اگر تصاویر، اسناد و یا فایلهای شما با پسوند Rezuc رمزگذاری شده باشند، یعنی کامپیوتر شما با باجگیر افزار STOP یا DJVU آلوده شده است[۱].
باجگیر افزار STOP یا DJVU اسنادی که روی کامپیوتر قربانی پیدا میکند را رمزگذاری میکند و سپس یک پیام نشان میدهد مبنی بر اینکه بهمنظور رمزگشایی دادهها باید مبلغ معینی را بهصورت ارز دیجیتالی بیتکوین پرداخت کنید. همچنین دستورالعمل پرداخت روی دسکتاپ قربانی با عنوان _readme.txt قرار داده میشود.
اگر فایلهای شما با استفاده از یک کلید آفلاین رمزگذاری شده باشد، احتمال دارد شما بتوانید فایلهای خود را با استفاده از ابزار رمزگشایی STOPDecrypter متعلق به Michael Gillespie بازیابی کنید. متأسفانه، در اغلب موارد، امکان بازگردانی فایلهای رمزگذاری شده توسط این باجگیر افزار وجود ندارد، زیرا کلید خصوصی موردنیاز برای باز کردن قفل فایلهای رمزگذاری شده، تنها در دسترس مجرمان اینترنتی است.
شما همچنین میتوانید وبسایتهای زیر را بهمنظور جستجو در ابزارهای رمزگشایی بررسی کنید:
- https://id-ransomware.malwarehunterteam.com
- https://www.nomoreransom.org/en/index.html
- https://decrypter.emsisoft.com
- https://noransom.kaspersky.com
این راهنما برای کمک به شما جهت حذف این باجگیر افزار از رایانهی موردنظر نوشته شده است و اگر روشی برای بازیابی فایلهای رمز شده توسط این باجگیر افزار پیدا شود که بهطور تضمینی فایلهای شما را بازیابی کند، ما این راهنما را بهروزرسانی خواهیم کرد.
ما نمیتوانیم بهمنظور بازیابی فایلهایتان به شما کمک کنیم و فقط میتوانیم به شما پیشنهاد دهیم که از ShadowExplorer یا نرمافزارهای بازیابی فایل رایگان برای بازگرداندن اسناد خود استفاده کنید.
۱- چگونه باجگیر افزار Rezuc روی رایانه شما قرار میگیرد؟
باجگیر افزار Rezuz از طریق پستهای الکترونیک از نوع هرزنامه[۱] که حاوی فایلهای آلوده هستند یا با بهرهبرداری از آسیبپذیریهای موجود روی سیستمعامل و نرمافزارهای نصبشده؛ توزیع میشود.
مجرمان سایبری از یک پست الکترونیک از نوع هرزنامه با اطلاعات هدر جعلی استفاده میکنند و شما را فریب میدهند تا باور کنید که این پست الکترونیک از یک شرکت حملونقل مانند DHL یا FedEx ارسال شده است. این پست الکترونیک به شما میگوید که آنها سعی میکنند که یک بسته را به شما ارسال کنند اما به دلایلی موفق نشدند. گاهی اوقات این پستهای الکترونیک ادعا میکنند که حاوی پیامی در مورد مرسولهی ارسالی شما هستند. درهرصورت، شما نمیتوانید در مورد آنچه که این پست الکترونیک به آن اشاره میکند مقاومت کنید و فایل پیوست شده را باز میکنید (یا روی پیوندی که درون پست الکترونیک قرار دارد کلیک میکنید) و با این کار، رایانهی شما توسط باجگیر افزار Rezuz آلوده میشود.
همچنین مشاهده شده است که باجگیر افزار Rezuc با هک کردن پورتهای باز Remote Desktop Services یا RDP، به قربانیان حمله میکند. مهاجمان سیستمهایی که RDP (پورت TCP با شمارهی ۳۳۸۹) را اجرا میکنند، اسکن میکنند و پسازآن تلاش میکنند که با استفاده از brute force رمز عبور سیستمها را کشف کنند.
