Dekryptera RSA 3072 utan nyckel. Avskrift no_more_ransom

Twitter

De första exemplen på skadlig programvara som krypterar filer och sedan kräver pengar för dekryptering dök upp för länge sedan. Det räcker med att återkalla Trojan.Xorist med sin primitiva XOR-baserade krypteringsalgoritm eller Trojan.ArchiveLock skriven i PureBasic, som använde vanlig WinRAR för kryptering och Sysinternals SDelete för att radera krypterade filer och krävde så mycket som fem tusen dollar för dekryptering. Det var dock CryptoLocker som startade en dålig trend bland virusskribenter – att använda mest senaste prestationerna kryptografi i form av mycket starka krypteringsalgoritmer. Idag undersöker vi flera krypteringstrojaner som dök upp efter den sensationella marschen över CryptoLockers Internet (eller samtidigt som den).

VARNING

Om du vill följa vårt exempel och undersöka några exempel på ett ransomware-skåp, var försiktig. Även när du använder en virtuell maskin kan du vårdslöst kryptera filer i delade mappar på huvudsystemet.

Lite statistik

Ur skaparnas synvinkel är krypteringstrojaner riktiga pengar. Att organisera spamdistribution av infekterade brev och en tjänst för att ta emot betalningar från de som värdesätter familjebilder som plötsligt visar sig vara krypterade är mycket enklare och billigare än att till exempel noggrant bygga och utveckla ett botnät (som sedan måste kopplas någonstans ) eller samla in data från infekterade maskiner, med tanke på att denna insamlade data också måste tjäna pengar på något sätt.

Därför fortsätter den här typen av cyberutpressning att blomstra och ge enorma summor pengar till arrangörerna av denna kriminella verksamhet. Till exempel, enligt Kaspersky Lab-specialister, registrerades 2014 mer än sju miljoner attacker med hjälp av krypterade trojaner från olika familjer.

Fortsättning är endast tillgänglig för medlemmar

Alternativ 1. Gå med i "site"-communityt för att läsa allt material på sajten

Medlemskap i communityn inom den angivna perioden ger dig tillgång till ALLT hackermaterial, ökar din personliga kumulativa rabatt och låter dig samla ett professionellt Xakep-poängbetyg!

Ransomware-virus är datorprogram, som först krypterar dina filer och sedan kräver pengar för möjligheten att dekryptera dem. Ransomware-virus har blivit en riktig epidemi. Internet är fyllt med förfrågningar om hjälp med att dekryptera filer. De flesta ransomware-virus är väldigt lika varandra. De smyger in i din dator och krypterar sedan dina filer. De huvudsakliga skillnaderna mellan dem tros vara krypteringsalgoritmen och mängden lösen som krävs.

Tänk på att genom att betala lösensumman har du ingen garanti för att dina filer kommer att dekrypteras. Du stöder helt enkelt cyberkriminellas kriminella verksamhet. Du kan aldrig vara säker på att de kommer att skicka dig den hemliga nyckeln som används för att dekryptera dem. Försök därför aldrig kontakta brottslingarna eller betala en lösensumma. Dessutom kan ransomware-virus spridas via P2P-torrentnätverk, där användare laddar ner hackade versioner programvara. Av dessa skäl bör du vara försiktig när du laddar ner filer från overifierade källor, samt när du öppnar filer som skickats från en okänd e-postmottagare.

Skrivbordsbakgrund på en dator infekterad med ransomware.better_call_saul

De flesta av dessa virus dök upp ganska nyligen; .better_call_saul dök upp runt februari. För närvarande sprids.better_call_saul-viruset ganska aggressivt i Ryssland och andra postsovjetiska länder. De flesta användare blir infekterade med .better_call_saul-viruset när de klickar på länkar in e-postmeddelanden. Brottslingar kommer också att sprida detta virus genom skräppostmeddelanden med infekterade filer bifogade till e-postmeddelanden. Hackade webbplatser är den tredje vanligaste metoden för infektion med ransomware.better_call_saul. Efter att ha lyckats penetrera systemet, krypterar denna ransomware olika filer lagrade på din hårddiskar. För kryptering använder viruset RSA-3072-algoritmen.

Observera att detta virus lägger till tillägget .better_call_saul i slutet av namnet på varje krypterad fil. Dessutom ändrar det utseendet på skrivbordet (ändrar bakgrunden) och skapar en README.txt-fil i varje mapp som innehåller krypterade filer. Textfilen README.txt och även skrivbordsunderlägget innehåller ett meddelande om att filerna är krypterade och att offret måste betala en lösensumma för att kunna återställa dem. I instruktionerna rekommenderas offret att kontakta cyberkriminella genom att skriva till den angivna e-postadressen och skicka en speciell kod. Efter detta ska offret förmodligen få ytterligare instruktioner.

