Меню
ГлавнаяAndroid

Шифрующий вирус: как удалить и расшифровать файлы после его действия

Напомним: троянцы семейства Trojan.Encoder представляют собой вредоносные программы, шифрующие файлы на жестком диске компьютера и требующие деньги за их расшифровку. Зашифрованными могут оказаться файлы *.mp3, *.doc, *.docx, *.pdf, *.jpg, *.rar и так далее.
Со всем семейством этого вируса познакомиться лично не удалось, но, как показывает практика, метод заражения, лечения и расшифровки у всех примерно похожи:
1. жертва заражается через спам-письмо с вложением (реже инфекционным путем),
2. вирус распознается и удаляется (уже) почти любым антивирусом со свежими базами,
3. файлы расшифровываются путем подбора паролей-ключей к используемым видам шифрования.
Например, в Trojan.Encoder.225 используется шифрование RC4 (модифицированный) + DES, а в Trojan.Encoder.263 - BlowFish в CTR-режиме. Эти вирусы на данный момент расшифровываются на 99% исходя из личной практики.

Но не всё так гладко. Некоторые вирусы-шифровальщики требуют месяцы непрерывной дешифровки (Trojan.Encoder.102), а другие (Trojan.Encoder.283) и вовсе не поддаются корректной расшифровке даже для специалистов компании «Доктор Вэб», которая, собственно, играет ключевую роль в данной статье.

Теперь по порядку.

В начале августа 2013 года ко мне обратились клиенты с проблемой зашифрованных файлов вирусом Trojan.Encoder.225. Вирус, на тот момент, новый, никто ничего не знает, в интернете информации 2-3 тематических ссылки гугла. После продолжительных поисков на просторах интернета выясняется, что единственная (найденная) организация, которая занимается проблемой расшифровки файлов после этого вируса - это компания «Доктор Веб». А именно: дает рекомендации, помогает при обращении в тех.поддержку, разрабатывает собственные дешифровщики и т.д.

Негативное отступление.

И, пользуясь случаем, хочу отметить два жирнющих минуса «Лаборатории Касперского». Которые, при обращении в их тех.поддержку, отмахиваются «мы работаем над этим вопросом, о результатах уведомим по почте». И еще, минус в том - что ответа на запрос я так и не получил. Спустя 4 месяца. Ни«хрена» себе время реакции. А я тут стремлюсь к стандарту «не более одного часа с оформления заявки».
Стыдно, товарищ Евгений Касперский , генеральный директор «Лаборатории Касперского». А ведь у меня добрая половина всех компаний «сидит» на нем. Ну да ладно, лицензии кончаются в январе-марте 2014 года. Стоит ли говорить о том, буду ли я продлевать лицензию?;)

Представляю лица «спецов» из компаний «попроще», так сказать НЕгигантов антивирусной индустрии. Наверное вообще «забились в уголок» и «тихо плакали».
Хотя, что уж там, абсолютно все «лоханулись» по полной. Антивирус, в принципе, не должен был допустить попадание этого вируса на комп. Тем более учитывая современные технологии. А у «них», ГИГАНТОВ антиВИРУСНОЙ индустрии, якобы всё схвачено, «эврестический анализ», «система упреждения», «проактивная защита»…

ГДЕ ЭТИ ВСЕ СУПЕР-СИСТЕМЫ БЫЛИ, КОГДА РАБОТНИК ОТДЕЛА КАДРОВ ОТКРЫВАЛ «БЕЗОБИДНОЕ» ПИСЬМО С ТЕМОЙ «РЕЗЮМЕ»???
Что должен был подумать сотрудник?
Если ВЫ не можете нас защитить, то зачем ВЫ нам нужны вообще?

