NO_MORE_RANSOM - kako dešifrirati šifrirane datoteke?

Krajem 2016. godine, svijet je napadnut od vrlo ne-trivijalnog trojanskog virusa koji šifrira korisničke dokumente i multimedijski sadržaj pod nazivom NO_MORE_RANSOM. Kako dešifrirati datoteke nakon utjecaja ove prijetnje, dodatno će se razmotriti. Međutim, odmah je vrijedno upozoriti sve korisnike koji su napadnuti da ne postoji jedinstvena metodologija. To je zbog korištenja jednog od najnaprednijih enkripcijski algoritmi,

Kakav je virus NO_MORE_RANSOM i kako funkcionira?

Općenito, virus se pripisuje klasi trojanaca poput "Volim te" koji prodiru u računalni sustav i šifriraju korisničke datoteke (obično multimedijske). Međutim, ako se progenitor razlikovao samo kod šifriranja, onda je ovaj virus preuzeo dosta iz nekoć senzacionalne prijetnje pod nazivom DA_VINCI_COD, kombinirajući funkcije iznuđivača sam po sebi.

Nakon infekcije, većina datoteka zvuka, videozapisa, grafike ili uredskih dokumenata dodjeljuje se dugo ime s proširenjem NO_MORE_RANSOM koja sadrži složenu lozinku.

Kada ih pokušate otvoriti, na zaslonu se prikaže poruka da su datoteke šifrirane i morate platiti određeni iznos za dešifriranje.

Kako prijetnja ulazi u sustav?

Ostavimo pitanje kako dešifrirati datoteke bilo koje od gore navedenih vrsta nakon izlaganja NO_MORE_RANSOM, ali se obratimo tehnologiji prodora virusa u računalni sustav. Nažalost, bez obzira na to može li se zvučati, koristi se stara dokazana metoda: adresa e-pošte prima pismo s privitkom koji, kada se otvori, korisnik dobije zlonamjerni okidač koda.

Originalnost, kao što vidimo, ova tehnika nije drugačija. Međutim, poruka se može prikriti kao besmislen tekst. Ili, naprotiv, na primjer, ako je riječ o velikim tvrtkama, - pod promjenom uvjeta bilo kojeg ugovora. Jasno je da obični činovnik otvara privitak, a zatim dobiva žalosni rezultat. Jedna od najsjajnijih izbijanja bila je enkripcija baza podataka popularnog 1C paketa. A ovo je ozbiljan posao.

NO_MORE_RANSOM: kako dekodirati dokumente?

Ipak, potrebno je obratiti se na glavno pitanje. Sigurno su svi zainteresirani za dekriptiranje datoteka. Virus NO_MORE_RANSOM ima svoj niz akcija. Ako korisnik pokuša dešifrirati odmah nakon infekcije, to se i dalje može učiniti na neki način. Ako se prijetnja čvrsto naslanja u sustav, nažalost, bez pomoći stručnjaka ovdje je neophodna. Ali često su nemoćni.

Ako je prijetnja je otkrivena na vrijeme, onako kako samo jedan - primjenjuju se na antivirusne tvrtke podrške (još nije svi dokumenti su enkriptirane) poslati par nedostupan za otvaranje datoteke i na temelju izvorne analize, pohranjene na prijenosnim medijima, pokušajte vratiti već zaražene dokumente prethodno kopiranje na isti bljesak voziti sve što je još uvijek dostupno za otvaranje (iako ne postoji jamstvo da virus ne prodrijeti u takve dokumente). Nakon toga, da bude istina, prijevoznik mora barem provjeriti antivirusni skener (nikad ne znate što).

algoritam

Također treba spomenuti i činjenicu da za šifriranje virus koristi RSA-3072 algoritam koji, za razliku od ranije koristi RSA-2048 tehnologija je toliko složen da je izbor ispravnu lozinku, čak i pod pretpostavkom da će se to riješiti cijelog kontingenta anti-virus laboratorijima , može potrajati mjesecima i godinama. Dakle, pitanje kako dešifrirati NO_MORE_RANSOM će zahtijevati dosta vremena. Ali što ako trebate odmah vratiti podatke? Prije svega, uklonite sam virus.

Mogu li izbrisati virus i kako?

