اگر فایل های کامپیوتر شما ناگهان با یک پسوند ناشناخته مانند `.djvu`، `.gero`، `.meds` یا ده ها پسوند دیگر تغییر نام داده اند و در کنار آنها فایل `_readme.txt` ایجاد شده است، احتمال دارد سیستم به یکی از گونه های باج افزار STOP/Djvu آلوده شده باشد.
STOP/Djvu خانواده ای از باج افزارهاست که فایلهای قربانی را رمزگذاری میکند و برای بازگرداندن آنها درخواست باج دارد. امکان بازیابی فایلها به نوع گونه، کلیدی که برای رمزگذاری استفاده شده و در برخی موارد در دسترس بودن کلید مربوطه بستگی دارد. بنابراین، قبل از حذف فایل های رمزگذاری شده یا پرداخت باج، باید نوع آلودگی و امکان رمزگشایی بررسی شود.
STOP/Djvu چیست؟
STOP/Djvu نام خانواده ای از باج افزارهای ویندوزی است که در طول فعالیت خود گونه های متعددی داشته است. یکی از ویژگی های شناخته شده این خانواده، تغییر پسوند فایل های رمزگذاری شده است. برای مثال، در برخی گونه ها پسوندهایی مانند `.djvu`، `.rumba`، `.radman` و `.gero` به نام فایلها اضافه شده است. Emsisoft میگوید STOP/Djvu از Salsa20 برای رمزگذاری فایل ها استفاده میکند.
این خانواده در طول زمان تغییر کرده و به همین دلیل نمیتوان تنها بر اساس پسوند فایل، درباره امکان بازیابی یا حتی گونه دقیق بدافزار تصمیم گرفت.
پسوند `.djvu` نیز به معنی وجود یک فایل معمولی DjVu نیست. اگر تعداد زیادی از فایلهای شخصی شما بطور همزمان تغییر نام داده اند و یک فایل `_readme.txt` نیز در پوشه ها ایجاد شده، باید احتمال آلودگی باجافزاری را جدی گرفت.
نشانه های آلودگی به STOP/Djvu
مهمترین نشانه ها عبارتاند از:
- تغییر پسوند تعداد زیادی از فایل ها
- باز نشدن فایل های Word، Excel، PDF، تصویر، ویدئو یا فایل های پایگاه داده
- ایجاد فایل `_readme.txt` در پوشه های مختلف
- نمایش یک شناسه شخصی در یادداشت باج
- تغییر نام فایل ها بدون تغییر عمدی توسط کاربر
- مشاهده پیام درخواست پرداخت برای دریافت کلید یا ابزار رمزگشایی
وجود یک پسوند ناشناخته به تنهایی برای تشخیص کافی نیست. اما ترکیب تغییر گسترده فایلها با یادداشت `_readme.txt` یکی از نشانه های مهم STOP/Djvu است.
STOP/Djvu چگونه وارد سیستم می شود؟
STOP/Djvu در کمپین های مختلف از روشهای متفاوتی برای ورود استفاده کرده است. یکی از مسیرهای شناخته شده، توزیع بدافزار در قالب نرم افزارهای کرک شده، keygen و فایلهای نصب جعلی است.
در برخی گزارش های فنی نیز مشاهده شده که باج افزار همراه با بدافزارهای دیگر، از جمله اطلاعات دزدها، روی سیستم قربانی اجرا شده است. بنابراین آلودگی ممکن است فقط به رمزگذاری فایلها محدود نباشد.
دسترسی های Remote Desktop نیز میتوانند یک مسیر ورود باشند. راهنمای رسمی Emsisoft برای STOP/Djvu در صورت آلودگی از طریق Windows Remote Desktop، تغییر رمز عبور حسابهای دارای دسترسی از راه دور و بررسی حسابهای کاربری ایجاد شده روی سیستم را توصیه میکند.
به همین دلیل، پس از شناسایی باج افزار نباید فقط روی بازگرداندن فایل ها تمرکز کرد. ابتدا باید مطمئن شد که مهاجم یا بدافزار همچنان به سیستم دسترسی ندارد.
اگر فایلها رمزگذاری شده اند، اول چه کار کنیم؟
اگر احتمال میدهید سیستم به STOP/Djvu یا باج افزار دیگری آلوده شده است، عجله برای اجرای ابزارهای مختلف میتواند وضعیت را بدتر کند.
۱. سیستم آلوده را از شبکه جدا کنید
اتصال Ethernet را قطع کنید یا Wi-Fi را غیرفعال کنید. اگر چند سیستم درگیر هستند، موضوع دیگر یک آلودگی ساده روی یک کامپیوتر نیست و باید کل شبکه بررسی شود.
