HydraCrypt Ransomware

HydraCrypt Ransomware är en allvarlig infektion som har skapats i ett enda syfte – att kräva pengar av användare. Cyberbrottslingar vet att det inte är enkelt att pressa någon på pengar, så de krypterar användarens alla filer och begär sedan en lösensumma. HydraCrypt Ransomware är inte något unikt hot. Utredningar visar att det fungerar på liknande sätt som 7ev3n Ransomware, NanoLocker Ransomware och JS.Crypto Ransomware. Precis som dessa befintliga säkerhetshot kan inte HydraCrypt Ransomware tas bort via Kontrollpanelen. Trots det måste du naturligtvis ta bort programmet, i synnerhet om du inte hade tänkt att ge bort dina pengar till cyberbrottslingar eller har möjlighet att återställa filerna från en säkerhetskopia, t.ex. ett USB-fickminne och/eller en extern hårddisk (HDD).

Utredarna på pcthreat.com har testat denna ransomware-infektion och upptäckt att den omedelbart gör en kopia av sig själv i någon av följande mappar när den väl har tagit sig in i systemet: %APPDATA%, %LOCALAPPDATA% eller %TEMP%. Vi är rätt säkra på att det finns en god anledning till detta. Troligtvis gör HydraCrypt Ransomware detta för att det inte ska vara för lätt för användaren att ta bort det. Dessutom försöker infektionen att dölja sin närvaro under en ganska lång tid, eftersom den behöver 10-20 minuter på sig för att kryptera samtliga av systemets filer. Enligt experterna lägger HydraCrypt Ransomware även till två värden, varav ett kan heta ChromeSettingsStart3264 (med värdedata C:\Users\user\AppData\Roaming\ChromeSetings3264\rovaxowy.exe). Dessa hittar du under HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run. Det råder inga tvivel om att dessa värden skapas under just registernyckeln RUN så att de inte ska försvinna när datorn startas om, utan startas tillsammans med Windows.

När den har utfört sitt jobb – d.v.s. krypterat filer med filändelser som .bin, .mp4, .ppt, .pptx, .txt, .wma, .wmv, .jpg, .html, .docx och .dat – visar infektionen ett meddelande på skärmen som informerar användaren om krypteringen och instruerar denne om vad den måste göra härnäst:

Encryption was made with a special crypto-code!

There NO CHANCE to decrypt it without our special software and your unique private key!

To buy your software You need to contact us by EMAIL

I meddelandet hittar du även två e-postadresser: XHELPER@DR.COM och AHELPER@DR.COM. Du informeras om att du måste kontakta cyberbrottslingarna via någon av dessa e-postadresser för att få vidare anvisningar. Detta har du 72 timmar på dig att göra, och om du inte kontaktar personerna bakom hotet inom tidsgränsen kommer alla dina filer att förstöras eller till och med säljas på den svarta marknaden (hävdas det i alla fall). Om du kontaktar brottslingarna är vi rätt övertygade om att de kommer att meddela dig exakt vilken summa du ska överföra till dem. Med allra största sannolikhet kommer de att vilja ha pengarna i Bitcoin. Det är bara du som kan bestämma om du ska föra över pengarna eller inte, men vi föreslår att du återställer dina filer från en säkerhetskopia om du kan, för det finns inga garantier för att filerna kommer att låsas upp ens när du har gjort inbetalningen.

Man har sett att användare kan råka ladda ner huvudfilen till HydraCrypt Ransomware genom att öppna skräppost, klicka på opålitliga länkar eller brukar ladda ner program från suspekta tredjepartssajter. Som om inte detta vore nog kan hotet dessutom smyga sig in i datorer med hjälp av andra skadliga program som redan finns installerade på systemet. Därför är det en bra idé att se till att alltid ha en ren dator. Ingen skada tycks ske så länge användaren inte dubbelklickar på huvudfilen till HydraCrypt Ransomware även om den har laddats ner till datorn. Dessvärre gör majoriteten av användarna just detta och gör det därmed möjligt för hotet att ta sig in i systemet. Om du vet med dig att du inte kan skydda din dator på egen hand måste du installera ett säkerhetsprogram på PC:n. På så vis kan du vara säker på att inga skadliga program tar sig in i din dator i framtiden.

Trots att HydraCrypt Ransomware inte blockerar några .exe-filer eller systemverktyg som andra ransomware-infektioner på webben gör, är det inte så lätt att ta bort detta säkerhetshot. Därför har vi tagit fram manuella borttagningsanvisningar som du hittar nedanför denna artikel. Om du inte blir hjälpt av dessa anvisningar bör du ladda ner, installera och sedan genomsöka din dator med en automatisk malware-borttagare, till exempel SpyHunter. Kom ihåg att dina filer förblir krypterade även efter att du har tagit bort HydraCrypt Ransomware, men du måste ändå ta bort det snarast möjligt.

Så här tar du bort HydraCrypt Ransomware

Visa dolda filer och mappar

Windows XP

1. Klicka på Start-knappen.
2. Välj Kontrollpanelen och öppna Utseende och teman.
3. Välj Mappalternativ.
4. Öppna fliken Visning.
5. Under Dolda filer och mappar kryssar du i Visa dolda filer och mappar.
6. Klicka på OK.

Windows 7/Vista

1. Klicka på Start-knappen.
2. Välj Kontrollpanelen.
3. Öppna Utseende och anpassning.
4. Välj Mappalternativ.
5. Öppna fliken Visning.
6. Kryssa i Visa dolda filer, mappar och enheter under Dolda filer och mappar.
7. Klicka på OK.

Windows 8/8.1/10

1. Öppna Windows Utforskaren.
2. Klicka på fliken Visning högst upp.
3. Klicka på Alternativ.
4. Öppna fliken Visning.
5. Kryssa i Visa dolda filer, mappar och enheter.
6. Klicka på OK.

Ta bort ransomware

1. Kör RUN (Windows-tangenten + R).
2. Skriv regedit och klicka på OK.
3. Gå till HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run.
4. Leta upp värdet ChromeSetingsStart3264 (kan heta något annat).
5. Högerklicka på det och Ta bort det.
6. Stäng Registereditorn.
7. Öppna Windows Utforskaren.
8. Gå till %APPDATA%, %LOCALAPPDATA% och %TEMP% (kopiera och klistra in mappnamnet i adressfältet och tryck på Enter) och leta upp filen som innehåller en slumpmässig bokstavsserie.
9. Högerklicka på filen och välj Ta bort.
10. Ta bort två bilder som är märkta med HydraCrypt ransomware-symbolen och alla filer som hör till detta hot från Skrivbordet.
11. Töm Papperskorgen.
12. Starta om din dator.

Vi rekommenderar att du genomsöker systemet med en automatisk malware-borttagare för att säkerställa att denna ransomware faktiskt har tagits bort helt och hållet.