Stampado Ransomware - Hvordan fjernes det?

Ligesom Payms ransomware sælges Stampado ransomware på mørkenettet. Stampado cryptomalware deler mange lighedstegn med CryptoLocker virus, men it-sikkerhedsforskere konkluderer, at Stampado virus ikke er lavet af de samme udviklere. Denne ransomware-trussel bliver solgt til den mest latterlige pris, som er 39 dollars for en livstidslicens. Hackerne bag dette ransomware tilføjer også en videovejledning, der forklarer, hvordan man bruger dette ondsindede program. Derfor har Stampado fil-krypterende virus allerede fortjent navnet RaaS – et såkaldt ransomware-as-a-service.

Om Stampado Ransomware

Stampado ransomware benytter den populære asymmetriske krypteringsalgoritme, hvilket betyder, at der udvikles to nøgler – en til kryptering og en til dekryptering. Naturligvis har man ikke fri adgang til dekrypteringsnøglen, og man skal derfor købe den. Hackerne kalder den for en ”hemmelig nøgle”. Filerne, der står for skud, er stort set alle de populære formater: .doc, .jpeg, .mp3, .avi osv. Virussen vedhæfter .locked-udvidelsen til filnavn-udvidelserne ved hver krypterede fil. For eksempel bliver photo.jpg omdøbt til photo.jpg.locked.

Klienterne, som har købt Stampado ransomware kan tilpasse størrelsen på løsesummen, som de opkræver. Men de 96 timer, som offeret har til at betale summen, er en del af dette ondsindede program og kan ikke tilpasses. Hvis de ramte brugere ikke betaler inden for den tidsramme, vil en tilfældig fil blive slettet hver sjette time. It-svindlerne kalder dette væmmelige spil for ”russisk roulette”.

Beskeden med løsesummen har to stopure: et for tidsfristen og et andet, der viser hvor lang tid, der er tilbage, inden en fil bliver slettet. De ramte brugere bliver opfordret til at kontakte de it-kriminelle, hvis de har nogle spørgsmål eller har problemer med at overføre betalingen. Der er forskellige e-mailadresser. Der kan være lige så mange, som der er Stampado encoder klienter. Køberne af denne virus tilbyder også en gratis dekryptering af en valgt fil. Beskeden med løsesummen indeholder et unikt offer-ID, som man skal skrive, når man kontakter de it-kriminelle for yderligere oplysninger. Der er også et felt til koden, som man får, efter man har betalt, og ved siden af er der en knap, hvor der står ”Get back my files” (få mine filer tilbage).

Hvordan spredes Stampado Ransomware?

Man kender endnu ikke til en bestemt metode, hvorpå Stampado ransomware bliver distribueret af de it-svindlerne. Det opfører sig som en trojansk virus, idet der bliver sendt spam e-mails forklædt som vigtige afsendere, såsom told og skat, til offerets indbakke. De målrettede brugere kan også modtage mistænkelige spam e-mails uden afsender. Den slags e-mails omfatter som regel links til inficerede websider og/eller har vedhæftninger, som er inficeret med ondsindede koder, og når man først åbner dem, vil malwareprogrammets eksekverbare køres og dermed udføre de ondsindede handlinger på offerets enhed.

Hvordan dekrypterer man filer, der er krypteret med Stampado Ransomware?

It-sikkerhedsforskere har endnu ikke været i stand til at finde en løsning til denne væmmelige trussel. Vi forstår godt, at du gerne vil have dine data tilbage. Men hvis du ikke har en sikkerhedskopi, er det vanskeligt. Prøv at tjekke dine Shadow Volume kopier, hvis du har aktiveret din Shadow Volume tjeneste på din computer. Hvis det ikke hjælper, kan du forsøge dig med et professionelt datagendannelsesværktøj, såsom produkterne fra Kaspersky Lab, Recuva, PhotoRec, R-Studio osv.

Der er to vigtige ting, man skal gøre før en datagendannelse. For det første skal du lave en kopi af dit inficerede drev, så du har materiale til brug for et kommende dekrypteringsprogram. Og for det andet skal du fjerne Stampado encryptor med et automatisk værktøj, såsom Reimage (https://www.malwarerid.dk/downloads/reimage.exe), Spyhunter (https://www.malwarerid.dk/downloads/spyhunter.exe) eller Malwarebytes (https://www.malwarerid.dk/downloads/mbam.exe). Disse kraftige sikkerhedsscannere vil permanent fjerne malwareprogrammet og alle resterne af det fra dit computersystem. Vi bringer også en manuel fjernelsesvejledning til Stampado ransomware. Se nedenfor.

