Khôi phục dữ liệu bị virus mã hóa đuôi file .shgv

Gần đây rất nhiều máy tính bị nhiễm virus mã hóa đuôi file thành .shgv. Vậy làm sao để khôi phục lại dữ liệu bị mã hóa file .shgv?

Virus .Shgv là gì?

Virus Shgv là một ransomware mới thuộc họ ransomware có tên là STOP (Djvu). Ransomware là một dạng phần mềm độc hại mã hóa các tệp của nạn nhân và đòi tiền chuộc để giải mã chúng. Virus Shgv mã hóa các file, đổi tên chúng bằng cách thêm phần mở rộng .shgv và tạo các file có tên “_readme.txt” chứa thông báo đòi tiền chuộc.

Ví dụ: file có tên “image.jpg” sẽ được đổi tên thành “image.jpg.shgv”, file “document.docx” thành “document.docx.shgv”, “bill.pdf” thành “bill.pdf.shgv ”, v.v.

Ảnh chụp màn hình các file được mã hóa bởi vi rút Shgv (phần mở rộng file .shgv)

Shgv ransomware là một phần mềm độc hại mới là một biến thể của STOP ransomware. Giống như các biến thể khác, nó mã hóa tất cả các file trên máy tính và sau đó yêu cầu một khoản tiền chuộc để giải mã. Virus này mã hóa các tệp bằng phương pháp mã hóa mạnh, giúp loại bỏ khả năng tìm thấy khóa theo bất kỳ cách nào. Đối với mỗi nạn nhân, Shgv sử dụng một khóa duy nhất với một ngoại lệ nhỏ. Nếu vi-rút không thể thiết lập kết nối với máy chủ điều khiển và chỉ huy (C&C) trước khi bắt đầu quá trình mã hóa, thì vi-rút sẽ sử dụng khóa ngoại tuyến. Khóa này giống nhau đối với bất kỳ nạn nhân nào, giúp giải mã các tệp đã được mã hóa trong cuộc tấn công ransomware trong một số trường hợp.

Khóa ngoại tuyến là khóa mật mã được sử dụng bởi ransomware khi không có kết nối với C&C. Khóa có thể được sử dụng để giải mã các file bất kể chúng được mã hóa trên máy tính nào.

Shgv có khả năng mã hóa các tệp thuộc bất kỳ loại nào, bất kể những gì có trong chúng. Nhưng nó bỏ qua các file có phần mở rộng: .ini, .dll, .lnk, .bat, .sys và các file có tên ‘_readme.txt’. Do đó, các loại tệp phổ biến sau đây có thể được mã hóa dễ dàng:

.bc7, .3ds, .wp7, .wmf, .xx, .bsa, .slm, .arch00, .fsh, .ltx, .bay, .xar, .bar, .xlsm, .mpqge, .p12, .dng, .map, .pst, .vpp_pc, .mef, .m4a, .z3d, .ysp, .mp4, .wps, .vdf, .xml, .x, .re4, .kdb, .mcmeta, .pptm, .xlk, .1st, .xyw, .blob, .xmmap, .mov, .dbf, .wbc, .css, .hkdb, .iwd, .xbdoc, .wp4, .vtf, .gdb, .srf, .dba, .zdb, .wmd, .indd, .crt, .rw2, .raf, .ff, .zdc, .wp5, .pdd, .wav, .flv, .ppt, .wotreplay, .wot, .orf, .hkx, .ztmp, .kf, .sql, .desc, .xpm, .png, .lvl, .psk, .wpw, .x3f, .lbf, .wsd, .wbz, .wsh, .jpe, .ybk, .xbplate, .mdf, .odm, .sr2, .rar, .t13, .big, .wma, .t12, .wire, .xlsm, .wn, .ncf, .sis, .mrwref, .bc6, .zw, .js, .db0, .menu, .eps, .xmind, .3fr, .wpa, .bik, .itdb, wallet, .pfx, .pak, .syncdb, .layout, .ai, .odc, .pkpass, .m3u, .itm, .zip, .wps, .0, .xdb, .wgz, .xf, .hplg, .kdc, .wm, .fpk, .wpt, .arw, .sidn, .wri, .vpk, .crw, .bkf, .wbk, .cfr, .sav, .icxs, .ibank, .1, .sidd, .bkp, .wpd, .zi, .wbmp, .xlsb, .itl, .accdb, .lrf, .3dm, .w3x, .rwl, .odt, .zif, .avi, .wpe, .ods, .forge, .odb, .rb, .vfs0, .txt, .sb, .pdf, .asset, .wbm, .xyp, .xlgc, .wpl, .qdf, .dcr, .pem, .qic, .cer, .pptx, .xld, .raw, .esm, .dwg, .py, .r3d, .7z, .docm, .cdr, .wmo, .wb2, .ntl, .rtf