Cyberkriminella kräver sedan att betala 14-15 tusen rubel för en special QIWI plånbok. Om lösensumman inte betalas inom 48 timmar, kommer nyckeln som används för att dekryptera filerna och lagras på servrar som kontrolleras av brottslingarna att raderas. Tänk på att utan denna nyckel är det omöjligt att dekryptera dina filer. Tyvärr finns det för närvarande inga verktyg som kan dekryptera filer kodade av viruset .better_call_saul. Ett sätt att lösa detta problem är att återställa systemet eller filerna från en säkerhetskopia. Några andra alternativ för att bekämpa detta virus beskrivs nedan.

Ta bort ransomware.better_call_saul med automatisk rengöring

Uteslutande effektiv metod arbetar med skadlig programvara i allmänhet och ransomware i synnerhet. Användningen av ett beprövat skyddande komplex garanterar noggrann upptäckt av eventuella virala komponenter, deras fullständigt avlägsnande med ett klick. Observera att vi pratar om två olika processer: Avinstallera infektion och återställ filer på din dator. Men hotet måste verkligen tas bort, eftersom det finns information om introduktionen av andra datortrojaner som använder det.

. När du har startat programvaran klickar du på knappen Starta datorskanning(Börja skanna).
Den installerade programvaran kommer att ge en rapport om de hot som upptäckts under skanningen. För att ta bort alla upptäckta hot, välj alternativet Åtgärda hot(Eliminera hot). Skadlig programvara i fråga kommer att tas bort helt.

Återställ åtkomst till krypterade filer

Som nämnts låser .better_call_saul ransomware filer med en stark krypteringsalgoritm så att krypterad data inte kan återställas med ett svep trollspö- om du inte tar hänsyn till betalningen av ett oerhört lösensumma. Men vissa metoder kan verkligen vara en livräddare som hjälper dig att återställa viktig data. Nedan kan du bekanta dig med dem.

Program automatisk återställning filer

En mycket ovanlig omständighet är känd. Denna infektion raderar originalfilerna i okrypterad form. Krypteringsprocessen för utpressningsändamål riktar sig alltså mot kopior av dem. Detta gör det möjligt för programvara såsom återställning av raderade objekt, även om tillförlitligheten av deras borttagning är garanterad. Det rekommenderas starkt att tillgripa filåterställningsproceduren, dess effektivitet är utom tvivel.

Skuggkopior av volymer

Tillvägagångssättet bygger på Windows procedur säkerhetskopiering av filer, som upprepas vid varje återställningspunkt. Viktigt arbetsskick den här metoden: Funktionen "Systemåterställning" måste aktiveras innan infektion. Eventuella ändringar av filen som gjorts efter återställningspunkten kommer dock inte att visas i den återställda versionen av filen.

Säkerhetskopiering

Detta är det bästa bland alla metoder utan lösen. Om säkerhetskopieringsproceduren är extern server användes före ransomware-attacken på din dator, för att återställa krypterade filer behöver du helt enkelt gå in i lämpligt gränssnitt, välja nödvändiga filer och starta dataåterställningsmekanismen från säkerhetskopian. Innan du utför operationen måste du se till att ransomwaren är helt borttagen.

Kontrollera om det finns kvarvarande komponenter för ransomware.better_call_saul

Manuell rengöring riskerar att sakna enskilda delar av ransomware som skulle kunna undkomma borttagning som dolda operativsystemobjekt eller registerobjekt. För att eliminera risken för partiell lagring av enskilda skadliga element, skanna din dator med en pålitlig säkerhetsprogramvara. mjukvarupaket, specialiserad på skadlig programvara.

, VIDEO, MUSIK och andra personliga filer på .NO_MORE_RANSOM, och ändrar det ursprungliga namnet till en slumpmässig kombination av bokstäver och siffror. Men de flesta filer av de viktigaste formaten .PDF, .DOC, .DOCX, .XLS, .XLSX, .JPG, .ZIPöppna inte. Bokföring 1C fungerar inte. Så här ser det ut:

Teknisk support för Kaspersky Lab, Dr.Web och andra kända företag, engagerad i utvecklingen av antivirusprogram, som svar på användarnas begäran om att dekryptera data, rapporterar att det är omöjligt att göra detta inom en acceptabel tid.

Men skynda dig inte att misströsta!

Faktum är att, efter att ha penetrerat din dator, använder det skadliga programmet som ett verktyg helt laglig GPG-krypteringsmjukvara och den populära krypteringsalgoritmen - RSA-1024. Eftersom det här verktyget används på många ställen och inte är ett virus i sig, låter antivirusprogram det passera och blockerar inte dess funktion. En offentlig och privat nyckel genereras för att kryptera filer. Den privata nyckeln skickas till angriparnas server, medan den offentliga nyckeln finns kvar på användarens dator. Båda nycklarna krävs för att dekryptera filer! Angriparna skriver försiktigt över den privata nyckeln på den drabbade datorn. Men detta händer inte alltid. I mer än tre års historia av oklanderligt arbete, specialister Dr.SHIFRO Vi har studerat tusentals varianter av skadlig programvara, och kanske till och med i en till synes hopplös situation kommer vi att kunna erbjuda en lösning som gör att du kan få tillbaka din data.