И всё бы хорошо было с «Доктор Вэб», да только чтобы получить помощь, надо, естественно, иметь лицензию на какой либо их программный продукт. При обращении в тех.поддержку (далее ТП) надо предоставить серийный номер Dr.Web и не забыть в строке «Категория запроса:» выбрать «запрос на лечение» или просто предоставить им зашифрованный файл в лабораторию. Сразу оговорюсь, что так называемые «журнальные ключи» Dr.Web, которые в интернете выкладываются пачками, не подходят, так как не подтверждают приобретение каких либо программных продуктов, и отсеиваются специалистами ТП на раз-два. Проще купить самую «дешманскую» лицензию. Потому как если вы взялись за расшифровку - вам эта лицензия окупится в «мулион» раз. Особенно если папка с фотками «Египет 2012» была в одном экземпляре…

Попытка №1

Итак, купив «лицензию на 2 ПК на год» за н-сумму денег, обратившись в ТП и предоставив некоторые файлы я получил ссылку на утилиту-дешифровщик te225decrypt.exe версии 1.3.0.0. В предвкушении успеха, запускаю утилиту (надо указать ей на один из зашифрованных *.doc файлов). Утилита начинает подбор, нещадно загружая на 90-100% старенький процессор E5300 DualCore, 2600 MHz (разгон до 3,46Ггц) /8192 MB DDR2-800, HDD 160Gb Western Digital.
Тут, параллельно со мной в работу включается коллега на ПК core i5 2500k (разгон до 4.5ghz) /16 ram 1600/ ssd intel (это для сравнения затраченного времени в конце статьи).
Спустя 6 суток у меня утилита отрапортовала об расшифровке 7277 файлов. Но счастье длилось не долго. Все файлы расшифровались «криво». То есть, например, документы microsoft office открываются, но с разными ошибками: «Приложением Word в документе *.docx обнаружено содержимое, которое не удалось прочитать» или «Не удается открыть файл *.docx из-за ошибок его содержимого». Файлы *.jpg тоже открываются либо с ошибкой, либо 95% изображения оказывается затертым черным или салатово-зелёным фоном. У файлов *.rar - «Неожиданный конец архива».
В общем полная неудача.

Попытка №2

Пишем в ТП о результатах. Просят предоставить пару файлов. Через сутки опять дают ссылку на утилиту te225decrypt.exe, но уже версии 1.3.2.0. Ну что ж, запускаем, альтернативы то все равно не было тогда. Проходит около 6 суток и утилита завершает свою работу ошибкой «Невозможно подобрать параметры шифрования». Итого 13 суток «коту под хвост».
Но мы не сдаемся, на счету важные документы нашего *бестолкового* клиента без элементарных бэкапов.

Попытка №3

Пишем в ТП о результатах. Просят предоставить пару файлов. И, как вы уже догадались, спустя сутки дают ссылку на всё ту же утилиту te225decrypt.exe, но уже версии 1.4.2.0. Ну что ж, запускаем, альтернативы то как не было, так и не появилось ни от Лаборатории Касперского, ни от ESET NOD32 ни от других производителей антивирусных решений. И вот, спустя 5 суток 3 часа 14 минут (123,5 часа) утилита сообщает о расшифровке файлов (у коллеги на core i5 расшифровка заняла всего 21 час 10 минут).
Ну, думаю, была-небыла. И о чудо: полный успех! Все файлы расшифрованы корректно. Всё открывается, закрывается, смотрится, редактируется и сохраняется исправно.

Все счастливы, THE END.

«А где же история про вирус Trojan.Encoder.263?», спросите вы. А на соседнем ПК, под столом… была. Там всё было проще: Пишем в ТП «Доктора Вэба», получаем утилиту te263decrypt.exe, запускаем, ждем 6,5 суток, вуаля! и всё готово.Подведя итог, могу привести несколько советов с форума «Доктор Вэб» в моей редакции:

Что необходимо сделать в случае заражения вирусом-шифровальщиком:
- прислать в вирусную лабораторию Dr. Web или в форму «Отправить подозрительный файл» зашифрованный doc-файл.
- Дожидаться ответа сотрудника Dr.Web и далее следовать его указаниям.

Что НЕ нужно делать:
- менять расширение у зашифрованных файлов; Иначе, при удачно подобранном ключе утилита просто не «увидит» файлов, которые надо расшифровать.
- использовать самостоятельно без консультации со специалистами любые программы для расшифровки/восстановления данных.

