De zCrypt Ransomware - Hoe te verwijderen

De zCrypt ransomware is een recente ransomware variant voor welke nog geen decodering werd ontworpen. Hoewel zijn naam niet echt geraffineerd is, vertoont de zCrypt ransomware gelijkenissen met TeslaCrypt, CryptoWall, Cerber en andere gelijkaardige ransomwares omdat het een asymmetrisch codering algoritme gebruikt om je bestanden te coderen. Er wordt gezegd dat het de nieuwste versie is van de CryptoLocker en RSA ransomwares. De interessantste karaktertrek aan deze bestand codeerder is dat het een pop-up toont met een nep systeem waarschuwing en vooral Russische gebruikers als doelwit heeft. De andere basis eigenschappen van de zCrypt ransomware zullen verduidelijkt worden in de volgende paragraaf.

Over de zCrypt Ransomware

De zCrypt Ransomware viseert alle versies van Windows. Het gebruikt RSA-2048 en AES CBC 256-bit versleuteling. De RSA is de openbare sleutel welke gegenereerd wordt voor het coderen en AES is de privé sleutel die gegenereerd wordt voor het decoderen. De coderingssleutel wordt openbaar bewaard en de decoderingssleutel wordt bewaard op servers die beheerd worden door de hackers. De zCrypt bestand codeerder voegt de .zCrypt extensie toe aan de gecodeerde bestanden. Tijdens het coderen verschijnt een willekeurige pop-up, ‘‘There is no disk in the drive. Please insert a disk into drive D’’. Het dialoogvenster die je ziet is inactief. Dit wordt enkel gedaan om je aandacht af te leiden van de kwaadaardige zaken die uitgevoerd worden door de zCrypt cryptomalware.

Nadat het coderen voltooid werd, verschijnt het How_to_decrypt_files.txt bestand in elke map met gecodeerde bestanden, How_to_decrypt_files.png vervangt je bureaublad achtergrond en How_to_decrypt_files.html wordt op het bureaublad geplaatst en automatisch geladen wanneer de browser gestart wordt. Deze bestanden bevatten de losgeldbrief. Momenteel vragen de cyber criminelen voor 1,2 BTC wat op dit moment 569.82 USD is – een relatief hoge som in vergelijking met andere ransomwares. Je krijgt vier dagen om het losgeld te betalen. Als er geen betaling werd uitgevoerd, wordt het bedrag, momenteel, verhoogt naar 5 BTC – 2,377.15 USD. Als de betaling de hackers niet bereikt binnen de 7 dagen, beweren ze dat ze de decoderingssleutel zullen vernietigen. Het contactadres is [email protected].

Hoe Infecteert De zCrypt Ransomware Je Computer?

De Zcrypt codering Trojaan maakt gebruik van spambots. Het verstuurd spam e-mails met geïnfecteerde bijlagen naar het mailadres van zijn slachtoffers. Deze nep e-mails worden verstuurd vanwege onbekende afzenders of zijn vermomt als officiële brieven. Ze kunnen zelfs logo’s en andere “legitieme” markeringen bevatten. Ze beweren verzonden te zijn van bedrijven zoals DHL, FedEx, eBay, PayPal, etc. Het andere pad dat deze bestandscodeerder bewandelt om je pc te infiltreren is dat van het uitbuiten van kwetsbaarheden in je beveiliging via exploit kits zoals Angler EK (exploit kit), Nuclear EK, etc.

Hoe bestanden die gecodeerd werden door de zCrypt Ransomware decoderen?

Het betalen van het losgeld zou enkel leiden tot het verliezen van een aanzienlijke som geld. Helaas, zijn er op het moment van schrijven geen decodering tools voorhanden. Beveiligingsexperten zijn echter hard aan het werk op dit probleem op te lossen. De zCrypt Ransomware verwijdert schaduw volume kopieën, dus een lokale back-up zal je niet verder helpen. Daarom is het aangeraden om je meest waardvolle data te bewaren op een externe schijf of externe opslag diensten te gebruiken zoals Cloud storage service.