I den här videon kan du se riktigt jobb dekryptering på en av våra kunders dator:

För att analysera möjligheten till dekryptering, skicka 2 exempel på krypterade filer: en text (doc, docx, odt, txt eller rtf upp till 100 KB i storlek), den andra grafiken (jpg, png, bmp, tif eller pdf-storlek upp till 3 MB). Du behöver också en anteckningsfil från angriparna. Efter att ha granskat filerna ger vi dig en uppskattning av kostnaden. Filer kan skickas via e-post [e-postskyddad] eller använd filinlämningsformuläret på webbplatsen (orange knapp).

KOMMENTARER (2)

Fick NCOV-viruset. Efter att ha sökt på Internet efter en dekrypteringsmetod hittade vi den här sidan. Specialisten beskrev snabbt och noggrant vad som behövde göras. För att garantera dekrypterades 5 testfiler. De meddelade kostnaden och efter betalning dechiffrerades allt inom några timmar. Även om inte bara datorn var krypterad, utan även nätverksenheten. Tack så mycket för din hjälp!

God dag! Jag hade nyligen en liknande situation med NCOV-viruset, som inte hade tid att kryptera alla diskar, eftersom... efter en tid öppnade jag mappen med fotot och såg ett tomt kuvert och ett filnamn från en annan uppsättning bokstäver och siffror och laddade ner och startade omedelbart gratis verktyg för att ta bort trojaner. Viruset kom med posten och det kom ett övertygande brev som jag öppnade och lanserade bilagan. Datorn har 4 mycket stora hårddiskar (terabyte). Jag kontaktade olika företag, som är fulla på Internet och som erbjuder sina tjänster, men även med lyckad dekryptering kommer alla filer att finnas i separat mapp och allt blandas ihop. Ingen ger en garanti på 100% dekryptering. Jag kontaktade Kaspersky Lab och även där hjälpte de mig inte..html# så jag bestämde mig för att kontakta. Jag skickade tre testbilder och fick efter ett tag svar med en fullständig utskrift av dem. I mailkorrespondensen erbjöds jag antingen på distans eller hemma. Jag bestämde mig för att göra det hemma. Vi bestämde datum och tid för specialistens ankomst. Direkt i korrespondensen kom man överens om beloppet för dekodern och efter lyckad dekryptering skrev vi avtal om arbetet och jag betalade enligt avtalet. Att dekryptera filerna tog väldigt lång tid, eftersom vissa videor var det stor storlek. Efter fullständig dekryptering såg jag till att alla mina filer återgick till sin ursprungliga form och rätt filtillägg. Kapaciteten på hårddiskarna blev densamma som innan de infekterades, eftersom hårddiskarna under infektionen var nästan helt fulla. De som skriver om bedragare osv, det håller jag inte med om. Detta är skrivet antingen av konkurrenter av ilska, att de inte lyckas, eller av människor som blir kränkta av något. I mitt fall blev allt bra, mina rädslor är i det förflutna. Jag såg återigen mina gamla familjebilder som jag hade tagit från för länge sedan och familjevideor som jag själv hade redigerat. Jag skulle vilja säga tack till företaget dr.Shifro och personligen till Igor Nikolaevich, som hjälpte mig att återställa alla mina data. Tack så mycket och lycka till! Allt som skrivs är min personliga åsikt, och du bestämmer själv vem du ska kontakta.

För ungefär en eller två veckor sedan dök ett annat hack från moderna virustillverkare upp på Internet, som krypterar alla användarens filer. Återigen kommer jag att överväga frågan om hur man botar en dator efter ett ransomware-virus krypterad000007 och återställa krypterade filer. I det här fallet har inget nytt eller unikt dykt upp, bara en modifiering av den tidigare versionen.

Garanterad dekryptering av filer efter ett ransomware-virus - dr-shifro.ru. Detaljer om arbetet och schemat för interaktion med kunden finns nedan i min artikel eller på webbplatsen i avsnittet "Arbetsförfarande".

Beskrivning av CRYPTED000007 ransomware-virus

Krypteringen CRYPTED000007 skiljer sig inte i grunden från sina föregångare. Det fungerar nästan exakt på samma sätt. Men ändå finns det flera nyanser som skiljer den åt. Jag ska berätta om allt i ordning.

Den kommer, liksom sina motsvarigheter, via post. Tekniker som används social ingenjörskonst så att användaren säkert blir intresserad av brevet och öppnar det. I mitt fall talade brevet om någon form av domstol och viktig information på ärendet i bilagan. Efter att ha startat bilagan öppnar användaren ett Word-dokument med ett utdrag från Moskvas skiljedomstol.

Parallellt med att dokumentet öppnas startar filkryptering. Ett informationsmeddelande från Windows User Account Control-systemet börjar ständigt dyka upp.

Om du accepterar förslaget kommer säkerhetskopiorna av filer i skuggkopior av Windows att raderas och det kommer att bli mycket svårt att återställa information. Det är uppenbart att man inte under några omständigheter kan gå med på förslaget. I denna kryptering dyker dessa förfrågningar upp konstant, en efter en och slutar inte, vilket tvingar användaren att acceptera och ta bort säkerhetskopiorna. Detta är huvudskillnaden från tidigare modifieringar av krypteringar. Jag har aldrig stött på raderingsförfrågningar skuggkopior gick utan att stanna. Vanligtvis, efter 5-10 erbjudanden, slutade de.

