✅ Geriausi „Ransomware“ iššifravimo įrankiai

Turinys

Pasaulyje, kuris nuolat yra internete ir kuriame turime kasdien įvesti daug neskelbtinos informacijos, nesame linkę patekti į užpuolikų rankas, ir kaip to įrodymą neseniai galėjome patikrinti, kaip išpirkos programa naudojo savo „Wannacry“ tuo pačiu metu įmonėms ir vartotojams, užšifruojantiems jų informaciją ir reikalaujantiems sumokėti mainais, kurių minimali vertė yra 30 USD, norint gauti informacijos atkūrimo slaptažodį, kuris ne visada yra 100% patikimas.

Pagrindinis išpirkos programinės įrangos atakos taškas yra visų kompiuteryje esančių failų šifravimas, kad vėliau būtų galima pareikalauti pinigų per nurodytą laiką, kitaip bus pašalintas tam tikras failų skaičius ir padidės mokėtina vertė:

Dėl šios priežasties šiandien „Solvetic“ išsamiai išanalizuos geriausias programas, skirtas iššifruoti paveiktus failus ir atkurti didžiausią failų skaičių, kad gautų jų vientisumą ir prieinamumą.

Prieš naudodami šiuos įrankius, turime atsižvelgti į šiuos dalykus:

Kiekvienas šifravimo tipas turi skirtingą šifravimo tipą, todėl, norėdami naudoti atitinkamą įrankį, turime nustatyti atakos tipą.

Kiekvieno įrankio naudojimas turi skirtingo lygio instrukcijas, dėl kurių turime išsamiai išanalizuoti kūrėjo svetainę.

RakhniDecryptor

Ši programa, sukurta vienos geriausių saugumo kompanijų, tokių kaip „Kaspersky Lab“, buvo sukurta siekiant iššifruoti kai kurias stipriausias išpirkos programų atakas.

Kai kurios kenkėjiškų programų rūšys, kurias puola „RakhniDecryptor“, yra šios:

Trojan-Ransom.Win32.Rakhni
Trojan-Ransom.Win32.Agent.iih
Trojan-Ransom.Win32.Autoit
Trojos-išpirkos. Win32.Aura
Trojan-Ransom.AndroidOS.Pletor
Trojan-Ransom.Win32.Rotor
Trojan-Ransom.Win32.Lamer
Trojan-Ransom.Win32.Cryptokluchen
Trojan-Ransom.Win32.Democry
Trojan-Ransom.Win32.Bitman 3 ir 4 versijos
Trojan-Ransom.Win32.Libra
Trojan-Ransom.MSIL.Lobzik
Trojan-Ransom.MSIL.Lortok
Trojan-Ransom.Win32.Chimera
Trojan-Ransom.Win32.CryFile
Trojan-Ransom.Win32.Nemchig
Trojan-Ransom.Win32.Mircop
Trojos-Ransom.Win32.Mor
Trojan-Ransom.Win32.Crusis
Trojan-Ransom.Win32.AecHu
Trojan-Ransom.Win32.Jaff

Atminkite, kad kai išpirkos programinė įranga puola ir užkrečia failą, jis redaguoja jo plėtinį pridėdamas papildomą eilutę taip:

 Prieš: file.docx / after: file.docx.locked Prieš 1.docx / po 1.dochb15

Kiekviena iš pirmiau minėtų kenkėjiškų programų turi daugybę plėtinių priedų, su kuriais užšifruojamas paveiktas failas. Tai yra šie plėtiniai, kuriuos svarbu žinoti norint išsamiau apie juos žinoti:

Trojan-Ransom.Win32.RakhniJame yra šie plėtiniai:

Trojos-Ransom.Win32.MorJis turi tokį plėtinį:
._šifruoti

Trojan-Ransom.Win32.AutoitJis turi tokį plėtinį:
<…

Trojan-Ransom.MSIL.LortokApima šiuos plėtinius:

Trojan-Ransom.AndroidOS.PletorJis turi tokį plėtinį:
…

Trojan-Ransom.Win32.Agent.iihJis turi tokį plėtinį:
.+

Trojan-Ransom.Win32.CryFileJis turi tokį plėtinį:
…

Trojan-Ransom.Win32.DemocryJame yra šie plėtiniai:

Trojan-Ransom.Win32.Bitman 3 versijaJame yra šie plėtiniai:

Trojan-Ransom.Win32.Bitman 4 versijaJis turi tokį plėtinį:
. (vardas ir plėtinys neturi įtakos)

Trojan-Ransom.Win32.LibraJame yra šie plėtiniai:

Trojan-Ransom.MSIL.LobzikJame yra šie plėtiniai:

Trojan-Ransom.Win32.MircopJis turi tokį plėtinį:
…

Trojan-Ransom.Win32.CrusisJis turi tokį plėtinį:

. ID. @… Xtbl
.ID. @… CrySiS
.id -. @… xtbl
.id -. @… piniginė
.id -. @… dhrama
.id -. @… svogūnas
. @… Piniginė
@… Drama
. @… Svogūnai

Trojan-Ransom.Win32. NemčigasJis turi tokį plėtinį:
…

Trojan-Ransom.Win32.LamerJame yra šie plėtiniai:

Trojan-Ransom.Win32.CryptokluchenJame yra šie plėtiniai:

Trojan-Ransom.Win32.RotorJame yra šie plėtiniai:

Trojan-Ransom.Win32.ChimeraJame yra šie plėtiniai:

Trojan-Ransom.Win32.AecHu
Jame yra šie plėtiniai:

Trojan-Ransom.Win32.JaffJame yra šie plėtiniai:

Matome, kad yra gana daug plėtinių ir idealiai tinka juos turėti, kad būtų galima išsamiai nustatyti paveikto failo tipą.
Šią programą galite atsisiųsti iš šios nuorodos:

Atsisiuntę ištraukiame turinį ir vykdome failą užkrėstame kompiuteryje ir bus parodytas toks langas:

Mes galime spustelėti eilutę Keisti parametrus, kad nustatytume, kokio tipo vienetuose turi būti atlikta analizė, pvz., USB įrenginiai, standieji diskai ar tinklo diskai. Ten spustelėsime Pradėti nuskaitymą, kad pradėtume paveiktų failų analizę ir atitinkamą iššifravimą.

Pastaba:Jei failas turi įtakos plėtiniui _crypt, procesas gali užtrukti iki 100 dienų, todėl rekomenduojama turėti kantrybės.

Rannoh dekoderis

Tai dar viena iš „Kaspersky Lab“ siūlomų parinkčių, skirtų iššifruoti failus, užpultus naudojant kenkėjišką programą „Trojan-Ransom.Win32“. Papildomas gali aptikti kenkėjiškas programas, tokias kaip „Fury“, „Cryakl“, „AutoIt“, „Polyglot“, dar žinomas kaip „Marsjoke“ ir „Crybola“.

Norėdami nustatyti plėtinius, kuriuos paveikė ši išpirkos programa, turime nepamiršti šių dalykų:

Trojan-Ransom.Win32.RannohPlėtiniai, kuriuos prideda ši kenkėjiška programa, yra šie:
.

Trojan-Ransom.Win32.CryaklSu šia infekcija turėsime tokį plėtinį:
. {CRYPTENDBLACKDC} (ši žyma bus pridėta prie failo pabaigos)

Trojan-Ransom.Win32.AutoItŠi ataka veikia pašto serverius ir turi tokią sintaksę:
@_.

Trojan-Ransom.Win32.CryptXXXUžsikrėtę šia išpirkos programine įranga, turėsime bet kurį iš šių plėtinių:

.šifruoti
.crypz
.šifruoti1

Šį įrankį galima atsisiųsti iš šios nuorodos:

Ištraukdami vykdomąjį failą, tiesiog paleiskite failą ir spustelėkite mygtuką Pradėti nuskaitymą, kad pradėtumėte paveiktų failų analizės ir iššifravimo procesą.

WanaKiwi

Šis paprastas, bet naudingas įrankis yra pagrįstas „wanadecrypt“, kuris leidžia atlikti šias užduotis:

Iššifruoti užkrėstus failus

Gaukite vartotojo privatų raktą, kad vėliau jį išsaugotumėte kaip 00000000.dky.

