El ransomware XData - ¿Como eliminarlo?

El virus ransomware XData fue detectado ayer, el 18 de Mayo. XData es un ransomware, que opta a funcionar como Encriptador de Archivos. Según el análisis de la carga msdcom.exe, este ransomware específico podría distribuirse con el Troyano Heur, ya que muchas herramientas de seguridad han indicado su presencia potencial. El proceso de encriptación que realiza esta infección sobre los archivos digitales se detalle como un algoritmo AES. Los investigadores parecen haber recibido informes de unas cuantas docenas de usuarios, que explican que sus archivos fueron modificados con la extensión .xdata.

Características de este ransomware

En la nota de rescate, se dice a las víctimas que encuentren el archivo de clave PC, que debería incluir la extensión “.key.~data~”. Se indica que debería estar en algún lugar del disco C:, dependiendo del sistema operativo. Las víctimas individuales serán identificadas con números ID diferentes proporcionados a cada uno. Hay suficientes pruebas de las infecciones que nos han llegado previamente con que la cantidad a pagar cambiará. La tarifa podría establecerse según la cantidad de documentos, fotografías, material de vídeo y otros tipos de archivos digitales encriptados.

Después de eso, los datos codificados ya no estarán disponibles para el uso, ya que los usuarios no serán capaces de ejecutarlos. Se ha vuelto un rasgo principal para los desarrolladores de ransomware el no revelar la cantidad del rescate en los archivos .txt, sino que proporcionan esta información a través de transacciones de email. Se dejan una gran cantidad de cuentas de email en el archivo HOW_CAN_I_DECRYPT_MY_FILES.txt: [email protected], [email protected], [email protected], [email protected], [email protected], [email protected].

La carga de la infección XData ha sido identificada de manera explícita como el archivo msdcom.exe. Los investigadores de seguridad indican que este es un proceso no solicitado y si está ejecutándose en su Administrador de Tareas, debe saber que es totalmente inútil. Previamente, este procedimiento potencialmente dañino se incluyó en los sistemas operativos por parte del Gusano W32/SDBOT. Ahora, este archivo fue seleccionado para extraer ejecutables adicionales y comenzar el proceso principal: la encriptación de archivos. También cubrirá otros procedimientos, al crear entradas adicionales en las Claves de Registro de Windows y conectarse a los servidores C&C.

No pierda su tiempo contactando con los hackers a través de las direcciones de email indicadas. Los criminales simplemente elaborarán la cantidad del rescate exacta y la cartera de bitcoin en la que debe enviarse. Incluso aunque quiera aceptar las reglas y enviarles la suma requerida, no debería confiar en que recuperará sus archivos.

Los desarrolladores de ransomware tienen la tendencia de hacer desaparecer sus cuentas después de haber sido llenadas con bitcoins. Esto significará que se le dejará sin su dinero. Como no hay limitaciones temporales para pagar el rescate, tiene todo el tiempo del mundo para desencriptar sus archivos sin que sean destruidos de manera permanente.

¿Cómo recuperar los archivos?

Por ahora, no se ha creado todavía un desencriptador original, pero siempre existe la posibilidad de que se publique. En lugar de pagar el rescate, debería explorar opciones adicionales. Por ejemplo, las Shadow Volume Copies podrían estar intactas y su restauración todavía podría ser una opción. Además, podría usar software que ha sido diseñado para recuperar datos que han sido codificados. Ambas opciones se discuten con más detalles después del párrafo de distribución del malware.

Sin embargo, si ha sido lo suficientemente precavido como para guardar sus archivos en copias de seguridad, simplemente debe eliminar la infección y continuar con la recuperación desde las fuentes de almacenamiento. Para deshacerse de todos los restos de los procesos maliciosos, se le recomienda usar Spyhunter o Hitman para la detección y eliminación de los procesos del ransomware XData.

