NO_MORE_RANSOM - hur dekrypteras de krypterade filerna?

I slutet av 2016 blev världen attackerad avett icke-trivialt trojansk virus som krypterar användardokument och multimediainnehåll som heter NO_MORE_RANSOM. Hur man dekrypterar filer efter effekterna av detta hot kommer att övervägas ytterligare. Men omedelbart är det värt att varna alla användare som har attackerats att det inte finns någon enhetlig metod. Detta beror på användningen av en av de mest avancerade krypteringsalgoritmerna och graden av viruspenetration i datorsystemet eller till och med till det lokala nätverket (även om det ursprungligen inte var utformat för nätverkspåverkan).

Vilken typ av virus är NO_MORE_RANSOM och hur fungerar det?

I allmänhet klassificeras viruset som en klassTrojaner som jag älskar dig som tränger in i datorsystemet och krypterar användarens filer (vanligtvis multimedia). Men om förfäderna bara skilde sig i kryptering tog detta virus mycket av ett enstaka sensationellt hot som heter DA_VINCI_COD, som kombinerar extortionistens funktioner i sig.

Efter infektion tilldelas de flesta filer i ljud-, video-, grafik- eller kontorsdokument ett långt namn med förlängningen NO_MORE_RANSOM, som innehåller ett komplext lösenord.

När du försöker öppna dem visas ett meddelande på skärmen som indikerar att filerna är krypterade och du måste betala lite belopp för dekryptering.

Hur tränger tråden in i systemet?

Låt oss lämna frågan om hur, efterexponering NO_MORE_RANSOM dekryptera filer av något av ovanstående typer, och vänder sig till teknik för att tränga in i viruset i datasystemet. Tyvärr så corny som det kanske låter, använder den gammaldags sätt: via e-post kommer med en bifogad fil öppnas, får användaren aktivering och skadlig kod.

Originality, som vi ser, är den här tekniken inteolika. Meddelandet kan emellertid förtäckas som meningslös text. Eller tvärtom, till exempel, om det är fråga om stora företag, - under förändring av villkoren för ett kontrakt. Det är uppenbart att den vanliga kontorist öppnar bifogandet och mottar sedan ett beklagligt resultat. Ett av de ljusaste utbrotten var kryptering av databaser i det populära 1C-paketet. Och det här är allvarligt affärer.

NO_MORE_RANSOM: hur man avkodar dokument?

Men det är ändå nödvändigt att ta itu med huvudfrågan. Visst är alla intresserade av hur man dekrypterar filer. Viruset NO_MORE_RANSOM har sin egen sekvens av åtgärder. Om användaren försöker dekryptera omedelbart efter infektion kan detta fortfarande göras på något sätt. Om hotet har fastnat i systemet ordentligt, tyvärr, utan hjälp av specialister är det oumbärligt. Men de är ofta maktlösa.

Om hotet upptäcktes i rätt tid, vägenBara en - gälla för antivirusföretag stöd (ännu ej alla dokument har krypterat) för att skicka ett par oåtkomlig för att öppna filer och på grundval av den ursprungliga analysen lagras på flyttbara media, försöka återställa redan infekterade dokument efter att ha sparat på samma USB-minne alla som fortfarande är tillgänglig för upptäckt (även om det inte finns någon garanti för att viruset inte trängde igenom sådana dokument). Därefter måste bäraren kontrolleras minst av en antivirusskanner (du vet aldrig vad) för att vara sant.

algoritm

Separat är det nödvändigt att säga och att viruset förkryptering med RSA-3072-algoritmen, som i motsats till den tidigare använda RSA-2048-tekniken är så komplicerad, att valet av rätt lösenord, även om man antar att det kommer att ta itu med hela kontingenten av antiviruslaboratorier kan ta månader eller år. Således kommer frågan om hur man dekrypterar NO_MORE_RANSOM att kräva ganska mycket tid. Men vad händer om du behöver återställa information omedelbart? Först av allt, ta bort viruset själv.

Kan jag ta bort ett virus och hur?

