Rimuovere qTox ransomware

qTox ransomware è un tipo di malware a crittografia dei file, progettato per criptare file importanti e renderli inaccessibili. Una volta che ha dati criptati su un sistema interessato, modifica i nomi dei file aggiungendo l’estensione “.qtox”. Ad esempio, un file chiamato “1.jpg” diventa “1.jpg.qtox”. Il ransomware crea anche un file di testo chiamato “readme.txt”, che contiene la nota di riscatto degli attaccanti e le istruzioni per contattarli.

La nota di riscatto afferma che la rete o il sistema della vittima è stato criptato. Oltre a bloccare i file, gli attaccanti affermano di aver ottenuto informazioni riservate dall’ambiente compromesso prima che la crittografia avvenisse. Questa affermazione deriva dalla nota di riscatto, e l’analisi disponibile non conferma indipendentemente che i dati siano stati rubati in ogni infezione qTox.

Secondo la nota, gli aggressori minacciano di pubblicare le presunte informazioni rubate su un blog di ransomware come servizio se la vittima si rifiuta di comunicare o se le due parti non riescono a raggiungere un accordo. Questo dà alle vittime un altro motivo per accontentarsi oltre al recupero dei file criptati, poiché gli aggressori sostengono che anche informazioni potenzialmente sensibili potrebbero essere esposte.

Il file “readme.txt” avverte le vittime di non modificare i file criptati. Gli aggressori sostengono che modifiche ai file interessati potrebbero impedire al loro software di decrittazione di recuperare i dati. Viene inoltre detto alle vittime di non tentare di ripristinare i propri sistemi in modo indipendente, con la nota che afferma che farlo potrebbe avere conseguenze irreversibili.

Invece di fornire un indirizzo email per comunicare, gli aggressori ordinano alle vittime di utilizzare qTox. La nota di riscatto indica loro di scaricare l’applicazione qTox e aggiungere un ID qTox fornito alla loro lista contatti. La comunicazione relativa al recupero dei file è quindi indirizzata tramite questa applicazione.

Non è stato identificato uno strumento di decrittazione gratuito per qTox nell’analisi disponibile. Rimuovere il ransomware da un computer infetto non decripta i file che hanno già ricevuto l’estensione “.qtox”. Se è disponibile un backup pulito effettuato prima dell’infezione e non è stato colpito dal ransomware, potrebbe fornire un modo per ripristinare i dati criptati dopo la rimozione del programma malevolo.

Pagare un riscatto non garantisce inoltre che gli attaccanti forniscano un metodo di decrittazione funzionante. La vittima dipende dal fatto che gli aggressori forniscano la chiave o il software necessario dopo aver ricevuto il pagamento. I principali indicatori visibili associati a qTox sono quindi file criptati che portano l’estensione “.qtox” e la nota di riscatto “readme.txt” contenente le istruzioni degli attaccanti.

Come vengono distribuite le infezioni da ransomware?

L’analisi disponibile non stabilisce esattamente come qTox ransomware raggiunge le sue vittime. Pertanto, un particolare metodo di infezione non dovrebbe essere attribuito specificamente a qTox senza ulteriori prove. Tuttavia, la fonte identifica diversi metodi comunemente utilizzati per distribuire ransomware.

Uno di questi metodi prevede il phishing di email contenenti allegati o link dannosi. Un’email può essere trasformata in una notifica o un’altra comunicazione da parte di un’azienda o servizio legittimo nel tentativo di convincere il destinatario a interagire con il suo contenuto. Se viene aperto un file malevolo allegato o un link dannoso porta a ulteriori contenuti dannosi, la vittima può involontariamente innescare un’infezione.

I file utilizzati negli attacchi ransomware possono assumere forme diverse. Possono essere presentati come archivi, file eseguibili, documenti o altri tipi di file familiari. Il loro aspetto può farli sembrare innocui o rilevanti per il destinatario, mentre aprirli o eseguirli può innescare attività dannose.

I trojan sono un altro metodo associato alla distribuzione del ransomware. Un trojan può entrare in un computer mentre sembra avere un altro scopo e successivamente introdurre ulteriori programmi dannosi. In uno scenario del genere, il ransomware può essere installato come payload aggiuntivo invece di essere la prima minaccia che raggiunge il sistema.

Anche le pubblicità malevole possono essere coinvolte nella distribuzione di malware. Interagire con pubblicità ingannevole può esporre gli utenti a download dannosi o ad altri contenuti destinati a compromettere un dispositivo. Falsi prompt di aggiornamento software sono un’altra possibile via. Questi prompt cercano di persuadere gli utenti a scaricare quello che sembra un aggiornamento necessario, ma invece forniscono contenuti dannosi.

Software pirata e strumenti di attivazione illegali, comunemente chiamati “crack”, sono anch’essi identificati come potenziali fonti di infezioni da ransomware. I file ottenuti tramite canali non ufficiali possono essere modificati per contenere componenti dannosi, e la loro esecuzione può dare a tali componenti l’opportunità di essere eseguiti sul computer.
Ridurre l’esposizione a questi metodi di infezione comporta trattare con cautela email impreviste e allegati o link, soprattutto quando il mittente o il motivo della ricezione dell’email non è chiaro. Il software dovrebbe essere ottenuto da fonti ufficiali piuttosto che da siti di pirateria o servizi di download non ufficiali, e dovrebbero essere evitati strumenti pensati per bypassare l’attivazione legittima del software.

Mantenere aggiornati il sistema operativo e le applicazioni installate può anche ridurre l’esposizione a vulnerabilità che attori malevoli potrebbero tentare di sfruttare. Il software di sicurezza può fornire un ulteriore livello di rilevamento quando file malevoli raggiungono un dispositivo. Poiché le informazioni analizzate non identificano la catena di consegna effettiva utilizzata per qTox, questi metodi dovrebbero essere intesi come tecniche documentate di distribuzione ransomware piuttosto che come vie di infezione confermate da qTox.