Внимание, имея свободный от других задач сервак, рпедлагаю свои безвозмездные услуги по расшифровке ВАШИХ данных. Сервак core i7-3770K c разгоном до *определенных частот*, 16ГБ ОЗУ и SSD Vertex 4.
Для всех активных пользователей «хабра» использование моих ресурсов будет БЕСПЛАТНА!!!
Пишите мне в личку или по иным контактам. Я на этом уже «собаку съел». Поэтому мне не лень на ночь поставить сервак на расшифровку.
Этот вирус - «бич» современности и брать «бабло» с однополчан - это не гуманно. Хотя, если кто-нибудь «бросит» пару баксов на мой счет яндекс.деньги 410011278501419 - я буду не против. Но это совсем не обязательно. Обращайтесь. Обрабатываю заявки в своё свободное время.

Новые сведенья!

Начиная с 08.12.2013 года началось распространение нового вируса из всё той же серии Trojan.Encoder под классификацией «Доктора Вэба» - Trojan.Encoder.263, но с шифрованием RSA. Данный вид на сегодняшнее число (20.12.2013г.) не поддается расшифровке , так как использует очень устойчивый метод шифрования.

Всем, кто пострадал от этого вируса рекомендую:
1. Используя встроенный поиск windows найти все файлы, содержащие расширение.perfect, скопировать их на внешний носитель.
2. Скопировать так же файл CONTACT.txt
3. Положить этот внешний носитель «на полочку».
4. Ждать появления утилиты-дешифратора.

Что НЕ надо делать:
Не надо связываться со злоумышленниками. Это глупо. В более чем 50% случаев после «оплаты» в, примерно, 5000р., вы не получите НИЧЕГО. Ни денег, ни дешефратора.
Справедливости ради стоит отметить, что в интернете есть те «счастливчики», которые за «бабло» получали свои файлы обратно путем дешифрования. Но, верить этим людям не стоит. Будь я вирусописателем, первое, чтоб я сделал - дак это распространил информацию типа «я заплатил и мне выслали дешифратор!!!».
За этими «счастливчиками» могут быть всё те же злоумышленники.

Что ж… пожелаем удачи остальным антивирусным компаниям в создании утилиты по дешифровке файлов после вирусов группы Trojan.Encoder.

Отдельная благодарность за проделанную работу по созданию утилит-дешифраторов товарищу v.martyanov`у с форума «Доктор Вэб».

Главный писатель по вопросам технологий

Вам кто-то послал по электронной почте файл LOCKED, и вы не знаете, как его открыть? Может быть, вы нашли файл LOCKED на вашем компьютере и вас заинтересовало, что это за файл? Windows может сказать вам, что вы не можете открыть его, или, в худшем случае, вы можете столкнуться с соответствующим сообщением об ошибке, связанным с файлом LOCKED.

До того, как вы сможете открыть файл LOCKED, вам необходимо выяснить, к какому виду файла относится расширения файла LOCKED.

Tip: Incorrect LOCKED file association errors can be a symptom of other underlying issues within your Windows operating system. These invalid entries can also produce associated symptoms such as slow Windows startups, computer freezes, and other PC performance issues. Therefore, it highly recommended that you scan your Windows registry for invalid file associations and other issues related to a fragmented registry.

Ответ:

Файлы LOCKED имеют Uncommon Files, который преимущественно ассоциирован с Unknown Apple II File (found on Golden Orchard Apple II CD Rom).

Файлы LOCKED также ассоциированы с Softwrap Locked and Encrypted EXE File (Softwrap) и FileViewPro.

Иные типы файлов также могут использовать расширение файла LOCKED. Если вам известны любые другие форматы файлов, использующие расширение файла LOCKED, пожалуйста, свяжитесь с нами , чтобы мы смогли соответствующим образом обновить нашу информацию.

Как открыть ваш файл LOCKED:

Самый быстрый и легкий способ открыть свой файл LOCKED - это два раза щелкнуть по нему мышью. В данном случае система Windows сама выберет необходимую программу для открытия вашего файла LOCKED.

В случае, если ваш файл LOCKED не открывается, весьма вероятно, что на вашем ПК не установлена необходимая прикладная программа для просмотра или редактирования файлов с расширениями LOCKED.