Jag kommer genast att ge en rekommendation för framtiden. Det är mycket vanligt att människor inaktiverar varningar för kontroll av användarkonton. Det finns inget behov av att göra detta. Denna mekanism kan verkligen hjälpa till att motstå virus. Det andra uppenbara rådet är att inte ständigt arbeta under konto datoradministratör, om det inte finns ett objektivt behov av det. I det här fallet kommer viruset inte att ha möjlighet att göra mycket skada. Du kommer att ha större chans att motstå honom.

Men även om du alltid har svarat negativt på ransomwarens förfrågningar, är all din data redan krypterad. När krypteringsprocessen är klar ser du en bild på skrivbordet.

Samtidigt blir det många textfiler med samma innehåll.

Dina filer har krypterats. För att dekryptera ux måste du skicka koden: 329D54752553ED978F94|0 till e-postadressen [e-postskyddad]. Därefter kommer du att få alla nödvändiga instruktioner. Försök att dechiffrera på egen hand kommer inte att leda till något annat än ett oåterkalleligt antal information. Om du fortfarande vill prova, gör sedan säkerhetskopior av filerna först, annars, i händelse av en ändring, kommer dekryptering att bli omöjlig under några omständigheter. Om du inte har fått meddelande på ovanstående adress inom 48 timmar (endast i detta fall!), använd kontaktformuläret. Detta kan göras på två sätt: 1) Ladda ner och installera Tor webbläsare via länken: https://www.torproject.org/download/download-easy.html.en Adresslänk Tor webbläsare ange adressen: http://cryptsen7fo43rr6.onion/ och tryck på Enter. Sidan med kontaktformuläret kommer att laddas. 2) I valfri webbläsare, gå till en av adresserna: http://cryptsen7fo43rr6.onion.to/ http://cryptsen7fo43rr6.onion.cab/ Alla viktiga filer på din dator krypterades. För att dekryptera filerna ska du skicka följande kod: 329D54752553ED978F94|0 till e-postadressen [e-postskyddad]. Då får du alla nödvändiga instruktioner. Alla försök till dekryptering av dig själv kommer endast att resultera i oåterkallelig förlust av dina data. Om du fortfarande vill försöka dekryptera dem själv, gör en säkerhetskopia först eftersom dekrypteringen blir omöjlig vid eventuella ändringar i filerna. Om du inte fått svaret från det ovannämnda e-postmeddelandet på mer än 48 timmar (och endast i det här fallet!), använd feedbackformuläret. Du kan göra det på två sätt: 1) Ladda ner Tor Browser härifrån: https://www.torproject.org/download/download-easy.html.en Installera den och skriv in följande adress i adressfältet: http:/ /cryptsen7fo43rr6.onion/ Tryck på Enter och sedan kommer sidan med feedbackformulär att laddas. 2) Gå till en av följande adresser i valfri webbläsare: http://cryptsen7fo43rr6.onion.to/ http://cryptsen7fo43rr6.onion.cab/

Postadress kan ändras. Jag stötte även på följande adresser:

Adresser uppdateras ständigt, så de kan vara helt olika.

Så fort du upptäcker att dina filer är krypterade, stäng omedelbart av din dator. Detta måste göras för att avbryta krypteringsprocessen som i lokal dator, och på nätverksenheter. Ett krypteringsvirus kan kryptera all information det kan nå, inklusive på nätverksenheter. Men om det finns en stor mängd information där, kommer det att ta honom avsevärd tid. Ibland till och med på ett par timmar hann kryptografen inte kryptera allt på nätverksenhet cirka 100 gigabyte.

Därefter måste du tänka noga på hur du ska agera. Om du behöver information på din dator till varje pris och du inte har säkerhetskopior, är det bättre att vända sig till specialister just nu. Inte nödvändigtvis för pengar för vissa företag. Du behöver bara någon som är bra på informationssystem. Det är nödvändigt att bedöma omfattningen av katastrofen, ta bort viruset och samla in all tillgänglig information om situationen för att förstå hur man ska gå vidare.

Felaktiga åtgärder på i detta skede kan avsevärt komplicera processen att dekryptera eller återställa filer. I värsta fall kan de göra det omöjligt. Så ta dig tid, var försiktig och konsekvent.

Hur CRYPTED000007 ransomware-viruset krypterar filer

Efter att viruset har lanserats och har avslutat sin aktivitet kommer alla användbara filer att krypteras, döpas om från extension.crypted000007. Dessutom kommer inte bara filtillägget att ersättas, utan också filnamnet, så du vet inte exakt vilken typ av filer du hade om du inte kommer ihåg. Det kommer att se ut ungefär så här.

