Windows 10 • Virus cambió extensiones de archivo por .hese.

Hola, tengo el mismo problema, me ha infectado dos discos duros externos con todo tipo de archivos, en cuanto al ordenador usé un punto anterior de restauración y los archivos han aparecido en su estado original y de momento no hay rastro del virus, incluso conectando de nuevo los discos afectados, Ayer los lleve a una tienda de informática y me cuentan que tardaran un par de semanas con cada disco duro y no me aseguran la recuperación de todos los datos, de momento los tengo en casa a la espera de una solución. mi pregunta es ¿hago bien en esperar? ¿o es preferible llevarlos a algún sitio que este especializado con el consiguiente coste, claro(50 euros c/u)?. Gracias

Hola, Juan:

No se recomienda realizar el pago a los ciberdelincuentes porque nadie le asegura el que vaya a recibir la clave de descifrado de sus archivos. Además, el realizar el pago hace que los ciberdelincuentes sigan actuando gracias al dinero obtenido, y no van a parar hasta que lógicamente no les sea rentable este "negocio".

En cualquier caso, cada persona es libre de hacer lo que quiera y es entendible que haya personas que paguen por recuperar sus archivos personales si no quieren esperar o no tienen conocimientos o información de que sus archivos pueden llegar a recuperarse sin pagar nada.

Por ahora, la única novedad que puedo aportar es que el principal experto en este ransomware, lleva desde el día 26 de agosto trabajando en la investigación y solución para esta variante .hese.

Un saludo a todos.

Aporto algo mas, para ver si sirve de solucion

el archivo agregado por el infestador

¡ATENCIÓN!

¡No se preocupe, puede devolver todos sus archivos!
Todos sus archivos, como fotos, bases de datos, documentos y otros datos importantes, se cifran con un cifrado más seguro y una clave única.
El único método para recuperar archivos es comprar una herramienta de descifrado y una clave única para usted.
Este software descifrará todos sus archivos cifrados.
¿Qué garantías tienes?
Puede enviar uno de sus archivos cifrados desde su PC y nosotros lo desciframos de forma gratuita.
Pero podemos descifrar solo 1 archivo de forma gratuita. El archivo no debe contener información valiosa.
Puede obtener y ver la herramienta de descifrado de descripción general de video:
https://we.tl/t-sTWdbjk1AY
El precio de la clave privada y el software de descifrado es de $ 980.
Descuento del 50% disponible si nos contacta las primeras 72 horas, el precio es de $ 490.
Tenga en cuenta que nunca restaurará sus datos sin pago.
Verifique su carpeta de correo electrónico "Spam" o "Basura" si no recibe respuesta más de 6 horas.

Para obtener este software, debe escribir en nuestro correo electrónico:
******@bitmessage.ch

Reserve una dirección de correo electrónico para contactarnos:
******@firemail.cc

Hola, Gabriela.

Como ya se ha indicado en este mismo Hilo de discusión, estamos a la espera de que se actualice la herramienta STOPDecrypter, para ver si los expertos en seguridad han conseguido calcular e introducir alguna clave offline para descifrar los archivos de la variante . hese.

Así pues, es normal la información final que le devuelve la herramienta al final del proceso. Con esos datos que le muestra al final, lo único que puede hacer por ahora (y no es del todo obligatorio ya que su ID Personal puede haber sido reportada ya por otro usuario afectado), es enviarlos a los responsables que llevan la investigación para que los tengan en cuenta y le ayuden más rápidamente a descifrar sus archivos, en el siguiente Hilo de discusión del foro de BleepingComputer:

STOP Ransomware (.STOP, .Puma, .Djvu, .Promo, .Drume) Help & Support Topic

Es decir, usted debe responder en ese Hilo de discusión citado anteriormente, y aportar nada más que estos datos resaltados en negrita:

[!] No keys were found for the following IDs:

[*] ID: HcPQ6CF5DFzgGGgINxJHROVYAEOgOjB6qZlIhwrj (.jpg )

[*] ID: HcPQ6CF5DFzgGGgINxJHROVYAEOgOjB6qZlIhwrj (.hese )

Please archive these IDs and the following MAC addresses in case of future decryption:

[*] MACs: 1C:87:2C:44:4A:9C, C6:E9:84:1F:9A:04, C4:E9:84:1F:9A:04, 00:FF:5E:36:6D:FE, C4:E9:84:1F:9A:04

This info has also been logged to STOPDecrypter-log.txt

En cuanto a las sugerencias que le han dado sobre formatear, es algo que no es tampoco necesario. Puede analizar el sistema por ejemplo con Malwarebytes Anti-Malware e HitmanPro para eliminar el archivo que inició el proceso de cifrado de archivos en su equipo.

De todas formas, este tipo de ransomwares no suelen quedar residentes continuamente en memoria, por lo que solamente suelen actuar una vez, aunque siempre es recomendable verificar que esto sea así desde el Administrador de tareas o analizando el sistema con un antivirus o antimalware.

En caso de que decida formatear el sistema, recuerde que es vital para recuperar sus archivos el realizar una copia de seguridad de sus archivos cifrados, de la nota de rescate dejada por el ransomware y de los datos de información MACs que le ofreció la herramienta StopDecrypter.

Un saludo.

Hola a todos.

Obviamente estoy acá porque me infectó el virus. Actualmente solo me afectó un disco, un disco duro con un SO viejo, el SSD con el SO nuevo no está afectado. Esto fue el día 26-08-2019.

Quisiera saber cómo puedo saber si el encriptado de los archivos afectados, tienen ya una código para desencriptar. Ejecuté el STOPDecrypter y me dice que no pudo desencriptar nada, y me tira esta info al final. No sé si esta info me sirve para algo, no sé si hay alguna esperanza de recuperar los archivos, me sugirieron formatear e intentar restaurar archivos, pero otros me lo desaconsejan. Qué harían? Ayuda por favor.

DATOS StopDecrypter.

Decrypted 0 files!

Skipped 94 files.

[!] No keys were found for the following IDs:

[*] ID: HcPQ6CF5DFzgGGgINxJHROVYAEOgOjB6qZlIhwrj (.jpg )

[*] ID: HcPQ6CF5DFzgGGgINxJHROVYAEOgOjB6qZlIhwrj (.hese )

Please archive these IDs and the following MAC addresses in case of future decryption:

[*] MACs: 1C:87:2C:44:4A:9C, C6:E9:84:1F:9A:04, C4:E9:84:1F:9A:04, 00:FF:5E:36:6D:FE, C4:E9:84:1F:9A:04

This info has also been logged to STOPDecrypter-log.txt