CDXX virus (.cdxx fil) Ransomware: 3 Nemme måder at gendanne

CDXX virus, en variant af STOP/Djvu ransomware-familien, er berygtet for sin udbredte udbredelse. Denne malware er rettet mod Windows-pc'er, kryptering af filer til CDXX-format og tilføjelse af en løsesumseddel (readme.txt) til hver mappe, der indeholder krypterede filer. Dens sofistikerede krypteringsteknikker gør det udfordrende at gendanne filer med konventionelle metoder, gør det til en af ​​de mest formidable trusler i cybersikkerhedslandskabet.

I dette indlæg, Jeg vil forklare, hvad der skete, og vise dig, hvordan du fjerner CDXX malware fra din computer. Ud over, du vil se flere måder til filgendannelse efter ransomware-angrebet.

Hvad er CDXX Virus?

CDXX ransomware er en ondsindet software, der sigter mod brugerens filer og krypterer det med en stærk chiffer (Salsa 20), deaktiverer antivirusværktøjer, og sletter sikkerhedskopierne. Hver fil – Word dokument, Excel tabel, eller foto – vil modtage en CDXX filtypenavn. Derfor, filen “photo.jpg” vil blive til “photo.jpg.cdxx”. Derefter, det genererer en løsesum med navnet _readme.txt og tilføjer det til hver mappe med krypterede filer på dit skrivebord. På den note, du vil se beskeden om en ondsindet hændelse og instruktionerne for en løsesumsbetaling. Det ser sådan ud:


ATTENTION!

Your personal ID:


CDXX ransomware deler de samme vaner med størstedelen af ​​andre STOP/Djvu ransomware eksempler. Denne familie dukkede op i 2018 og redegjorde for over 70% af alle ransomware-angreb på enkeltpersoner. Det er en trendsætter i sin branche og har en masse funktioner, der er typiske for enhver anden ransomware-gruppe der angriber individuelle brugere. Løsesum, underretningsmåde, forholdsregler for at undgå brug af backup – alle disse ting er nu ens overalt. Men de dukkede oprindeligt op takket være Djvu ransomware.

Hvordan fik jeg CDXX malware?

Langt størstedelen af ​​malware, der angriber enkeltbrugere, vælger den samme spredningstaktik. STOP/Djvu ransomware, især CDXX-varianten, er ikke en udelukkelse. De mest almindelige måder at sprede sig på er forskellige software-revner, ulicenserede programmer, og tvivlsomme værktøjer fra internettet. I særdeleshed, de anvender taktikken med at skabe et engangswebsted, hvor populære ting er lagt ud i øjeblikket. Nye Marvel-film, nye spil, eller værktøjer til Windows 11 aktivering – grundlaget for en sådan dummy vises dagligt. Søgespamteknikker booster denne sides søgeresultater, gør det til det mest populære i de relaterede anmodninger. Et link til direkte download eller torrent-download indeholder nyttelasten på det samme websted.

Cyberkriminelle, der distribuerer denne ransomware, injicerer oprindeligt downloaderens malware, som fungerer som en forløber for yderligere malware. Det deaktiverer sikkerhedsmekanismerne der potentielt kan stoppe ransomwaren eller gøre det besværligt at inficere systemet. Deaktivering af Windows Defender, anvendelse af visse netværksændringer, og justering af koncernpolitikkerne. Den sidste handling udføres for at begrænse udførelsen af ​​installationsfiler af programmerne, generelt – antivirus løsninger.

CDXX Virus Encryption Process

ransomware fortsætter med at ændre systemet efter at være blevet injiceret med downloaderen. I særdeleshed, CDXX ransomware deaktiverer de mest populære sikkerhedskopieringsmetoder (Volume Shadow Copies og OneDrive-sikkerhedskopier). Det blokerer adgangen til bestemte hjemmesider, hvor offeret kan finde løsningen. Efter det, ransomware starter krypteringsprocessen. I henhold til koden for lækkede STOP/Djvu prøver, den udfører kryptering på en trin-for-trin måde. Først, ransomware scanner mapperne på din disk. Hvis den finder filerne, kan den kryptere, den forbinder til serveren, beder om krypteringsnøglen, og starter krypteringen. Når processen er slut, det går tilbage til scanningsprocessen.

