Remover Payfast vírus (virus) - Instruções de Recuperação Incluídas

O que é Payfast ransomware?

O ransomware Payfast é um tipo de malware que bloqueia o acesso aos seus ficheiros

O ransomware bloqueia ficheiros pessoais e solicita o pagamento de 0,013 Bitcoin por uma ferramenta de descodificação

Durante os últimos anos, a velocidade de desenvolvimento de programas maliciosos aumentou substancialmente, e o negócio ilegal de ransomware tem continuado a aumentar incessantemente. O vírus Payfast, que pertence a uma família de malware proeminente, Zeppelin, é mais uma tentativa dos cibercriminosos para lucrarem com a infelicidade das suas vítimas.

Depois de instalado no sistema, o vírus implementa várias mudanças, não apenas no sistema operativo Windows, como também em todos os ficheiros pessoais. Na verdade, as mudanças no sistema operativo são efetuadas para garantir o sucesso da encriptação dos ficheiros sem quaisquer problemas. Utilizando uma combinação de algoritmos AES e RSA sofisticados, o ransomware encripta documentos, fotografias, vídeos e todos os restantes tipos de dados no computador. O vírus exclui várias localizações no sistema, permitindo o seu funcionamento (uma vez que a destruição de ficheiros do sistema não é o objetivo das infeções por ransomware).

Durante o processo de encriptação, cada ficheiro recebe uma extensão específica – .payfast[ID]. Embora seja uma das etapas finais da infeção, este é o sintoma principal que alerta os utilizadores para a possibilidade de estar algo errado com as suas máquinas. Por exemplo, um ficheiro com o nome “picture.jpg” seria alterado para algo como “picture.jpg.payfast500.XXX-XXX-XXX” (os X são tipicamente substituídos por carateres alfanuméricos – sendo diferentes de vítima para vítima). Adicionalmente, as extensões .payfast290.XXX-XXX-XXX também foram avistadas recentemente nos sistemas de algumas vítimas. É provável que esta tendência continue no futuro.

Brevemente após o processo de encriptação dos ficheiros, receberá uma nota de resgate com o título “!!! ALL YOUR FILES ARE ENCRYPTED !!!.TXT” (“!!! TODOS OS SEUS FICHEIROS ESTÃO ENCRIPTADOS !!!.TXT”). No conteúdo da mensagem, os cibercriminosos explicam que os utilizadores devem pagar um resgate de 0,013 BTC (embora este valor seja duplicado após um dia) para receber uma ferramenta de descodificação que lhes permite, supostamente, recuperar todos os seus ficheiros. Os criminosos também permitem que as suas vítimas enviem um ficheiro através do endereço [email protected] ou [email protected] como teste, para comprovar a eficácia da sua ferramenta de descodificação – o ficheiro não deve conter quaisquer informações importantes.

No entanto, os especialistas de segurança informática não recomendam qualquer forma de contacto com os criminosos, uma vez que estes não têm qualquer interesse ou obrigação de providenciar a ferramenta de descodificação. Neste artigo, iremos listar várias instruções para lidar com esta perigosa infeção de ransomware, para conseguir obter os melhores resultados.

O ransomware Zeppelin não é novo no mundo da cibersegurança

Podemos facilmente dizer que a família de ransomware Djvu é a mais proeminente em ataques a utilizadores domésticos, mas existem várias outras estirpes que também beneficiam desta atividade ilegal de extorsão de dinheiro. Com a sua primeira aparição em novembro de 2019, este malware tem crescido durante os últimos anos, e continuamos a ver a insurgência de novas variantes. A sua linhagem provém de outras variantes de ransomware, incluindo o VegaLocker e Buran.

O vírus é principalmente distribuído via anexos contaminados em e-mails ou links – o malspam continua a ser a técnica de distribuição de malware mais popular até hoje. Para proteger os seus dispositivos contra infeções de malware, deve aplicar sempre todo o cuidado ao abrir novos e-mails, especificamente se incluírem um ficheiro destinado ao MS Office. Não permita que as macros embutidas nestes documentos sejam executadas no seu PC, pois caso contrário, o ataque ao sistema pode começar imediatamente. Evidentemente, utilizar sempre uma ferramenta de segurança deve ser prioridade.

O ransomware Payfast é uma variante da família de malware Zeppelin

As variantes deste ransomware são infames por atacar organizações importantes como hospitais, embora pequenas empresas e utilizadores comuns também possam ser infetados devido à natureza do vetor de ataque. Os cibercriminosos também selecionam os seus alvos ao explorar vulnerabilidades no software de rede empresarial, tal como o ConnectWise Control.