Zapravo, to nije teško. Sudeći prema nevjerici kreatora virusa, prijetnja računalnog sustava nije maskirana. Naprotiv, čak je i povoljno da se "izađe" nakon završetka akcija.

Ipak, u početku, na pete virusa, ipak bi trebalo neutralizirati. Prije svega potrebno je koristiti prijenosne zaštitne alate kao što su KVRT, Malwarebytes, Dr.Sc. Web CureIt! i slično. Napomena: programi koji se koriste za provjeru moraju biti prijenosni tipovi bez pogreške (bez instalacije na tvrdi disk s optimalnim pokretanjem iz prijenosnih medija). Ako se otkrije prijetnja, treba odmah ukloniti.

Ako takva radnja nije predviđeno, prvo morate ići na „Task Manager” i završiti ga sve procese povezane s virusom, razvrstanih po imenu usluge (obično, proces Runtime Broker).

Nakon uklanjanja uzroka problema potrebno Registry Editor (regedit u izborniku „Run”) i tražiti naslov «Klijent Server Runtime sustava» (bez navodnika), a zatim koristeći rezultate kreće izbornik „Traži daleehellip-” ukloniti sve pronađene predmete. Zatim morate ponovno pokrenuti računalo i vjerovati u "Upravitelj zadataka", postoji li proces pretraživanja.

U načelu, pitanje kako dešifrirati NO_MORE_RANSOM virus u fazi infekcije može se riješiti ovom metodom. Vjerojatnost neutralizacije, naravno, nije velika, ali postoji šansa.

Kako dešifrirati datoteke kriptirane NO_MORE_RANSOM: sigurnosne kopije

Ali postoji još jedna tehnika koju neki ljudi znaju ili čak nagađaju. Činjenica je da operacijski sustav neprestano stvara vlastite sjene sigurnosne kopije (na primjer, u slučaju oporavka), ili korisnik namjerno stvara takve slike. Kao što pokazuje praksa, virus ne utječe na takve kopije (u svojoj strukturi jednostavno se ne daje, iako nije isključen).

Dakle, problem kako dešifrirati NO_MORE_RANSOM smanjuje se na njihovo korištenje. Međutim, za to se ne preporučuje korištenje standardnih alata za Windows (i mnogi korisnici uopće nemaju pristup skrivenim primjercima). Stoga, morate koristiti program ShadowExplorer (to je prijenosni).

Za vraćanje, samo trebate pokrenuti izvršnu datoteku datoteci programa, sortirati podatke prema datumima ili odjeljcima, odaberite željenu kopiju (datoteku, mapu ili cijeli sustav) i upotrijebite izvoznu liniju iz izbornika PCM. Zatim jednostavno odaberite direktorij u kojem će se spremiti trenutna kopija, a zatim upotrijebite standardni postupak oporavka.

Uslužni programi treće strane

Naravno, na problem kako dešifrirati NO_MORE_RANSOM, mnogi laboratoriji nude vlastita rješenja. Primjerice, Kaspersky Lab preporučuje korištenje vlastitog softverskog proizvoda Kaspersky Decryptor, predstavljenog u dvije verzije - Rakhini i rektor.

Nema manje zanimljivog izgleda i sličnih zbivanja poput dekodera NO_MORE_RANSOM od Dr. Web. Ali ovdje je odmah potrebno uzeti u obzir da je uporaba takvih programa opravdana samo u slučaju brzog otkrivanja prijetnje, pod uvjetom da sve datoteke nisu zaražene. Ako je virus čvrsto utemeljen u sustavu (kada se šifrirane datoteke ne mogu uspoređivati ​​s njihovim nekriptiranim izvorima), takvi programi mogu biti beskorisni.

Kao rezultat toga

Zapravo, zaključak sugerira samo jedan: borba protiv ovog virusa je neophodna samo u fazi infekcije, kada su samo prve datoteke šifrirane. U principu, najbolje je ne otvarati privitke u porukama e-pošte primili od sumnjivih izvora (ovo se odnosi isključivo na kupce, instalira izravno na računalu - Outlook, Oulook Express, itd). Osim toga, ako zaposlenik ima na raspolaganju popis klijenata i partnera za rješavanje otvaranje „lijevo” poruka da je sasvim neprimjereno, kao i većina u zapošljavanju potpisati sporazum o tajnosti poslovnih tajni i cyber sigurnosti.