Rapid ransomwareHvordan fjerne?

Rapid ransomware — et skadelig kryptovirus som rettes mot brukere fra USA og Europa ved bruk av falske skattemeldinger

Rapid ransomware er et ondsinnet kryptovirus som har sirkulert på nettet helt siden januar 2018. I løpet av de sju månedene det har eksistert, har malware-trusselen endret seg fire ganger. Viruset krypterer filer ved bruk av et AES-chiffer, og legger til filendelsen .rapid til alle låste filer. Den nyeste versjonen i denne familien er RPD ransomware. Det bruker filendelsen .RPD, og legger igjen filen How Recovery File.txt. Denne filen ber offeret om å sende et bestemt pengebeløp, og forklarer hvordan de kriminelle kan kontaktes. Beløpet varierer, først og fremst basert på hvor mange filer som blir krypterte, og hvor raskt offeret tar kontakt med virusutviklerne.

.Rapid ransomware ble oppdaget for første gang i slutten av januar. Viruset er enda aktivt, og plager fremdeles folk fra Spania, Frankrike, USA og andre land i hele verden. Vi foreslår at du er ekstra forsiktig. Etter at malware-trusselen har infiltrert systemet, krypterer det nemlig filer og gjør dem utilgjengelige. Hovedforskjellen mellom dette viruset og lignende fil-krypterende virus, er at det forblir på systemet i det skjulte og fortsetter å krypterer nye dokumenter som brukeren oppretter.

Rapid ransomware infiltrerer sannsynligvis systemet ved hjelp av sosial manipulering og ondsinnet søppelpost. Da viruset ble spredt for første gang, ble navnet på den amerikanske skatteinnkreveren IRS brukt i e-poster.

Så snart trusselen har kommet seg inn i systemet, foretar det endringer og begynner å søke etter filendelser på enheten. Etter å ha kryptert filene, legger malware-trusselen igjen en feil kalt How Recovery Files.txt eller !!! txt the README. Begge disse inneholder identiske instruksjoner som sier:

Hello,
All your files have been encrypted by us
If you want to restore files write on e-mail  [email protected] or [email protected]. 

IT-ekspertene våre advarer om at de kriminelle kan bruke ulike kontaktadresser. Dette kan være fordi de prøver å beskytte identitetene sine, og bytter e-postadresse jevnlig. Det er for øyeblikket kjent at følgende e-postadresser er tilknyttet Rapid-viruset: 

• [email protected]; 
• [email protected];
• [email protected];
• [email protected];
• [email protected];
• [email protected];
• [email protected];
• [email protected];
• [email protected]
• [email protected]
• [email protected]

Informasjonsfilen som ransomwaretrusselen Rapid legger igjen er informativ. Det er tydelig at de kriminelle ber offeret om å overføre en bestemt pengesum. Betalingen kan være basert på antall krypterte filer, eller hvor raskt offeret sender en e-post. Sikkerhetseksperter anbefaler imidlertid ikke at offeret kontakter utviklerne av Rapid-viruset.

Problemet er at ingen kan være sikre på at de kriminelle har et fungerende dekrypteringsprogram, eller at de lar deg bruke det selv om du betaler løsesummen. Derfor kan tapet ditt bli enda større. I tillegg til de krypterte filene, kan du nemlig også miste pengene dine.

Hvis du har funnet filer med endelsen .rapid, bør du derfor fokusere på å fikse datamaskinen din. Ransomware-trusselen kan ha satt inn ondsinnet kode i systemprosesser. Som et resultat av dette, kan enhetens hastighet blir redusert, og programmer kan begynne å krasje. Malware gjør dessuten systemet sårbart, og kan åpne døren for andre nettrusler. For å unngå skade, bør du derfor fjerne ransomware-trusselen Rapid. 

Du bør ikke prøve å finne og avslutte slike ondsinnede komponenter på egenhånd. Dette er en vanskelig oppgave. For å fjerne Rapid ransomware, bør du benytte et vel ansett sikkerhetsprogram, som FortectIntego. Hvis du har problemer med viruselimineringen, kan du se instruksjonene nedenfor.

Rapid ransomware versjoner 

Rapid 2.0 kom ut i mars 2018. Denne varianten ekskluderer russisktalende land fra de målrettede områdene, og krypterer ikke filer til folk som bor der. Viruset legger til åtte vilkårlige tall til filendelsen, og bruker normalt et SHA-256-shiffer for å kryptere dem. Meldingen fra dette viruset står i filen DECRYPT.[5-random-characters].txt. Her bes offeret om å kontakte utviklerne via [email protected] eller [email protected]. Vennligst IKKE bruk dem til å kontakte hackere som skjuler seg bak ransomware. Du bør kjøre et komplett systemskann med et oppdatert antispyware-program først, og deretter se på alternativene for datagjenoppretting.

