Darmowe narzędzie do rozszyfrowania ransomware BTCWare, nie musisz już płacić hakerom!

09-11-2017, 11:45

Użytkownicy komputerów zainfekowanych ransomware BTCWare nie muszą płacić okupu hakerom. Firma Bitdefender udostępniła darmowe narzędzie pozwalające szybko odzyskać dostęp do zaszyfrowanych danych.

Rozwiązanie dostępne jest jako samodzielnie narzędzie lub element darmowego pakietu Bitdefender Ransomware Recognition. W przypadku, kiedy użytkownik jest przekonany, że komputer stał się ofiarą BTCWare, powinien pobrać plik ze wskazanej lokalizacji i zainstalować na zainfekowanym urządzeniu.

Należy zaznaczyć, że producent sugeruje, żeby odszyfrowywać dane za pomocą narzędzia Bitdefender Ransomware Recognition, ponieważ najpierw wykrywa ono typ ransomware, a w dalszej kolejności sugeruje użycie najnowszego narzędzia przeznaczonego do deszyfrowania.

 

Jak posługiwać się narzędziem do deszyfrowania:

  • Pobierz narzędzie do szyfrowania BTCWare z repozytorium
  • Uruchom pobraną aplikację, kiedy pojawi się monit User Account Control
  • Zaakceptuj warunki umowy licencyjnej (upewnij się, że został wykonany backup)
  • Wskaż folder zawierający zaszyfrowane pliki. Jeśli są one rozproszone po całym dysku, zaznacz opcję „skanuj cały system”

pic 1

 

Narzędzie do szyfrowania nie będzie działać w następujących przypadkach:

  • Nie można znaleźć noty dotyczącej ransomware
  • Nie można znaleźć zaszyfrowanych plików
  • Nie jest w stanie przejść przez proces rozszyfrowania pięciu losowych plików znajdujących się w folderze.

 

Informacje o narzędziu

Ta odmiana ransomware została wykryta w marcu 2017 roku. Cechuje się tym, że szyfruje pliki użytkowników trzema różnymi kodami (AES192, RC4 i AES256), zaś wszystkie klucze są zaszyfrowane w nocie okupu w tak zwanym pliku User ID. Pole User ID to klucz szyfrowania w formacie Base64.

pic 2

 

Przykłady zaszyfrowanego user-IDs przy wykorzystaniu różnych wersji malware'u:

    •      [.cryptobyte] –
[SSLL-A332m8UneXS4oom962a4dTTzo-2017-07-31]
    •      [.onyon] –
[DN-19701465958ig2oO1PxH3f32A971dTHXLM7NB0KIjRKV854E197013966619947408188ig2o76E55C60-2017-07-31]
    •      [.cryptowin] –
[ADM-gZ5Lw14Im6qGM9tcv8kfA4sR5-2017-07-31]
    •      [.theva]
-[OBAMA-7P5Yc37RuTFyxwtBVuvIq69SyFj7c728e1TQ3QY1ipWA1gQg4cmu83bGTsX6YwoUqYAGh1i7P92EQ38bMe2008-2017-07-31]
    •      [.master] –
[3-76F93D951D611E203B45894ED48856B2532691C756DF21276E554528B664B5176E55C60-2017-07-31]

Ta rodzina ransomware wykorzystuje dziewięć różnych rozszerzeń, zgrupowanych w trzech algorytmach szyfrowania opisanych powyżej. Bitfender kwalifikuje je do 4 różnych wersji, co obrazuje poniższa tabela:

 

tabela

 

Niektóre noty ransomware mogą się pokrywać.

Bitdefender podczas tworzenia narzędzia wykorzystał ujawnione klucze prywatne, które pozwalają odszyfrować niemal wszystkie wersje oprogramowania (v1, v2 i v3), a także rozszerzenie .master w wersji 4. Firma planuje także wzbogacić narzędzie o technologię „brute-force”, nieodzowną w przypadkach, kiedy nie zadziałają klucze.

Wraz z narzędziem do odszyfrowywania Bitdefender udostępnia dodatkowe mechanizmy zabezpieczające przed uszkodzeniem plików. Proces całkowitego deszyfrowania jest uruchamiany tylko wtedy, gdy narzędzie rozszyfrowuje 5 losowych plików oraz notę ​​okupu. Pliki wybierane są z wskazanego folderu lub z całej puli plików, jeśli użytkownik nie wskazał konkretnej lokalizacji..

 

Generowanie logów

Podczas deszyfrowania logi są generowane i zapisywane w folderze % temp%. Wprawdzie istnieją dwa typy logów, ale bardziej istotny dla operacji jest plik BitdefenderLog.txt, w którym przechowywane są wyniki deszyfrowania. Jeśli użytkownik będzie miał problemy z narzędziem, firma prosi o kontakt i udostępnienie logu dziennika:

pic 3

Plik dziennika przechowuje również tabele z plikami, które nie mogły zostać odszyfrowane. Bitfender zachęca przesyłanie ich w celach analitycznych i udoskonalenia procesu tworzenia narzędzi deszyfrujących.

 

Deszyfrowanie może się zakończyć fiaskiem

W niektórych sytuacjach, na które dostawca narzędzia nie ma wpływu, proces odszyfrowywania plików może się nie powieść. Dzieje się tak, kiedy złośliwe oprogramowanie próbuje zaszyfrować pliki używane przez system operacyjny, ale nie potrafi usunąć ani zastąpić oryginału. Pliki takie będą wyświetlane w rejestrze zdarzeń z dodatkowym objaśnieniem zaistniałej sytuacji - plik nie był zainfekowany i nie wymagał deszyfrowania. Inny wariant obejmuje przypadek, kiedy oryginalny plik został zaszyfrowany, a kopia przemianowana na rozszerzenie sugerujące, że jest szyfrowane, choć tak się w rzeczywistości nie stało.

pic 4

Narzędzia deszyfrujące można pobrać z następującej strony:

https://bitdefender.pl/dom-mala-firma/darmowe-narzedzia/bitdefender-btcware


Źródło: BitDefender
Tematy pokrewne:  

tag ransomwaretag malwaretag komunikat firmytag BitDefender
To warto przeczytać












fot. Geralt


  
znajdź w serwisie

RSS - Interwencje
RSS - Porady
Porady  
RSS - Listy
Listy  
« Listopad 2017»
PoWtŚrCzwPtSbNd
 12345
6789101112
13141516171819
20212223242526
27282930 
Jak czytać DI?
Newsletter

Podaj teraz tylko e-mail!



RSS
Copyright © 1998-2017 by Dziennik Internautów Sp. z o.o. (GRUPA INFOR PL) Wszelkie prawa zastrzeżone.