Ransomware Coaq (Arquivos .coaq)

A presença dos arquivos com extensão .coaq no seu computador indica que você está sofrendo um ataque de ransomware Coaq. Este malware tem como objetivo o seu dinheiro - ele criptografa seus arquivos e pede um resgate para descriptografá-los. Antes da criptografia, ele faz várias alterações no seu sistema para desativar quaisquer mecanismos de segurança e evitar a execução de programas antivírus.

O ransomware Coaq usa a criptografia Salsa20. Este algoritmo não é a criptografia mais forte, mas ainda assim não pode ser descriptografado pelos meios convencionais.

As alterações que o vírus Coaq faz na segurança do seu sistema são bastante pesadas. O malware desativa o Microsoft Defender e altera algumas configurações, para que você não possa executar os arquivos de instalação da maioria das ferramentas antivírus. Ele também altera o arquivo HOSTS, impedindo a abertura de alguns sites com guias de remoção de ransomware e descriptografia de arquivos.

Read also: Arma dei Carabinieri Virus

Processo de criptografia

O ransomware Coaq usa o algoritmo de criptografia AES-256. Este não é o método mais forte, mas ainda fornece uma quantidade avassaladora de chaves de descriptografia possíveis. Para quebrar o número de chaves de 78 dígitos, você precisaria de 3,5 unvigintilhões de anos (1*10^65), mesmo que use o computador mais poderoso do mercado. Computadores quânticos podem apresentar resultados um pouco melhores, mas ainda é muito lento para recuperar seus arquivos enquanto você estiver vivo.

O algoritmo exato de criptografia é o seguinte: o malware verifica cada pasta em busca de arquivos que possa criptografar. Então, quando encontra o alvo, faz uma cópia do arquivo, remove o original, criptografa a cópia e a deixa em vez do original removido. Essa operação é feita para evitar a situação em que você já abriu o arquivo, para que o ransomware não possa lê-lo devido às restrições do Windows. Para cada cópia criptografada, o vírus adiciona a extensão específica - ".coaq". Em seguida, o ransomware cria um arquivo _readme.txt na pasta em que o arquivo criptografado está localizado e passa para a próxima pasta.

Esse método de criptografia pode ser explorado para a recuperação de arquivos. Como o arquivo original é excluído, você pode tentar recuperá-lo usando ferramentas de recuperação de arquivo. Quanto menos tempo passar, maior será a chance de recuperar seus arquivos, portanto, é importante agir rapidamente!

Outro momento específico que pode ajudá-lo a usar os arquivos mesmo após a criptografia é o fato de que o ransomware Coaq criptografa apenas os primeiros 150KB de cada arquivo. Portanto, você pode tentar executar um arquivo grande, como vídeo ou música, sem a criptografia. Recursos semelhantes também funcionam com outras famílias de ransomware - Dharma, Conti e Makop criptografam os mesmos 150KB.

Nota de resgate: _readme.txt

A nota de resgate é a mesma para toda a família de ransomware. Na verdade, é um dos principais sinais de qual família o determinado ransomware pertence. Aqui está a nota típica para a família STOP/Djvu:

Links externos:

🔗 HowToFix.Guide: Como descriptografar arquivos .coaq?

Read also: Donex, DarkRace, fake LockBit 3.0 and Muse Ransomware Decryptor Released

Indicadores de Comprometimento (IOC)

Nome do Arquivo	MD5	Tamanho do Arquivo
📜 SAMPLE.EXE	24dc510b92899f369752704824b5d8d9	839168
📜 SAMPLE.EXE	9009f2a67b7b67bdd11caf7d6a967ce6	839168
📜 SAMPLE.EXE	779d02b6351b71524e5e7885ad45e1d5	838144
📜 SAMPLE.EXE	0761d99fce7b870905da8dabd0230108	839168
📜 SAMPLE.EXE	42f9518e4acd6385a2bcc48ea6b75541	830464
📜 SAMPLE.EXE	f6e0c1108047ed4e6afb828840ad9341	830464
📜 SAMPLE.EXE	365f19aa0363e0c1affdc86a9cc82557	830464
📜 SAMPLE.EXE	41021e3f338f1abca2a5bf6cc5348a53	829952
📜 SAMPLE.EXE	6c46bd1e98cea276b9cf7da8dcfc7bbf	829440
📜 SAMPLE.EXE	8a5c81cb9f1cec2468a596a6cf81cd01	799232