El ransomware LightningCrypt - ¿Como eliminarlo?

El virus ransomware LightningCrypt es una infección aterradora que aprovecha una criptografía sofisticada para evitar que se abran los archivos digitales. Específicamente, esta infección ha elegido un algoritmo AES para llevar a cabo el proceso de encriptación de archivos. Este virus no parece ser una infección dominante, pero la gente debe aprender a reconocerlos. El ransomware se centra en una gran cantidad de ejecutables comúnmente usados, desde documentos Word hasta fotografías emotivas que estén guardadas en formatos .jpg o .png. Desde que esos archivos estén arruinados, estos datos sobresaldrán por su extensión .LIGHTNING. También las víctimas verán un archivo en sus escritorios llamado LightningCrypt_Recover_Instructions.txt.

Esta infección busca obligar a la gente a que les envíe 0.17 BTC a una cartera de bitcoin específica. 423.78 dólares no se deberían enviar de manera voluntaria a las cuentas de los ciber criminales, ya que todo esto sólo les animará más a proseguir con sus proyectos de ransomware futuros. Por el momento, no hay manera de restaurar datos virtuales que la infección podría haber corrompido, pero insistimos en que nunca pague los rescates pedidos. Es posible que los investigadores de seguridad están trabajando actualmente en una herramienta de recuperación de archivos y la presentarán durante el siguiente par de semanas o días. En general, los hackers pueden engañarse y no darle nunca la clave de desencriptación.

Una muestra del virus LightningCrypt ha sido investigada por nuestro equipo de investigadores y hemos notado algunas tendencias. Según nuestros análisis, una de las supuestas cargas podría ser el archivo chkdsk.exe. Esta fuente de comportamiento malicioso comenzará o será capaz de comenzar una gran cantidad de acciones sospechosas, incluyendo las configuraciones convencionales de Claves de Registro de Windows, abrir archivos con derechos peligrosos y contactar con los huéspedes. También parece que optará por enviar una solicitud DNS a una dirección IP de Alemania. ¿Podría esto indicar que los desarrolladores de esta infección son de dicho país? La web Arizonacode.bplaced.net es el dominio al que la muestra intenta conectarse.

Todavía no se sabe cuánta gente se ha vuelto víctima de esta infección. Sin embargo, no estamos notando una gran cantidad de números de personas que requieran asistencia en el proceso de recuperación de archivos. Si dicha necesidad surge, esperamos que los investigadores de seguridad sean capaces de encontrar maneras de ayudar a la gente a recuperar sus archivos sin tener que pagar el rescate.

Podemos jugar nuestro papel recomendando un par de técnicas para recuperación de archivos. Las opciones instantáneas a probar después de que un ransomware llegue a su dispositivo se discutirán en este párrafo. Para empezar, debe revisar si sus Shadow Volume Copies siguen intactas. Si es así, entonces esta es una de las maneras de restaurar los datos. Además, hay una gran cantidad de herramientas universales que podrían ser útiles. Para aprender más acerca de las posibles maneras de restaurar datos, siga hasta el final de esta página. Los pasos para la eliminación manual también se explican en la misma sección. Sin embargo, creemos que es más efectivo deshacerse del ransomware con herramientas antimalware. Spyhunter o Malwarebytes detectarán fuentes de comportamiento malicioso y ofrecerán un proceso de eliminación limpio. Considere esta opción muy cuidadosamente.

¿Cómo se distribuyen normalmente las infecciones de ransomware? La respuesta se tiene que dividir en algunas partes. Las campañas de spam son el primer método de distribución que aprovechan los hackers para la transmisión de ejecutables maliciosos. Los correos de email maliciosos pueden acabar en la cuenta de correo de cualquiera e insistir en que es crucial descargar el archivo adjunto. No recomendamos que abra ese tipo de archivos, ya que contienen macros maliciosas. Además, evite seguir esos enlaces. Podría ser redirigido a webs desconocidas y ver su sistema operativo comprometido. Los ejecutables maliciosos son famosos por distribuirse gracias a una estrategia de descarga automática.