Mỗi file đã được mã hóa sẽ được đổi tên. Điều này có nghĩa là sau đây. Nếu tệp được gọi là ‘document.docx’, thì sau khi mã hóa, nó sẽ được đặt tên là ‘document.docx.shgv’. Virus Shgv có thể mã hóa các tập tin nằm trên tất cả các ổ đĩa kết nối với máy tính. Do đó, các file nằm trong bộ nhớ gắn trong mạng và các thiết bị bên ngoài cũng có thể được mã hóa. Nó mã hóa từng tệp, khi tất cả các filetrong thư mục được mã hóa, nó sẽ đưa ra một tệp mới trong thư mục, file này được gọi là ‘_readme.txt’. Dưới đây là nội dung của tập tin này.

Ảnh chụp màn hình nội dung của file ‘_readme.txt’ (ghi chú tiền chuộc Shgv)

File này có trong tất cả các thư mục có tệp được mã hóa. Nhưng nội dung của tập tin này giống nhau ở mọi nơi. Tệp này chứa một thông điệp từ những người tạo Shgv. Trong thông báo này, bọn tội phạm báo cáo rằng tất cả các file đã được mã hóa và cách duy nhất để giải mã chúng là mua một bộ giải mã và khóa. Những kẻ tấn công yêu cầu số tiền chuộc là 490$ ~ 10.000.000 VNĐ, nếu nạn nhân không trả tiền chuộc trong vòng 72 giờ, thì số tiền chuộc sẽ tăng gấp đôi thành 980$ ~ 20.000.000 VNĐ. Các tác giả Shgv đã để lại hai địa chỉ email mà nạn nhân phải sử dụng để liên lạc với họ. Để xác nhận khả năng giải mã, bọn tội phạm đề nghị giải mã miễn phí một tệp không chứa thông tin quan trọng. Nhưng rõ ràng là không có gì đảm bảo rằng ngay cả khi trả tiền chuộc, nạn nhân vẫn có thể giải mã tất cả các tệp đã được mã hóa.

Văn bản được trình bày trong ghi chú đòi tiền chuộc của virus Shgv:

ATTENTION!

Don’t worry, you can return all your files!
All your files like pictures, databases, documents and other important are encrypted with strongest encryption and unique key.
The only method of recovering files is to purchase decrypt tool and unique key for you.
This software will decrypt all your encrypted files.
What guarantees you have?
You can send one of your encrypted file from your PC and we decrypt it for free.
But we can decrypt only 1 file for free. File must not contain valuable information.
You can get and look video overview decrypt tool:
https://we.tl/t-NONb1QT9nD
Price of private key and decrypt software is $980.
Discount 50% available if you contact us first 72 hours, that’s price for you is $490.
Please note that you’ll never restore your data without payment.
Check your e-mail “Spam” or “Junk” folder if you don’t get answer more than 6 hours.