Métodos potenciales de transmisión de muestras maliciosas

Los ejecutables dañinos podrían estar disponibles en correos de email que recibe en su bandeja de entrada. Este tipo de mensajes de spam normalmente fingen venir de parte de autoridades respetables, mientras que, en realidad, sus creadores son hackers. No descargue archivos que estén incluidos como adjuntos, ya que es muy probable que inicien varios tipos de procesos dañinos. Además, el ransomware podría llegar gracias a webs vulnerables, anuncios engañosos, descargas Peer-to-peer también prestan un rol importante en la distribución de troyanos.

¿Cómo eliminar El ransomware XData usando Restauración del Sistema?

1. Reinicie su ordenador en Modo Seguro con Solicitud de Comando

1. Modo seguro

Para Windows 7/ Vista/ XP

• l Inicio → Apagar → Reiniciar → OK.
• l Presione la tecla F8 repetidamente hasta que la pantalla de Opciones de Inicio Avanzado aparece.
• l Elegir Modo Seguro con Solicitud de Comando.

Para Windows 8 / 10

• l Presione Potencia en la pantalla de acceso de Windows. Luego presione y mantenga la tecla Shift y haga clic en Reiniciar.
• l Elija solucionar problemas → Opciones Avanzadas → Configuración de Inicio y haga clic en Reiniciar.
• l Cuando se cargue, seleccione Permitir Modo Seguro con Solicitud de Comando en la lista de Configuraciones de Inicio.

2. Restaurar archivos y configuraciones del Sistema.

• l Cuando el modo de Solicitud de Comando se cargue, introduzca cd restore y presione Intro.
• l Luego introduzca rstrui.exe y presione Intro otra vez.
• l Haga clic en “Siguiente” en la ventana que apareció.
• l Seleccione uno de los Puntos de Restauración que están disponibles antes de que se infiltrase el Ransomware XData en su sistema y luego haga clic en “Siguiente”.
• l Para iniciar la restauración del Sistema haga clic en “Sí”.

2. Complete la eliminación del Virus XData

Tras restaurar su sistema, se recomienda escanear su ordenador con un programa anti-malware, como Malwarebytes, Spyhunter y elimine todos los archivos maliciosos relacionados con El ransomware XData.

3. Restaure los archivos afectados por Ransomware XData usando Shadow Volume Copies

Si no usa la opción de Restaurar Sistema en su sistema operativo, existe la posibilidad de usar capturas de shadow copy. Almacenan copias de sus archivos en el punto temporal en el que la captura de restauración del sistema fue creada. Normalmente Virus XData intenta eliminar todas las posibles Shadow Volume Copies, así que este método puede que no funcione en todos los ordenadores. Sin embargo, puede que falle al hacerlo.

Shadow Volume Copies sólo está disponible con Windows XP Service Pack 2, Windows Vista, Windows 7 y Windows 8. Hay dos maneras de recuperar sus archivos a través de Shadow Volume Copu. Puede hacerlo usando las versiones anteriores nativas de Windows o a través de Shadow Explorer.

a) Versiones Anteriores nativas de Windows

Haga clic derecho en un archivo encriptado y seleccione Propiedades>Pestaña de versiones anteriores. Ahora verá todas las copias disponibles de ese archivo particular y del momento cuando fue almacenado en un Shadow Volume Copy. Elija la versión del archivo que quiera recuperar y haga clic en Copiar si quiere guardarlo en algún directorio suyo, o Restaurar si quiere reemplazar el archivo encriptado existente. Si quiere ver el contenido del archivo previamente, simplemente haga clic en Abrir.

b) Shadow Explorer

Es un programa que puede encontrarse online de manera gratuita. Puede descargar tanto una versión completa o portable de Shadow Explorer. Abra el programa. En la esquina superior derecha el disco donde el archivo que está buscando está almacenado. Verá todas las carpetas en ese disco. Para recuperar la carpeta completa, haga clic derecho en ella y seleccione “Exportar”. Luego escoja dónde quiere que se almacene.

Nota: En muchos casos es imposible restaurar archivos de datos afectados por un ransomware moderno. Por eso recomiendo usar un software de copias de seguridad en la nube decente como precaución. Le recomendamos echar un vistazo a Carbonite, BackBlaze, CrashPlan o Mozy Home.

Herramientas de extracción Malware automática