Supprimer Le virus Le ransomware Jaff

Le virus ransomware Jaff est une infection récemment découverte et qui prend en otage des données numériques des utilisateurs jusqu’à ce qu’une rançon demandée soit payée. Le virus Jaff n’est pas une variante novatrice, car elle poursuit des stratégies qui ont déjà été introduites par des échantillons précédents. Il est confirmé qu’il est actuellement intensivement transmis par un réseau de zombies. Alors s’il vous plaît soyez prudent lorsque vous affichez les messages que vous recevez dans vos comptes de messagerie. Le crypto virus combine le chiffrement RSA-2048 avec l’algorithme AES-256 pour rendre encore plus complexe la récupération de données. S’il vous arrive de recevoir une lettre de courriel avec un titre de « Scan_846554573 » ou similaire, ne téléchargez pas les fichiers nm.pdf qu’ils contiennent en pièces jointes. Cet exécutable ne sera pas lancé avec Adobe Reader, mais lancera un fichier supplémentaire dans la version de Microsoft Office que vous avez installé.

Analyse de ce ransomware

Nous avons déjà établi que la source de cette infection est des spams malveillants. Si vous téléchargez la pièce jointe et essayez de la lancer dans Adobe Reader, vous remarquerez que des explications JDDVDH.docm vont être lancées à la place. Dans certains cas, l’exécutable recommandé sera lancé lui-même, sans la participation des utilisateurs.

Ensuite, vous verrez un avertissement de sécurité, indiquant que ce document est protégé et que vous devez activer à la fois le contenu et les fonctions d’édition. Cela peut sembler une action fréquente à effectuer, mais étant donné que ce fichier .docm est nocif, il va lancer des macros malveillantes. Elles vont installer la charge utile réelle du crypto-virus Jaff et le placer dans le système d’exploitation.

La charge utile peut être f87346b.exe, 924c84415.exe ou 04_pitupi20.exe comme ils ont tous été découverts étant installés par cette infection spécifique. Les outils de sécurité ont indiqué que cette infection a un taux de détection de 25%. Ce crypto-virus spécifique choisira une variété de fichiers pour appliquer la combinaison de chiffrements sûrs.

Une fois que les données numériques sont codées, l’extension .jaff sera ajouté à chaque fichier. Quelque temps avant que le cryptage soit conclu, le ransomware profitera de la connexion Internet et communiquera avec leur serveur C & C, situé au domaine Fkksjobnn43.org/a5/. Ainsi, la charge utile informe que les pirates qu’un autre système d’exploitation a été infecté.

Les arrière-plans de bureau vont également être remplacé par un fichier Wallpaper.bmp. Dans l’infection des dossiers au hasard se placeront également trois notes de rançon qui s’ouvriront dans différentes applications. L’un d’eux, ReadMe.html sera ouvert dans votre navigateur préféré, tandis que ReadMe.txt et ReadMe.bmp se lanceront dans d’autres applications appropriées. Même si le ransomware Jaff oblige les utilisateurs à entrer dans un site Web de TOR, sa conception semble être copié à partir de Locky. Les numéros d’identification individuels des victimes seront utiles en ce qui concerne l’accès à ces sites.

Les demandes de rançon et les méthodes possibles pour le décryptage

Certaines des victimes ont indiqué qu’elles étaient tenues de payer 1,82196031 BTC ce qui fait , environ, 3253,53 dollars ! Ceci est déjà un prix élevé, mais il possible que dans d’autres cas, des sommes encore plus élevées vont être nécessaires. 2 BTC (environ 3577,76 $) pourraient également être les frais pour le décryptage. Cependant, nous ne recommandons pas de gaspiller ces quantités lourdes d’argent. Si vous êtes affecté avec cette variante, contactez les chercheurs de sécurité fiables qui vous aideront à décrypter les fichiers gratuitement. Fabian Wosar travaille en étroite collaboration avec ces questions et pourrait être celui qui pourra vous aider. Dans de nombreux cas, le décryptage prend beaucoup de temps pour que nous vous recommandons d’essayer de contacter les chercheurs le plus rapidement possible.

MISE À JOUR: un outil de décryptage pour le ransomware Jaff est enfin arrivé. Vous pouvez le télécharger à partir d’ici.

Pour l’avenir: pensez à stocker vos fichiers de sauvegarde dans des stockages de sauvegarde. Les lecteurs flash USB sont également un dispositif sécurisé pour protéger vos informations numériques de valeur. C’est une décision vitale en matière de ransomware.

Comment ce ransomware se propage ?