I en sådan situation kommer det att vara svårt att bedöma omfattningen av tragedin, eftersom du inte helt kommer att kunna komma ihåg vad du hade i ditt liv. olika mappar. Detta gjordes specifikt för att förvirra människor och uppmuntra dem att betala för fildekryptering.

Och om du hade krypterat och nätverksmappar och nej fullständiga säkerhetskopior, då kan detta helt stoppa hela organisationens arbete. Det kommer att ta dig ett tag att ta reda på vad som till slut gick förlorat för att påbörja restaureringen.

Hur du behandlar din dator och tar bort CRYPTED000007 ransomware

Viruset CRYPTED000007 finns redan på din dator. Den första och de flesta huvudfrågan- hur man desinficerar en dator och hur man tar bort ett virus från den för att förhindra ytterligare kryptering om den ännu inte har slutförts. Jag skulle omedelbart uppmärksamma dig på det faktum att efter att du själv börjar utföra vissa åtgärder med din dator, minskar chanserna att dekryptera data. Om du behöver återställa filer till varje pris, rör inte din dator, utan kontakta omedelbart proffs. Nedan kommer jag att prata om dem och ge en länk till sajten och beskriva hur de fungerar.

Under tiden kommer vi att fortsätta att självständigt behandla datorn och ta bort viruset. Traditionellt tas ransomware enkelt bort från en dator, eftersom viruset inte har till uppgift att vara kvar på datorn till varje pris. Efter att ha helt krypterat filerna är det ännu mer lönsamt för honom att radera sig själv och försvinna, så att det blir svårare att utreda händelsen och dekryptera filerna.

Beskriva manuellt avlägsnande virus är svårt, även om jag försökte göra det här förut, men jag ser att det oftast är meningslöst. Filnamn och virusplaceringsvägar förändras ständigt. Det jag såg är inte längre aktuellt om en vecka eller två. Vanligtvis skickas virus med post i vågor, och varje gång finns det en ny modifiering som ännu inte upptäcks av antivirus. Universella verktyg som kontrollerar start och upptäcker misstänkt aktivitet i systemmappar hjälper.

För att ta bort CRYPTED000007-viruset kan du använda följande program:

Kaspersky Virusborttagning Verktyg - ett verktyg från Kaspersky http://www.kaspersky.ru/antivirus-removal-tool.
Dr. Web CureIt! - en liknande produkt från annan webb http://free.drweb.ru/cureit.
Om de två första verktygen inte hjälper, prova MALWAREBYTES 3.0 - https://ru.malwarebytes.com.

Troligtvis kommer en av dessa produkter att rensa din dator från CRYPTED000007 ransomware. Om det plötsligt händer att de inte hjälper, försök att ta bort viruset manuellt. Jag gav ett exempel på borttagningsmetoden och du kan se det där. Kortfattat, steg för steg, måste du agera så här:

Vi tittar på listan över processer efter att ha lagt till flera ytterligare kolumner till uppgiftshanteraren.
Vi hittar virusprocessen, öppnar mappen där den ligger och raderar den.
Vi rensar omnämnandet av virusprocessen med filnamn i registret.
Vi startar om och ser till att CRYPTED000007-viruset inte finns i listan över pågående processer.

Var kan man ladda ner dekrypteringsprogrammet CRYPTED000007

Frågan om en enkel och pålitlig dekryptering kommer upp först när det kommer till ett ransomware-virus. Det första jag rekommenderar är att använda tjänsten https://www.nomoreransom.org. Tänk om du har tur och de har en dekryptering för din version av CRYPTED000007-kryptören. Jag ska genast säga att du inte har många chanser, men att försöka är inte tortyr. Klicka på Ja på huvudsidan:

Ladda sedan ner ett par krypterade filer och klicka på Gå! Ta reda på:

I skrivande stund fanns det ingen dekryptering på sajten.

Kanske har du bättre tur. Du kan också se listan över dekrypteringar för nedladdning på separat sida- https://www.nomoreransom.org/decryption-tools.html. Kanske finns det något användbart där. När viruset är helt färskt är chansen liten att detta händer, men med tiden kan något dyka upp. Det finns exempel när dekrypteringar för vissa modifieringar av krypteringar dök upp på Internet. Och dessa exempel finns på den angivna sidan.

Jag vet inte var du kan hitta en avkodare. Det är osannolikt att det faktiskt kommer att existera, med hänsyn till särdragen i moderna kryptörers arbete. Endast författarna till viruset kan ha en fullfjädrad dekryptering.

Hur man dekrypterar och återställer filer efter CRYPTED000007-viruset

Vad ska man göra när CRYPTED000007-viruset har krypterat dina filer? Tekniskt genomförande kryptering tillåter dig inte att dekryptera filer utan en nyckel eller en dekryptering, vilket bara författaren till krypteringsprogrammet har. Kanske finns det något annat sätt att få det, men jag har inte den informationen. Vi kan bara försöka återställa filer med improviserade metoder. Dessa inkluderar:

Verktyg skuggkopior fönster.
Raderade dataåterställningsprogram

Låt oss först kontrollera om vi har aktiverat skuggkopior. Det här verktyget fungerar som standard i Windows 7 och senare, såvida du inte inaktiverar det manuellt. För att kontrollera, öppna datorns egenskaper och gå till avsnittet om systemskydd.