Если ваш ПК открывает файл LOCKED, но в неверной программе, вам потребуется изменить настройки ассоциации файлов в вашем реестре Windows. Другими словами, Windows ассоциирует расширения файлов LOCKED с неверной программой.

Установить необязательные продукты - FileViewPro (Solvusoft) | | | |

LOCKED Инструмент анализа файлов™

Вы не уверены, какой тип у файла LOCKED? Хотите получить точную информацию о файле, его создателе и как его можно открыть?

Теперь можно мгновенно получить всю необходимую информацию о файле LOCKED!

Революционный LOCKED Инструмент анализа файлов™ сканирует, анализирует и сообщает подробную информацию о файле LOCKED. Наш алгоритм (ожидается выдача патента) быстро проанализирует файл и через несколько секунд предоставит подробную информацию в наглядном и легко читаемом формате.†

Уже через несколько секунд вы точно узнаете тип вашего файла LOCKED, приложение, сопоставленное с файлом, имя создавшего файл пользователя, статус защиты файла и другую полезную информацию.

Чтобы начать бесплатный анализ файла, просто перетащите ваш файл LOCKED внутрь пунктирной линии ниже или нажмите «Просмотреть мой компьютер» и выберите файл. Отчет об анализе файла LOCKED будет показан внизу, прямо в окне браузера.

Перетащите файл LOCKED сюда для начала анализа

Просмотреть мой компьютер »

Пожалуйста, также проверьте мой файл на вирусы

Ваш файл анализируется... пожалуйста подождите.

Прогресс вирусописательства не стоит на месте, а движется семимильными шагами, это особенно заметно на примере вирусов-вымогателей, блокирующих Windows. Полная безнаказанность и поток денег от недалёких жертв делают своё дело. Недавно разблокировали один компьютер от очередного winlock-ера и столкнулись с некоторыми неприятными неожиданностями, о которых и хотим поведать здесь.

Заражение компьютера случилось при клике на совершенно безобидной ссылке во время поиска фотографий. При чём блокировка компьютера произошла практически моментально. Как показал последующий анализ, данный образец вируса на момент заражения не определялся никакими антивирусами за исключением Касперского:

Антивирус Касперского оказался в числе единственных, кто смог противостоять данной угрозе на ранних этапах возникновения

Через день ситуация конечно немного исправилась: к числу определяющих присоединились DrWeb, NOD32 и несколько других антивирусов, но полная их неспособностьхоть как-то противостоять новым, неизвестным угрозам наводит на грустные размышления — тест на эвристический анализ провален ими полностью…

Сразу в глаза бросается присутствие а автозагрузке файла 22CC6C32.exe и отсутствие цифровой подписи Microsoft у файла userinit.exe (не заполнены поля Description и Publisher)

Сразу в глаза бросается присутствие а автозагрузке файла 22CC6C32.exe и отсутствие цифровой подписи Microsoft у файла userinit.exe. Если раньше удаление вируса ограничивалось только удалением этой записи из реестра и самого файла 22CC6C32.exe с диска С:, то в нашем случае этого уже не достаточно и после перезагрузки мы будем снова лицезреть ненавистное окошко вируса-блокиратора. Значит система вычищена не до конца и зараза прячется где-то ещё.

Снова загружаемся с Live-CD, но уже вооружившись антивирусом, который может лечить/удалять данную заразу (а это мы узнали из результатов анализа файла 22CC6C32.exe на сайте virustotal.com ) и запускаем полное сканирование системного диска. В результате мы видим, что вирус заменил собой такие системные файлы:

«С:\WINDOWS\System32\userinit.exe » (Отвечает за процесс загрузки системы),
«С:\WINDOWS\System32\taskmgr.exe » (Диспетчер задач Windows. После заражения комбинация клавиш Ctrl+Alt+Del запускает лишь очередную копию вируса),
а так же их резервные копии
«С:\WINDOWS\System32\dllcache\userinit.exe «, «С:\WINDOWS\System32\dllcache\taskmgr.exe «,
чего в принципе быть не должно так как это важные системные файлы и, по идее, должны быть надёжно защищены системой от любых посягательств как извне так и изнутри, и это является своеобразным ноу-хау данного вируса.
Кроме того он создал свою копию по адресу «C:\Documents and Settings\All Users\Application Data\22CC6C32.exe » и поместил в автозагрузку через реестр.