Krypteringsmekanismen, der bruges af CDXX ransomware er AES-256. Denne standard er valgt af mange sikkerhedsteknologier. For eksempel, din trafik er krypteret med denne chiffer, når den er forbundet til webstedet via en HTTPS-forbindelse. Det er ikke det stærkeste, men du kan ikke dekryptere det på moderne computere. Med end-to-end-kryptering på tidspunktet for forbindelse til serveren, der bruges af denne ransomware, det er umuligt at opsnappe dekrypteringsnøglen. Ikke desto mindre, det betyder ikke, at du ikke kan få dine filer tilbage.

CDXX ransomware afslutter den sidste del af kryptering. Den anvender flere handlinger for at give en større vedholdenhed. Den originale eksekverbare fil bliver klonet til en bibliotek langt væk fra de typiske valgt af malware. Temp eller ProgramFiles mapper kontrolleres selv af de enkleste antivirus, så ransomware placerer sine filer på dybere og mindre kendte steder.

Sådan fjerner du CDXX og beskytter dig selv mod ransomware?

Ransomware er en af ​​de mest sofistikerede malware-typer. Det er svært at opdage, og fjernelsesprocessen skal udføres med størst mulig omhu. CDXX virus er kendt for at blokere de eksekverbare filer i sikkerhedsprogrammer i at starte. Denne blokering er ikke proaktiv og er baseret på de ændringer, den foretager før krypteringen. Derfor, du skal omgå denne barriere og rette den efter ransomware er fjernet. Og det er vigtigt at fjerne virussen, før du foretager andre handlinger – Ellers, ransomware vil gendanne dine ændringer.

Den bedste software til fjernelse af malware til dette formål er Loaris Trojan Remover. Denne applikation kan fjerne ransomware-truslen fra din pc og reparere systemet efter angrebet. Den har en avanceret scanningsmekanisme, der består af tre forskellige moduler, der kan registrere ransomware i enhver form. Derudover, du vil være i stand til at tjekke op på alle mistænkelige steder med funktionen Custom Scan – den scanner den udpegede mappe på blot et minut.

Det er vigtigt at nævne, at omgåelse af ransomware, der blokerer for lanceringen af ​​executive-filer, kræver opstart i fejlsikret tilstand med netværk. Du kan downloade installationsprogrammet før opstart eller efter det – det vil overhovedet ikke betyde noget.

For at starte din pc i fejlsikret tilstand, du skal åbne fejlfindingspanelet. Tryk på Win → Power, og klik derefter på Genstart-knappen, mens du holder Shift-tasten nede. Efter det, du vil se fejlfindingsskærmen. Gå til Startindstillinger → Windows 10 Fejlsikret tilstand med netværk. Tryk på Enter og vent til dit system indlæses.

Fejlsikret tilstand i Windows antager, at systemet indlæses uden bestemte moduler, i særdeleshed – opstartsprogrammerne og en del af Group Policies. Denne tilstand er praktisk til fjernelse af malware, da den forhindrer lanceringen af ​​programmer, der ikke er angivet som systemer, og fastlægger de fleste restriktioner implementeret af malware.

Fjern ransomware med Loaris Trojan Remover

Når din pc er startet i fejlsikret tilstand, start Loaris installationsfil og vent, indtil programmet er installeret. Det kan tage flere minutter. Efter det, programmet vil tilbyde dig for at aktivere en gratis prøveperiode. Denne handling anbefales, da den giver dig mulighed for at bruge den fulde funktionalitet af Trojan Remover. Indtast blot din e-mailadresse og modtag en gratis prøvekode.

Når prøveversionen er aktiveret, start den fulde scanning. Det kan holde til 20-30 minutter, så hav tålmodighed. Du kan bruge din computer under denne operation uden nogen begrænsninger.

Efter scanningen, du vil se listen over opdagede trusler. Som standard, programmet udpeger passende handlinger for hver detektion. I særdeleshed, for CDXX-virussen, det er en fjernelse. Imidlertid, du kan administrere disse handlinger ved at klikke på etiketten i højre side af registreringen, hvis du mener, at nogle registrerede genstande kan have brug for en anden handling.

Sådan dekrypteres CDXX-filer?

Det er ikke meget du kan gøre med filerne krypteret af CDXX ransomware, hvis alt er gjort korrekt. Denne malware forudsætter brugen af ​​to nøgletyper – online og offline. Førstnævnte er den vigtigste, og det bruges i de fleste tilfælde. Den består af 256 symboler og er unik for hvert offer. CDXX virus modtager det fra kommandoserveren hver gang den forsøger at kryptere en anden mappe i filsystemet. Imidlertid, når den ikke kan oprette forbindelse til serveren – fordi den er nede, eller der er problemer med forbindelsen – filerne er krypteret med en offline nøgle. Offline-nøglen er altid enkelt for hver variant, så alle ofre, hvis filer blev krypteret med offlinenøglen, kan gemmes.

