¿Cómo recuperar los archivos del ransomware .Kvag?

Problema: Por favor, ayuda. Hoy me he dado cuenta de que no puedo abrir ninguno de los archivo de mi PC, incluyendo fotos que son muy importantes para mi. Parece que cada archivo ha sido reemplazado por un icono blanco que acaba con la extensión .kvag. ¿Qué es esto? ¿Es posible recuperar mis archivos?

Respuesta resuelta

Si tus archivos han sido modificados con la extensión .kvag, tu ordenador ha quedado infectado con el ransomware STOP/Djvu. Los virus ransomware son unos de los más devastadores, ya que bloquean todos los archivos personales como fotos, vídeos, música, bases de datos y otros. Aunque otros malwares pueden ser exitósamente eliminados con programas anti-virus sin mayores consecuencias, los archivos encriptados por ransomware siguen bloqueados.

El ransomware STOP fue primera vez lanzado en Diciembre del 2017 por ciber criminales desconocidos y ha permanecido como una de las familias más prominentes en el ciber mundo. En este momento, existen más de 150 variantes de este ransomware, siendo Kvag el último de ellos.

Los datos son bloqueados con la ayuda de AES – un algoritmo de encriptación simétrico. Esto significa que una clave secreta es usada para bloquear todos los archivos y enviados a un servidor de Comando y Control que es donde los hackers tras el ransomware Kvag tienen el control. Para desbloquear los archivos, los usuarios necesitan la clave que poseen los criminales y, obviamente, no van a dártela gratuitamente.

Los desarrolladores del ransomware Kvag están pidiendo un pago en moneda virtual Bitcoin – normalmente unos 980$. Sin embargo, para ganarse la confianza del usuario, ofrecen un 50% de descuento si el contacto se realiza en las primeras 72 horas desde la infección. Aquí hay un extracto desde la nota _readme.txt colocada en cada una de las carpetas que contiene archivos encriptados:

Price of private key and decrypt software is $980.
Discount 50% available if you contact us first 72 hours, that’s price for you is $490.
Please note that you’ll never restore your data without payment.
Check your e-mail “Spam” or “Junk” folder if you don’t get answer more than 6 hours.
To get this software you need write on our e- mail:
gorentos@bitmessage.ch

Pagar la multa no es para nada recomendable, ya que la posibilidad de acabar siendo estafado es alta. Los ladrones no tienen que enviarte la clave requerida tras pagar, ya que tienen tu dinero. En vez de esto, puedes intentar soluciones alternativas para descifrar los archivos encriptados por el ransomware Kvag – te las proporcionamos abajo.

A diferencia de los malwares silenciosos, los ransomwares no ocultan su presencia y no tocan ningún archivo vital para el sistema operativo, ya que tu objetivo es extorsionar el dinero más que corromper el sistema operativo o robar los datos. Aún así, el ransomware Kvag puede inyectar varios módulos en el PC – éstos pueden espiar las actividades del navegador del usuario y robar información sensible, incluyendo detalles bancarios.

No obstante, este no es el único factor por el que la eliminación del ransomware Kvag debería realizarse cuanto antes. Si intentas recuperar tus archivos encriptados mientras la carga maliciosa o sus módulos están presentes, los archivos serán encriptados repetidamente, haciendo que el proceso de recuperación sea inútil.

Ya que las nuevas versiones del virus Kvag están siendo lanzadas con relativa asiduidad, no todos los motores anti-virus las detectan. Sin embargo, en este momento, 50 motores anti-virus deberían detectar y eliminar la infección. El malware es reconocido bajo estos nombres:

• Win32:Ramnit-CC [Trj]
• Trojan:Win32/CryptInject.BG!MTB
• Trojan.GenericKD.32452318
• Trojan.Ransom.Stop
• TROJ_GEN.R002C0OIE19
• Trojan.MalPack.GS, etc.

Una vez que te asegures de que el virus sea eliminado, puedes proceder con la recuperación de archivos. Aunque las primeras versiones del ransomware STOP eran rápidamente descifradas con la ayuda de herramientas personalizadas creadas por expertos en seguridad, las últimas variantes fueron drásticamente mejoradas por los criminales. Adicionalmente, el ransomware Kvag no puede ser descifrado con la ayuda de STOPDecrypter – una herramienta que puede recuperar los archivos bloqueados bajo ciertas circunstancias.

Eliminar el ransomware Kvag y el archivo host de Windows antes de proceder con la recuperación de archivos

Como hemos mencionado antes, necesitas eliminar el ransomware Kvag para asegurar que el proceso de recuperación no sea de nuevo encriptado. Para ello te recomendamos que uses Fortect – esta herramienta puede también restaurar el registro de Windows que fue modificado por el malware.

El ransomware Kvag es conocido por prevenir que los usuarios entren en sitios de seguridad para buscar soluciones, modificando el archivo hosts de Windows. Adicionalmente, esto puede interferir con el software anti-malware cuando intentes eliminarlo. En ese caso, deberías entrar en el Modo Seguro con Funciones de Red y ejecutar una comprobación completa del sistema:

• Click derecho en Inicio y selecciona Configuración.
• Click en Actualizaciones y Seguridad y selecciona Recuperación.
• Encuentra la sección de Inicio Avanzado y haz click en Reiniciar ahora (esto reiniciará inmediatamente tu PC).
• Tras el reinicio, selecciona Solucionador de Problemas > Opciones Avanzadas > Ajustes de Inicio y click en Reiniciar.
• Una vez que el PC se reinicie una vez más, pulsa F5 o 5 para acceder al Modo Seguro con Funciones de Red.

Tras eliminar el virus, deberías ir a C:\\Windows\\System32\\drivers\\etc en tu ordenador y eliminar el archivo hosts.