۲- باجگیر افزار Rezuc چیست؟
خانواده باجگیر افزار: STOP یا DJVU
پسوند: Rezuc
یادداشت باجگیر افزار: _readme.txt
باج: از ۴۹۰ تا ۹۸۰ دلار (در واحد بیتکوین)
تماس با سازندگان: gorentos@bitmessage.ch، bufalo@firemail.cc یا @datarestore در تلگرام
باجگیر افزار Rezuz دسترسی به دادهها را با رمزگذاری فایلها محدود میکند. پسازآن تلاش میکند تا از طریق یک درخواست باج بهصورت ارز دیجیتال بیتکوین در عوض دسترسی به دادهها از قربانیان پول اخاذی کند. این باجگیر افزار تمام نسخههای ویندوز شامل ویندوز ۷، ویندوز ۸ و ویندوز ۱۰ را هدف قرار میدهد. هنگامیکه این باجگیر افزار برای اولین بار روی رایانهی شما نصب میشود، یک فایل اجرایی با نام تصادفی را در پوشهی %AppData% یا %LocalAppData% ایجاد میکند. این فایلِ قابلاجرا راهاندازی خواهد شد و شروع به اسکن تمامی درایوهای موجود روی کامپیوتر شما برای رمزگذاری دادهها خواهد کرد.
باجگیر افزار Rezuc فایلهای دارای پسوند خاص را بهمنظور رمزگذاری جستجو میکند. فایلهایی که این باجگیر افزار رمزگذاری میکند شامل اسناد بهرهوری مهم و فایلهایی دارای پسوندهای .doc، .docx، .xls، .pdf، و غیره هستند. هنگامیکه این پروندهها شناسایی میشوند، این باجگیر افزار پسوند را به Rezuc تغییر میدهد، بنابراین دیگر این فایلها قادر به باز شدن نیستند.
فایلهای مورد هدف فایلهایی هستند که اکثراً در رایانههای شخصی امروزی یافت میشوند. فهرستی از پسوندهای فایلهای مورد هدفِ این باجگیر افزار عبارتاند از:
.sql, .mp4, .7z, .rar, .m4a, .wma, .avi, .wmv, .csv, .d3dbsp, .zip, .sie, .sum, .ibank, .t13, .t12, .qdf, .gdb, .tax, .pkpass, .bc6, .bc7, .bkp, .qic, .bkf, .sidn, .sidd, .mddata, .itl, .itdb, .icxs, .hvpl, .hplg, .hkdb, .mdbackup, .syncdb, .gho, .cas, .svg, .map, .wmo, .itm, .sb, .fos, .mov, .vdf, .ztmp, .sis, .sid, .ncf, .menu, .layout, .dmp, .blob, .esm, .vcf, .vtf, .dazip, .fpk, .mlx, .kf, .iwd, .vpk, .tor, .psk, .rim, .w3x, .fsh, .ntl, .arch00, .lvl, .snx, .cfr, .ff, .vpp_pc, .lrf, .m2, .mcmeta, .vfs0, .mpqge, .kdb, .db0, .dba, .rofl, .hkx, .bar, .upk, .das, .iwi, .litemod, .asset, .forge, .ltx, .bsa, .apk, .re4, .sav, .lbf, .slm, .bik, .epk, .rgss3a, .pak, .big, wallet, .wotreplay, .xxx, .desc, .py, .m3u, .flv, .js, .css, .rb, .png, .jpeg, .txt, .p7c, .p7b, .p12, .pfx, .pem, .crt, .cer, .der, .x3f, .srw, .pef, .ptx, .r3d, .rw2, .rwl, .raw, .raf, .orf, .nrw, .mrwref, .mef, .erf, .kdc, .dcr, .cr2, .crw, .bay, .sr2, .srf, .arw, .3fr, .dng, .jpe, .jpg, .cdr, .indd, .ai, .eps, .pdf, .pdd, .psd, .dbf, .mdf, .wb2, .rtf, .wpd, .dxg, .xf, .dwg, .pst, .accdb, .mdb, .pptm, .pptx, .ppt, .xlk, .xlsb, .xlsm, .xlsx, .xls, .wps, .docm, .docx, .doc, .odb, .odc, .odm, .odp, .ods, .odt
هنگامیکه پروندههای شما با پسوند Rezuc رمزگذاری میشوند، این باجگیر افزار یک فایل _readme.txt حاوی یادداشت باجخواهی را در هر پوشهای که یک فایل رمزگذاری شده در آن قرار دارد کپی میکند و همچنین آن را روی دسکتاپ ویندوز ایجاد میکند. این فایل در هر پوشهای قرار دارد که یک فایل رمزگذاری شده در آن وجود دارد و حاوی اطلاعاتی در مورد چگونگی تماس با مجرمان سایبری و بازگرداندن فایلهای شما است.