Om du under infektion inte bekräftade UAC-begäran att ta bort filer i skuggkopior, bör en del data finnas kvar. Jag talade mer detaljerat om denna begäran i början av historien, när jag pratade om virusets arbete.

För att enkelt återställa filer från skuggkopior föreslår jag att du använder ett gratisprogram för detta - ShadowExplorer. Ladda ner arkivet, packa upp programmet och kör det.

Kommer öppna senaste exemplaret filer och roten till enhet C. Till vänster övre hörnet du kan välja en säkerhetskopia om du har flera av dem. Kontrollera olika kopior för tillgänglighet nödvändiga filer. Jämför efter datum, där mer senaste versionen. I mitt exempel nedan hittade jag 2 filer på mitt skrivbord från tre månader sedan när de förra gången redigerade.

Jag kunde återställa dessa filer. För att göra detta valde jag dem, klickade Högerklicka mus, valde Exportera och angav mappen där de skulle återställas.

Du kan återställa mappar direkt med samma princip. Om du hade skuggkopior som fungerade och inte raderade dem, har du en god chans att återställa alla, eller nästan alla, filer krypterade av viruset. Kanske kommer några av dem att vara en äldre version än vi skulle vilja, men ändå är det bättre än ingenting.

Om du av någon anledning inte har skuggkopior av dina filer, är din enda chans att få åtminstone något från de krypterade filerna att återställa dem med hjälp av återställningsverktyg raderade filer. För att göra detta föreslår jag att du använder gratisprogrammet Photorec.

Starta programmet och välj den disk på vilken du ska återställa filer. Lansera grafisk version programmet kör filen qphotorec_win.exe. Du måste välja en mapp där de hittade filerna ska placeras. Det är bättre om den här mappen inte finns på samma enhet där vi söker. Anslut en flash-enhet eller extern HDD för detta.

Sökprocessen kommer att ta lång tid. I slutet kommer du att se statistik. Nu kan du gå till den tidigare angivna mappen och se vad som finns där. Det kommer med största sannolikhet att finnas många filer och de flesta av dem kommer antingen att vara skadade eller så kommer de att vara något slags system och värdelösa filer. Men ändå, i den här listan kan du hitta några användbara filer. Det finns inga garantier här; vad du hittar är vad du kommer att hitta. Bilder återställs vanligtvis bäst.

Om resultatet inte tillfredsställer dig, så finns det även program för att återställa raderade filer. Nedan är en lista över program som jag brukar använda när jag behöver återställa det maximala antalet filer:

R.saver
Starus filåterställning
JPEG Recovery Pro
Active File Recovery Professional

Dessa program är inte gratis, så jag kommer inte att tillhandahålla länkar. Om du verkligen vill kan du hitta dem själv på Internet.

Hela filåterställningsprocessen visas i detalj i videon i slutet av artikeln.

Kaspersky, eset nod32 och andra i kampen mot Filecoder.ED-krypteringen

Populära antivirus upptäcker ransomware CRYPTED000007 som Filecoder.ED och då kan det finnas någon annan beteckning. Jag tittade igenom de stora antivirusforumen och såg inget användbart där. Tyvärr, som vanligt, visade sig antivirusprogramvaran vara oförberedd för invasionen av en ny våg av ransomware. Här är ett inlägg från Kaspersky-forumet.

Antivirus missar traditionellt nya modifieringar av ransomware-trojaner. Ändå rekommenderar jag att du använder dem. Om du har tur och får ett e-postmeddelande om ransomware inte i den första vågen av infektioner, utan lite senare, finns det en chans att antivirusprogrammet hjälper dig. De arbetar alla ett steg bakom angriparna. Det visar sig en ny version ransomware, antivirus svarar inte på det. Så snart en viss mängd material för forskning om ett nytt virus samlas, släpper antivirusprogramvaran en uppdatering och börjar svara på den.

Jag förstår inte vad som hindrar antivirus från att reagera omedelbart på någon krypteringsprocess i systemet. Kanske finns det någon teknisk nyans i detta ämne som inte tillåter oss att svara på ett adekvat sätt och förhindra kryptering av användarfiler. Det verkar för mig att det skulle vara möjligt att åtminstone visa en varning om att någon krypterar dina filer och erbjuda dig att stoppa processen.

Vart ska man gå för garanterad dekryptering

Jag råkade träffa ett företag som faktiskt dekrypterar data efter arbetet med olika krypteringsvirus, inklusive CRYPTED000007. Deras adress är http://www.dr-shifro.ru. Betalning endast efter fullständig dekryptering och din verifiering. Här är ett ungefärligt arbetsschema:

En företagsspecialist kommer till ditt kontor eller hem och tecknar ett avtal med dig som anger kostnaden för arbetet.
Startar dekrypteringsprogrammet och dekrypterar alla filer.
Du ser till att alla filer är öppna och undertecknar leveransbeviset/acceptans av utfört arbete.
Betalning görs endast efter framgångsrika dekrypteringsresultat.