Nous avons déjà fait une déclaration dans les paragraphes précédents à ce sujet. Nous avons indiqué que des campagnes ont été choisies avec des spam malicieux afin de distribuer ce virus de cryptage. Par souci de transmettre des messages avec succès, un botnet a été attribué pour le travail (Necurs). Si vous avez reçu des messages électroniques qui semblent de la même nature que ceux que nous avons décrit au début de cet article, les supprimer de votre boîte de réception immédiatement. Nous ne devons pas ignorer d’autres méthodes que les virus ransomware peuvent exploiter pour leur distribution. Cela comprend, la distribution via des publicités malveillantes, des sites contaminés ou les sites de réseaux sociaux.

Avant de tenter de poursuivre le décodage de fichier , vous devez supprimer l’infection elle-même. Spyhunter ou Malwarebytes pourraient être les outils pour vous aider dans cette situation compromettante.

Comment supprimer Le ransomware Jaff en utilisant System Restore(Restauration du système)?

1. Redémarrer votre ordinateur en Mode sans échec avec Invite de commande

Pour Windows 7 / Vista/ XP

• Démarrer → Eteindre → Redémarrer → OK.
• Appuyer sur la touche F8 de façon répétée jusqu’à ce que la fenêtre Options de démarrage avancé apparaisse.
• Choisir Mode sans échec avec Invite de commande.

Pour Windows 8 / 10

• Appuyer sur Alimentation sur l’écran de démarrage de Windows. Puis appuyer et maintenir la touche Majuscule et cliquer sur Redémarrer.
• Choisir Dépanner → Options avancées → Paramètres de démarrage et cliquer sur Redémarrer.
• Lorsque cela charge, sélectionnez Activer Mode sans échec avec Invite de commande dans la liste des Paramètres de démarrage.

Restaurer les fichiers du système et les paramètres.

• Lorsque le mode Invite de commande charge, entrer la restauration de cd et appuyer sur Entrée.
• Puis entrer rstrui.exe et appuyez à nouveau sur Entrée.
• Cliquez sur “Suivant” dans la fenêtre qui est apparue.
• Sélectionner un des Point de restauration qui sont disponibles avant que Ransomware Jaff ait infiltré votre système puis cliquer sur “Suivant”.
• Pour démarrer la Restauration du système, cliquer sur “Oui”.

2. Compléter la suppression de Jaff virus

Après la restauration du système, il est recommandé d’analyser votre ordinateur avec un programme anti logiciels malveillants, comme  Spyhunter et de supprimer tous les fichiers malveillants en lien avec Jaff Decryption System ransomware.

3. Restaurer les fichiers affectés par Le ransomware Jaff en utilisant les copies Shadow Volume

Si vous n’utilisez pas l’option Restauration du système sur votre système d’exploitation, il y a une chance pour utiliser des copies de snapshots de fenêtres. Ils stockent les copies de vos fichiers qui pointent le temps lorsque le snapshot de restauration du système a été créé. Habituellement, Ransomware Jaff essaie de supprimer toutes les copies Shadow Volume, donc ces méthodes peuvent ne pas fonctionner sur tous les ordinateurs. Cependant, cela pourrait échouer.

Les copies Shadow Volume sont uniquement valables avec Windows XP Service Pack 2, Windows Vista, Windows 7, et Windows 8. Il y a deux moyens de retrouver vos fichiers via la copie Shadow Volume. Vous pouvez le faire en utilisant les précédentes versions de Windows ou via Shadow Explorer.

a) Précédentes versions Windows d’origine

Clic droit sur un fichier crypté et sélectionner Propriétés>onglet Versions précédentes. Maintenant, vous verrez toutes les copies disponibles dans ce fichier en particulier et le moment où il a été stocké dans la copie Shadow Volume. Choisir la version du fichier que vous voulez retrouver et cliquer sur Copie si vous voulez le sauvegarder dans un répertoire de votre choix, ou Restaurer si vous voulez remplacer, le fichier crypté existant. Si vous voulez voir le contenu du premier fichier, cliquer sur Ouvrir.

b) Shadow Explorer

C’est un programme qui peut être trouvé en ligne gratuitement. Vous pouvez télécharger soit une version complète soit portable de Shadow Explorer. Ouvrez le programme. Dans le coin supérieur gauche, sélectionnez le lecteur où le fichier que vous cherchez est un stocké. Vous verrez tous les dossiers sur ce lecteur. Pour récupérer un dossier entier, clic-droit dessus et sélectionnez "Exporter". Ensuite, choisissez où vous voulez qu'il soit stocké.

Remarque: Dans de nombreux cas, il est impossible de restaurer les bases de données affectées par les nouveaux logiciels escrocs. Par conséquent, nous recommandons une sauvegarde sur le Cloud en précaution. Nous recommandons de retirer Carbonite, BackBlaze, CrashPlan ou Mozy Home.

Outils de suppression Malware automatique