Ransomware Mmvb (Arquivos .mmvb)

O vírus Mmvb é um ransomware que pertence à família STOP/Djvu. Como qualquer outro ransomware, ele tem como objetivo seu dinheiro. Esse malware criptografa seus arquivos com um forte cifrador e depois solicita que você pague o resgate (~$1000) para a descriptografia dos arquivos. Para evitar a descriptografia alternativa, o vírus Mmvb faz algumas mudanças no seu sistema.

Essas mudanças estão relacionadas às configurações de segurança. Primeiro, o malware para o Microsoft Defender e bloqueia a ferramenta de segurança de terceiros, se você tiver uma. Em seguida, ele altera as Políticas de Grupo para bloquear o lançamento dos arquivos de instalação de programas antivírus. O último passo é bloquear o acesso a sites que contenham informações sobre a descriptografia de arquivos e a remoção de malware. Essas mudanças podem afetar o uso do PC no futuro, portanto, é melhor removê-las o mais rápido possível.

Algumas palavras sobre as formas de disseminação do ransomware Mmvb: esse vírus não apareceu do nada - é provável que você o tenha instalado junto com algum programa. Programas "gratuitos", que deveriam ser originalmente pagos, são criados por usuários desconhecidos. Durante o processo de hacking, eles podem adicionar o que quiserem ao código executável do produto - spyware, coin miners, ransomware ou stealer. É melhor evitar esses riscos, especialmente quando você não pode punir essas pessoas através da polícia, por exemplo.

Read also: Arma dei Carabinieri Virus

Processo de criptografia

O ransomware Mmvb usa o algoritmo de criptografia AES-256. Este não é o método mais forte, mas ainda fornece uma quantidade avassaladora de chaves de descriptografia possíveis. Para quebrar o número de chaves de 78 dígitos, você precisaria de 3,5 unvigintilhões de anos (1*10^65), mesmo que use o computador mais poderoso do mercado. Computadores quânticos podem apresentar resultados um pouco melhores, mas ainda é muito lento para recuperar seus arquivos enquanto você estiver vivo.

O algoritmo exato de criptografia é o seguinte: o malware verifica cada pasta em busca de arquivos que possa criptografar. Então, quando encontra o alvo, faz uma cópia do arquivo, remove o original, criptografa a cópia e a deixa em vez do original removido. Essa operação é feita para evitar a situação em que você já abriu o arquivo, para que o ransomware não possa lê-lo devido às restrições do Windows. Para cada cópia criptografada, o vírus adiciona a extensão específica - ".mmvb". Em seguida, o ransomware cria um arquivo _readme.txt na pasta em que o arquivo criptografado está localizado e passa para a próxima pasta.

Esse método de criptografia pode ser explorado para a recuperação de arquivos. Como o arquivo original é excluído, você pode tentar recuperá-lo usando ferramentas de recuperação de arquivo. Quanto menos tempo passar, maior será a chance de recuperar seus arquivos, portanto, é importante agir rapidamente!

Outro momento específico que pode ajudá-lo a usar os arquivos mesmo após a criptografia é o fato de que o ransomware Mmvb criptografa apenas os primeiros 150KB de cada arquivo. Portanto, você pode tentar executar um arquivo grande, como vídeo ou música, sem a criptografia. Recursos semelhantes também funcionam com outras famílias de ransomware - Dharma, Conti e Makop criptografam os mesmos 150KB.

Nota de resgate: _readme.txt

A nota de resgate é a mesma para toda a família de ransomware. Na verdade, é um dos principais sinais de qual família o determinado ransomware pertence. Aqui está a nota típica para a família STOP/Djvu:

Links externos:

🔗 HowToFix.Guide: Como descriptografar arquivos .mmvb?

Read also: Donex, DarkRace, fake LockBit 3.0 and Muse Ransomware Decryptor Released

Indicadores de Comprometimento (IOC)

Nome do Arquivo	MD5	Tamanho do Arquivo
📜 SAMPLE.EXE	456ba4280563e40da987d3402b777dfa	745984
📜 SAMPLE.EXE	5e9cbad404240b42931a118abc7b3233	743936
📜 SAMPLE.EXE	7d7c4b68da55015e049a3220746daa31	743424
📜 SAMPLE.EXE	536a66aba4a312d05c9dcd468facfa3d	741888
📜 SAMPLE.EXE	01177fa5bba8bbb9c849af726fb592a0	742400
📜 SAMPLE.EXE	fbf9b297d7f210e01a309352fa5be953	852992
📜 SAMPLE.EXE	24c3ade58d22bf87aa45183d3039f7f6	844800
📜 SAMPLE.EXE	f55db99067f260e2ee807c0564e6e572	845312
📜 SAMPLE.EXE	cd86dfe08db51ecdd7a8a2004cac2a93	844800
📜 SAMPLE.EXE	0749d714936a976a18b61b284bfbbf9a	845312