Ransomware Ptqw (Arquivos .ptqw)

O ransomware Ptqw desfaz o mito de que você nunca pegará um vírus até tentar executar algo suspeito. Ele invade o seu sistema, criptografa os arquivos e depois pede dinheiro para que você possa recuperá-los. Além do fato de você não conseguir recuperar seus arquivos, ele também torna suas ferramentas de segurança inacessíveis.

A criptografia que este malware utiliza para cifrar seus arquivos é bastante forte, e se torna ainda mais assertiva porque a chave de descriptografia é mantida no servidor remoto. Infelizmente, os fraudadores controlam este servidor e a única maneira de obter a chave deste servidor é pagar o resgate (cerca de $1000). Outras formas de descriptografia de arquivos podem ajudá-lo, mas as chances são bastante baixas, como mostram as estatísticas.

Além da criptografia, o ransomware Ptqw também causa danos a outros elementos do sistema. Nada grave, mas essas mudanças dificultam o uso do seu computador. Incapacidade de abrir sites específicos, falhas ao tentar instalar programas antivírus - até mesmo alguns elementos de rede dentro de outros programas podem ser corrompidos. É melhor reverter todas essas alterações o mais rápido possível.

O ransomware Ptqw geralmente é disseminado por meio de sites de terceiros que oferecem programas pagos gratuitamente. Outras partes desses sites são a chamada ferramenta de hack - cheat engines, keygens e outras coisas usadas para mudar o processo de jogos. Implementar o malware nesses programas é fácil: as pessoas que o criam têm acesso completo ao código executável. Adicionar o vírus é apenas uma questão de quem paga mais ao hacker.

Read also: Phobos Ransomware Mimics VX-Underground Researchers

Processo de criptografia

O ransomware Ptqw usa o algoritmo de criptografia AES-256. Este não é o método mais forte, mas ainda fornece uma quantidade avassaladora de chaves de descriptografia possíveis. Para quebrar o número de chaves de 78 dígitos, você precisaria de 3,5 unvigintilhões de anos (1*10^65), mesmo que use o computador mais poderoso do mercado. Computadores quânticos podem apresentar resultados um pouco melhores, mas ainda é muito lento para recuperar seus arquivos enquanto você estiver vivo.

O algoritmo exato de criptografia é o seguinte: o malware verifica cada pasta em busca de arquivos que possa criptografar. Então, quando encontra o alvo, faz uma cópia do arquivo, remove o original, criptografa a cópia e a deixa em vez do original removido. Essa operação é feita para evitar a situação em que você já abriu o arquivo, para que o ransomware não possa lê-lo devido às restrições do Windows. Para cada cópia criptografada, o vírus adiciona a extensão específica - ".ptqw". Em seguida, o ransomware cria um arquivo _readme.txt na pasta em que o arquivo criptografado está localizado e passa para a próxima pasta.

Esse método de criptografia pode ser explorado para a recuperação de arquivos. Como o arquivo original é excluído, você pode tentar recuperá-lo usando ferramentas de recuperação de arquivo. Quanto menos tempo passar, maior será a chance de recuperar seus arquivos, portanto, é importante agir rapidamente!

Outro momento específico que pode ajudá-lo a usar os arquivos mesmo após a criptografia é o fato de que o ransomware Ptqw criptografa apenas os primeiros 150KB de cada arquivo. Portanto, você pode tentar executar um arquivo grande, como vídeo ou música, sem a criptografia. Recursos semelhantes também funcionam com outras famílias de ransomware - Dharma, Conti e Makop criptografam os mesmos 150KB.

Nota de resgate: _readme.txt

A nota de resgate é a mesma para toda a família de ransomware. Na verdade, é um dos principais sinais de qual família o determinado ransomware pertence. Aqui está a nota típica para a família STOP/Djvu:

Links externos:

🔗 HowToFix.Guide: Como descriptografar arquivos .ptqw?

Read also: Conti Members Are Back in Action as Part of Akira Ransomware

Indicadores de Comprometimento (IOC)

Nome do Arquivo	MD5	Tamanho do Arquivo
📜 SAMPLE.EXE	ce9bcd66abf17833704ed908b311dda5	746496
📜 SAMPLE.EXE	b3cddc435be52e71724d8534fe0ac5e6	747520
📜 SAMPLE.EXE	4772e4ec6ed92b041e22930a7ef79889	742400
📜 SAMPLE.EXE	fc4ccf9546bc76a6c6a6d26f66acf2a0	747520
📜 SAMPLE.EXE	4c0a390ecc03dc3c9008a6281b02bc05	744448
📜 SAMPLE.EXE	1967ea0599b6b4158d095c858021f378	757248
📜 SAMPLE.EXE	4cae5a00938fbddb990f60b066817c5f	756736
📜 SAMPLE.EXE	e26fc9d369da2fc8d6ce72265174dcad	736256
📜 SAMPLE.EXE	67e9bf25c3e4e4735d1fa882bcb89b84	755712
📜 SAMPLE.EXE	a291f49a98fbfb785d935ab49e14c980	732672