El ransomware Ghost - ¿Como eliminarlo?

El ransomware Ghost podría parecer una amenaza que lo mejor sería esconderse y mantenerse invisible mientras causa daños como los fantasmas normales, pero no es así, porque el Ghost del que hablamos, es un cripto virus. En el mundo del malware, estas infecciones de ransomware son inseparables de las características de Scareware, lo que significa que usan varias técnicas visuales para amenazar a sus víctimas para que paguen el rescate, es la razón principal por la que los desarrolladores los crean.

Incluso aunque las estadísticas han mostrado, que el aumento de los mineros de criptodivisas está lentamente reemplazando a los antiguos ransomware, como el virus Ghost, porque es una manera más fiable para que los criminales puedan generar beneficios, y las variantes de amenazas que exigen criptos siguen apareciendo para amenazar a los usuarios incautos. Aunque el ransomware Ghost parece haber sido desarrollado por amateurs del malware más que profesionales, a juzgar por algunas características, sigue pudiendo bloquear sus preciados recuerdos digitales y hacerlos inaccesibles, incluso aunque elimine el virus.

Continúe leyendo esta publicación, si quiere saber qué métodos ha descubierto el equipo de 2-viruses.com como los más eficientes y útiles para detectar y eliminar el cripto-virus Ghost, restaurar los archivos encriptados, así como toda la información importante sobre el ransomware, que será útil para una prevención futura.

Cómo funciona el virus Ghost

Para acortar la historia, el ransomware Ghost es un tipo de malware que se infiltra en los ordenadores, normalmente a través de adjuntos de emails infectados, encripta todos los datos, excepto los Archivos de Sistema importantes y pide al comprometido dueño del ordenador que compra la clave de desencriptación. Todos los cripto-virus se comportan de la misma manera y solo se diferencian en algunas pequeñas cosas, como los algoritmos de encriptación, nombre de la extensión añadida, nota de rescate y cantidad exigida en el rescate.

El criptovirus Ghost usa específicamente un Cifrado AES para bloquear los archivos personales, como imágenes, vídeos, música, documentos, que encuentra según sus extensiones específicas (e.g. .docx, .jpg, .png, .mp3 y etc.), luego las marca al añadir la secuencia .Ghost al final de sus nombres y deja una nota de rescate formato GUI que dice:

Todos sus archivos han sido encriptados

Todos sus archivos han sido encriptados. Todavía no los he eliminado.

Para desencriptar envíe 0.08116 bitcoin a la siguiente dirección:

https://blockchain.info/payment_request?address = 1N7AmqH12EN3yAkVMPB5rZoVX758jgLbzj & amount_local = 500 & currency = USD & nosavecurrency = true & message = Pay% 20me!

Luego, envíe un email a [email protected] con su CÓDIGO ID.

Lamento las inconveniencias causadas.

La razón por la que el virus Ghost bloquea solo archivos personales es que suelen ser más valiosos para la víctima, por lo que, causa más estrés y deseos de recuperarlos a todo costa, además de eso, el usuario sigue siendo capaz de usar el mismo ordenador para contactar con los hackers y enviar criptodivisas de manera anónima. En lo que se refiere a la extensión, solo es otra técnica para mostrar que el sistema está comprometido y asustar a las víctimas incluso más. Pero pagar a los hackers Nunca es una buena idea .

El ransomware Ghost fue mencionado por primera vez en Twitter por @malwrhunterteam a mediados de Noviembre de 2018, y luego fue investigado en profundidad por otros expertos en malware. Los profesionales de ciberseguridad notaron que aunque el rescate solo pida 0.08116 BTC, el enlace de pago tiene otra cantidad solicitada 0.10692946 BTC y este no es el único error. Se ha notado que el código del ransomware Ghost contiene muchos códigos en españolo y usaba Gmail como dirección de contacto (que no proporciona un anonimato importante). Estas señales junto con el algoritmo AES más simple, pero más rápido, han delatado a los desarrolladores tras el virus Ghost como bastante nuevos en el negocio del malware. Hay más datos técnicos en VirusTotal.com.

Estas características significan mucho para los analistas de ransomware, que están intentando solucionar el problema del ransomware Ghost, pero son completamente irrelevantes para las víctimas que están realmente preocupadas por sus archivos, que a pesar de los errores de los criminales siguen estar disponibles. Por suerte, este infame virus puede ser eliminado con una posibilidad de recuperar los datos. Aunque el Desencriptador oficial sigue en desarrollo, siga leyendo para ver otras posibilidades y tácticas tras la invasión del ransomware Ghost.

Cómo se distribuye el ransomware Ghost

El virus Ghost, al igual que Lolita, Delphimorix, Neverdies, se distribuye a través de malspam. Es suficiente para los hackers con realizar Ingeniería social en algunos emails convincentes con un adjunto de .pdf o .doc, que lleva el virus y lo envía a grandes bases de datos de emails, que pueden comprarse en la DarkNet. La razón por la que muchas personas caen en estos emails falsos es que parecen mensajes legítimos del gobierno, clientes, empleados, bancos, abogados, amigos y más cosas. Normalmente son muy cortos, intrigantes y siempre piden de alguna u otra manera que descargue el archivo adjuntado.