Антивирус все эти файлы конечно удалил:

Что это будет обозначать на практике? А то, что «исцелённый» Windows теперь уже не загрузится пока мы не восстановим на место оригинальные файлы userinit.exe , а так же taskmgr.exe (диспетчер задач тоже иногда нужен).

Для этого нам понадобится установочный диск Windows. Находим на нём файлы userinit.ex_ и taskmgr.ex_. Это файлы-архивы, из них необходимо распаковать оригинальные файлы и положить на место уничтоженных сначала вирусом, а за тем антивирусом.

Видеоурок на данную тему можно посмотреть .

Что же мы имеем на выходе? Маленький файлик размером 161 килобайт без проблем обходит все антивирусные защиты, модифицирует, удаляет по своему усмотрению системные файлы и вносит изменения в реестр! Хочется лишь сказать хакерам «браво» и посочувствовать пользователям, так как они не защищены от данных угроз НИКАК! Только резервное копирование данных может дать хоть какую-то уверенность в завтрашнем дне…

Да, а ещё хакерам можно сказать спасибо за то, что они, вопреки своим угрозам не удаляют пользовательские данные . Хотя эти действия, по моему мнению, продиктованы скорее страхом, чем человеколюбием. Ведь ущерб от их деятельности в таком случае возрастёт до космических размеров, а вместе с ним и количество желающих их выловить. И совсем не обязательно это будут представители правоохранительных органов… Умереть от «ректального криптоанализа» — совершенно реальная в таком случае перспектива!

Утилита Kaspresky RakhniDecryptor расшифрует файлы, расширения которых изменились по следующим шаблонам:

  • Trojan-Ransom.Win32.Rakhni:
    • <имя_файла>.<оригинальное_расширение>.locked;
    • <имя_файла>.<оригинальное_расширение>.kraken;
    • <имя_файла>.<оригинальное_расширение>.darkness;
    • <имя_файла>.<оригинальное_расширение>.oshit;
    • <имя_файла>.<оригинальное_расширение>.nochance;
    • <имя_файла>.<оригинальное_расширение>.oplata@qq_com;
    • <имя_файла>.<оригинальное_расширение>.relock@qq_com;
    • <имя_файла>.<оригинальное_расширение>.crypto;
    • <имя_файла>.<оригинальное_расширение>[email protected];
    • <имя_файла>.<оригинальное_расширение>.p***a@qq_com;
    • <имя_файла>.<оригинальное_расширение>.dyatel@qq_com;
    • <имя_файла>.<оригинальное_расширение>.nalog@qq_com;
    • <имя_файла>.<оригинальное_расширение>.chifrator@gmail_com;
    • <имя_файла>.<оригинальное_расширение>.gruzin@qq_com;
    • <имя_файла>.<оригинальное_расширение>.troyancoder@gmail_com;
    • <имя_файла>.<оригинальное_расширение>.coderksu@gmail_com_id373;
    • <имя_файла>.<оригинальное_расширение>.coderksu@gmail_com_id371;
    • <имя_файла>.<оригинальное_расширение>.coderksu@gmail_com_id372;
    • <имя_файла>.<оригинальное_расширение>.coderksu@gmail_com_id374;
    • <имя_файла>.<оригинальное_расширение>.coderksu@gmail_com_id375;
    • <имя_файла>.<оригинальное_расширение>.coderksu@gmail_com_id376;
    • <имя_файла>.<оригинальное_расширение>.coderksu@gmail_com_id392;
    • <имя_файла>.<оригинальное_расширение>.coderksu@gmail_com_id357;
    • <имя_файла>.<оригинальное_расширение>.coderksu@gmail_com_id356;
    • <имя_файла>.<оригинальное_расширение>.coderksu@gmail_com_id358;
    • <имя_файла>.<оригинальное_расширение>.coderksu@gmail_com_id359;
    • <имя_файла>.<оригинальное_расширение>.coderksu@gmail_com_id360;
    • <имя_файла>.<оригинальное_расширение>.coderksu@gmail_com_id20.