Opción 1. Usar Data Recovery Pro

Data Recovery Pro es uno de los productos de recuperación líderes. Inicialmente, esta aplicación no estaba diseñada para descifrar archivos encriptados por Kvag u otros ransomwares – simplemente no posee esta función. Sin embargo, intenta obtener la localización donde el archivo estaba colocado antes de quedar alterado y, si no hay nueva información sobrescrita en él (depende de cuánto hayas usado el PC desde la infección), Data Recovery Pro puede recuperar una copia. Por ello, el programa puede ser capaz de recuperar al menos algunos de los datos de esta manera.

• Descarga Data Recovery Pro [enlace de descarga] e inicia el proceso de instalación
• Sigue las instrucciones en pantalla para finalizar la instalación y haz doble click en el icono de Data Recovery Pro en tu escritorio para iniciar el programa
• Selecciona la opción de Comprobación Completa y selecciona Iniciar Comprobación (puedes también buscar archivos individuales basados en palabras clave)
• Una vez que la comprobación finalice, serás capaz de seleccionar los archivos que puedan ser recuperable. Selecciona Recuperar

Opción 2. ShadowExplorer puede ser capaz de recuperar todos tus datos si el ransomware Kvag ha fallado a la hora de eliminar las Copias de Volumen de los Datos

ShadowExplorer es una simple aplicación que puede usar las Copias de Volumen de los Datos para recuperar versiones de los archivos encriptados por el ransomware Kvag. Sin embargo, el malware debe haber fallado la eliminación de estas copias de seguridad de Windows para que este programa funcione efectivamente:

• Descarga ShadowExplorer [enlace de descarga] e instálalo
• Sigue las instrucciones en pantalla para completar la instalación y haz click en el icono del programa con el fin de abrirlo
• Selecciona el disco y la carpeta que quieras recuperar
• Click derecho y selecciona Exportar

Opción 3. La función de Versiones Anteriores de Windows puede funcionar si la Restauración del Sistema estaba habilitada

Este método solo funciona si tenías la Recuperación del Sistema habilitada. Ten en cuenta que este método requiere que recuperes los archivos encriptados de .Kvag uno por uno, por lo que esto puede llevarte un tiempo:

• Localiza el archivo que desees recuperar
• Click derecho en él y selecciona Restaurar versiones previas
• Click en versiones previas y selecciona Restaurar

Opción 3. Contactar con Dr. Web si quieres pagar por el proceso de desencriptación

Dr. Web es un software anti-malware ruso especialista en varias soluciones de seguridad para usuarios de casa y empresas. La firma es también conocida por estar activamente envuelta en el desarrollo de desencriptadores de ransomware para varias variantes de STOP – .DATAWAIT, .INFOWAIT y otros han funcionado con la herramienta de Dr. Web.

El ransomware Kvag, junto con otras variantes más recientes pueden ser parcialmente desencriptadas por Dr. Web. Sin embargo, solo los archivos PDF y de Microsoft Office pueden ser recuperados de este modo (no imágenes u otros archivos).

La desventaja de todo esto es que el servicio no es gratuito – el paquete de Rescate cuesta 150€. Si estás interesado, puedes solicitar el servicio de desencriptación aquí. Sin embargo, el servicio es gratuito para usuarios que ya tengan el software Dr. Web instalado, cuando la prioridad es la infección del ransomware Kvag.

Si nada te ha funcionado…

Si ninguno de los métodos te ha funcionado, no hay actualmente otros modos de recuperar los archivos encriptados por el ransomware Kvag. El único modo actualmente es pagar la multa a los hackers y esperar que te proporcionen la herramienta de descifrado. Sin embargo, ten cuidado, ya que los criminales no son de confianza – pueden enviarte varios archivos ejecutables maliciosos o nunca contactarte de nuevo una vez pagues.

Por ahora, deberías realizar una copia de todos tus archivos encriptados y esperar a que un investigador en seguridad encuentre los modos de recuperar los archivos del virus Kvag, y esto puede tomar un tiempo.

Repara tus Errores automáticamente

El equipo de pcseguro.es está intentando hacer todo lo posible para ayudar a los usuarios a encontrar las mejores soluciones para eliminar sus errores. Si no quieres comerte la cabeza con técnicas de reparación manuales, por favor, usa los programas automáticos. Todos los productos recomendados han sido probados y aprobados por nuestros profesionales. Las herramientas que puedes usar para solucionar tu error se encuentran en la lista de abajo.

Protege tu privacidad online con un cliente VPN

Una VPN es crucial cuando se trata de la privacidad del usuario. Los registradores online como cookies no solo son usadas por plataformas de redes sociales y otras páginas webs, sino también por tu Proveedor de Servicios de Internet y el gobierno. Incluso si aplicas los ajustes más seguros a través de tu navegador, puedes ser trackeado a través de las aplicaciones que estén conectadas a Internet. Además, los navegadores centrados en la privacidad como Tor no son la opción más óptima debido a la disminución de la velocidad de conexión. La mejor solución para proteger tu privacidad es Private Internet Access – mantente anónimo y seguro en línea.

Las herramientas de recuperación de datos pueden prevenir la permanente pérdida de archivos

Los programas de recuperación de datos son una de las mejores opciones que pueden ayudarte a recuperar tus archivos. Una vez elimines un archivo, no se desvanece en e aire – permanece en el sistema mientras no haya un nuevo dato que lo sobrescriba. Data Recovery Pro es un programa de recuperación que busca las copias de los archivos eliminados dentro de tu disco duro. Al usar esta herramienta, puedes prevenir la pérdida de documentos valiosos, trabajos de la escuela, imágenes personales y otros archivos cruciales.