To get this software you need write on our e-mail:
manager@mailtemp.ch

Reserve e-mail address to contact us:
helprestoremanager@airmail.cc

Your personal ID:
0361xxxxxxxx

Tóm tắt về mối đe dọa của virus Shgv

Tên	Shgv ransomware, file virus Shgv
Loại	Ransomware, Crypto malware, File locker, Filecoder, Crypto virus
Đuôi file	.shgv
Lưu ý tiền chuộc	_readme.txt
Liên hệ	manager@mailtemp.ch, helprestoremanager@airmail.cc
Số tiền chuộc	$490, $980 in Bitcoins
Tên phát hiện	Trojan/Win.MalPE.R457508, Gen:Variant.Midie.105542, W32/Kryptik.FWV.gen!Eldorado, Trojan.Siggen16.3401, Win32.Trojan.BSE.R017XV, Trojan-Ransom.StopCrypt, HEUR:Exploit.Win32.Shellcode.gen, BehavesLike.Win32.MultiPlug.bc, Trojan.Win32.Save.a, ML/PE-A + Troj/Krypt-BO, BScope.TrojanDropper.Convagent
Triệu chứng	Ảnh, tài liệu và nhạc của bạn không mở được. Tất cả ảnh, tài liệu và nhạc của bạn đều có phần mở rộng tệp khác được thêm vào tên tệp. Các tệp được gọi là “_readme.txt”, “READ-ME”, “_open me”, “_DECRYPT YOUR FILES” hoặc “_Your files have been encrypted” trong mọi thư mục có tệp được mã hóa. Ghi chú tiền chuộc hiển thị trên màn hình của bạn.
Phương thức phân phối	Email không được yêu cầu được sử dụng để gửi phần mềm độc hại. Nội dung tải xuống độc hại xảy ra mà người dùng không hề hay biết khi họ truy cập một trang web bị xâm phạm. Phương tiện truyền thông xã hội, chẳng hạn như các chương trình nhắn tin tức thời dựa trên web. Trang web đáng ngờ.
Gỡ bỏ	Hướng dẫn xóa virus Shgv
Giải mã	Shgv File Decrypt Tool

Các tác giả của Shgv khiến nạn nhân sợ hãi khi nói rằng không thể giải mã các tệp được mã hóa nếu không trả tiền chuộc. Và không may là điều này đúng, không thể đọc nội dung của các file trong khi các tệp được mã hóa, và cần có khóa và bộ giải mã để giải mã chúng.

May mắn thay, có một trình giải mã miễn phí (Shgv File Decrypt Tool) có thể giải mã các file được mã hóa trong một số trường hợp. Nó có thể giúp từng nạn nhân giải mã các file .shgv miễn phí.

Nhưng ngoài bộ giải mã, chìa khóa vẫn rất cần thiết. Như chúng tôi đã báo cáo ở trên, ransomware có thể sử dụng hai loại khóa. Chỉ các tệp được mã hóa bằng khóa ngoại tuyến mới có thể được giải mã và chỉ sau khi các nhà nghiên cứu bảo mật đã lấy được khóa ngoại tuyến. Các file đã được mã hóa bằng cái gọi là ‘khóa trực tuyến’ vẫn chưa thể được giải mã. Trong mọi trường hợp, có một số phương pháp phổ biến hơn để khôi phục các tệp được mã hóa, sẽ được trình bày bên dưới. Điều rất quan trọng là phải đọc kỹ toàn bộ hướng dẫn sử dụng và đảm bảo hiểu hết. Chúng tôi khuyên bạn không được bỏ qua bất kỳ bước nào, mỗi bước đều rất quan trọng và bạn phải hoàn thành.

Để không bị nhầm lẫn và không bỏ lỡ một điểm quan trọng trong hướng dẫn, chúng tôi khuyên bạn nên in bài viết này hoặc mở nó trên điện thoại thông minh của bạn.

Làm thế nào để xóa virus Shgv (ransomware)?

Trước khi bắt đầu giải mã hoặc khôi phục các file .shgv, bạn cần xóa Shgv ransomware và các mục tự khởi động của nó. Điều này phải được thực hiện vì nếu không, ransomware có thể mã hóa lại các tệp đã khôi phục. Bạn có thể ngăn ransomware hoạt động vì nó không khó thực hiện. Một tùy chọn khác là thực hiện quét toàn bộ hệ thống bằng cách sử dụng các công cụ loại bỏ phần mềm độc hại miễn phí có khả năng phát hiện và loại bỏ sự lây nhiễm ransomware.

Việc quét phần mềm độc hại trên máy tính là rất quan trọng vì các nhà nghiên cứu bảo mật đã phát hiện ra rằng phần mềm gián điệp có thể được cài đặt trên máy tính bị nhiễm cùng với phần mềm tống tiền Shgv. Phần mềm gián điệp là một mối đe dọa bảo mật rất nguy hiểm vì nó được thiết kế để lấy cắp thông tin cá nhân của người dùng như mật khẩu, thông tin đăng nhập, chi tiết liên hệ, v.v.