Rapid 3.0 ble oppdaget i mai 2018. Dette rettes mot engelskspråklige brukere i USA og Europa. Viruset har et alternativt navn, nemlig Rapid ransomware v3. Så snart det er ferdig med å endre filene, legger ransomware-trusselen til filendelsen [random_numbers].EZYMN. Denne gangen er løsesummen satt til 0,7 BTC. Offeret får oppgitt en e-postadresse for å kontakte utviklerne: [email protected]. 

RPD ransomware er den nyeste varianten, som dukker opp i juni 2018. Det benytter filendelsen .RPD og gir ofrene to kontaktadresser: [email protected], [email protected]. Denne ransomware-trusselen oppretter en unik identifikasjonsnøkkel for hvert av ofrene sine, og legger igjen filen How Recovery File.txt som ber om et forholdsvis høyt bitcoin-beløp. 

Meldingen til ransomware-trusselen RPD sier følgende:

Hello, dear friend!
All your files have been ENCRYPTED
Do you really want to restore your files?
Write to our email – [email protected]
and tell us your unique ID 

Nettkriminelle bruker falske e-poster fra skattemyndighetene for å spre .rapid-viruset

I det siste har gjengen som står bak Rapid-viruset begynt å sende ut e-poster som tilsynelatende er fra IRS. Internal Revenue Servise er en skatteinnkrever fra USA. De fleste e-poster har emnet: “Please Note – IRS Urgent Message-164” eller lignende.

Den falske e-posten hevder at offeret ikke har betalt riktig skattesum til myndighetene, og må kompensere for det. Deretter oppfordres brukeren til å åpne vedlegget med «other useful information». Avsenderen hevder dessuten at skattebetaleren kun har én dag på å kontakte skattemyndighetene. Ellers ilegges det bøter.

Nettkriminelle benytter altså fremdeles sosial manipulering for å skremme ofrene til å tro at det haster å kontakte de påståtte myndighetene. Så snart brukeren pakker ut vedlegget, finner han/hun et ondsinnet word-dokument der offeret må aktivere makroer for å fortsette installasjonen. Så snart dette er gjort, kjører Rapid sin ondsinnede kode.

Det er heldigvis forholdsvis enkelt å gjenkjenne svindelen som brukes til å spre ransomware-trusselen Rapid. Først og fremst, vil aldri IRS kontakte brukere via e-post eller SMS. I tillegg er IRS et amerikansk organ, mens e-postadressene kommer fra Storbritannia. Samtidig vises den kjørbare filen på tysk. Vær på utkikk etter disse faresignalene. 

Usikre e-poster brukes ofte til å spre ransomware

Kriminelle bruker ofte mye tid på å utvikle teknikker som gjør det enkelt å infisere datamaskiner. Så langt har svindlerne benyttet seg av effektive malspam-kampanjer. Disse rettes først og fremst mot helsesektoren, men rammer også andre. De sender ut falske e-poster med ondsinnede vedlegg. På denne måten blir brukere lurt til å installere ransomware.

Søppelpost er imidlertid ikke den eneste metoden hackerne bruker for å distribuere alvorlige datainfeksjoner. I følge malware-analytikerne hos LesVirus.fr, kan malware komme inn i systemet når brukere: 

• laster ned ulovlig innhold,
• installerer falske programmer eller oppdateringer;
• klikker på malware-infiserte annonser.

Du må derfor være forsiktig med innholdet du har lastet ned fra nettet. Du bør dessuten sørge for at alle programmer og operativsystemet ditt er oppdatert. Dette forhindrer at malware-trusler kan utnytte sikkerhetfeil for å igangsette et angrep.

Det er dessuten svært lurt å installere et vel ansett antivirus-program. Du bør imidlertid ikke glemme at selv det mest pålitelige sikkerhetsprogrammet ikke kan beskytte deg helt fra nettrusler hvis du er uansvarlig. 

Fjern ransomware-trusselen Rapid ved hjelp av et vel ansett sikkerhetsprogram

For å fjerne ransomware-trusselen, bør du bruke verktøy som kan stoles på. Kun på denne måten kan du være sikker på at du unngår andre, forbedrede versjoner av det samme viruset. Filkrypterende virus kan enkelt installere andre ondsinnede programmer og komplisere elimineringsprosessen. Disse programmene ligner på hverandre, men kun IT-eksperter kan fjerne Rapid manuelt.

For å fjerne Rapid automatisk, må du benytte et antivirus-program. Du kan bruke FortectIntego, SpyHunterCombo Cleaner eller MalwarebytesMalwarebytes for å gjøre prosessen enda enklere. Skadelige datatrusler har imidlertid en tendens til å blokkere brukere fra å laste ned profesjonelle antimalware-verktøy eller utføre et skann på enheten. Derfor kan du bruke et par verktøy for å dobbelsjekke. Du bør dessuten huske å rense systemet helt før du prøver å dekryptere dataene dine.