Ransomware Ofww (Arquivos .ofww)

Ofww ransomware é um vírus perigoso que pode causar estragos no seu computador. Ele criptografa seus arquivos com o cifra Salsa20 e adiciona a extensão .ofww, tornando-os inacessíveis. Além da criptografia de arquivos, o malware também modifica as configurações do sistema, tornando mais difícil removê-lo e causando futuras falhas no sistema.

O algoritmo de criptografia usado pelo ransomware Ofww é incrivelmente forte, tornando quase impossível descriptografar os arquivos sem a chave correta. Embora existam alguns programas descriptografadores, eles dependem de chaves já comprometidas e oferecem baixa chance de sucesso. A melhor maneira de prevenir ransomware é tomar medidas preventivas e evitar baixar software suspeito de sites duvidosos.

O ransomware Ofww é normalmente disseminado através de redes peer-to-peer e sites de terceiros que oferecem programas "gratuitos" que foram hackeados e têm seus procedimentos de verificação de licença desativados. Esses sites também são conhecidos como "colecionadores de software" e são frequentemente fontes de malware. A melhor maneira de evitar esses riscos é baixar software apenas de fontes respeitáveis e evitar instalar programas que pareçam suspeitos.

Prevenir a infecção por ransomware é essencial no mundo atual. Isso pode causar danos graves ao seu computador e comprometer suas informações pessoais. Seguindo hábitos de navegação seguros e evitando baixar software duvidoso, você pode se proteger dos riscos de ransomware e de outros malwares.

Read also: AlienWare Ransomware

Processo de criptografia

O ransomware Ofww usa o algoritmo de criptografia AES-256. Este não é o método mais forte, mas ainda fornece uma quantidade avassaladora de chaves de descriptografia possíveis. Para quebrar o número de chaves de 78 dígitos, você precisaria de 3,5 unvigintilhões de anos (1*10^65), mesmo que use o computador mais poderoso do mercado. Computadores quânticos podem apresentar resultados um pouco melhores, mas ainda é muito lento para recuperar seus arquivos enquanto você estiver vivo.

O algoritmo exato de criptografia é o seguinte: o malware verifica cada pasta em busca de arquivos que possa criptografar. Então, quando encontra o alvo, faz uma cópia do arquivo, remove o original, criptografa a cópia e a deixa em vez do original removido. Essa operação é feita para evitar a situação em que você já abriu o arquivo, para que o ransomware não possa lê-lo devido às restrições do Windows. Para cada cópia criptografada, o vírus adiciona a extensão específica - ".ofww". Em seguida, o ransomware cria um arquivo _readme.txt na pasta em que o arquivo criptografado está localizado e passa para a próxima pasta.

Esse método de criptografia pode ser explorado para a recuperação de arquivos. Como o arquivo original é excluído, você pode tentar recuperá-lo usando ferramentas de recuperação de arquivo. Quanto menos tempo passar, maior será a chance de recuperar seus arquivos, portanto, é importante agir rapidamente!

Outro momento específico que pode ajudá-lo a usar os arquivos mesmo após a criptografia é o fato de que o ransomware Ofww criptografa apenas os primeiros 150KB de cada arquivo. Portanto, você pode tentar executar um arquivo grande, como vídeo ou música, sem a criptografia. Recursos semelhantes também funcionam com outras famílias de ransomware - Dharma, Conti e Makop criptografam os mesmos 150KB.

Nota de resgate: _readme.txt

A nota de resgate é a mesma para toda a família de ransomware. Na verdade, é um dos principais sinais de qual família o determinado ransomware pertence. Aqui está a nota típica para a família STOP/Djvu:

Links externos:

🔗 HowToFix.Guide: Como descriptografar arquivos .ofww?

Read also: Lockbit 4.0 Released, With New Infrastructure and Features

Indicadores de Comprometimento (IOC)

Nome do Arquivo	MD5	Tamanho do Arquivo
📜 SAMPLE.EXE	1f0aacb506ee16071fd5d0fdee1db2a3	834560
📜 SAMPLE.EXE	e685e1b28edb9377f41af59ba7555c89	136192
📜 SAMPLE.EXE	4b8c042824b09e09ad9e2a7a6183c98b	137216
📜 SAMPLE.EXE	3ecc4d46f5562cd7d5a545c3983bb523	136192
📜 SAMPLE.EXE	c9d86413c3483ce3ad0962c12c124ebe	151552
📜 SAMPLE.EXE	005bfff21d283023a0bcdf3906eec7f2	151040
📜 SAMPLE.EXE	0ce3a76b12167c4a2fae8109e7b14672	151040
📜 SAMPLE.EXE	d268017f3423e8bc2bdc47fbc655a637	151552
📜 SAMPLE.EXE	e4f3d61bedb63e7a97d88273173a64aa	151040
📜 SAMPLE.EXE	aca16485860b8507c790cd4e9839bf06	151552