CISA نیز در دستورالعمل واکنش به باج افزار، جداسازی فوری سیستم های آلوده از شبکه را یکی از نخستین اقدامات میداند.
۲. فایلهای رمزگذاری شده را حذف نکنید
فایلهایی که پسوندشان تغییر کرده است ممکن است در آینده، با پیدا شدن کلید یا راهکار مناسب، قابل بازیابی باشند.
بنابراین تا زمانی که وضعیت مشخص نشده، فایلهای رمزگذاری شده، یادداشت باج و اطلاعات مربوط به آلودگی را نگه دارید.
۳. قبل از رمزگشایی، بدافزار را پاک کنید
اجرای decryptor روی سیستمی که هنوز آلوده است میتواند نتیجه مطلوبی نداشته باشد. راهنمای Emsisoft صراحتاً توصیه میکند ابتدا بدافزار قرنطینه شود تا از رمزگذاری مجدد فایلها جلوگیری شود.
۴. رمزهای مهم را از یک سیستم سالم تغییر دهید
اگر احتمال می دهید همراه باج افزار، اطلاعات دزد نیز اجرا شده باشد، رمزهای حساب های مهم را از یک دستگاه سالم تغییر دهید.
این موضوع بخصوص برای ایمیل، حسابهای مدیریتی، سرویس های ابری و حساب هایی که اطلاعات پرداخت یا داده حساس دارند اهمیت بیشتری دارد.
آیا فایل های STOP/Djvu قابل رمزگشایی هستند؟
پاسخ به این سؤال برای همه قربانیان یکسان نیست.
Emsisoft اعلام میکند که برای نسخه های STOP/Djvu، فایل هایی که با یک کلید آفلاین موجود در پایگاه این شرکت رمزگذاری شده باشند، میتوانند با decryptor آن بازیابی شوند. برای گونه های قدیمی Djvu نیز امکان استفاده از جفت فایل اصلی و رمزگذاری شده در برخی شرایط وجود داشته است. این روش برای گونه های جدید Djvu که پس از اوت ۲۰۱۹ با RSA کار میکنند، پشتیبانی نمی شود.
به بیان ساده، رمزگذاری با کلید آفلاین میتواند شانس بازیابی رایگان ایجاد کند، اما تضمینی برای بازیابی همه فایلها وجود ندارد.
برای گونه هایی که با کلید آنلاین رمزگذاری شده اند، وضعیت دشوارتر است و بدون در اختیار داشتن کلید خصوصی مربوطه، راهکار عمومی برای رمزگشایی وجود ندارد. با این حال، بهتر است فایل های رمزگذاریشده حفظ شوند، زیرا وضعیت ابزارهای بازیابی ممکن است در آینده تغییر کند.
کلید آنلاین و آفلاین چیست؟
در STOP/Djvu، نوع کلیدی که هنگام رمزگذاری استفاده شده، یکی از عوامل مهم در تعیین امکان بازیابی است.
در برخی آلودگی ها از یک کلید آفلاین استفاده می شود که میتواند بین قربانیان یک گونه مشترک باشد. اگر این کلید در اختیار پژوهشگران امنیتی قرار گرفته باشد، ممکن است decryptor بتواند فایلها را بازیابی کند.
در مقابل، کلید آنلاین برای قربانی بصورت اختصاصی تولید می شود و بازیابی آن بدون کلید خصوصی مربوطه بسیار دشوارتر است.
به همین دلیل، صرفاً دیدن پسوندی مانند `.djvu` یا `.gero` برای تشخیص امکان رمزگشایی کافی نیست.
STOP Djvu Decryptor را از کجا دانلود کنیم؟
Emsisoft همچنان صفحه رسمی ابزار STOP Djvu Decryptor را در اختیار کاربران قرار داده است. این ابزار رایگان است، اما خود Emsisoft هشدار میدهد که ابزارها بدون ضمانت ارائه میشوند و ممکن است روی نسخههایی که پس از ایجاد ابزار منتشر شده اند کار نکنند.
یک نکته مهم این است که ابزار را از سایتهای ناشناس دانلود نکنید. ابزارهای جعلی با عنوان decryptor میتوانند خودشان حاوی بدافزار باشند یا آسیب بیشتری به فایل ها وارد کنند.
اگر ابزار Emsisoft را اجرا میکنید، راهنمای رسمی آن توصیه میکند سیستم ابتدا از بدافزار پاک شده باشد و ابزار هنگام اجرا به اینترنت متصل باشد تا دستورالعمل های رمزگشایی را دریافت کند.
آیا میتوان فایل را برای Emsisoft ارسال کرد؟
Emsisoft یک پورتال ارسال فایل برای STOP/Djvu دارد که در شرایط مشخص میتواند برای بررسی امکان رمزگشایی استفاده شود.