هنگامیکه این باجگیر افزار بررسی کامپیوتر شما را به اتمام میرساند، تمام کپیهایShadow Volume را که روی کامپیوتر آسیبدیده قرار دارند، حذف میکند. این کار بدین منظور انجام میشود که شما نتوانید از کپیهای Shadow Volume برای بازگرداندن فایلهای رمزگذاری شدهی خود استفاده کنید.
۳- آیا کامپیوتر شما با باجگیر افزار Rezuk آلوده شده است؟
هنگامیکه این باجگیر افزار رایانه شما را آلوده میکند، تمام درایوها را برای انواع فایلهای مورد هدف اسکن کرده، آنها را رمزگذاری میکند و سپس پسوند Rezuc را به آنها اضافه میکند. هنگامیکه این فایلها رمزگذاری میشوند، دیگر نمیتوانند با برنامههای معمول خود باز شوند. هنگامیکه این باجگیر افزار رمزگذاری فایلهای قربانی را به پایان برساند، همچنین یک یادداشت باجخواهی را که حاوی دستورالعملهایی درباره نحوهی ارتباط با این مجرمان سایبری است (gorentos@bitmessage.ch یا bufalo@firemail.cc)، برای قربانی نمایش میدهد.
در اینجا پیامی که باجگیر افزار Rezuc نمایش میدهد و در _readme.txt قرار دارد، آورده شده است:
۴- آیا میتوان فایلهای رمزگذاری شده با باجگیر افزار Rezuz را رمزگشایی کرد؟
اگر پروندهی شما با استفاده از یک کلید آفلاین رمزگذاری شده باشد؛ احتمال دارد شما با استفاده از ابزار رمزگشایی STOPDecrypter بتوانید فایلهای خود را بازیابی کنید[۲].
متأسفانه، در اغلب موارد، امکان بازگردانی فایلهای رمزگذاری شده توسط این باجگیر افزار وجود ندارد زیرا کلید خصوصی موردنیاز برای باز کردن قفل فایلهای رمز شده فقط از طریق دسترسی به مجرمان اینترنتی امکانپذیر است.
همچنین هیچ تضمینی وجود ندارد که با پرداخت باج درخواست شده، بتوانید فایلهای خود را بازیابی کنید، علاوه بر این، پرداخت باج درخواست شده به این افراد بدخواه، آنها را برای ادامه و حتی گسترش عملیات خود تشویق خواهد کرد. ما بهشدت توصیه میکنیم که باج درخواستی را پرداخت نکنید و بهجای آن به ادارههای اجرای قانون در کشور خود برای گزارش این حمله مراجعه کنید.
۵- چگونه باجگیر افزار rezuc را از روی سیستم خود حذف کنید؟ (راهنمای حذف ویروس)
در ابتدا بسیار مهم است که بدانید با شروع فرایند حذف این باجگیر افزار، شما در خطر از دست دادن فایلهای خود قرار میگیرید، زیرا ما نمیتوانیم تضمین کنیم که شما قادر خواهید بود آنها را بازیابی کنید. Malwarebytes و HitmanPro میتوانند این باجگیر افزار را شناسایی و حذف کنند، اما این برنامهها نمیتوانند اسناد، تصاویر یا فایلهای شما را بازیابی کنند. هنگام تلاش برای از بین بردن این باجگیر افزار و یا تلاش برای بازیابی اسناد رمزگذاری شده، ممکن است فایلهای شما بهصورت دائمی از دسترس شما خارج شوند. ما هیچ مسئولیتی در قبال از دست دادن فایلهایتان در طول فرآیند حذف پروندهها یا اسناد آلودهشده به این باجگیر افزار نخواهیم داشت.