Jag ska vara ärlig, jag vet inte hur de gör, men du riskerar ingenting. Betalning endast efter demonstration av dekoderns funktion. Skriv en recension om din erfarenhet av detta företag.

Metoder för skydd mot CRYPTED000007-viruset

Hur skyddar du dig från ransomware och undviker materiell och moralisk skada? Det finns några enkla och effektiva tips:

Säkerhetskopiering! Säkerhetskopiering av all viktig data. Och inte bara en backup, utan en backup som det inte finns någon konstant tillgång till. Annars kan viruset infektera både dina dokument och säkerhetskopior.
Licensierad antivirus. Även om de inte ger en 100% garanti ökar de chanserna att undvika kryptering. De är oftast inte redo för nya versioner av krypteringen, men efter 3-4 dagar börjar de svara. Detta ökar dina chanser att undvika infektion om du inte var med i den första vågen av utskick ny modifiering kryptograf
Öppna inte misstänkta bilagor i mail. Det finns inget att kommentera här. All ransomware som jag känner till nådde användare via e-post. Dessutom, varje gång nya trick uppfinns för att lura offret.
Öppna inte tanklöst länkar som skickas till dig från dina vänner via sociala media eller budbärare. Det är också så virus ibland sprids.
Sätta på windows display filtillägg. Hur man gör detta är lätt att hitta på Internet. Detta gör att du kan lägga märke till filtillägget på viruset. Oftast blir det .exe, .vbs, .src. I ditt dagliga arbete med dokument kommer du sannolikt inte att stöta på sådana filtillägg.

Jag försökte komplettera det jag redan har skrivit tidigare i varje artikel om ransomware-viruset. Under tiden säger jag hejdå. Jag skulle vara glad att få användbara kommentarer om artikeln och CRYPTED000007 ransomware-virus i allmänhet.

Video om fildekryptering och återställning

Här är ett exempel på en tidigare modifiering av viruset, men videon är helt relevant för CRYPTED000007.

I slutet av 2016 attackerades världen av ett mycket icke-trivialt trojanskt virus som krypterar användardokument och multimediainnehåll, kallat NO_MORE_RANSOM. Hur man dekrypterar filer efter exponering för detta hot kommer att diskuteras vidare. Det är dock värt att omedelbart varna alla användare som har blivit attackerade att det inte finns någon enhetlig teknik. Detta beror på användningen av en av de mest avancerade och graden av penetration av viruset i datorsystemet eller till och med lokalt nätverk(även om det från början inte var designat för nätverkspåverkan).

Vad är NO_MORE_RANSOM-viruset och hur fungerar det?

I allmänhet klassas själva viruset vanligtvis som en klass av trojaner som I Love You, som penetrerar ett datorsystem och krypterar användarfiler (vanligtvis multimedia). Det är sant att om stamfadern bara skilde sig åt i kryptering, lånade detta virus mycket från det en gång sensationella hotet som heter DA_VINCI_COD, som kombinerar funktionerna hos ett ransomware.

När de är infekterade kommer de flesta ljud, video, grafik eller kontorsdokument ett långt namn med tillägget NO_MORE_RANSOM tilldelas, som innehåller ett komplext lösenord.

När du försöker öppna dem visas ett meddelande på skärmen som säger att filerna är krypterade och för att dekryptera dem måste du betala en viss summa.

Hur kommer hotet in i systemet?

Låt oss lämna ifred för nu frågan om hur man dekrypterar filer av någon av ovanstående typer efter exponering för NO_MORE_RANSOM, och låt oss vända oss till tekniken för hur ett virus penetrerar ett datorsystem. Tyvärr, oavsett hur det låter, används den gamla beprövade metoden för detta: ett e-postmeddelande med en bilaga skickas till e-postadressen, och när användaren öppnar den får användaren en skadlig kod.

Som vi ser är denna teknik inte original. Meddelandet kan dock vara förklädd som meningslös text. Eller tvärtom, till exempel, om vi pratar om stora företag, att ändra villkoren i något kontrakt. Det är tydligt att en vanlig kontorist öppnar en investering och sedan får ett katastrofalt resultat. Ett av de ljusaste utbrotten var krypteringen av databaser med det populära 1C-paketet. Och detta är redan en allvarlig fråga.

NO_MORE_RANSOM: hur dekrypterar man dokument?

Men det är ändå värt att ta upp huvudfrågan. Alla är säkert intresserade av hur man dekrypterar filer. NO_MORE_RANSOM-viruset har sin egen sekvens av åtgärder. Om användaren försöker dekryptera direkt efter infektion, finns det fortfarande något sätt att göra detta. Om hotet har etablerat sig ordentligt i systemet, tyvärr, kan det inte göras utan hjälp av specialister. Men de är ofta maktlösa.

