Ta bort viruset Sage (Guide för Virusborttagning) - aug 2017 uppdatering

Vad är Sage ransomware?

Sage ransomware förstärker sin position på nätet

Sage-viruset påminner om Cerber ransomware, vilket tillhandahåller en tydlig och välstrukturerad betalsida för varje drabbad användare. Viruset infiltrerar datorsystemet genom illegala och bedrägliga metoder, krypterar filer med den allmäna nyckeln RSA 4096 och lägger till filändelsen .sage.

Den personliga nyckeln finns lagrad på de kriminellas servrar och det finns inget sätt att nå den på. Viruset ersätter sedan skrivbordsbilden med bilden AVuKmu.bmp, som innehåller information om ransomware-attacken. Här uppmanas offret att ladda ner webbläsaren Tor för att komma åt den hemliga betalsidan.

För att kunna nå denna sida, måste offret kunna sitt personliga ID, vilket finns angivet i filerna !Recovery_AVuKmu.txt och !Recovery_AVuKmu.html. Den personliga betalsidan kallas Sage User Area och har fem sektioner – Home (Hem), Payment (Betalning), Test Decryption (Testdekryptering), Instructions (Instruktioner) och Support (Hjälp).

Startsidan (Hem) informerar offret om lösensumman (0,73962 BTC = 545 $) och visar en nedräkningsklocka för att stressa offret att betala. Enligt instruktionerna kommer den unika dekrypteringsnyckeln att förstöras när den angivna tiden har löpt ut. I sektionen ”Betalning” förklaras hur man köper Bitcoins.

En intressant sak är att bedragarna öppnar individuella Bitcoin-konton för varje enkilt offer. Med andra ord överför inte offren pengar till samma konto utan till flera tusen olika. Bedragarna tillhandahåller till och med kontots QR-kod så att offren skickar lösensumman till korrekt konto.

Precis som Cerber och andra avancerade ransomware-virus, erbjuder Sage-viruset gratis dekryptering av en fil. På så sätt vill bedragarna bevisa att de verkligen kan dekryptera filer. Sektionen ”Instruktioner” förklarar hur man använder Sage-dekrypteraren och sektionen ”Hjälp” erbjuder kontakt med virusutvecklarna.
Utvecklarna av Sage ransomware ger användarna hjälp under betalningsprocessen.

Viruset planterar olika filer på datorn och oerfarna användare kanske inte lyckas att hämta samtliga av dem. Därför rekommenderar vi starkt att du tar bort dem med ett antisabotageprogram såsom FortectIntego eller SpyHunter 5Combo Cleaner. Innan du tar bort Sage, ska du överväga vilket antisabotageprogram som du vill använda.

Om du redan har ett, se till att uppdatera detta när datorn är i ”Felsäkert läge med nätverk”. Om du saknar ett antisabotageprogram, ta bort Sage-viruset med hjälp av våra föreslagna program eller annat tillförlitligt antisabotageprogram. Du kan hitta användbara programrecensioner i sektionen Software (Program) på vår webbsida.

Andra versioner av Sage

Sage 2.0 ransomware. Denna version orsakade inte bara stort kaos för användare utan lockade också forskares intresse. På grund av att nya versioner är på gång, har viruset förstärkt ryktena om att det är det ökända Cerber-viruset som ligger bakom detta nya hot. Det aktiverar sig själv med hjälp av ett VBScript.

Under själva kapningsprocessen, raderar det den ursprungliga programfilen och placerar en kopia i mappen %AppData%. Bedragarna ger programfilerna olika namn på varje infekterad enhet. I filen ! Recovery_ .html ges vidare information om hur man når den unika Sage 2.0-betalsidan.Denna sida liknar betalsidan hos ett annat snabbt växande virus – Spora ransomware.

Sage 2.0 raderar också skuggvolymkopior, vilket medför färre alternativ för dataåterställning. Vidare, placerar det sin länk i Start-mappen, vilket gör det möjligt för viruset att fortsätta krypteringsprocessen även om en dator startas om. Dess spridningsmetoder omfattar nätfiske och skräppost. Förhasta dig inte med att öppna mejl som är personligt adresserade, t.ex. EMAIL_[slumpmässiga siffror]_recipient.zip. Detta innehåller JavaScippt, vilket är en av nyckelfilerna som ligger bakom virusaktiveringen.

Sage 2.2 ransomware. Denna gång bestämde sig bedragarna för att förbättra virusets tekniska egenskaper samt utformning. Ransom-meddelandet ändrades från rött till grönt. Instruktionsfilen har också fått nytt namn. Nu presenteras informationen om betalning och dataåterställning i filen !HELP_SOS.bmp.

