JS.Crypto Ransomware

O JS.Crypto Ransomware é uma infeção muito nociva que tem como alvo computadores com sistema operativo Windows. Sendo que a ameaça em si é criada utilizando NW.js, conhecido por ser uma estrutura para o desenvolvimento de novas aplicações, significa que o JS.Crypto Ransomware é baseado em JavaScript. Os peritos que trabalham na pcthreat.com afirmam que existe uma pequena possibilidade de também afetar Linux e MaxOS X utilizando o JavaScript, o que significa que o JS.Crypto Ransomware poderá começar a espalhar-se também por usuários destes sistemas operativos. Na nossa opinião, todos os usuários devem ter muito cuidado, independentemente do sistema operativo que utilizam. Uma pesquisa recente demonstrou que é possível tornar-se afiliado do JS.Crypto Ransomware, isto é, distribui-lo selecionando opções específicas, ex: bloquear na totalidade ou não o computador, como o Lockscreen, e até o montante de Bitcoins que exigem. Provavelmente, os proprietários originais do JS.Crypto Ransomware também recebem algum dinheiro. Temos a certeza de que você irá reconhecer se o JS.Crypto Ransomware conseguir entrar no seu sistema, porque você não conseguirá acessar aos seus arquivos principais. Infelizmente, o JS.Crypto Ransomware poderá codificar novos arquivos novamente, por isso você deverá certificar-se que remove esta infeção do seu PC antes de armazenar novos arquivos no seu computador.

Foi observado que o JS.Crypto Ransomware codifica centenas de arquivos diferentes. Estes arquivos são, principalmente, documentos, imagens, música e vídeos, com as seguintes extensões: .jpg, .jpeg, .ppsx, .mp3, .mp4, .wmv, .sdf, .mpa, .dot, .aet, .ppj, .indl, .3gp e outros. A sua aparência provavelmente não irá ser alterada, mas você não conseguirá acessar a estes arquivos. A incapacidade de acessar à maioria dos arquivos não é o único sintoma que demonstra que uma infeção de ransomware entrou no seu computador. Os peritos que trabalham na pcthreat.com afirmam que você irá reparar numa mensagem de aviso na sua tela. Se você vir essa mensagem (o texto da mensagem segue em baixo), não há dúvida de que o JS.Crypto Ransomware conseguiu entrar no seu sistema.

ALL YOUR PERSONAL FILES HAS BEEN ENCRYPTED

All your data (photos, documents, databases, etc) have been encrypted with a private and unique key generated for this computer. This means that you will not be able to access your files anymore until they are decrypted. The private key is stored in our servers and the only way to receive your key to decrypt your files is making a payment.

Como poderá observar, os ciber criminosos procuram convencer os usuários a fazer o pagamento. Eles dão apenas quatro dias para fazer o pagamento e afirmam que o valor vai aumentando quando o prazo terminar. Também prometem descodificar um arquivo gratuitamente para provar que podem descodificar todos os arquivos. A decisão de fazer o pagamento de 0.1 Bitcoins (aproximadamente 140 reais) é sua; no entanto, não recomendamos que o faça se você tiver uma cópia de segurança (ex: arquivos numa flash drive USB) dos seus arquivos. Infelizmente, não existe outra forma de recuperar o acesso aos seus arquivos.

O JS.Crypto Ransomware é distribuído como um arquivo client.scr. Sendo um arquivo de extração automática WinRAR, irá extrair automaticamente os arquivos para as diretorias %Temp% e "AppData%\Microsoft\Windows\Start Menu\Programs\Startup e adicionar um atalho no Arranque após um usuário clicar nele. Foi observado que o JS.Crypto Ransomware adiciona os seguintes arquivos ao sistema:

• chrome - com uma cópia do acordo de licença GPL no interior.
• chrome.exe - contém um código de malware real.
• ffmpegsumo.dll, nw.pak, locales e icudtl.dat - contém os dados necessários para a estrutura NW.js.
• rundll32.exe - contém uma cópia do cliente TOR.
• s.exe - contém uma cópia do Atalho Optimum X.
• g - contém informações necessárias para a configuração do ransomware.
• msgbox.vbs - script que exibe uma mensagem pop-up na tela.
• u.vbs - script que deleta arquivos e pastas nas diferentes diretorias.

Como pode observar, o JS.Crypto Ransomware adiciona arquivos que se assemelham a arquivos legítimos do Google Chrome, ex: chrome.exe, de forma a não ser detetado e ser removido facilmente. Também gostaríamos de mencionar que o JS.Crypto Ransomware irá adicionar o ChromeService.Ink à diretoria principal (%AppData%\Microsoft\Windows\Start Menu\Programs\Startup) de forma a ser iniciado juntamente com o sistema operativo Windows.

O JS.Crypto Ransomware é distribuído de diferentes formas. Os peritos descobriram que poderá entrar no seu sistema após você clicar num link nocivo ou anúncios, abrir um anexo de correio eletrônico, ou baixar um programa duvidoso de uma página web de terceiros, torrents ou sítio web de partilha de arquivos. O JS.Crypto Ransomware não é a única infeção ransomware que existe, por isso recomendamos vivamente que instale uma ferramenta de segurança fidedigna se você pretende proteger o seu sistema de infeções semelhantes que possam entrar no seu PC.

Não é fácil remover o JS.Crypto Ransomware manualmente; no entanto, você terá de fazê-lo porque esta ameaça poderá codificar novos arquivos. Em baixo seguem as instruções que podem ajudar a livrar-se desta ameaça manualmente. No caso de você sentir que não tem experiência suficiente para fazer você mesmo, execute um scan ao seu sistema com o scanner antimalware SpyHunter. Quer você implemente a remoção do JS.Crypto Ransomware sozinho ou utilize uma ferramenta automática, infelizmente, isso não ajudará você a descodificar os arquivos.

Remover o JS.Crypto Ransomware do seu PC

Exibir arquivos ou pastas ocultas

Windows XP

1. Abra o botão Iniciar e vá ao Painel de Controlo.
2. Clique duas vezes nas Opções de Pasta e abra o separador Visualizar.
3. Clique no botão próximo de Exibir arquivos e pastas ocultas para ativar.
4. Remova a selecção de Ocultar arquivos de sistema operativo protegidos (Recomendado).
5. Clique em Aplicar.

Windows 7/Vista

1. Clique no botão Organizar em qualquer pasta e selecione Opções de Busca de Pasta.
2. Selecione o botão Exibir arquivos e pastas ocultas.
3. Remova a selecção de Ocultar arquivos de sistema operativo protegidos (Recomendado).
4. Clique em Aplicar.

Windows 8/8.1/10

1. Abra o Explorador de Arquivos.
2. Abra o separador Visualizar e clique em Opções.
   
3. Selecione Alterar opções de pasta e busca.
4. Selecione Exibir arquivos e pastas ocultas.
   
5. Remova a seleção de Ocultar arquivos de sistema operativo protegidos (Recomendado).

Deletar diretorias e arquivos

1. Abra o Gerenciamento de Tarefas(Ctrl+Shift+Esc), abra o separador de Processos, encontre o processo chrome.exe e termine-o (clique com lado direito do mouse e selecione Terminar Processo) se uma mensagem de aviso não puder ser fechada.
2. Abra o RUN (tecla Windows + R).
3. Introduza %AppData%\Chrome Browser na caixa e clique em OK.
4. Delete esta diretoria.
5. Abra o RUN novamente e introduza %AppData%\Microsoft\Windows\Start Menu\Programas\Startup.
6. Clique em OK.
7. Encontre e remova o ChromeService.Ink.