1. Hvordan fjernes Stampado Ransomware ved hjælp af systemgendannelse?

Genstart din computer i Fejlsikret tilstand med kommandoprompt

I Windows 7 / Vista / XP

• Start → Sluk → Genstart → OK
• Tast F8 uafbrudt, indtil vinduet med Avancerede startindstillinger dukker op.
• Vælg Fejlsikret tilstand med kommandoprompt.

I Windows 8 / 10

• Tast Power på Windows log ind skærmen. Tast og hold derpå Shift tasten nede og klik Genstart.
• Vælg Fejlfinding → Avancerede Indstillinger → Opstartsindstillinger og klik Genstart.
• Når den indlæses, vælg Aktiver Fejlsikret tilstand med kommandoprompt fra listen i Opstartsindstillinger.

Gendan systemfiler og indstillinger.

• Når Kommandoprompt tilstanden indlæses, tast cd gendannelse og tast Enter.
• Tast derefter rstrui.exe og tast Enter igen.
• Klik ”næste” i vinduet, er der kommet frem.
• Vælg et af gendannelsespunkterne, der er tilgængelige fra før, Stampado Ransomware trængte ind i dit system, og klik derpå ”Næste”.
• For at starte Systemgendannelse klik ”Ja”.

2. Fuldfør fjernelsen af Stampado Ransomware

Efter at du har gendannet dit system, anbefales du at scanne din computer med et anti-malware program, såsom Reimage (https://www.malwarerid.dk/downloads/reimage.exe), Spyhunter (https://www.malwarerid.dk/downloads/spyhunter.exe) for at fjerne alle de ondsindede filer, der har forbindelse med Stampado Ransomware.

3. Gendan filer, der er påvirket af Stampado Ransomware, ved hjælp af Shadow Volume Kopier

Hvis du ikke anvender Systemgendannelsesindstillingen i dit operativsystem, er der mulighed for, at du kan bruge Shadow Copy øjebliksbilleder. De lagrer kopier af dine filer på det tidspunkt, hvor øjebliksbilledet for systemgendannelsen blev oprettet. Stampado Ransomware prøver som regel på at slette alle mulige Shadow Volume Kopier, så denne metode virker nok ikke på alle computere. Men det kan være, at virussen ikke har held med det.

Shadow Volume Kopier er kun tilgængelige med Windows XP Service Pack 2, Windows Vista, Windows 7 samt Windows 8. Du kan få dine filer tilbage via Shadow Volume Kopier på to måder. Du kan gøre det ved hjælp af native Windows Tidligere Versioner eller via Shadow Explorer.

a) Native Windows Tidligere Versioner

Højre-klik på en krypteret fil og vælg Egenskaber>Tidligere versioner fanen. Nu vil du kunne se alle tilgængelige kopier af den pågældende fil og tidspunktet, da den blev lagret i en Shadow Volume Kopi. Vælg den filversion, du gerne vil have tilbage og klik Kopier, hvis du gerne vil gemme den i en af dine egne mapper, eller Gendannelse, hvis du gerne vil erstatte den eksisterende, krypterede fil. Hvis du gerne vil se indholdet af filen først, skal du bare klikke Åbn.

b) Shadow Explorer

Det er et program, der findes gratis på internettet. Du kan downloade enten en fuld eller transportable version af Shadow Explorer. Åbn programmet. I øverste venstre hjørne skal du vælge det drev, hvor filen, du leder efter, er lagret. Du vil kunne se alle mapper i det drev. For at få en hel mappe tilbage, skal du højre-klikke på den og vælge ”Eksporter”. Vælg derefter, hvor du gerne vil lagre den.

Bemærk: I mange tilfælde er det umuligt at gendanne datafiler, der er påvirket af moderne ransomware. Derfor anbefaler jeg, at du anvender et ordentlig cloud sikkerhedskopieringssoftware som sikkerhedsforanstaltning. Vi kan anbefale Carbonite, BackBlaze, CrashPlan eller Mozy Home.