Denna omdirigerar till en specifik webbsida, där offren uppmanas att betala en viss summa pengar. Denna kan variera mellan 99 $ och 2000 $. En intressant sak är att denna virusversion uppvisar fler Cerber-egenskaper. Sage 2.2 innehåller en ljudfil som varnar offren än mer och uppmanar till betalning. Ett tidtagartur med återstående tid för betalning gör det inte heller mindre stressande.

Viruset lägger till filändelsen .sage på de krypterade filerna. När det kommer till betalsidan, kan offren välja mellan 18 olika språk. I fallet med Cerber, väljer det bort flera länder såsom Ukraina, Vitryssland, Kazakstan, Ryssland och Lettland. Om du ser över processerna i Aktivitetshanteraren, kan du möjligen se att viruset avslutar eller begränsar flera centrala processer för att krypteringsprocessen ska löpa på smidigt.

Det verkar som att viruset inte angriper vanliga systemfilkataloger, men kan likväl avsluta spel såsom ”League of Legends”. Skräppost och nätfiskemejl är den vanligaste spridningsmetoden. Tänk på att viruset också kan använda exploit kits. Så skydda dig med ordentliga säkerhetsprogram.

Sage ransomwares spridningsmetoder

Sage-viruset sprids via avancerade spridningsmetoder. I de flesta fall kan viruset laddas ner via skadliga eller smittade webbsidor, bedrägliga e-postbilagor, annonser som bär på sabotageprogram eller exploit kits. I vissa fall kan sabotageprogram installeras ihop med legitima program, men bara om du laddar ner dem från suspekta webbsidor.

Ibland kan man undvika virusattacker, men i de allra flesta fall sprids skadliga program via trojaner vilket betyder att programmen är maskerade. Till exempel kan de utge sig för att vara legitima Flash Player- eller Java-uppdateringar, gratis spel, dokument eller andra filer som inte verkar farliga vid första anblick.

Men om du öppnar en sådan fil utan att märka att den är infekterad, kontamineras datorn snabbt. För att undvika sådana här situationer, rkeommenderar vi starkt att du skyddar din PC med ett antisabotageprogram.

Sage 2 ransomware dök upp i början av 2017

Utvecklarna av detta ransomware verkar vara seriösa i sina mål och därför lanserade de nyligen en ny version av detta ökända ransomware. Sage 2 sprids för närvarande via skräpmejl med en .ZIP-fil. Denna fil har namnet EMAIL_[slumpmässiga tecken]_recipient.zip eller bara[slumpmässiga tecken].zip.

Detta arkiv kan innehålla ytterligare en .zip-fil med antingen en JS- eller-Word fil inuti. Om denna öppnas, kommer JS-filen att ladda ner viruset från en nätserver, medan Word-filen uppmanar offret att aktivera Makros-funktionen först. Om offret gör detta, kommer även detta leda till att viruset laddas ner.

Först håller viruset sig passivt ett tag men sparar sedan en kopia av sig själv till mappen \AppData\Roaming. Denna fil öppnas automatiskt och utlöser användarkontots kontrollpanel. Viruset krypterar sedan alla filer som finns beskrivna i sin mållista och sparar !Recovery_[3 random chars].html som ett ransom-meddelande på skrivbordet.

Detta meddelande uppmanar offret att besöka betalsidan. Här får offret reda på hur mycket pengar som viruset kräver – 2000 $ i Bitcoins. Om offret inte betalar lösensumman inom 7 dagar, dubblas beloppet. Tyvärr kan detta virus inte dekrypteras med hjälp av något gratis återställningsverktyg. För mer information om Sage 2.0, föreslår vi att du läser denna artikel.

Borttagning av Sage ransomware

Sage-viruset planterar en rad olika skadliga filer, bland annat AVuKmu.bmp, 1.tmp, hPBic1zL.tmp, VIxkxhFa.lnk med flera. Viruset lägger till sig bland uppstartsprogrammen och körs igång automatiskt när offret startar om sin PC. För att ta bort Sage ransomware, föreslår vi att du startar om din PC i ”Felsäkert läge med nätverk (instruktioner för detta finns nedan).

Vänligen påbörja inte borttagning av Sage innan du har startat om din PC enligt instruktionerna, då viruset kan blockera ditt antivirusprogram. Även om vi i nuläget inte kan erbjuda något 100 % effektivt dataåterställningsprogram, vänligen se över alternativen för återställningen nedan.