مرحلهی اول: از برنامهی Malwarebytes برای حذف باجگیر افزار Rezuc استفاده کنید.
Malwarebytes یکی از محبوبترین و مورداستفادهترین نرمافزارهای ضد دژافزار برای ویندوز است. این نرمافزار میتواند بسیاری از انواع دژافزارها را از بین ببرد که سایر نرمافزارها نمیتوانند در مورد آنها کاری کنند و استفاده از ویژگی پاکسازی دژافزارها در این نرمافزار کاملاً رایگان است. هنگامیکه برای پاک کردن یک دستگاه آلوده میخواهید از یک نرمافزار استفاده کنید، Malwarebytes همیشه یک گزینهی مناسب و رایگان بوده و ما آن را بهعنوان یک ابزار ضروری در مبارزه با دژافزارها به شما توصیه میکنیم.
اولین بار که شما Malwarebytes را نصب میکنید، شما یک نسخه آزمایشی ۱۴ روزه رایگان از نسخه premium را در اختیار دارید که شامل ابزارهای پیشگیرانه مانند اسکن real-time و محافظت خاص در برابر باجگیر افزارها میباشد. پس از دو هفته، بهطور خودکار به نسخهی رایگان اساسی بازگردانده میشود که تنها زمانی که یک اسکن را اجرا میکنید، دژافزارها را شناسایی و پاک میکند. مهم است که توجه داشته باشید Malwarebytes در کنار نرمافزارهای آنتیویروس و بدون هیچگونه کانفلیکتی اجرا خواهد شد.
۱- Malwarebytes را از اینجا دانلود کنید.
۲- روی فایل اجرایی Malwarebytes دو بار کلیک کنید.
هنگامیکه دانلود Malwarebytes به پایان رسید، روی فایل mb3-setup-consumer-x.x.x.xxxx.exe دو بار کلیک کنید تا Malwarebytes را روی رایانه خود نصب کنید. در بیشتر موارد، فایلهای دانلود شده در پوشهی Downloads بارگیری میشوند.
شما ممکن است با یک Pop-up از نوع User Account Control روبرو شوید که از شما بپرسد آیا میخواهید اجازه دهید Malwarebytes تغییراتی در دستگاه شما ایجاد کند یا نه. اگر این اتفاق افتاد، باید روی «بله» کلیک کنید تا نصب ادامه یابد.
۳- دستورالعملهای روی صفحه را برای نصب Malwarebytes دنبال کنید.
هنگامیکه نصب Malwarebytes شروع میشود، Malwarebytes Setup Wizard را مشاهده خواهید کرد که به شما در فرایند نصب کمک میکند. برای نصب Malwarebytes روی کامپیوتر خود، روی دکمه Agree and Install کلیک کنید.
۴- روی گزینهی Scan Now کلیک کنید.
پس از نصب، Malwarebytes بهطور خودکار پایگاه دادهی آنتیویروس را راهاندازی و بهروز میکند. برای انجام اسکن سیستم، روی دکمه Scan Now کلیک کنید.
۵- صبر کنید تا اسکن Malwarebytes کامل شود.
Malwarebytes در حال حاضر شروع به اسکن کامپیوتر برای ابزارهای تبلیغاتی مزاحم و دیگر برنامههای موذی میکند. این فرایند میتواند چند دقیقه طول بکشد، بنابراین ما پیشنهاد میکنیم کار دیگری را انجام دهید و بهطور مرتب وضعیت اسکن را بررسی کنید تا ببینید چه موقع تمام میشود.