¿Cómo eliminar El ransomware LightningCrypt usando Restauración del Sistema?

1. Reinicie su ordenador en Modo Seguro con Solicitud de Comando

1. Modo seguro

Para Windows 7/ Vista/ XP

• l Inicio → Apagar → Reiniciar → OK.
• l Presione la tecla F8 repetidamente hasta que la pantalla de Opciones de Inicio Avanzado aparece.
• l Elegir Modo Seguro con Solicitud de Comando.

Para Windows 8 / 10

• l Presione Potencia en la pantalla de acceso de Windows. Luego presione y mantenga la tecla Shift y haga clic en Reiniciar.
• l Elija solucionar problemas → Opciones Avanzadas → Configuración de Inicio y haga clic en Reiniciar.
• l Cuando se cargue, seleccione Permitir Modo Seguro con Solicitud de Comando en la lista de Configuraciones de Inicio.

2. Restaurar archivos y configuraciones del Sistema.

• l Cuando el modo de Solicitud de Comando se cargue, introduzca cd restore y presione Intro.
• l Luego introduzca rstrui.exe y presione Intro otra vez.
• l Haga clic en “Siguiente” en la ventana que apareció.
• l Seleccione uno de los Puntos de Restauración que están disponibles antes de que se infiltrase el El virus LightningCrypt en su sistema y luego haga clic en “Siguiente”.
• l Para iniciar la restauración del Sistema haga clic en “Sí”.

2. Complete la eliminación del El ransomware LightningCrypt

Tras restaurar su sistema, se recomienda escanear su ordenador con un programa anti-malware, como Malwarebytes, Spyhunter y elimine todos los archivos maliciosos relacionados con El virus LightningCrypt.

3. Restaure los archivos afectados por El ransomware LightningCrypt usando Shadow Volume Copies

Si no usa la opción de Restaurar Sistema en su sistema operativo, existe la posibilidad de usar capturas de shadow copy. Almacenan copias de sus archivos en el punto temporal en el que la captura de restauración del sistema fue creada. Normalmente El virus LightningCrypt intenta eliminar todas las posibles Shadow Volume Copies, así que este método puede que no funcione en todos los ordenadores. Sin embargo, puede que falle al hacerlo.

Shadow Volume Copies sólo está disponible con Windows XP Service Pack 2, Windows Vista, Windows 7 y Windows 8. Hay dos maneras de recuperar sus archivos a través de Shadow Volume Copu. Puede hacerlo usando las versiones anteriores nativas de Windows o a través de Shadow Explorer.

a) Versiones Anteriores nativas de Windows

Haga clic derecho en un archivo encriptado y seleccione Propiedades>Pestaña de versiones anteriores. Ahora verá todas las copias disponibles de ese archivo particular y del momento cuando fue almacenado en un Shadow Volume Copy. Elija la versión del archivo que quiera recuperar y haga clic en Copiar si quiere guardarlo en algún directorio suyo, o Restaurar si quiere reemplazar el archivo encriptado existente. Si quiere ver el contenido del archivo previamente, simplemente haga clic en Abrir.

b) Shadow Explorer

Es un programa que puede encontrarse online de manera gratuita. Puede descargar tanto una versión completa o portable de Shadow Explorer. Abra el programa. En la esquina superior derecha el disco donde el archivo que está buscando está almacenado. Verá todas las carpetas en ese disco. Para recuperar la carpeta completa, haga clic derecho en ella y seleccione “Exportar”. Luego escoja dónde quiere que se almacene.

Nota: En muchos casos es imposible restaurar archivos de datos afectados por un ransomware moderno. Por eso recomiendo usar un software de copias de seguridad en la nube decente como precaución. Le recomendamos echar un vistazo a Carbonite, BackBlaze, CrashPlan o Mozy Home.

Herramientas de extracción Malware automática