NO_MORE_RANSOM - ako šifrovať šifrované súbory?

Na konci roku 2016 bol svet napadnutýnetriviálny Trojan vírus, ktorý šifruje užívateľské dokumenty a multimediálny obsah s názvom NO_MORE_RANSOM. Ako ďalej dešifrovať súbory po dôsledkoch tejto hrozby bude ďalej zvažované. Okamžite však stojí za to upozorniť všetkých používateľov, ktorí boli napadnutí, že neexistuje jednotná metodológia. Je to spôsobené použitím jedného z najpokročilejších šifrovacích algoritmov a stupňa penetrácie vírusu do počítačového systému alebo dokonca do lokálnej siete (hoci pôvodne nebol navrhnutý pre sieťový dopad).

Aký druh vírusu je NO_MORE_RANSOM a ako to funguje?

Vo všeobecnosti je samotný vírus klasifikovaný ako triedaTrójske kone, ako napríklad Milujem ťa, ktoré prenikajú do počítačového systému a šifrovanie súborov užívateľa (obvykle multimediálnych). Avšak, ak sa starí rodičia sa líšili iba šifrovanie, tento vírus je veľmi požičal si od kedysi senzačný hrozby zvanej DA_VINCI_COD, kombinujúci v sebe tiež funguje vydierača.

Po infikovaní sa väčšine súborov audio, video, grafiky alebo kancelárskych dokumentov priradí dlhé meno s príponou NO_MORE_RANSOM obsahujúcou zložité heslo.

Pri pokuse o otvorenie sa na obrazovke objaví správa, že súbory sú zašifrované a je potrebné zaplatiť určitú čiastku za dešifrovanie.

Ako preniká hrozba do systému?

Nechajme otázku, ako potomefekty NO_MORE_RANSOM dešifrovať súbory ktoréhokoľvek z vyššie uvedených typov a obrátiť sa na technológiu penetrácie vírusu do počítačového systému. Bohužiaľ, akokoľvek to môže znieť, použije sa stará osvedčená metóda: e-mailová adresa dostane list s prílohou, ktorá pri otvorení používateľ dostane spúšťač škodlivého kódu.

Originálnosť, ako vidíme, táto technika nie jeodlišné. Avšak správa môže byť zamaskovaná ako bezvýznamný text. Alebo naopak, napríklad, ak ide o veľké spoločnosti, - pri zmene podmienok každej zmluvy. Je zrejmé, že obyčajný úradník otvorí prílohu a potom dostane žalostný výsledok. Jedným z najjasnejších prepuknutí bol šifrovanie databáz populárneho balíka 1C. A to je vážny obchod.

NO_MORE_RANSOM: ako dekódovať dokumenty?

Napriek tomu je však potrebné riešiť hlavnú otázku. Určite každý má záujem o dešifrovanie súborov. Vírus NO_MORE_RANSOM má vlastnú sekvenciu akcií. Ak sa používateľ pokúša dešifrovať ihneď po infekcii, môže to byť ešte nejako vykonané. Ak sa hrozba v systéme pevne usadila, bohužiaľ, bez pomoci špecialistov tu je nevyhnutná. Ale často sú bezmocní.

Ak bola hrozba zistená včas, cestaIba jeden - platí pre podporu antivírusových firiem (zatiaľ nie všetky dokumenty boli zašifrované) poslať pár neprístupné pre otváranie súborov a na základe pôvodnej analýzy, uložený na vymeniteľné médium, pokúste sa obnoviť už infikované dokumenty po uložení na flash disk rovnaký USB all čo je stále k dispozícii na objavovanie (aj keď nie je ani záruka, že vírus neprenikol takéto dokumenty). Za to, že na lojalitu nosiča je potrebné kontrolovať aspoň vírusov (kto vie čo).

algoritmus

Samostatne je potrebné povedať a že vírus prešifrovanie pomocou RSA-3072 algoritmus, ktorý, na rozdiel od predtým používané RSA-2048 technológia je tak zložitý, že výber správneho hesla, a to aj za predpokladu, že to bude riešiť celý kontingent anti-vírusových laboratóriách môže trvať mesiace alebo roky. To znamená, že otázka, ako dešifrovať NO_MORE_RANSOM, vyžadujú pomerne časovo náročné. Ale čo keď potrebujete okamžite obnoviť informácie? Najskôr odstráňte samotný vírus.

Môžem odstrániť vírus a ako?

