✅ Fidye Yazılımının şifresini çözmek için en iyi araçlar

İçindekiler

Sürekli çevrimiçi olan ve günlük olarak birden fazla hassas bilgi girmemiz gereken bir dünyada, saldırganların eline düşmeye açık değiliz ve bunun kanıtı olarak, son zamanlarda fidye yazılımının Wannacry'sini nasıl kullandığını doğrulayabildik. Her zaman %100 güvenilir olmayan bilgi kurtarma şifresini elde etmek için şirketlere ve kullanıcılara eş zamanlı olarak bilgilerini şifreleyen ve karşılığında minimum değer 30 USD olan bir ödeme talep eden şirketlere ve kullanıcılara.

Fidye yazılımı saldırısının temel noktası, bilgisayardaki tüm dosyaları şifreleyerek daha sonra istenilen zamanda parayı talep etmektir, aksi takdirde belirli sayıda dosya ortadan kaldırılacak ve ödenecek değer artacaktır:

Bu nedenle, bugün Solvetic, etkilenen dosyaların şifresini çözmek ve en fazla sayıda dosyayı kurtarmak için bütünlüklerini ve kullanılabilirliklerini elde etmek için en iyi uygulamaları ayrıntılı olarak analiz edecektir.

Bu araçları kullanmadan önce aşağıdakileri dikkate almalıyız:

Her şifreleme türünün farklı bir şifreleme türü vardır, bu nedenle uygun aracı kullanmak için saldırı türünü belirlememiz gerekir.

Her aracın kullanımı, geliştiricinin web sitesini ayrıntılı olarak analiz etmemiz gereken farklı düzeyde talimatlara sahiptir.

RakhniDecryptor

Kaspersky Lab gibi en iyi güvenlik şirketlerinden biri tarafından geliştirilen bu uygulama, en güçlü fidye yazılımı saldırı türlerinden bazılarının şifresini çözmek için geliştirildi.

RakhniDecryptor'ın saldırdığı bazı kötü amaçlı yazılım türleri şunlardır:

Trojan-Ransom.Win32.Rakhni
Trojan-Ransom.Win32.Agent.iih
Trojan-Ransom.Win32.Autoit
Trojan-Ransom.Win32.Aura
Trojan-Ransom.AndroidOS.Pletor
Trojan-Ransom.Win32.Rotor
Trojan-Ransom.Win32.Lamer
Trojan-Ransom.Win32.Cryptokluchen
Trojan-Ransom.Win32.Democry
Trojan-Ransom.Win32.Bitman sürüm 3 ve 4
Trojan-Ransom.Win32.Libra
Trojan-Ransom.MSIL.Lobzik
Trojan-Ransom.MSIL.Lortok
Trojan-Ransom.Win32.Chimera
Trojan-Ransom.Win32.CryFile
Trojan-Ransom.Win32.Nemcig
Trojan-Ransom.Win32.Mircop
Trojan-Ransom.Win32.Mor
Trojan-Ransom.Win32.Crusis
Trojan-Ransom.Win32.AecHu
Trojan-Ransom.Win32.Jaff

Fidye yazılımı bir dosyaya saldırıp bulaştığında, uzantısını aşağıdaki gibi ek bir satır ekleyerek düzenlediğini unutmayın:

 Önce: file.docx / sonra: file.docx.locked 1.docx'ten önce / 1.dochb15'ten sonra

Yukarıda bahsedilen kötü amaçlı yazılımların her biri, etkilenen dosyanın şifrelendiği bir dizi uzantı ekine sahiptir, bunlar hakkında daha ayrıntılı bilgi sahibi olmak için bilinmesi gereken bu uzantılardır:

Trojan-Ransom.Win32.RakhniAşağıdaki uzantılara sahiptir:

Trojan-Ransom.Win32.MorAşağıdaki uzantıya sahiptir:
._mezar odası

Trojan-Ransom.Win32.AutoitAşağıdaki uzantıya sahiptir:
<…

Trojan-Ransom.MSIL.LortokAşağıdaki uzantıları içerir:

Trojan-Ransom.AndroidOS.PletorAşağıdaki uzantıya sahiptir:
…

Trojan-Ransom.Win32.Agent.iihAşağıdaki uzantıya sahiptir:
.+

Trojan-Ransom.Win32.CryFileAşağıdaki uzantıya sahiptir:
…

Trojan-Ransom.Win32.DemocryAşağıdaki uzantılara sahiptir:

Trojan-Ransom.Win32.Bitman sürüm 3Aşağıdaki uzantılara sahiptir:

Trojan-Ransom.Win32.Bitman sürüm 4Aşağıdaki uzantıya sahiptir:
. (ad ve uzantı etkilenmez)

Trojan-Ransom.Win32.LibraAşağıdaki uzantılara sahiptir:

Trojan-Ransom.MSIL.LobzikAşağıdaki uzantılara sahiptir:

Trojan-Ransom.Win32.MircopAşağıdaki uzantıya sahiptir:
…

Trojan-Ransom.Win32.CrusisAşağıdaki uzantıya sahiptir:

.kimlik @… Xtbl
.kimlik @… CrySiS
.id -. @… xtbl
.id -. @… cüzdan
.id -. @… dhrama
.id -. @… soğan
. @… Cüzdan
. @… Dhrama
. @… Soğan

Trojan-Ransom.Win32. NemçigAşağıdaki uzantıya sahiptir:
…

Trojan-Ransom.Win32.LamerAşağıdaki uzantılara sahiptir:

Trojan-Ransom.Win32.CryptokluchenAşağıdaki uzantılara sahiptir:

Trojan-Ransom.Win32.RotorAşağıdaki uzantılara sahiptir:

Trojan-Ransom.Win32.ChimeraAşağıdaki uzantılara sahiptir:

Trojan-Ransom.Win32.AecHu
Aşağıdaki uzantılara sahiptir:

Trojan-Ransom.Win32.JaffAşağıdaki uzantılara sahiptir:

Oldukça az sayıda uzantı olduğunu görebiliriz ve etkilenen dosya türünü ayrıntılı olarak tanımlamak için bunların sunulması idealdir.
Bu uygulama aşağıdaki bağlantıdan indirilebilir:

İndirdikten sonra içeriği çıkarırız ve dosyayı virüslü bilgisayarda çalıştırırız ve aşağıdaki pencere görüntülenecektir:

USB sürücüler, sabit sürücüler veya ağ sürücüleri gibi analizin hangi tür birimlerde yürütüleceğini belirlemek için Parametreleri değiştir satırına tıklayabiliriz. Etkilenen dosyaların analizini ve ilgili şifresinin çözülmesini başlatmak için Taramayı başlat'a tıklayacağız.

Not:Bir dosya _crypt uzantısından etkilenirse işlem 100 gün kadar sürebilir, bu nedenle sabırlı olmanız önerilir.

Rannoh Şifre Çözücü

Bu, Trojan-Ransom.Win32 kötü amaçlı yazılımıyla saldırıya uğrayan dosyaların şifresini çözmeye odaklanan Kaspersky Lab tarafından sunulan seçeneklerden bir diğeridir. Ek, Fury, Cryakl, AutoIt, Polyglot, yani Marsjoke ve Crybola gibi kötü amaçlı yazılımları algılayabilir.

Bu fidye yazılımlarından etkilenen uzantıları belirlemek için aşağıdakileri aklımızda tutmalıyız:

Trojan-Ransom.Win32.RannohBu kötü amaçlı yazılımın eklediği uzantılar şunlardır:
.

Trojan-Ransom.Win32.CryaklBu enfeksiyon ile aşağıdaki uzantıya sahip olacağız:
. {CRYPTENDBLACKDC} (Bu etiket dosyanın sonuna eklenecektir)

Trojan-Ransom.Win32.AutoItBu saldırı, posta sunucularını etkiler ve aşağıdaki sözdizimine sahiptir:
@_.

Trojan-Ransom.Win32.CryptXXXBu fidye yazılımı bulaştığında, aşağıdaki uzantılardan herhangi birine sahip olacağız:

.mezar odası
.crypz
.cryp1

Bu araç aşağıdaki bağlantıdan indirilebilir:

Yürütülebilir dosyayı çıkarırken, dosyayı çalıştırın ve etkilenen dosyaları analiz etme ve şifresini çözme işlemini başlatmak için Taramayı başlat düğmesini tıklayın.

WanaKivi

Bu basit ama kullanışlı araç, aşağıdaki görevleri yerine getirmemizi sağlayan wanadecrypt'e dayanmaktadır:

Virüslü dosyaların şifresini çöz

Daha sonra 00000000.dky olarak saklamak için kullanıcının özel anahtarını alın.