Trojan-Ransom.Win32.Rakhni создает файл exit.hhr.oshit, в котором в зашифрованном виде содержится пароль от файлов пользователя. Если на зараженном компьютере сохранился этот файл, расшифровка произойдет значительно быстрее. Если же файл exit.hhr.oshit был удален, восстановите его при помощи программ восстановления удаленных файлов, а затем поместите в папку %APPDATA% и заново запустите проверку утилитой. Файл exit.hhr.oshit вы можете найти по следующему пути: C:\Users<имя_пользователя>\AppData\Roaming

  • Trojan-Ransom.Win32.Mor: <имя_файла>.<оригинальное_расширение>_crypt.
  • Trojan-Ransom.Win32.Autoit: <имя_файла>.<оригинальное_расширение>.<[email protected]_.буквы>.
  • Trojan-Ransom.MSIL.Lortok:
    • <имя_файла>.<оригинальное_расширение>.cry;
    • <имя_файла>.<оригинальное_расширение>.AES256.
  • Trojan-Ransom.AndroidOS.Pletor: <имя_файла>.<оригинальное_расширение>.enc.
  • Trojan-Ransom.Win32.Agent.iih: <имя_файла>.<оригинальное_расширение>+.
  • Trojan-Ransom.Win32.CryFile: <имя_файла>.<оригинальное_расширение>.encrypted.
  • Trojan-Ransom.Win32.Democry:
    • <имя_файла>.<оригинальное_расширение>+<._дата-время_$почта@домен$.777>;
    • <имя_файла>.<оригинальное_расширение>+<._дата-время_$почта@домен$.legion>.
  • Trojan-Ransom.Win32.Bitman версии 3:
    • <имя_файла>.xxx;
    • <имя_файла>.ttt;
    • <имя_файла>.micro;
    • <имя_файла>.mp3.
  • Trojan-Ransom.Win32.Bitman версии 4: <имя_файла>.<оригинальное_расширение> (имя и расширение файла не меняется).
  • Trojan-Ransom.Win32.Libra:
    • <имя_файла>.encrypted;
    • <имя_файла>.locked;
    • <имя_файла>.SecureCrypted.
  • Trojan-Ransom.MSIL.Lobzik:
    • <имя_файла>.fun;
    • <имя_файла>.gws;
    • <имя_файла>.btc;
    • <имя_файла>.AFD;
    • <имя_файла>.porno;
    • <имя_файла>.pornoransom;
    • <имя_файла>.epic;
    • <имя_файла>.encrypted;
    • <имя_файла>.J;
    • <имя_файла>.payransom;
    • <имя_файла>.paybtcs;
    • <имя_файла>.paymds;
    • <имя_файла>.paymrss;
    • <имя_файла>.paymrts;
    • <имя_файла>.paymst;
    • <имя_файла>.paymts;
    • <имя_файла>.gefickt;
    • <имя_файла>[email protected].
  • Trojan-Ransom.Win32.Mircop: .<имя_файла>.<оригинальное_расширение>.
  • Trojan-Ransom.Win32.Crusis (Dharma):
    • <имя_файла>.ID<…>.@..xtbl;
    • <имя_файла>.ID<…>.@..CrySiS;
    • <имя_файла>.id-<…>.@..xtbl;
    • <имя_файла>.id-<…>.@..wallet;
    • <имя_файла>.id-<…>.@..dhrama;
    • <имя_файла>.id-<…>.@..onion;
    • <имя_файла>.@..wallet;
    • <имя_файла>.@..dhrama;
    • <имя_файла>.@..onion.