Als deze waardevolle raad echter te laat komt, kan je nog steeds data recovery tools gebruiken zoals PhotoRec, producten van Kaspersky, etc. Om de zCrypt Ransomware te verwijderen gebruik je best professionele malware verwijdering tools zoals SpyHunter, Malwarebytes of StopZilla. Deze beveiliging tools zullen niet enkel deze vreselijke ransomware verwijderen maar ook alle andere dreigingen en ervoor zorgen dat je in de toekomst malware vrij blijft. Volg de onderstaande verwijderingshandleiding voor de zCrypt Ransomware.

Hoe De zCrypt Ransomware verwijderen via het Systeemherstel?

1. Herstart je computer in Veilige Modus met Opdracht Prompt

voor Windows 7 / Vista/ XP

• Start → Afsluiten → Herstarten → OK.
• Druk herhaaldelijk op de F8 toets tot het Geavanceerde Boot Opties venster verschijnt.
• Kies Veilige Modus met Opdracht Prompt.

voor Windows 8 / 10

• Druk op Aan/Uit op Windows aanmeldscherm. Druk dan op de Shift toets en hou hem ingedrukt en klik op Herstarten.
• Kies probleemoplossing → Geavanceerde Opties → Opstart instellingen en klik op herstarten.
• Terwijl het laadt, selecteer Veilige Modus met Opdracht Prompt inschakelen uit de lijst van Opstart Instellingen.

Systeembestanden en instellingen herstellen.

• Als de Opdracht Prompt modus laadt, geef je cd herstel in en druk op Enter.
• Geef dan rstrui.exe in en druk opnieuw op Enter.
• Klik op “Volgende” in het venster dat verscheen.
• Selecteer één van de Herstelpunten die beschikbaar zijn voor dat zCrypt Ransomware je systeem geïnfiltreerd heeft en klik dan op “Volgende”.
• Om het Systeemherstel te starten klik je op “Ja”.

2. Complete verwijdering van De zCrypt Ransomware

Na het herstellen van je systeem, is het aangeraden om je computer te scannen met een anti-malware programma, zoals  Spyhunter en verwijder alle kwaadaardige bestanden die gerelateerd zijn aan zCrypt Ransomware.

3. Herstel door De zCrypt Ransomware aangetaste bestanden met “Shadow Volume Copies”

Als je de Systeemherstelfunctie niet gebruikt, kan shadow copy momentopnamen gebruiken. Deze bewaren kopieën van je bestanden op het tijdstip dat de systeemherstel momentopname aangemaakt werd. Meestal probeert zCrypt Ransomware om alle Shadow Volume Copies te verwijderen, dus het kan zijn dat deze methode niet op alle computers werkt.

Shadow Volume Copies zijn enkel beschikbaar voor Windows XP Service Pack 2, Windows Vista, Windows 7, en Windows 8. Er zijn twee manieren om je bestanden te herstellen via Shadow Volume Copy. JE kan dit doen via ‘native Windows Previous Versions’ of via Shadow Explorer.

a) Native Windows Previous Versions

Rechtermuisklik op een gecodeerd bestand en selecteer Eigenschappen>Vorige versies tab. Nu zal je alle beschikbare kopieën van dat specifiek bestand en het tijdstip wanneer het opgeslagen werd in een Shadow Volume Copy. Kies de versie van het bestand dat je wil herstellen en klik op Copy als je het in dezelfde map als die van jou wil bewaren, of Herstellen als je het bestaande, gecodeerde bestand wilt. Als je eerst de inhoud van het bestand wilt zien, klik dan gewoon op openen.

b) Shadow Explorer

Het is een gratis programma dat je online kan vinden. Je kan ofwel de volledige of de draagbare versie van Shadow Explorer downloaden. Open het programma. Selecteer in de linker bovenhoek de schijf waar het bestand waar je naar opzoek bent bewaard werd. Je zal alle mappen op die schijf te zien krijgen. Om een volledige map op te halen, rechtermusiklik er op en selecteer “Exporten”. Kies dan de locatie waar je het wilt bewaren.

Opmerking: In veel gevallen is het onmogelijk om de bestanden die aangetast werden door moderne ransomware te herstellen. Daarom raad ik aan om een degelijke cloud back-up software te gebruiken uit voorzorg. We raden je aan om Carbonite, BackBlaze, CrashPlan of Mozy Home eens te bekijken.