Bu araç, CryptReleaseContext () işlemi sırasında temizlenmemiş asal sayıları alma fırsatı sağlayan Asallar çıkarma yöntemini kullanır. Bu aracın yürütülmesi komut satırına dayalıdır ve sözdizimi aşağıdaki gibi olacaktır:

 wanakiwi.exe [/pid:PID|/Process:programa.exe]

Bu sözdiziminde PID isteğe bağlıdır, çünkü Wanakiwi aşağıdaki süreçlerin herhangi birinde PID'leri arayacaktır:

wnry.exe
wcry.exe
Data_1.exe
Ed01ebfbc9eb5bbea545af4d01bf5f1071661840480439c6e5babe8e080e41aa.exe
Tasksche.exe

Wanakiwi aşağıdaki bağlantıdan indirilebilir:

Wanakiwi yalnızca aşağıdaki işletim sistemleri, Windows XP, Windows Vista, Windows 7, Windows Server 2003 ve 2008 ile uyumludur. Akılda tutulması gereken önemli bir şey, Wanakiwi'nin sürecini bu anahtarlar tarafından oluşturulan boşlukları taramaya dayandırmasıdır. bir enfeksiyondan sonra bilgisayarı yeniden başlatmak veya bir işlemi ortadan kaldırmak, büyük olasılıkla Wanakiwi'nin görevini doğru bir şekilde yerine getirememesidir.

Emsisoft

Emsisoft, aşağıdakiler gibi kötü amaçlı yazılım saldırıları için çeşitli türlerde şifre çözücüler geliştirmiştir:

Hasarlı bölge
kıyamet
Xorist
ApocalypseVM
damgalı
Fabian yazılım
Philadelphia
Al-Nemrood
FenixLocker
Küre (sürüm 1, 2 ve 3)
OzozaLocker
KüreImposter
NMoreira
CryptON Cry128
Amnezi (versiyon 1 ve 2)

Bu araçların her biri aşağıdaki bağlantıdan indirilebilir:

Bulacağımız uzantılardan bazıları:

Amnezi:En yaygın saldırılardan biridir, Delphi ile yazılır ve dosyaları AES-256 kullanarak şifreler ve etkilenen dosyanın sonuna * .amnesia uzantısını ekler. Amnesia, her oturum açmada yürütülmesi için enfeksiyonu Windows kayıt defterine ekler.

 HKEY_CURRENT_USER \ YAZILIM \ Microsoft \ Windows \ CurrentVersion \ RunOnce

ağlama128:Cey128, saldırısını RDP bağlantılarına dayandırır ve AES ve RSA'nın özel sürümlerini kullanarak dosyaları şifreler.
Etkilenen dosyalar aşağıdaki uzantılara sahip olacaktır:

.fgb45ft3pqamyji7.onion.to._
.id__gebdp3k7bolalnd4.onion._
.id__2irbar3mjvbap6gt.onion.to._
.id -_ [qg6m5wo7h3id55ym.onion.to] .63vc4

ağlamak9:Cry9, CryptON fidye yazılımının gelişmiş versiyonudur ve AES, RSA ve SHA-512 şifreleme algoritmalarını kullanarak RDP bağlantıları üzerinden saldırılar gerçekleştirir.
Cry9 bulaşmış dosyalar aşağıdaki uzantılara sahip olacaktır:

.-juccy [a] protonmail.ch.
.İD-
.id -_ [[email protected]] .xj5v2
.id-_r9oj
.id-_x3m
.id -_ [[email protected]] _ [[email protected]] .x3m
.-sofia_lobster protonmail.ch [to]
._ [wqfhdgpdelcgww4g.onion.to] .r2vy6

Hasar:Bu fidye yazılımı, etkilenen dosyanın ilk ve son 8 Kb'sini şifreleyen SHA-1 ve Blowfish algoritmaları kullanılarak Delphi'de yazılmıştır.

Bu uzantıya sahip dosyalar .damage uzantısına sahiptir.

CryptON
RSA, AES-256 ve SHA-256 algoritmalarını kullanarak saldırılarını RDP üzerinden gerçekleştiren fidye yazılımlardan bir diğeridir. Bu fidye yazılımından etkilenen dosyalar aşağıdaki uzantılara sahip olacaktır:

.id-_locked
.id-_locked_by_krec
.id-_locked_by_perfect
.id-_x3m
.id-_r9oj
.id-_garryweber @ protonmail.ch
.id-_steaveiwalker @ india.com_
.id-_julia.crown @ india.com
.id-_tom.cruz @ india.com_
.id-_CarlosBoltehero @ india.com_

Aşağıdaki bağlantıda, Emsisoft'un saldırdığı diğer fidye yazılımı türlerinin çeşitli uzantıları hakkında ayrıntılı bilgi görebiliriz:

Avast Şifre Çözücü Aracı

Güvenlik yazılımı geliştirmede liderlerden bir diğeri, antivirüs araçlarının yanı sıra, sistemimizde birden çok türde fidye yazılımından etkilenen dosyaların şifresini çözmek için bize birden çok araç sunan Avast'tır.