۶- روی گزینهی Quarantine Selected کلیک کنید.
هنگامیکه اسکن کامل شود، شما با یک صفحهنمایش روبرو میشوید که آلودگیهای دژافزاری که Malwarebytes آنها را شناسایی کرده است، برای شما لیست شدهاند. برای حذف برنامههای موذی که Malwarebytes پیدا کرده است، بر روی دکمه Quarantine Selected کلیک کنید.
۷- رایانهی خود را مجدداً راهاندازی کنید.
Malwarebytes در حال حاضر تمام فایلهای موذی و کلیدهای رجیستری که پیدا کرده است را حذف میکند. برای تکمیل فرآیند حذف دژافزار، Malwarebytes ممکن است از شما بخواهد کامپیوتر خود را مجدداً راهاندازی کنید.
هنگامیکه فرآیند حذف دژافزار کامل میشود، میتوانید Malwarebytes را ببندید و بقیهی دستورالعملها را ادامه دهید.
مرحلهی دوم: از HitmanPro برای جستجوی دژافزارها و برنامههای ناخواسته استفاده کنید.
HitmanPro دومین برنامهی پیشنهادی است که یک رویکرد منحصربهفرد مبتنی بر cloud را برای اسکن بدافزار دنبال میکند. HitmanPro رفتار فایلهای فعال و همچنین فایلهایی را که در مکانهایی قرار دارند که دژافزارها بهطورمعمول برای فعالیت مشکوک در آن قرار میگیرند، اسکن میکند. اگر یک فایل مشکوک که قبلاً شناخته نشده باشد را پیدا کند، HitmanPro آن را به cloudهای خود ارسال میکند تا بتواند آنها را توسط دو موتور از بهترین آنتیویروسهای امروزی یعنی Bitdefender و Kaspersky اسکن کند.
اگرچه HitmanPro یک shareware است و هزینه آن ۲۴٫۹۵ دلار برای یک سال روی یک کامپیوتر است، اما درواقع هیچ محدودیتی در اسکن وجود ندارد. این محدودیت تنها زمانی شروع میشود که نیاز به پاک کردن یا قرنطینه کردن دژافزارهای تشخیص دادهشده توسط HitmanPro در سیستم شما وجود داشته باشد و پسازآن شما میتوانید یک مهلت ۳۰ روزه را برای پاکسازی فعال کنید.
۱- HitmanPro را دانلود کنید.
شما میتوانید HitmanPro را از اینجا دانلود کنید.
۲- HitmanPro را نصب کنید.
هنگامیکه دانلود HitmanPro تمام شد، روی hitmanpro.exe (برای نسخههای ۳۲ بیتی ویندوز) یا hitmanpro_x64.exe (برای نسخههای ۶۴ بیتی ویندوز) دو بار کلیک کنید تا این برنامه را روی رایانه خود نصب کنید. در بیشتر موارد، فایلهای دانلود شده در پوشهی Downloads بارگیری میشوند.
شما ممکن است با یک Pop-up از نوع User Account Control روبرو شوید که از شما بپرسد آیا میخواهید اجازه دهید HitmanPro تغییراتی در دستگاه شما ایجاد کند یا نه. اگر این اتفاق افتاد، باید روی «بله» کلیک کنید تا نصب ادامه یابد.
۳- دستورالعملهای روی صفحه را برای نصب HitmanPro دنبال کنید.
هنگامیکه HitmanPro اجرا میشود، شما با یک صفحه شروع مواجه میشوید که در زیر نشان داده شده است. برای انجام یک اسکن سیستم روی دکمه Next کلیک کنید.
۴- صبر کنید تا اسکن HitmanPro کامل شود.
HitmanPro اکنون شروع به اسکن کردن رایانهی شما برای پیدا کردن برنامههای موذی خواهد کرد. این فرایند چند دقیقه طول خواهد کشید.
۵- روی Next کلیک کنید.
هنگامیکه اسکن HitmanPro به پایان برسد، فهرستی از تمام دژافزارهایی که این برنامه پیدا کرده است را برای شما نمایش میدهد. روی دکمه Next کلیک کنید تا برنامههای موذی را حذف کنید.