Šis įrankis naudoja „Primes“ ištraukimo metodą, kuris suteikia galimybę gauti pirminius skaičius, kurie nebuvo išvalyti „CryptReleaseContext“ () proceso metu. Šio įrankio vykdymas pagrįstas komandine eilute, o jo sintaksė bus tokia:

 wanakiwi.exe [/pid:PID|/Process:programa.exe]

Šioje sintaksėje PID yra neprivalomas, nes Wanakiwi ieškos PID bet kuriame iš šių procesų:

Wnry.exe
Wcry.exe
Data_1.exe
Ed01ebfbc9eb5bbea545af4d01bf5f1071661840480439c6e5babe8e080e41aa.exe
Tasksche.exe

„Wanakiwi“ galima atsisiųsti iš šios nuorodos:

„Wanakiwi“ suderinama tik su šiomis operacinėmis sistemomis: „Windows XP“, „Windows Vista“, „Windows 7“, „Windows Server 2003“ ir 2008. Svarbu nepamiršti, kad „Wanakiwi“ savo procesą grindžia šių raktų sukurtų erdvių nuskaitymu. iš naujo paleidę kompiuterį po infekcijos ar pašalinę procesą, greičiausiai „Wanakiwi“ negalės tinkamai atlikti savo užduoties.

„Emsisoft“

„Emsisoft“ sukūrė įvairių tipų kenkėjiškų programų išpuolių iššifravimo įrenginius, tokius kaip:

Blogas blokas
Apokalize
Ksoristas
ApocalypseVM
Štampuotas
Fabiansomware
Filadelfija
Al-Namrood
„FenixLocker“
„Globe“ (1, 2 ir 3 versija)
„OzozaLocker“
„GlobeImposter“
NMoreira
CryptON Cry128
Amnezija (1 ir 2 versija)

Kiekvieną iš šių įrankių galima atsisiųsti iš šios nuorodos:

Kai kurie plėtiniai, kuriuos rasime su:

Amnezija:Tai viena iš labiausiai paplitusių atakų, ji parašyta „Delphi“ ir užšifruoja failus naudojant AES-256, o prie užkrėsto failo pabaigos prideda * .amnesia plėtinį. „Amnesia“ prideda infekciją prie „Windows“ registro, kad ji būtų vykdoma kiekvieną kartą prisijungus.

 HKEY_CURRENT_USER \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ RunOnce

Cry128:„Cey128“ savo ataką grindžia KPP ryšiais ir užšifruoja failus naudodami pasirinktines AES ir RSA versijas.
Užkrėstų failų plėtiniai bus šie:

.fgb45ft3pqamyji7.onion.to._
.id__gebdp3k7bolalnd4.onion._
.id__2irbar3mjvbap6gt.onion.to._
.id -_ [qg6m5wo7h3id55ym.onion.to] .63vc4

Cry9:„Cry9“ yra išplėstinė „CryptON“ išpirkos programinės įrangos versija ir atlieka atakas per KPP ryšius, naudojant AES, RSA ir SHA-512 šifravimo algoritmus.
„Cry9“ užkrėsti failai turės šiuos plėtinius:

.-juccy [a] protonmail.ch.
.id-
.id -_ [[email protected]] .xj5v2
.id-_r9oj
.id-_x3m
.id -_ [[email protected]] _ [[email protected]] .x3m
.-sofia_lobster [į] protonmail.ch
._ [wqfhdgpdelcgww4g.onion.to] .r2vy6

Žala:Ši išpirkos programa yra parašyta „Delphi“, naudojant SHA-1 ir „Blowfish“ algoritmus, užšifruojant pirmąjį ir paskutinį 8 KB paveikto failo.

Failų su šiuo plėtiniu plėtinys yra .damage.

CryptON
Tai dar viena išpirkos programinė įranga, vykdanti savo atakas per KPP, naudojant RSA, AES-256 ir SHA-256 algoritmus. Failai, paveikti šios išpirkos programos, turės šiuos plėtinius:

.id-_užrakintas
.id-_locked_by_krec
.id-_locked_by_perfect
.id-_x3m
.id-_r9oj
.id-_garryweber @ protonmail.ch
.id-_steaveiwalker @ india.com_
.id-_julia.crown @ india.com
.id-_tom.cruz @ india.com_
.id-_CarlosBoltehero @ india.com_

Šioje nuorodoje matome išsamią informaciją apie įvairius kitų tipų išpirkos programų, kurias puola „Emsisoft“, plėtinius:

„Avast“ iššifravimo įrankis

Kitas saugumo programinės įrangos kūrimo lyderis yra „Avast“, kuris, be antivirusinių įrankių, siūlo daugybę įrankių, leidžiančių iššifruoti mūsų sistemos failus, kuriuos paveikė kelių tipų išpirkos programos.