Emsisoft tilbyder et værktøj til at dekryptere filerne efter STOP/Djvu-angrebet. Udviklerens team indsamler de lækkede offline- og onlinenøgler. det er 100% gratis at bruge da virksomheden udfører denne handling på frivillig basis.

Dekrypter dine filer med Emsisoft Decryptor for STOP Djvu

Download og installer Emsisoft Decryptor til STOP Djvu fra udviklerens hjemmeside. Derefter, Åbn programmet og lav en primær opsætning. Du skal angive de mapper, hvor de krypterede filer er gemt. Derefter, du kan trykke på "Dekrypter" og se efter resultaterne.

Under dekrypteringsprocessen, du kan se visse beskeder fra programmet. Lad os tjekke dem ud:

• ☞ Fjernnavnet kunne ikke løses

  Denne meddelelse står for fejlen i løsningen af ​​Emsisoft-serverne’ DNS. Da programmet ikke bringer nøgledatabasen og modtager den fra skyen, den har brug for en stabil internetforbindelse. I tilfælde af denne fejl, forsøge at nulstil din HOSTS-fil og prøv igen.

• ☞ Ingen nøgle til New Variant online ID: [Dit ID]

  Varsel: Dette er et online-id. Dekryptering er umulig.

  Det værste scenario – du har dine filer krypteret med online-nøglen. Det er unikt for hvert offer. Derfor kan du ikke dekryptere filerne med Emsisoft-værktøjet.

• ☞ Ingen nøgle til New Variant offline ID: [eksempel ID]

  Dette id ser ud til at være et offline-id. Derfor, dekryptering kan være mulig i fremtiden.

  Fodnoten til denne besked forklarer meget. Du er heldig nok, da dine filer blev krypteret med et offline-id, men der er endnu ingen nøgle lækket til din sag. Hav tålmodighed og vent. Nøglen kan dukke op om flere uger.

• ☞ Fejl: Kan ikke dekryptere fil med ID: [Dit ID]

  Denne meddelelse betyder, at Emsisoft-programmet ikke kunne finde den tilsvarende nøgle til din sag. Stadig, det er ikke den værste situation – det kan stadig dukke op i fremtiden.

Få dine filer tilbage med filgendannelsesværktøjer

Dekrypteringen jeg beskrev ovenfor er ikke den eneste mulighed for at gendanne filerne. På grund af den specifikke algoritme, der anvendes af ransomware under krypteringsprocessen, , det er muligt at komme sig filerne med filgendannelsesværktøjer. Jeg vil anbefale PhoroRec som en gratis og effektiv løsning.

STOP/Djvu ransomware krypterer ikke den nøjagtige fil. Det kopierer det originale dokument, chiffer det, sletter derefter originalen og erstatter den med en krypteret kopi. I mellemtiden, fillagringsteknikkerne gør det muligt at gendanne de slettede filer fra disken. Sletning af filerne fra operativsystemet betyder normalt at slette oplysningerne om filplaceringen på disken fra filsystemet. På samme tid, disken beholder stadig resten af ​​filen – indtil det tilsvarende område ikke vil blive fyldt med det andet, valideret af filsystemet.

PhotoRec er et værktøj, der søger efter disse resterende fildele og gendanner dem. Det kan grave resten af ​​de filer frem, du har slettet tidligere, men det er meget bedre at få dine vigtige data tilbage og slette de overdrevne filer. Lad os se, hvordan du bruger det korrekt.

Brug af PhotoRec til at gendanne .CDXX-filer

Download PhotoRec fra den officielle hjemmeside. Det er gratis og spredt sammen med det andet værktøj fra denne udvikler – TestDisk. Da den er bærbar, du behøver ikke at installere det – lige udpak det downloadede arkiv og åbn mappen. I det, find filen qphotorec_win.exe og start den.

I programmet, du skal konfigurere før hver diskscanning. Først, vælg den disk eller den partition, du vil scanne, fra rullemenuen i den øverste del af vinduet. Derefter, du skal angive mappen for de gendannede filer. Det anbefales at dumpe alle gendannede filer til et USB-flashdrev. Endelig, du skal angive de filformater, du vil gendanne. PhotoRec genopretter over 400 forskellige formater, men at vælge alle vil øge scanningstiden markant. Det anbefales kun at tilmelde dig de filtyper, du har brug for.

Ofte stillede spørgsmål