Cuando la víctima abre el archivo, activa Macros, porque son necesarias para ver el contenido del documento y el ransomware Ghost se ejecuta y comienza a realizar procesos en segundo plano, encriptando rápidamente todos los archivos objetivo. Las Macros son el vector de distribución de ransomware más popular porque es un pequeño programa legítimo que no detectan los antivirus hasta que ha sido activado. Esa es la razón por la que saber cómo Reconocer campañas de phishing es crucial para poder protegerse de las pérdidas de archivos.

Cómo eliminar el virus Ghost y restaurar los archivos encriptados

Hay dos pasos importantes que tiene que completar si quiere restaurar su sistema y los datos de vuelta a la normalidad. Primero – elimine el ransomware Ghost, segundo – recupere sus archivos. Normalmente eliminar la amenaza, en este caso, no es la parte más difícil y es bastante sencillo si sabe lo que está haciendo. El problema es que incluso cuando su PC no tenga el virus Ghost, lo archivos encriptados seguirán bloqueados.

Si tiene copias de seguridad y hace puntos de restauración constantes de su Windows, tendrá suerte, porque es suficiente con usar nuestras instrucciones de debajo para recuperar la normalidad en su sistema, justo antes de la invasión del ransomware Ghost y recuperarás todos los archivos necesarios sin ningún problema. Sin embargo, si no tienes copias de seguridad o hay una pero realmente antigua, cuando tus archivos bloqueados ni siquiera existían en el PC, tendrás que tomar el camino largo y usar herramientas especiales como los eliminadores de malware Spyhunter para detectar y eliminar el ransomware y luego intentar recuperar los archivos ya sea con software de restauración o las Shadow copies, mencionadas antes.

Herramientas de extracción Malware automática

¿Cómo eliminar El ransomware Ghost usando Restauración del Sistema?

1. Reinicie su ordenador en Modo Seguro con Solicitud de Comando

1. Modo seguro

Para Windows 7/ Vista/ XP

• l Inicio → Apagar → Reiniciar → OK.
• l Presione la tecla F8 repetidamente hasta que la pantalla de Opciones de Inicio Avanzado aparece.
• l Elegir Modo Seguro con Solicitud de Comando.

Para Windows 8 / 10

• l Presione Potencia en la pantalla de acceso de Windows. Luego presione y mantenga la tecla Shift y haga clic en Reiniciar.
• l Elija solucionar problemas → Opciones Avanzadas → Configuración de Inicio y haga clic en Reiniciar.
• l Cuando se cargue, seleccione Permitir Modo Seguro con Solicitud de Comando en la lista de Configuraciones de Inicio.

2. Restaurar archivos y configuraciones del Sistema.

• l Cuando el modo de Solicitud de Comando se cargue, introduzca cd restore y presione Intro.
• l Luego introduzca rstrui.exe y presione Intro otra vez.
• l Haga clic en “Siguiente” en la ventana que apareció.
• l Seleccione uno de los Puntos de Restauración que están disponibles antes de que se infiltrase el Ransomware Ghost en su sistema y luego haga clic en “Siguiente”.
• l Para iniciar la restauración del Sistema haga clic en “Sí”.

2. Complete la eliminación del El ransomware Ghost

Tras restaurar su sistema, se recomienda escanear su ordenador con un programa anti-malware, como Malwarebytes, Spyhunter y elimine todos los archivos maliciosos relacionados con Ransomware Ghost.

3. Restaure los archivos afectados por El ransomware Ghost usando Shadow Volume Copies

Si no usa la opción de Restaurar Sistema en su sistema operativo, existe la posibilidad de usar capturas de shadow copy. Almacenan copias de sus archivos en el punto temporal en el que la captura de restauración del sistema fue creada. Normalmente Ransomware Ghost intenta eliminar todas las posibles Shadow Volume Copies, así que este método puede que no funcione en todos los ordenadores. Sin embargo, puede que falle al hacerlo.

Shadow Volume Copies sólo está disponible con Windows XP Service Pack 2, Windows Vista, Windows 7 y Windows 8. Hay dos maneras de recuperar sus archivos a través de Shadow Volume Copu. Puede hacerlo usando las versiones anteriores nativas de Windows o a través de Shadow Explorer.

a) Versiones Anteriores nativas de Windows

Haga clic derecho en un archivo encriptado y seleccione Propiedades>Pestaña de versiones anteriores. Ahora verá todas las copias disponibles de ese archivo particular y del momento cuando fue almacenado en un Shadow Volume Copy. Elija la versión del archivo que quiera recuperar y haga clic en Copiar si quiere guardarlo en algún directorio suyo, o Restaurar si quiere reemplazar el archivo encriptado existente. Si quiere ver el contenido del archivo previamente, simplemente haga clic en Abrir.

b) Shadow Explorer

Es un programa que puede encontrarse online de manera gratuita. Puede descargar tanto una versión completa o portable de Shadow Explorer. Abra el programa. En la esquina superior derecha el disco donde el archivo que está buscando está almacenado. Verá todas las carpetas en ese disco. Para recuperar la carpeta completa, haga clic derecho en ella y seleccione “Exportar”. Luego escoja dónde quiere que se almacene.

Nota: En muchos casos es imposible restaurar archivos de datos afectados por un ransomware moderno. Por eso recomiendo usar un software de copias de seguridad en la nube decente como precaución. Le recomendamos echar un vistazo a Carbonite, BackBlaze, CrashPlan o Mozy Home.