Nếu bạn gặp bất kỳ khó khăn nào trong việc xóa bỏ virus Shgv, hãy cho chúng tôi biết trong phần bình luận, chúng tôi sẽ cố gắng giúp bạn.

Để xóa bỏ virus Shgv ransomware, bạn hãy làm theo các bước dưới đây:

Diệt vi rút Shgv

Nhấn tổ hợp phím CTRL + ALT + DEL cùng lúc

Nhấp vào Task Manager. Chọn tab “Processes”, tìm thứ gì đó đáng ngờ là Shgv ransomware, sau đó nhấp chuột phải vào nó và chọn tùy chọn “End Task” hoặc “End Process”. Nếu Task Manager của bạn không mở hoặc Windows báo cáo “Task manager has been disabled by your administrator”, hãy làm theo hướng dẫn sau để mở: https://www.youtube.com/watch?v=IItmuPhY0WA

Không khó để phát hiện ra một tiến trình liên quan đến Shgv ransomware. Khi tìm kiếm một quy trình độc hại, hãy chú ý đến biểu tượng quy trình và tên của nó. Thông thường, ransomware này có tên tiến trình ở định dạng sau: 4-ký tự.tmp.exe hoặc 4-ký tự.exe.

Ví dụ: 7533.tmp.exe, A4b1.exe, CD15.tmp.exe, 19b2.exe.

Tên tiến trình cũng có thể chứa “(32 bit)”. Nếu bạn không tìm thấy một quy trình có tên tương tự trong danh sách các quy trình, thì rất có thể phần mềm ransomware Shgv đã hoạt động xong. Nhưng hãy nhớ rằng, nếu bạn không xóa các mục tự khởi động ransomware, như được minh họa bên dưới và không xóa tệp của nó, thì sau một thời gian, nó có thể bắt đầu lại và nếu tìm thấy các tệp không được mã hóa, hãy mã hóa chúng ngay lập tức.

Tắt khởi động Shgv

Chọn tab “Start-Up”, tìm thứ gì đó tương tự như tab được hiển thị trong ví dụ bên dưới, nhấp chuột phải vào tab đó và chọn Disable.

Xóa tác vụ Shgv

Gõ “Task Scheduler” vào thanh tìm kiếm. Nhấp vào ứng dụng Task Scheduler trong kết quả tìm kiếm. Nhấp vào “Task Scheduler Library” trong bảng điều khiển bên trái. Trên bảng bên phải, nhấp chuột phải vào “Time Trigger Task” và chọn Delete.

Xóa virus Shgv

Chạy Task Manager và chọn tab “Start-Up”. Nhấp chuột phải vào mục Start-Up Shgv ransomware và chọn Open File Location như hình dưới đây:

Một thư mục chứa một tập tin sẽ mở ra trước mặt bạn, tập tin này là virus Shgv. Nó cần được loại bỏ.

Nếu bạn cố gắng xóa nó ngay lập tức, thì bạn sẽ không thành công, vì tệp này được bảo vệ khỏi việc xóa.

Để xóa file này, bạn cần thực hiện như sau.

Nhấp chuột phải vào file -> chọn Properties. Trong cửa sổ mở ra, chọn tab Security. Tiếp theo, nhấp vào nút Advanced bên dưới. Một cửa sổ sẽ mở ra như trong ví dụ sau:

Nhấp vào Disable inheritance. Trong hộp thoại Block inheritance mở ra, hãy chọn mục đầu tiên (Convert inherited permissions…) như được hiển thị bên dưới:

Trong danh sách mục nhập Permission, chọn “Deny Everyone”, nhấp vào nút Remove và sau đó nhấp vào OK. Đóng cửa sổ thuộc tính tệp.

Bây giờ bạn có thể xóa vi-rút Shgv. Nhấp chuột phải vào file và chọn Delete.