O que fazer depois de ser infetado com o ransomware Payfast?

Primeiro, não deve entrar em pânico. Embora o ransomware seja, de facto, o tipo de infeção mais devastadora para utilizadores domésticos e empresas, a melhor opção nesta etapa é focar-se na eliminação do Payfast e recuperação dos ficheiros. No entanto, é importante fazê-lo corretamente, uma vez que ações erradas podem resultar na perda permanente de ficheiros pessoais.

Depois de reiniciar o computador em Modo de Segurança, deve remover o vírus Payfast com a ajuda de software anti-malware, como o SpyHunter 5Combo Cleaner ou Malwarebytes. O software de segurança deve conseguir encontrar todos os ficheiros maliciosos e entradas relacionadas, e remover todos os componentes automaticamente. Não deve considerar a eliminação manual. Depois da eliminação do malware, pode prosseguir com os métodos alternativos de recuperação de ficheiros providenciados abaixo.

Próximo passo: o que fazer com os ficheiros

A encriptação de ficheiros é a característica principal que torna o ransomware tão temível. Vários utilizadores acreditam ser possível recuperarem os seus ficheiros imediatamente após analisarem os seus sistemas com um software anti-malware. No entanto, este tipo de software não foi criado com esse intuito e não consegue recuperar os seus ficheiros.

Como imensos utilizadores não preparam cópias de segurança adequadas antes de serem atacados por ransomware, acabam por perder permanentemente o acesso aos seus ficheiros. Pagar aos criminosos também é extremamente arriscado, pois é possível que não cumpram com o prometido e nunca enviem a ferramenta necessária para a desencriptação.

Embora isto pareça absolutamente terrível, nem tudo está perdido – software de recuperação de dados pode conseguir ajudá-lo em algumas situações (depende imenso do algoritmo de encriptação utilizado, depende se o ransomware conseguiu completar as tarefas programadas, etc.). Considerando que existem milhares de diferentes versões de ransomware, é imediatamente impossível garantir que algum software de recuperação irá funcionar para si.

Portanto, sugerimos que experimente, independentemente do ransomware que atacou o seu computador. Antes de começar, gostaríamos de partilhar alguns detalhes importantes para lidar com esta situação:

• Uma vez que os dados encriptados no seu computador podem ser permanentemente danificados pelo software de segurança ou recuperação de dados, deve fazer cópias de segurança primeiro – utilize uma pen USB ou qualquer outro dispositivo de armazenamento.
• Deve tentar recuperar os seus ficheiros através deste método apenas depois de realizar uma análise completa ao sistema com um software anti-malware.

Instale o software de recuperação de dados

1. Descarregue o Data Recovery Pro.
2. Faça duplo clique no instalador para o executar.
   
3. Siga as instruções na janela para instalar o software.
4. Assim que pressionar no botão Terminar, pode utilizar o programa.
5. Selecione Everything (Tudo) ou selecione pastas individuais de onde pretende recuperar os ficheiros.
6. Pressione Next (Seguinte).
7. Na área inferior da janela, pode ativar a Deep scan (Análise profunda) e selecionar os discos que pretende analisar.
8. Pressione Scan (Analisar) e aguarde até termine.
9. Pode selecionar as pastas/ficheiros que pretende recuperar – não se esqueça que também tem a opção de pesquisar (search) pelo nome do ficheiro!
10. Pressione Recover (Recuperar) para reaver os seus ficheiros.

Repare o Windows após a eliminação do malware

Para que a eliminação do ransomware Payfast seja bem-sucedida, é necessário superar todos os obstáculos que esta infeção apresente. Primeiro, o malware verifica o idioma pré-definido do sistema e abandona o sistema sem infetar quaisquer ficheiros, caso encontre idiomas dos seguintes países:

• Rússia
• Bielorrússia
• Ucrânia
• Cazaquistão

Esta tática não é recente e é tipicamente utilizada por criminosos provenientes de países da Europa de leste para evitar a atenção das autoridades locais. A infeção é imediatamente iniciada apenas se a vítima não for natural dos países mencionados acima.

O malware excuta assim várias tarefas maliciosas, incluindo a eliminação de Shadow Volume Copies (cópias sombra de volume) para impedir o fácil acesso à recuperação dos dados, alterar o Registo do Windows para ativar o seu funcionamento no arranque da máquina, atribuir privilégios elevados de permissão no controlo do sistema, desativar software de segurança e as ferramentas anti-malware mais populares, e muito mais.

Abaixo encontrará várias dicas que o podem ajudar a melhorar a sua segurança online e a efetuar cópias de segurança dos seus dados para evitar estes problemas no passado.