Det är faktiskt inte svårt att göra detta. Att döma av virusets upphovsmän är inte hotet i datorsystemet. Tvärtom är det till och med fördelaktigt för henne att "gå ut" efter slutet av åtgärderna.

Ändå, först och främst om viruset,Det borde ändå neutraliseras. Först och främst är det nödvändigt att använda bärbara skyddsverktyg som KVRT, Malwarebytes, Dr.Sc. Web CureIt! och liknande. Observera: Programmen som används för kontroll måste vara bärbar typ utan att misslyckas (utan att installera den på hårddisken med optimal uppstart från flyttbart media). Om ett hot upptäcks ska det tas bort omedelbart.

Om sådana åtgärder inte tillhandahålls,måste du först gå till "Task Manager" och avsluta det alla processer i samband med virus, sorterade efter kanalnamn (vanligtvis processen Runtime Broker).

När du har tagit bort uppgiften måste du ringa redigerarenregistret (regedit i menyn "Kör") och söka efter titeln «Client Server Runtime System» (utan citattecken), och sedan använda resultaten för att flytta menyn "Sök nästa ..." för att ta bort alla hittade föremål. Nästa du behöver för att starta om datorn, och att tro på "Task Manager" för att se om det finns den nödvändiga processen.

I princip kan frågan om hur man avkoda NO_MORE_RANSOM virus vid infektionsstadiet lösas med denna metod. Sannolikheten för dess neutralisering är givetvis inte bra, men det finns en chans.

Så här dekrypterar du krypterade filer NO_MORE_RANSOM: säkerhetskopieringar

Men det finns ytterligare en teknik, av vilka få personervet eller till och med gissningar. Faktum är att operativsystemet själv ständigt skapar egna skuggbackups (till exempel vid återhämtning) eller användaren avsiktligt skapar sådana bilder. Som praktiken visar viruset inte på sådana kopior (i sin struktur är det helt enkelt inte tillhandahållet, även om det inte är uteslutet).

Således problemet med att dechiffreraNO_MORE_RANSOM, kommer ner till att använda dem. Det är dock inte rekommenderat att använda vanliga Windows-verktyg för detta (och många användare har inte tillgång till dolda kopior alls). Därför måste du använda verktyget ShadowExplorer (det är bärbart).

För att återställa behöver du bara springakörbar programfil, sortera informationen efter datum eller sektioner, välj önskad kopia (fil, mapp eller hela systemet) och använd exportlinjen från PCM-menyn. Välj sedan katalogen där den aktuella kopian sparas och använd sedan standardåterställningsprocessen.

Tredjeparts verktyg

Naturligtvis, till problemet med att dechiffreraNO_MORE_RANSOM, många laboratorier erbjuder sina egna lösningar. Kaspersky Lab rekommenderar till exempel att använda sin egen programvaruprodukt Kaspersky Decryptor, presenterad i två versioner - Rakhini och Rector.

Lika intressant är likartadeutveckling av avkodaren NO_MORE_RANSOM från Dr. Web. Men här är det nödvändigt att omedelbart ta hänsyn till att användningen av sådana program motiveras endast vid snabb upptäckt hot, men inte alla filer har smittats. Om viruset är fast förankrade i systemet (när krypterade filer kan bara inte jämföras med deras icke-krypterade original), och en sådan ansökan kan vara värdelös.

Som ett resultat

Faktum är det bara en slutsats: Att bekämpa detta virus är bara nödvändigt vid infektionsstadiet, när endast de första filerna krypteras. I allmänhet är det bäst att inte öppna bilagor till e-postmeddelanden som mottas från tvivelaktiga källor (detta gäller endast för kunder installerade direkt på datorn - Outlook, Oulook Express, etc.). Om en anställd i företaget har tillgång till en lista över adresser till kunder och partners blir öppnandet av "vänster" meddelanden fullständigt opraktiskt, eftersom majoriteten vid anställning avtecknar avtal om icke-avslöjande av affärshemligheter och cybersäkerhet.