Ransomware Qqlo (Arquivos .qqlo)

O ataque de ransomware Qqlo é um caso bastante indesejado. Ele cifra os arquivos e pede que você pague o resgate em Bitcoins - cerca de $1000 em equivalência. A lavagem de dinheiro é o único objetivo dos cibercriminosos que disseminam esse malware - eles não procuram informações pessoais ou outros dados confidenciais.

O tipo de cifra que esse vírus usa é impossível de decifrar. Não só o tipo de criptografia torna esse processo tão difícil - as chaves de decifragem são armazenadas no servidor remoto, controlado pelos bandidos. Força bruta ou qualquer outra maneira de encontrar a chave de decifragem é inútil devido à enorme quantidade de chaves possíveis (2*10^78).

O malware Qqlo também altera vários parâmetros vitais em seu computador, tornando mais difícil encontrar a solução de decifragem. Bloquear a execução de arquivos de instalação e impedir o acesso a fóruns e sites anti-malware são as coisas mais prejudiciais que ele faz. Enquanto isso, várias alterações em outras configurações do sistema certamente tornarão seu PC mais difícil de usar.

É essencial saber como você conseguiu isso - pelo menos para evitar a injeção repetida de malware. Esse vírus é geralmente disseminado por meio de sites que distribuem versões "gratuitas" de programas conhecidos. Por exemplo, instalar um Photoshop hackeado pode parecer que não traz nada de perigoso, mas você nunca sabe se o usuário que ofereceu o programa adicionou um vírus ao código executável do aplicativo.

Read also: AlienWare Ransomware

Processo de criptografia

O ransomware Qqlo usa o algoritmo de criptografia AES-256. Este não é o método mais forte, mas ainda fornece uma quantidade avassaladora de chaves de descriptografia possíveis. Para quebrar o número de chaves de 78 dígitos, você precisaria de 3,5 unvigintilhões de anos (1*10^65), mesmo que use o computador mais poderoso do mercado. Computadores quânticos podem apresentar resultados um pouco melhores, mas ainda é muito lento para recuperar seus arquivos enquanto você estiver vivo.

O algoritmo exato de criptografia é o seguinte: o malware verifica cada pasta em busca de arquivos que possa criptografar. Então, quando encontra o alvo, faz uma cópia do arquivo, remove o original, criptografa a cópia e a deixa em vez do original removido. Essa operação é feita para evitar a situação em que você já abriu o arquivo, para que o ransomware não possa lê-lo devido às restrições do Windows. Para cada cópia criptografada, o vírus adiciona a extensão específica - ".qqlo". Em seguida, o ransomware cria um arquivo _readme.txt na pasta em que o arquivo criptografado está localizado e passa para a próxima pasta.

Esse método de criptografia pode ser explorado para a recuperação de arquivos. Como o arquivo original é excluído, você pode tentar recuperá-lo usando ferramentas de recuperação de arquivo. Quanto menos tempo passar, maior será a chance de recuperar seus arquivos, portanto, é importante agir rapidamente!

Outro momento específico que pode ajudá-lo a usar os arquivos mesmo após a criptografia é o fato de que o ransomware Qqlo criptografa apenas os primeiros 150KB de cada arquivo. Portanto, você pode tentar executar um arquivo grande, como vídeo ou música, sem a criptografia. Recursos semelhantes também funcionam com outras famílias de ransomware - Dharma, Conti e Makop criptografam os mesmos 150KB.

Nota de resgate: _readme.txt

A nota de resgate é a mesma para toda a família de ransomware. Na verdade, é um dos principais sinais de qual família o determinado ransomware pertence. Aqui está a nota típica para a família STOP/Djvu:

Links externos:

🔗 HowToFix.Guide: Como descriptografar arquivos .qqlo?

Read also: Lockbit 4.0 Released, With New Infrastructure and Features

Indicadores de Comprometimento (IOC)

Nome do Arquivo	MD5	Tamanho do Arquivo
📜 SAMPLE.EXE	e0c0d10dcca19e8e3e0824cc06f372fa	796672
📜 SAMPLE.EXE	ee486bf2388376c937eac23ff90cc2e1	797184
📜 SAMPLE.EXE	675b2a72abe3dcf4587ed40e6731d1c0	797184
📜 SAMPLE.EXE	47a41c1564d2a1f454ab6b28e541ea54	798720
📜 SAMPLE.EXE	02258cb4b918c493f079dd7c4683a46b	798720
📜 SAMPLE.EXE	7d7d95b1732b1ffa69b0e2ee912d5f96	798208
📜 SAMPLE.EXE	d3f9c34044236595262463283c8a1717	798720
📜 SAMPLE.EXE	d9b0962526476cdc0d6cacb43f6e33d0	798720
📜 SAMPLE.EXE	05e8ecf965e390af7846a05958fa687e	799232
📜 SAMPLE.EXE	9953dd735ab77196185b11b930df991f	801280