Avast Decryptor Tool sayesinde, aşağıdakiler gibi çeşitli fidye yazılımı türleriyle ilgilenebiliriz:

Bart: Etkilenen dosyalara .bart.zip uzantısını ekleyin

AES_NI: AES 256 bit şifreleme kullanarak virüslü dosyalara .aes_ni, .aes256 ve .aes_ni_0day uzantılarını ekleyin.

Alcatraz. AES-256 256 bit şifreleme kullanarak Alcatraz uzantısını ekleyin.

Kıyamet: Etkilenen dosyalara .encrypted, .FuckYourData, .locked, .Encryptedfile veya .SecureCrypted uzantılarını ekleyin.

Crypt888: Kilit uzantısını ekleyin. Virüslü dosyanın başında

CryptopMix_: AES 256 bit şifreleme kullanan dosyalara .CRYPTOSHIELD, .rdmk, .lesli, .scl, .code, .rmd uzantılarını ekleyin

EncriptTile: EncripTile kelimesini dosyanın bir yerine ekleyin.

BadBlock: Bu fidye yazılımı uzantı eklemez, ancak Help Decrypt.html adlı bir mesaj görüntüler.

FindZip: Özellikle macOS ortamlarında, etkilenen dosyalara .crypt uzantısını ekleyin.

Jigsaw: Bu fidye yazılımı, etkilenen dosyalar .kkk, .btc, .gws, .J, .encrypted, .porno, .payransom, .pornoransom, .epic, .xyz, .versiegelt, .encrypted, aşağıdaki uzantılardan herhangi birini ekler, .payb, .pays, .payms, .paymds, .paymts, .paymst, .payrms, .payrmts, .paymrts, .paybtcs, .fun, .hush, .uk-dealer @followint.org veya .gefickt.

Legion: Virüslü dosyalara ._23-06-2016-20-27-23_ $ f_tactics @ aol.com $ .legion veya $ Centurion_legion @ aol.com $ .cbf uzantılarını ekleyin.

XData: Şifrelenmiş dosyalara ~ Xdata ~ uzantısını ekleyin.

Bu fidye yazılımı türlerinin her biri için araçlardan bazılarını indirmek için aşağıdaki bağlantıyı ziyaret edebiliriz:

Not:Orada başka ek saldırı türleri bulacağız.

AVG Ransomware Şifre Çözme Araçları

Önde gelen güvenlik şirketlerinden bir diğerinin, özellikle aşağıdaki saldırı türleri için geliştirilmiş birden fazla aracı ücretsiz olarak indirmemizi sağlayan AVG olduğu hiç kimse için bir sır değil:

Saldırı türleri

Apocalypse: Bu saldırı, etkilenen dosyalara .encrypted, .FuckYourData, .locked, .Encryptedfile veya .SecureCrypted uzantılarını ekler.

Badblock: Virüs bulaşmış bilgisayara Help Decrypt.html mesajını ekleyin.

Bart: Bu saldırı, virüslü dosyalara .bart.zip uzantısını ekler.

Crypt888: Etkilenen dosyaların başına Kilit uzantısını ekleyin.

Legion: Bu saldırı, etkilenen dosyaların sonuna ._23-06-2016-20-27-23_ $ f_tactics @ aol.com $ .legion veya. $ Centurion_legion @ aol.com $ .cbf uzantılarını ekler

SZFLocker: Bu fidye yazılımı, dosyalara .szf uzantısı ekler

TeslaCrypt: Bu saldırı türü dosyaları şifrelemez ancak dosyalar şifrelendikten sonra aşağıdaki mesajı görüntüler.

Bu araçlardan bazıları aşağıdaki bağlantıdan indirilebilir.

NoMoreFidye

Bu uygulama Intel, Kaspersky ve Europool gibi şirketler tarafından ortaklaşa tasarlanmıştır ve aşağıdakiler gibi fidye yazılımı saldırılarına odaklanan araçlar geliştirmeye ve oluşturmaya odaklanır:

Saldırı türleri

Rakhni: Bu araç Jaff, XData, AES_NI, Dharma, Crysis, Chimera, Rakhni, Agent.iih, Aura, Autoit, Pletor, Rotor, Lamer, Lortok, Cryptokluchen, Democry, Bitman (TeslaCrypt) sürüm 3 ve 4'ten etkilenen dosyaların şifresini çözer .