    • Примеры некоторых вредоносных адресов-распространителей:

  • Trojan-Ransom.Win32.Nemchig: <имя_файла>.<оригинальное_расширение>[email protected].
  • Trojan-Ransom.Win32.Lamer:
    • <имя_файла>.<оригинальное_расширение>.bloked;
    • <имя_файла>.<оригинальное_расширение>.cripaaaa;
    • <имя_файла>.<оригинальное_расширение>.smit;
    • <имя_файла>.<оригинальное_расширение>.fajlovnet;
    • <имя_файла>.<оригинальное_расширение>.filesfucked;
    • <имя_файла>.<оригинальное_расширение>.criptx;
    • <имя_файла>.<оригинальное_расширение>.gopaymeb;
    • <имя_файла>.<оригинальное_расширение>.cripted;
    • <имя_файла>.<оригинальное_расширение>.bnmntftfmn;
    • <имя_файла>.<оригинальное_расширение>.criptiks;
    • <имя_файла>.<оригинальное_расширение>.cripttt;
    • <имя_файла>.<оригинальное_расширение>.hithere;
    • <имя_файла>.<оригинальное_расширение>.aga.
  • Trojan-Ransom.Win32.Cryptokluchen:
    • <имя_файла>.<оригинальное_расширение>.AMBA;
    • <имя_файла>.<оригинальное_расширение>.PLAGUE17;
    • <имя_файла>.<оригинальное_расширение>.ktldll.
  • Trojan-Ransom.Win32.Rotor:
    • <имя_файла>.<оригинальное_расширение>[email protected];
    • <имя_файла>.<оригинальное_расширение>[email protected];
    • <имя_файла>.<оригинальное_расширение>[email protected];
    • <имя_файла>.<оригинальное_расширение>[email protected];
    • <имя_файла>.<оригинальное_расширение>[email protected]_.crypt;
    • <имя_файла>.<оригинальное_расширение>[email protected]____.crypt;
    • <имя_файла>.<оригинальное_расширение>[email protected]_______.crypt;
    • <имя_файла>.<оригинальное_расширение>[email protected]___.crypt;
    • <имя_файла>.<оригинальное_расширение>[email protected]==.crypt;
    • <имя_файла>.<оригинальное_расширение>[email protected]=--.crypt.

Если файл зашифрован с расширением CRYPT, расшифровка может длиться долго. Например, на процессоре Intel Core i5-2400 она может занять около 120 суток.

Как расшифровать файлы утилитой Kaspersky RakhniDecryptor

  1. Скачайте архив RakhniDecryptor.zip и распакуйте его. Инструкция в статье .
  2. Перейдите в папку с файлами из архива.
  3. Запустите файл RakhniDecryptor.exe.
  4. Нажмите Изменить параметры проверки .
  1. Выберите объекты для проверки: жесткие диски, сменные диски или сетевые диски.
  2. Установите флажок Удалять зашифрованные файлы после успешной расшифровки . В этом случае утилита будет удалять копии зашифрованных файлов с присвоенными расширениями LOCKED, KRAKEN, DARKNESS и т.д.
  3. Нажмите ОК .


  1. Нажмите Начать проверку .

  1. Выберите зашифрованный файл и нажмите Открыть .

  1. Прочитайте предупреждение и нажмите ОК .

Файлы будут расшифрованы.

Файл может быть зашифрован с расширением CRYPT более одного раза. Например, если файл тест.doc зашифрован два раза, первый слой утилита RakhniDecryptor расшифрует в файл тест.1.doc.layerDecryptedKLR. В отчете о работе утилиты появится запись: «Decryption success: диск:\путь\тест.doc_crypt -> диск:\путь\тест.1.doc.layerDecryptedKLR». Этот файл необходимо еще раз расшифровать утилитой. При успешной расшифровке файл будет пересохранен с оригинальным названием тест.doc.

Параметры для запуска утилиты из командной строки

Для удобства и ускорения процесса расшифровки файлов Kaspersky RakhniDecryptor поддерживает следующие параметры командной строки:

Имя команды Значение Пример
–threads Запуск утилиты с подбором пароля в несколько потоков. Если параметр не задан, количество потоков равно количеству процессорных ядер. RakhniDecryptor.exe –threads 6
–start <число> –end <число>

Возобновление подбора пароля с определенного состояния. Минимальное число 0.

Остановка подбора пароля на определенном состоянии. Максимальное число 1 000 000.

Подбор пароля в диапазоне между двумя состояниями.