„Avast Decryptor Tool“ dėka galime susidoroti su įvairių tipų išpirkos programomis, tokiomis kaip:

Bartas: pridėkite plėtinį .bart.zip prie užkrėstų failų

AES_NI: pridėkite .aes_ni, .aes256 ir .aes_ni_0day plėtinius prie užkrėstų failų naudodami 256 bitų AES šifravimą.

Alkatrazas. Pridėkite „Alcatraz“ plėtinį naudodami AES-256 256 bitų šifravimą.

Apokalipsė: pridėkite plėtinius. Encrypted, .FuckYourData, .locked, .Encryptedfile arba .SecureCrypted prie užkrėstų failų.

„Crypt888“: pridėkite „Lock“ plėtinį. Užkrėsto failo pradžioje

„CryptopMix_“: pridėkite plėtinius .CRYPTOSHIELD, .rdmk, .lesli, .scl, .code, .rmd prie failų naudodami 256 bitų AES šifravimą

„EncriptTile“: pridėkite žodį „encripTile“ kažkur faile.

„BadBlock“: ši išpirkos programa neprideda plėtinių, bet rodo pranešimą, pavadintą „Help Decrypt.html“.

„FindZip“: pridėkite .crypt plėtinį prie paveiktų failų, ypač „MacOS“ aplinkoje.

Jigsaw: Ši išpirkos programa prideda bet kurį iš šių plėtinių prie paveiktų failų .kkk, .btc, .gws, .J,. Encrypted, .porno, .payransom, .pornoransom, .epic, .xyz, .versiegelt, .šifruotas, .payb, .pays, .payms, .paymds, .paymts, .paymst, .payrms, .payrmts, .paymrts, .paybtcs, .fun, .hush, .uk-dealer @ followint.org arba .gefickt.

„Legion“: pridėkite plėtinius ._23-06-2016-20-27-23_ $ f_tactics @ aol.com $ .legion arba. $ Centurion_legion @ aol.com $ .cbf prie užkrėstų failų.

XData: pridėkite plėtinį. ~ Xdata ~ prie užšifruotų failų.

Norėdami atsisiųsti kai kuriuos kiekvieno tipo išpirkos programų įrankius, galite apsilankyti šioje nuorodoje:

Pastaba:Ten rasite keletą kitų papildomų atakų tipų.

AVG Ransomware iššifravimo įrankiai

Niekam ne paslaptis, kad viena iš pirmaujančių saugumo kompanijų yra AVG, kuri leidžia mums nemokamai atsisiųsti kelis įrankius, sukurtus specialiai šių tipų atakoms:

Išpuolių tipai

Apokalipsė: Ši ataka prideda plėtinių .encrypted, .FuckYourData, .locked, .Encryptedfile arba .SecureCrypted į paveiktus failus.

„Badblock“: prie užkrėsto kompiuterio pridėkite pranešimą Help Decrypt.html.

Bartas: Ši ataka prideda plėtinį .bart.zip prie užkrėstų failų.

Crypt888: pridėkite užrakto plėtinį užkrėstų failų pradžioje.

Legionas: Ši ataka paveiktų failų pabaigoje prideda plėtinius ._23-06-2016-20-27-23_ $ f_tactics @ aol.com $ .legion arba. $ Centurion_legion @ aol.com $ .cbf

SZFLocker: Ši išpirkos programa prideda .szf plėtinį prie failų

„TeslaCrypt“: Šio tipo ataka neužšifruoja failų, bet parodo šį pranešimą, kai failai yra užšifruoti.

Kai kuriuos iš šių įrankių galima atsisiųsti iš šios nuorodos.

NoMoreRansom

Šią programą bendrai sukūrė tokios kompanijos kaip „Intel“, „Kaspersky“ ir „Europool“. Joje daugiausia dėmesio skiriama įrankių, skirtų išpirkos programinės įrangos atakoms, kūrimui ir kūrimui, pavyzdžiui:

Išpuolių tipai

Rakhni: Šis įrankis iššifruoja failus, paveiktus Jaff, XData, AES_NI, Dharma, Crysis, Chimera, Rakhni, Agent.iih, Aura, Autoit, Pletor, Rotor, Lamer, Lortok, Cryptokluchen, Democry, Bitman (TeslaCrypt) 3 ir 4 versijų .