Om hotet upptäcktes i tid finns det bara ett sätt - kontakta antivirusföretagens supporttjänster (inte alla dokument har ännu krypterats), skicka ett par otillgängliga filer och baserat på en analys av originalen sparat på flyttbara media, försök att återställa redan infekterade dokument, efter att först ha kopierat allt som fortfarande är tillgängligt för att öppna till samma flashenhet (även om full garanti Det finns heller inga bevis för att viruset inte trängde igenom sådana dokument). Efter detta måste media åtminstone kontrolleras antivirus skanner(du vet aldrig).

Algoritm

Det är också värt att nämna att viruset använder RSA-3072-algoritmen för kryptering, som till skillnad från den tidigare använda RSA-2048-tekniken är så komplex att urvalet det nödvändiga lösenordet, även om hela kontingenten kommer att vara engagerad i detta antiviruslaboratorier, kan ta månader eller år. Därför kommer frågan om hur man dekrypterar NO_MORE_RANSOM att kräva ganska mycket tid. Men vad händer om du behöver återställa information omedelbart? Ta först och främst bort själva viruset.

Är det möjligt att ta bort ett virus och hur gör man det?

Egentligen är detta inte svårt att göra. Att döma av fräckheten hos skaparna av viruset är hotet datorsystem inte kamouflerad. Tvärtom är det till och med fördelaktigt för henne att "ta bort sig själv" efter att ha slutfört de utförda åtgärderna.

Icke desto mindre, till en början, efter ledning av viruset, bör det fortfarande neutraliseras. Det första steget är att använda bärbara säkerhetsverktyg som KVRT, Malwarebytes, Dr. Web CureIt! och liknande. Observera: programmen som används för testning måste vara portabla (utan installation på hårddisken och inkörda optimalt alternativ från flyttbara media). Om ett hot upptäcks ska det tas bort omedelbart.

Om sådana åtgärder inte tillhandahålls måste du först gå till "Task Manager" och avsluta alla processer som är associerade med viruset i den, sortera tjänsterna efter namn (vanligtvis är detta Runtime Broker-processen).

Efter att ha avbrutit uppgiften måste du ringa redaktören systemregistret(regedit i "Kör"-menyn) och sök efter namnet "Client Server Runtime System" (utan citattecken), använd sedan menyn för att gå igenom resultaten "Hitta nästa ..." för att ta bort alla hittade element. Därefter måste du starta om datorn och kolla i "Task Manager" för att se om processen du letar efter finns där.

I princip kan frågan om hur man dekrypterar NO_MORE_RANSOM-viruset i infektionsstadiet lösas med denna metod. Sannolikheten för dess neutralisering är naturligtvis liten, men det finns en chans.

Hur man dekrypterar filer krypterade med NO_MORE_RANSOM: säkerhetskopior

Men det finns en annan teknik som få människor känner till eller ens gissar om. Faktum är att operativsystemet självt ständigt skapar sina egna skuggbackuper (till exempel vid återställning), eller så skapar användaren avsiktligt sådana bilder. Som praxis visar är det just dessa kopior som viruset inte påverkar (detta är helt enkelt inte föreskrivet i dess struktur, även om det inte är uteslutet).

Så problemet med hur man dechiffrerar NO_MORE_RANSOM kommer ner på att använda dem. Dock att använda för detta regelbundna medel Windows rekommenderas inte (och många användare bcc kommer inte att få tillgång alls). Därför måste du använda verktyget ShadowExplorer (det är bärbart).

För att återställa behöver du bara köra den körbara filen, sortera informationen efter datum eller avsnitt, välj önskad kopia(fil, mapp eller hela systemet) och använd exportraden via RMB-menyn. Välj sedan helt enkelt katalogen där den aktuella kopian ska sparas och använd sedan standardprocessåterhämtning.

Tredje parts verktyg

Naturligtvis, till problemet med hur man dechiffrerar NO_MORE_RANSOM, erbjuder många laboratorier sina egna lösningar. Till exempel rekommenderar Kaspersky Lab att du använder sin egen programvara Kaspersky-produkt Decryptor, presenterad i två modifieringar - Rakhini och Rector.

Liknande utvecklingar som NO_MORE_RANSOM-avkodaren från Dr. ser inte mindre intressanta ut. Webb. Men här är det värt att omedelbart ta hänsyn till att användningen av sådana program endast är motiverad om ett hot snabbt upptäcks, innan alla filer har infekterats. Om viruset är fast etablerat i systemet (när krypterade filer helt enkelt inte kan jämföras med deras okrypterade original), kan sådana applikationer också vara värdelösa.

Som ett resultat

Egentligen föreslår bara en slutsats sig själv: det är nödvändigt att bekämpa detta virus uteslutande i infektionsstadiet, när endast de första filerna är krypterade. I allmänhet är det bäst att inte öppna bilagor i e-postmeddelanden som tas emot från tvivelaktiga källor (detta gäller uteslutande klienter installerade direkt på datorn - Outlook, Oulook Express, etc.). Dessutom, om en företagsanställd har till sitt förfogande en lista med adresser till kunder och partners, blir det helt opraktiskt att öppna "olämpliga" meddelanden, eftersom de flesta skriver under sekretessavtal om affärshemligheter och cybersäkerhet när de söker jobb.