RakhniDecryptor.exe –start 123

RakhniDecryptor.exe –end 123

RakhniDecryptor.exe –start 100 –end 50000
-l <название файла с указанием полного пути к нему> Указание пути к файлу, где должен сохраняться отчет о работе утилиты. RakhniDecryptor.exe -l C:Users\Administrator\RakhniReport.txt
-h Вывод справки о доступных параметрах командной строки RakhniDecryptor.exe -h

Если на компьютере появилось текстовое сообщение, в котором написано, что ваши файлы зашифрованы, то не спешите паниковать. Какие симптомы шифрования файлов? Привычное расширение меняется на *.vault, *.xtbl, *[email protected]_XO101 и т.д. Открыть файлы нельзя – требуется ключ, который можно приобрести, отправив письмо на указанный в сообщении адрес.

Откуда у Вас зашифрованные файлы?

Компьютер подхватил вирус, который закрыл доступ к информации. Часто антивирусы их пропускают, потому что в основе этой программы обычно лежит какая-нибудь безобидная бесплатная утилита шифрования. Сам вирус вы удалите достаточно быстро, но с расшифровкой информации могут возникнуть серьезные проблемы.

Техническая поддержка Лаборатории Касперского, Dr.Web и других известных компаний, занимающихся разработкой антивирусного ПО, в ответ на просьбы пользователей расшифровать данные сообщает, что сделать это за приемлемое время невозможно. Есть несколько программ, которые могут подобрать код, но они умеют работать только с изученными ранее вирусами. Если же вы столкнулись с новой модификацией, то шансов на восстановление доступа к информации чрезвычайно мало.

Как вирус-шифровальщик попадает на компьютер?

В 90% случаев пользователи сами активируют вирус на компьютере , открывая неизвестные письма. После на e-mail приходит послание с провокационной темой – «Повестка в суд», «Задолженность по кредиту», «Уведомление из налоговой инспекции» и т.д. Внутри фейкового письма есть вложение, после скачивания которого шифровальщик попадает на компьютер и начинает постепенно закрывать доступ к файлам.

Шифрование не происходит моментально, поэтому у пользователей есть время, чтобы удалить вирус до того, как будет зашифрована вся информация. Уничтожить вредоносный скрипт можно с помощью чистящих утилит Dr.Web CureIt, Kaspersky Internet Security и Malwarebytes Antimalware.

Способы восстановления файлов

Если на компьютере была включена защита системы, то даже после действия вируса-шифровальщика есть шансы вернуть файлы в нормальное состояние, используя теневые копии файлов. Шифровальщики обычно стараются их удалить, но иногда им не удается это сделать из-за отсутствия полномочий администратора.

Восстановление предыдущей версии:

Чтобы предыдущие версии сохранялись, нужно включить защиту системы.

Важно: защита системы должна быть включена до появления шифровальщика, после это уже не поможет.

  1. Откройте свойства «Компьютера».
  2. В меню слева выберите «Защита системы».
  3. Выделите диск C и нажмите «Настроить».
  4. Выберите восстановление параметров и предыдущих версий файлов. Примените изменения, нажав «Ок».

Если вы предприняли эти меры до появления вируса, зашифровывающего файлы, то после очистки компьютер от вредоносного кода у вас будут хорошие шансы на восстановление информации.

Использование специальных утилит

Лаборатория Касперского подготовила несколько утилит, помогающих открыть зашифрованные файлы после удаления вируса. Первый дешифратор, который стоит попробовать применить – Kaspersky RectorDecryptor .

  1. Загрузите программу с официального сайта Лаборатории Касперского.
  2. После запустите утилиту и нажмите «Начать проверку». Укажите путь к любому зашифрованному файлу.

Если вредоносная программа не изменила расширение у файлов, то для расшифровки необходимо собрать их в отдельную папку. Если утилита RectorDecryptor, загрузите с официального сайта Касперского еще две программы – XoristDecryptor и RakhniDecryptor.

Последняя утилита от Лаборатории Касперского называется Ransomware Decryptor. Она помогает расшифровать файлы после вируса CoinVault, который пока не очень распространен в Рунете, но скоро может заменить другие трояны.