Ransomware Wazp (Arquivos .wazp)

Malware pode assumir diferentes formas, e às vezes se torna perigoso. O ransomware Wazp é apenas um exemplo do vírus mais perigoso atualmente. Ele não destrói o sistema operacional ou de arquivos, mas torna seus arquivos inacessíveis. Para facilitar sua "tarefa", o vírus Wazp consegue impedir o uso de qualquer tipo de software antivírus pelo usuário.

O algoritmo de criptografia usado por este malware é o Salsa20. Sua força (com base no número de possíveis chaves de descriptografia) é complementada pela chave única para cada vítima mantida no servidor remoto. Os criminosos cibernéticos controlam esse servidor e a única maneira de obter as chaves é pagar o resgate ou esperar até que a polícia capture os criminosos.

Também é importante mencionar como esse malware chega ao seu computador. Todas as variantes STOP/Djvu geralmente são espalhadas por sites de terceiros que distribuem versões "gratuitas" de alguns programas populares. Ao hackear o mecanismo de verificação de licença, que torna possível o uso sem pagamento, os usuários podem adicionar malware ao código do programa. E apenas a quantidade de receita dos distribuidores de malware diferencia qual vírus você obterá com um "gratuito" 3DS Max ou Photoshop.

Read also: Arma dei Carabinieri Virus

Processo de criptografia

O ransomware Wazp usa o algoritmo de criptografia AES-256. Este não é o método mais forte, mas ainda fornece uma quantidade avassaladora de chaves de descriptografia possíveis. Para quebrar o número de chaves de 78 dígitos, você precisaria de 3,5 unvigintilhões de anos (1*10^65), mesmo que use o computador mais poderoso do mercado. Computadores quânticos podem apresentar resultados um pouco melhores, mas ainda é muito lento para recuperar seus arquivos enquanto você estiver vivo.

O algoritmo exato de criptografia é o seguinte: o malware verifica cada pasta em busca de arquivos que possa criptografar. Então, quando encontra o alvo, faz uma cópia do arquivo, remove o original, criptografa a cópia e a deixa em vez do original removido. Essa operação é feita para evitar a situação em que você já abriu o arquivo, para que o ransomware não possa lê-lo devido às restrições do Windows. Para cada cópia criptografada, o vírus adiciona a extensão específica - ".wazp". Em seguida, o ransomware cria um arquivo _readme.txt na pasta em que o arquivo criptografado está localizado e passa para a próxima pasta.

Esse método de criptografia pode ser explorado para a recuperação de arquivos. Como o arquivo original é excluído, você pode tentar recuperá-lo usando ferramentas de recuperação de arquivo. Quanto menos tempo passar, maior será a chance de recuperar seus arquivos, portanto, é importante agir rapidamente!

Outro momento específico que pode ajudá-lo a usar os arquivos mesmo após a criptografia é o fato de que o ransomware Wazp criptografa apenas os primeiros 150KB de cada arquivo. Portanto, você pode tentar executar um arquivo grande, como vídeo ou música, sem a criptografia. Recursos semelhantes também funcionam com outras famílias de ransomware - Dharma, Conti e Makop criptografam os mesmos 150KB.

Nota de resgate: _readme.txt

A nota de resgate é a mesma para toda a família de ransomware. Na verdade, é um dos principais sinais de qual família o determinado ransomware pertence. Aqui está a nota típica para a família STOP/Djvu:

Links externos:

🔗 HowToFix.Guide: Como descriptografar arquivos .wazp?

Read also: Donex, DarkRace, fake LockBit 3.0 and Muse Ransomware Decryptor Released

Indicadores de Comprometimento (IOC)

Nome do Arquivo	MD5	Tamanho do Arquivo
📜 SAMPLE.EXE	a0379238a5a75d947938099d6d20ce43	765440
📜 SAMPLE.EXE	69f841239809ab6e5ec0e2aef2564357	765440
📜 SAMPLE.EXE	1a3f17ad136bbca6c1b16afe13e8a0ac	760832
📜 SAMPLE.EXE	ed7b6cfcffed6c403a0f829f59e8d86d	751616
📜 SAMPLE.EXE	4ee97e7758cf9d12654565a6b5e74100	744960
📜 SAMPLE.EXE	0f986c3a62bab653ac16d32d6fddab65	748032
📜 SAMPLE.EXE	12667495599774c1c6379aae46a0e0fe	798208
📜 SAMPLE.EXE	eda67fdd4b9a930af673f6e9a0c529e6	770048
📜 SAMPLE.EXE	5c141a305f8fd03e42c811dd5dbc61ac	770048
📜 SAMPLE.EXE	a1166c17c91bcb4de729365c3f58f1d5	770560