Quét máy tính để tìm phần mềm độc hại

Zemana Anti-Malware (ZAM) là một công cụ loại bỏ phần mềm độc hại thực hiện quét máy tính và hiển thị nếu có phần mềm tống tiền, phần mềm quảng cáo, phần mềm gián điệp, trojan, sâu và phần mềm độc hại khác đang cư trú trên máy tính của bạn. Nếu phần mềm độc hại được tìm thấy, Zemana có thể tự động xóa phần mềm đó. Zemana Anti Malware không xung đột với các chương trình chống phần mềm độc hại và phần mềm độc hại khác được cài đặt trên PC của bạn.

Truy cập trang sau để tải xuống trình cài đặt Zemana trên PC của bạn. Lưu nó vào máy tính của bạn.

Trong khi cài đặt, bạn có thể thay đổi một số cài đặt nhất định, nhưng chúng tôi khuyên bạn không nên thực hiện bất kỳ thay đổi nào đối với cài đặt mặc định.

Khi cài đặt xong, công cụ loại bỏ phần mềm độc hại này sẽ tự động khởi động và tự cập nhật. Bạn sẽ thấy cửa sổ chính của nó như được hiển thị trong hình bên dưới.

Bây giờ nhấn nút “Scan” để thực hiện quét hệ thống để tìm ransomware Shgv, các loại mối đe dọa tiềm ẩn khác như phần mềm gián điệp và trojan. Quá trình quét có thể mất từ 10 đến 30 phút, tùy thuộc vào số lượng tệp trên máy tính cá nhân và tốc độ máy tính của bạn. Trong khi chương trình Zemana đang quét, bạn có thể thấy số lượng các đối tượng mà nó đã xác định là mối đe dọa.

Khi quá trình quét kết thúc, Zemana Anti-Malware sẽ mở ra một danh sách các mối đe dọa bảo mật mà quá trình quét tìm thấy. Đảm bảo rằng tất cả các mối đe dọa đều có “‘checkmark” và nhấp vào nút “Next“.

Zemana Anti Malware sẽ bắt đầu loại bỏ Shgv ransomware, phần mềm độc hại khác, virus và trojan. Sau khi hoàn tất, bạn có thể được nhắc khởi động lại thiết bị của mình để thay đổi có hiệu lực.

Để chắc chắn 100% rằng máy tính không còn virus Shgv, chúng tôi khuyên bạn nên sử dụng công cụ diệt virus Kaspersky (KVRT). Nó là miễn phí và dễ sử dụng. Nó có thể quét và loại bỏ phần mềm tống tiền, phần mềm gián điệp, các ứng dụng không mong muốn tiềm ẩn, sâu, trojan, phần mềm quảng cáo và phần mềm độc hại khác. KVRT đủ mạnh để tìm và gỡ cài đặt các tệp và mục đăng ký độc hại bị ẩn trên máy.

Tải xuống công cụ diệt vi rút Kaspersky từ liên kết sau. Lưu nó vào máy tính của bạn.

Nhấp vào Change Parameters và đặt dấu kiểm gần tất cả các ổ đĩa của bạn. Nhấn OK để đóng cửa sổ Parameters. Tiếp theo bấm vào nút Start scan. Công cụ KVRT sẽ bắt đầu quét toàn bộ PC để phát hiện ransomware Shgv. Quy trình này có thể mất một chút thời gian, vì vậy hãy kiên nhẫn.

Khi công cụ diệt virus Kaspersky hoàn tất quá trình quét, nó sẽ mở Kết quả quét như bên dưới.

Xem lại kết quả sau khi tiện ích hoàn tất quá trình quét hệ thống. Nếu bạn cho rằng một mục nhập không nên bị cách ly, thì hãy bỏ chọn mục đó. Nếu không, chỉ cần nhấp vào Continue để bắt đầu quá trình làm sạch.

Cách giải mã file .shgv

Tất cả các file đuôi ‘.shgv’ đều được mã hóa. Không thể mở khóa nội dung của chúng chỉ bằng cách xóa phần đuôi mở rộng này hoặc thay đổi hoàn toàn tên file.

Để giải mã các file .shgv, bạn cần một trình giải mã. May mắn thay, có một Công cụ giải mã tệp Shgv miễn phí (Shgv File Decrypt Tool) có thể giải mã tệp .shgv. Dưới đây, chúng tôi cung cấp hướng dẫn về nơi tải xuống và cách sử dụng Shgv File Decrypt Tool.