O ransomware Wsuu é um tipo específico de malware que criptografa seus arquivos e força você a pagar para restaurá-los. A família Djvu/STOP ransomware foi revelada e analisada pela primeira vez pelo analista de vírus Michael Gillespie.
O vírus Wsuu é semelhante a outros ransomwares DJVU, como: Wsaz, Kitu. Este vírus criptografa todos os tipos de arquivos populares e adiciona sua extensão particular “.wsuu” a todos eles. Por exemplo, o arquivo “1.jpg” será alterado para “1.jpg.wsuu“. Assim que a criptografia é concluída, o vírus gera um arquivo de mensagem especial “_readme.txt” e o deixa em todas as pastas que contêm os arquivos modificados.
A imagem abaixo dá uma visão clara de como ficam os arquivos com extensão “.wsuu”:
Este texto solicitando o pagamento é para recuperar os arquivos via chave de descriptografia:
O Wsuu ransomware chega como um conjunto de processos destinados a realizar diferentes tarefas no computador da vítima. Um dos primeiros a serem lançados é o winupdate.exe, um processo complicado que exibe um falso prompt de atualização do Windows durante o ataque. Isso serve para convencer a vítima de que uma desaceleração repentina do sistema é causada por uma atualização do Windows. No entanto, ao mesmo tempo, o ransomware executa outro processo (geralmente nomeado por quatro caracteres aleatórios) que inicia a varredura do sistema em busca de arquivos de destino e os criptografa. Em seguida, o ransomware exclui as cópias de sombra de volume do sistema usando o seguinte comando CMD:
vssadmin.exe Delete Shadows /All /Quiet
Uma vez excluído, torna-se impossível restaurar o estado anterior do computador usando pontos de restauração do sistema. O problema é que os operadores de ransomware estão se livrando de qualquer método baseado no sistema operacional Windows que possa ajudar a vítima a restaurar arquivos gratuitamente. Além disso, os criminosos modificam o arquivo HOSTS do Windows adicionando uma lista de domínios a ele e mapeando-os para o IP localhost. Como resultado, a vítima encontrará um erro DNS_PROBE_FINISHED_NXDOMAIN ao acessar um dos sites bloqueados.
Percebemos que o ransomware tenta bloquear sites que publicam vários guias de instruções para usuários de computador. É evidente que, ao restringir domínios específicos, os criminosos estão tentando impedir que a vítima acesse informações relevantes e úteis relacionadas a ataques de ransomware online. O vírus também salva dois arquivos de texto no computador da vítima que fornecem detalhes relacionados ao ataque – a chave de criptografia pública e o ID pessoal da vítima. Esses dois arquivos são chamados de bowsakkdestx.txt e PersonalID.txt.
Depois de todas essas modificações, o malware não para. Variantes do STOP/DJVU tendem a soltar o Trojan de roubo de senha Vidar em sistemas comprometidos. Essa ameaça tem uma longa lista de recursos, como:
- Roubar Steam, Telegram, login/senha do Skype;
- Roubar carteiras de criptomoedas;
- Baixar malware no computador e executá-lo;
- Roubar cookies do navegador, senhas salvas, histórico de navegação e muito mais;
- Visualizar e manipular arquivos no computador da vítima;
- Permitir que os hackers executem outras tarefas remotamente no computador da vítima.
O algoritmo de criptografia usado pelo ransomware DJVU/STOP é o AES-256. Portanto, se seus documentos foram criptografados com uma chave de descriptografia online, isso é totalmente diferente. A triste realidade é que é impossível descriptografar os arquivos sem a chave exclusiva.
Caso o Wsuu funcione no modo online, é impossível para você obter acesso à chave AES-256. Ele é armazenado em um servidor remoto de propriedade dos fraudadores que promovem o vírus Wsuu.
Para receber a chave de descriptografia, o pagamento deve ser de $ 980. Para obter os detalhes do pagamento, as vítimas são incentivadas pela mensagem a entrar em contato com as fraudes por e-mail (support@fishmail.top).
A mensagem do ransomware informa as seguintes informações:
ATTENTION! Don't worry, you can return all your files! All your files like photos, databases, documents and other important are encrypted with strongest encryption and unique key. The only method of recovering files is to purchase decrypt tool and unique key for you. This software will decrypt all your encrypted files. What guarantees you have? You can send one of your encrypted file from your PC and we decrypt it for free. But we can decrypt only 1 file for free. File must not contain valuable information. You can get and look video overview decrypt tool: https://we.tl/t-WJa63R98Ku Price of private key and decrypt software is $980. Discount 50% available if you contact us first 72 hours, that's price for you is $490. Please note that you'll never restore your data without payment. Check your e-mail "Spam" or "Junk" folder if you don't get answer more than 6 hours. To get this software you need write on our e-mail: support@fishmail.top Reserve e-mail address to contact us: datarestorehelp@airmail.cc Your personal ID: XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
Source: https://br.howtofix.guide/wsuu-virus-file-2/#Virus_Wsuu