V skutočnosti to nie je ťažké. Pri posudzovaní nečinnosti tvorcov vírusu nie je hrozba v počítačovom systéme maskovaná. Práve naopak, je dokonca výhodné, aby sa po ukončení akcie "dostala von".

Napriek tomu sa najprv venujeme vírusu,Mal by sa však neutralizovať. Najprv je potrebné použiť prenosné ochranné nástroje ako KVRT, Malwarebytes, Dr.Sc. Web CureIt! a podobne. Upozornenie: programy používané na kontrolu musia byť bez problémov prenosné (bez inštalácie na pevný disk s optimálnym spustením z vymeniteľných médií). Ak sa zistí hrozba, okamžite ju odstráňte.

Ak takéto akcie nie sú poskytnuté,musíte najprv prejsť na "Správca úloh" a dokončiť všetky procesy spojené s vírusom, zoradené podľa názvu služby (typicky proces Runtime Broker).

Po odstránení úlohy musíte zavolať editoraregistra (regedit v menu "Run") a hľadať na titul «Client Server Runtime System» (bez úvodzoviek) a potom s využitím výsledkov pohybom menu "Nájsť viac ...", aby sa odstránili všetky nájdené položky. Ďalej budete musieť reštartovať počítač, a veriť v "Správca úloh", aby zistili, či je požadované proces.

V zásade môže byť touto metódou vyriešená otázka, ako dešifrovať vírus NO_MORE_RANSOM v štádiu infekcie. Pravdepodobnosť neutralizácie, samozrejme, nie je skvelá, ale existuje šanca.

Ako dešifrovať šifrované súbory NO_MORE_RANSOM: zálohy

Existuje však ešte jedna technika, z ktorej málo ľudípozná alebo dokonca odhadne. Skutočnosť, že operačný systém neustále vytvára vlastnú tieňovej zálohy (napríklad v prípade obnovy), alebo zámerne vytváranie takých obrazov. Ako prax ukazuje, tento vírus nemá vplyv na tieto kópie (vo svojej štruktúre, je to jednoducho nie sú stanovené, aj keď je to možné).

Tak, problém, ako dešifrovaťNO_MORE_RANSOM, príde na ich použitie. Neodporúča sa však použiť štandardné nástroje systému Windows (a veľa používateľov nebude mať prístup k skrytým kópiám vôbec). Preto musíte použiť nástroj ShadowExplorer (je prenosný).

Ak chcete obnoviť, stačí spustiťspustiteľný programový súbor, zoraďte informácie podľa dátumov alebo sekcií, vyberte požadovanú kópiu (súbor, priečinok alebo celý systém) a použite exportný riadok z ponuky PCM. Potom jednoducho vyberte adresár, v ktorom bude uložená aktuálna kópia, a potom použite štandardný proces obnovy.

Pomôcky tretích strán

Samozrejme, na problém, ako dešifrovaťNO_MORE_RANSOM, mnohé laboratóriá ponúkajú svoje vlastné riešenia. Napríklad spoločnosť Kaspersky Lab odporúča používať vlastný softvérový produkt Kaspersky Decryptor, ktorý je uvedený v dvoch verziách - Rakhini a Rector.

Rovnako zaujímavé sú podobnévývoj dekodéra NO_MORE_RANSOM od Dr. Web. Ale tu je okamžite nutné vziať do úvahy, že použitie týchto programov je odôvodnená len v prípade rýchlu detekciu hrozieb, zatiaľ čo nie všetky súbory boli infikované. V prípade, že vírus je pevne zakotvený v systéme (ak je šifrovaný súborov jednoducho nemožno porovnávať s ich non-šifrované originálov), a také aplikácia môže byť k ničomu.

Ako výsledok

V skutočnosti existuje len jeden záver: Boj proti tomuto vírusu je potrebný iba v štádiu infekcie, keď sú šifrované iba prvé súbory. Všeobecne platí, že je lepšie otvoriť prílohy v e-mailových správ prijatých z pochybných zdrojov (to sa vzťahuje výhradne pre zákazníkov, inštalovaný priamo na počítači - Outlook, Oulook Express, atď.). Okrem toho, v prípade, že zamestnanec má k dispozícii zoznam zákazníkov a partnerov s cieľom riešiť otvorenie "left" správ, to je celkom nevhodné, pretože väčšina pri prijímaní dohôd znamení dôvernosť obchodných tajomstiev a kybernetickej bezpečnosti.