Ransomware Wwpl (Arquivos .wwpl)

O ataque de ransomware Wwpl é um caso bastante indesejado. Ele cifra os arquivos e pede que você pague o resgate em Bitcoins - cerca de $1000 em equivalência. A lavagem de dinheiro é o único objetivo dos cibercriminosos que disseminam esse malware - eles não procuram informações pessoais ou outros dados confidenciais.

O tipo de cifra que esse vírus usa é impossível de decifrar. Não só o tipo de criptografia torna esse processo tão difícil - as chaves de decifragem são armazenadas no servidor remoto, controlado pelos bandidos. Força bruta ou qualquer outra maneira de encontrar a chave de decifragem é inútil devido à enorme quantidade de chaves possíveis (2*10^78).

O malware Wwpl também altera vários parâmetros vitais em seu computador, tornando mais difícil encontrar a solução de decifragem. Bloquear a execução de arquivos de instalação e impedir o acesso a fóruns e sites anti-malware são as coisas mais prejudiciais que ele faz. Enquanto isso, várias alterações em outras configurações do sistema certamente tornarão seu PC mais difícil de usar.

É essencial saber como você conseguiu isso - pelo menos para evitar a injeção repetida de malware. Esse vírus é geralmente disseminado por meio de sites que distribuem versões "gratuitas" de programas conhecidos. Por exemplo, instalar um Photoshop hackeado pode parecer que não traz nada de perigoso, mas você nunca sabe se o usuário que ofereceu o programa adicionou um vírus ao código executável do aplicativo.

Read also: Locklocklock Ransomware

Processo de criptografia

O ransomware Wwpl usa o algoritmo de criptografia AES-256. Este não é o método mais forte, mas ainda fornece uma quantidade avassaladora de chaves de descriptografia possíveis. Para quebrar o número de chaves de 78 dígitos, você precisaria de 3,5 unvigintilhões de anos (1*10^65), mesmo que use o computador mais poderoso do mercado. Computadores quânticos podem apresentar resultados um pouco melhores, mas ainda é muito lento para recuperar seus arquivos enquanto você estiver vivo.

O algoritmo exato de criptografia é o seguinte: o malware verifica cada pasta em busca de arquivos que possa criptografar. Então, quando encontra o alvo, faz uma cópia do arquivo, remove o original, criptografa a cópia e a deixa em vez do original removido. Essa operação é feita para evitar a situação em que você já abriu o arquivo, para que o ransomware não possa lê-lo devido às restrições do Windows. Para cada cópia criptografada, o vírus adiciona a extensão específica - ".wwpl". Em seguida, o ransomware cria um arquivo _readme.txt na pasta em que o arquivo criptografado está localizado e passa para a próxima pasta.

Esse método de criptografia pode ser explorado para a recuperação de arquivos. Como o arquivo original é excluído, você pode tentar recuperá-lo usando ferramentas de recuperação de arquivo. Quanto menos tempo passar, maior será a chance de recuperar seus arquivos, portanto, é importante agir rapidamente!

Outro momento específico que pode ajudá-lo a usar os arquivos mesmo após a criptografia é o fato de que o ransomware Wwpl criptografa apenas os primeiros 150KB de cada arquivo. Portanto, você pode tentar executar um arquivo grande, como vídeo ou música, sem a criptografia. Recursos semelhantes também funcionam com outras famílias de ransomware - Dharma, Conti e Makop criptografam os mesmos 150KB.

Nota de resgate: _readme.txt

A nota de resgate é a mesma para toda a família de ransomware. Na verdade, é um dos principais sinais de qual família o determinado ransomware pertence. Aqui está a nota típica para a família STOP/Djvu:

Links externos:

🔗 HowToFix.Guide: Como descriptografar arquivos .wwpl?

Read also: SUPERLOCK Ransomware Virus Simple Step-by-Step Removal Guide

Indicadores de Comprometimento (IOC)

Nome do Arquivo	MD5	Tamanho do Arquivo
📜 SAMPLE.EXE	8e15efec1faa3ed4b226c873e366083d	780288
📜 SAMPLE.EXE	2828fa5b967d60887f888e2540935253	779776
📜 SAMPLE.EXE	e7396713cdbcf428ea8c01b4a78936b6	753664
📜 SAMPLE.EXE	29dc8c5bda690c53c748a81f7697468b	751616
📜 SAMPLE.EXE	1ca6b27713ac20f462df0894e05ae741	732160
📜 SAMPLE.EXE	346f5487194959bf44f63bafc785be0b	731648
📜 SAMPLE.EXE	0f663fb5c34a9dd3ba3869753964c1b0	731648
📜 SAMPLE.EXE	de6829d5e11e896e3c1995fd11547c47	732160
📜 SAMPLE.EXE	f736aca848198f2195e01d7de6ea2560	739328
📜 SAMPLE.EXE	617d79d2419f454c4683c36e152d44d3	738816