۶- روی Activate free license کلیک کنید.
روی دکمهی Activate free license کلیک کنید تا یک مهلت ۳۰ روزه را فعال کنید و همهی فایلهای موذی را از کامپیوتر خود حذف کنید.
هنگامیکه فرآیند کامل میشود، میتوانید HitmanPro را ببندید و بقیه دستورالعملها را ادامه دهید.
مرحلهی سوم: بازگرداندن فایلهای رمزگذاری شده توسط باجگیر افزارRezuc با نرمافزار بازیابی
در بعضی موارد، ممکن است نسخههای قبلی فایلهای رمز شده با استفاده از Rezuc Restore یا دیگر نرمافزارهای بازیابی مورداستفاده برای به دست آوردن کپیهای shadow فایلها را بازیابی کنید.
گزینهی اول: بازگرداندن فایلهای شما که توسط باجگیر افزارRezuc رمزگذاری شدهاند توسط ShadowExplorer
باجگیر افزارRezuc تلاش خواهد کرد تا تمام کپیهایshadow را پس از آلوده شدن شما در هنگام اجرای هرگونه فایل اجرایی روی رایانهی شما، حذف کند. خوشبختانه، این باجگیر افزار همیشه قادر به حذف تمام کپیهای shadow نیست، بنابراین شما باید همچنان سعی کنید فایلهای خود را با استفاده از این روش بازگردانید.
- شما میتوانید ShadowExplorer را از اینجا دانلود کنید.
- هنگامیکه ShadowExplorer را دانلود کرده و نصب کردید، میتوانید از یک راهنمای ویدیویی[۳] در مورد چگونگی بازگرداندن فایلهای خود در هنگام استفاده از این برنامه استفاده کنید.
گزینهی دوم: بازگرداندن فایلهای شما که توسط باجگیر افزارRezuc رمزگذاری شدهاند توسط نرمافزار بازیابی فایل
هنگامیکه فایلها رمزگذاری میشوند، این باجگیر افزار ابتدا یک کپی از آنها ایجاد میکند، کپی را رمزگذاری میکند و سپس فایل اصلی را پاک میکند. ازاینجهت ممکن است یک احتمال کوچک وجود داشته باشد که بتوانیم از نرمافزارهای بازیابی فایل برای بازیابی فایلهای حذفشده استفاده کنیم.
- نرمافزار Recuva
میتوانید از این راهنما[۴] برای نحوهی کار با این نرمافزار استفاده کنید.
- نرمافزار EaseUS Data Recovery Wizard Free
- نرمافزار R-Studio
نحوه جلوگیری از آلوده شدن رایانهها توسط باجگیر افزار Rezuc
برای محافظت از رایانهی خود در برابر باجگیر افزارRezuc ، همیشه باید یک آنتیویروس نصبشده روی رایانهی خود داشته باشید و همیشه باید از اسناد شخصی خود پشتیبان تهیه کنید. بهعنوان یک روش محافظتی اضافی، میتوانید از برنامههایی به نام HitmanPro.Alert استفاده کنید که از اجرای هرگونه دژافزار از نوع رمزگذاری فایل جلوگیری میکنند.
در حال حاضر کامپیوتر شما باید از باجگیر افزار Rezuc پاک شده باشد. اگر هنوز در حال تلاش برای از بین بردن باجگیر افزار Rezuc از روی رایانهی خود هستید، لطفاً یکی از موارد زیر را انجام دهید:
- رایانهی خود را توسط Emsisoft Emergency Kit اسکن کنید.
- در forum ما با عنوان Malware Removal Assistance درخواست کمک کنید.
منابع
[۱] https://malwaretips.com/blogs/remove-rezuc
[۲] https://download.bleepingcomputer.com/demonslay335/STOPDecrypter.zip
[۳] https://youtu.be/oaXtQ6rbvxA
[۴] https://youtu.be/LeEICG0zWqY
ثبت ديدگاه