برای این کار باید یک فایل رمزگذاری شده و نسخه اصلی همان فایل را داشته باشید. هر دو فایل باید بیش از ۱۵۰ کیلوبایت باشند و برای هر نوع فایل، جفت فایل مربوط به همان قالب مورد نیاز است. این سرویس از گونه های جدیدی که از RSA استفاده میک نند پشتیبانی نمی کند.
پورتال رسمی ارسال فایل Emsisoft برای STOP/Djvu
اگر فایل اصلی در اختیار دارید، آن را با فایل رمزگذاری شده همان نسخه مقایسه کنید. استفاده از فایل های تصادفی یا فایل هایی که دقیقاً نسخه قبل از رمزگذاری نیستند، نتیجه قابل اعتمادی ایجاد نمیکند.
آیا پرداخت باج فایلها را برمی گرداند؟
هیچ تضمینی وجود ندارد.
یادداشت های باج STOP/Djvu قربانی را به خرید کلید و ابزار رمزگشایی هدایت میکنند، اما پرداخت پول تضمین نمیکند که تمام فایلها بازیابی شوند یا مهاجم واقعاً ابزار مورد ادعا را ارائه کند.
از طرف دیگر، در یک حادثه واقعی ممکن است موضوع فقط رمزگذاری فایل ها نباشد. اگر مهاجم یا بدافزار اطلاعات حساب ها را نیز سرقت کرده باشد، پرداخت باج مشکل سرقت اطلاعات را حل نمیکند.
به همین دلیل، قبل از هر تصمیمی درباره پرداخت، باید امکان بازیابی از backup، بررسی کلید و ابزارهای معتبر رمزگشایی و بررسی دامنه کامل آلودگی انجام شود.
چرا پشتیبان گیری در برابر باجافزار اهمیت دارد؟
پشتیبان گیری تنها برای خرابی سخت افزار یا حذف تصادفی فایلها نیست. در حملات باج افزاری، یک نسخه پشتیبان سالم میتواند مستقل از نوع کلید رمزگذاری، امکان بازیابی اطلاعات را فراهم کند.
CISA توصیه میکند از داده ها بطور منظم پشتیبان گرفته شود، صحت backup ها بررسی شود و فرآیند restore نیز آزمایش شود. همچنین توصیه میکند نسخه های پشتیبان بصورت دائمی به سیستم ها و شبکه متصل نباشند، زیرا برخی گونه های باج افزار میتوانند منابع پشتیبان متصل را نیز هدف قرار دهند.
برای سازمانها، داشتن backup بتنهایی کافی نیست. دسترسی های مدیریتی، RDP، MFA، ثبت لاگ، EDR و پایش متمرکز نیز باید در معماری دفاعی در نظر گرفته شوند.
اگر STOP/Djvu یک سازمان را آلوده کند چه باید کرد؟
در محیط سازمانی، واکنش نباید به اجرای یک decryptor محدود شود.
ابتدا باید سیستم های آلوده ایزوله شوند و دامنه حادثه مشخص شود. سپس باید بررسی شود که مهاجم از چه مسیری وارد شده، چه حسابهایی در معرض خطر هستند و آیا سیستمهای دیگری نیز تحت تأثیر قرار گرفته اند.
در چنین شرایطی، EDR میتواند برای شناسایی رفتارهای مشکوک روی Endpoint ها، SIEM برای جمع آوری و تحلیل متمرکز لاگ ها و Threat Intelligence برای بررسی شاخصه ای تهدید مورد استفاده قرار گیرد.
مهم است که این ابزارها به عنوان جایگزین backup یا Incident Response در نظر گرفته نشوند. آنها بخشی از یک معماری دفاعی چندلایه هستند.
جمع بندی
STOP/Djvu یکی از خانواده های شناخته شده باج افزار است که گونه های متعددی دارد و فایل های قربانی را با پسوندهای مختلف رمزگذاری میکند.
اگر با فایلهایی مواجه شد هاید که ناگهان پسوندشان تغییر کرده و `_readme.txt` در کنار آنها ایجاد شده است، اولین کار حذف فایلها یا پرداخت باج نیست. سیستم را از شبکه جدا کنید، فایلهای رمزگذاری شده و اطلاعات آلودگی را نگه دارید، بدافزار را پاک کنید و سپس امکان بازیابی را بررسی کنید.
برای سازمانها نیز پیشگیری فقط به نصب آنتیویروس محدود نمی شود. پشتیبان گیری جدا از شبکه، کنترل دسترسی، MFA، پایش Endpoint ها و لاگ ها و داشتن یک فرآیند مشخص برای واکنش به حادثه، بخشهای مهم دفاع در برابر باجافزار هستند.