare e proteggere le aree del sistema operativo note per essere attaccate dal virus CryptoLocker e da altri ransomware. Altra risorsa valida è CryptoWall Immunizer, della nota Bitdefender, un software leggero, non richiede installazione ed è facile da usare. CryptoWall Immunizer protegge il PC dall'attacco della prima e seconda versione di Cryptolocker.