家 >> ランサムウェア > Restore Files Encrypted via RSA Encryption. CryptoWallおよびその他のランサムウェアを手動で削除する
脅威の除去

RSA暗号化を介して暗号化されたファイルを復元する. CryptoWallおよびその他のランサムウェアを手動で削除する

に   |  Last Update:  |  41 コメントコメント  

password-brute-force-stforumランサムウェアの暗号化と感染は、周りに大混乱をもたらしました 18 百万米ドル. これらのタイプの攻撃は、主にAESおよびRSA暗号化アルゴリズムでユーザーファイルを暗号化する事前にプログラムされたスクリプトを使用したトロイの木馬から発生します。. ランサムウェアの感染は、正当性を慎重に考えずに電子メールの添付ファイルを開くことが多い経験の浅いユーザーにとって重大な危険になっています。. 脅威自体は、特定のマルウェア対策プログラムで取り除くことができます, でも, 暗号化されたファイルは残ります. これは、ユーザーがRSA暗号化データを復号化するのに役立つチュートリアルです。. 以下の方法は専門家によって推奨され、ユーザーによって数回試行され、良い結果が得られました. ただし、これはそれがあなたのために働くことを保証するものではありません.

RSA暗号化アルゴリズムとは?

RSA暗号化アルゴリズムは、言語の一種です。, この場合, 一意のキーでファイルの通常のコードを変更します. このキーは、特別なソフトウェアを介して復号化できます, しかし、それは時間のかかるプロセスであるため、強力なマシンが必要です. RSAアルゴリズムは、世界規模で大規模な破壊を引き起こした最も伝統的なランサムウェアウイルスによって採用されてきました– CryptoWall バリアント(2.0, 3.0), Bitcrypt その他. このチュートリアルでは, オペレーティングシステムにバックアップがない場合に備えて、ファイルを復号化し、以前の動作状態に復元するための可能な方法を示します。 (OS). チュートリアルの後, Windowsのファイル履歴を有効にして、ファイルをバックアップし、将来の攻撃から身を守る方法について説明しました。. 時間をかけて、以下の手順からすべてを実行してください。問題がないはずです。.

ランサムウェア削除マニュアル

これを行う前に, USBスティックまたはこの類似点に情報をバックアップするようにしてください. その後, 異常なものを検出し、脅威の除去を支援する、信頼できるマルウェア対策ソフトウェアをダウンロードしてください。. 安全なPCにダウンロードしてインストールし、次のマニュアルを使用してWindowsオンラインセーフモードでコンピューターを起動します。:

1. ランサムウェアを削除するには、セーフモードでPCを起動します

1. ランサムウェアを削除するには、セーフモードでPCを起動します.

WindowsXPの場合, ビスタ, 7 システム:

1. すべてのCDとDVDを削除します, 次に、からPCを再起動します “始める” メニュー.
2. 以下の2つのオプションのいずれかを選択してください:

– 単一のオペレーティングシステムを搭載したPCの場合: プレス “F8” コンピュータの再起動中に最初の起動画面が表示された後、繰り返し. の場合 Windowsロゴ 画面にが表示されます, 同じタスクをもう一度繰り返す必要があります.

– 複数のオペレーティングシステムを搭載したPCの場合: 矢印キーは、開始するオペレーティングシステムを選択するのに役立ちます セーフモード. プレス “F8” 単一のオペレーティングシステムについて説明したとおり.

3. として “高度なブートオプション” 画面が表示されます, を選択 セーフモード 矢印キーを使用して必要なオプション. あなたがあなたの選択をするとき, 押す “入る“.
4. 管理者アカウントを使用してコンピューターにログオンします

コンピュータがセーフモードになっている間, 言葉 “セーフモード” 画面の四隅すべてに表示されます.

Windowsの場合 8, 8.1 と 10 システム:
ステップ 1: を開きます スタートメニュー
Windows-10-0 (1)
ステップ 2: ながら Shiftキーを押したまま ボタン, クリック 力 次に、をクリックします 再起動.
ステップ 3: 再起動後, 下記メニューが表示されます. そこから選択する必要があります トラブルシューティング.
Windows-10-1-257x300
ステップ 4: が表示されます トラブルシューティング メニュー. このメニューから選択できます 高度なオプション.
Windows-10-2 (1)
ステップ 5: 後に 高度なオプション メニューが表示されます, クリック スタートアップ設定.
Windows-10-3 (1)
ステップ 6: クリック 再起動.
Windows-10-5 (1)
ステップ 7: 再起動するとメニューが表示されます. あなたは選ぶべきです セーフモード 対応する番号を押すと、マシンが再起動します.

2. SpyHunter削除ツールを使用してランサムウェアを自動的に削除します.

2. スパイハンターマルウェアでランサムウェアを自動的に削除する – 除去ツール.

受賞歴のあるソフトウェアSpyHunterを使用してコンピューターをクリーンアップするには – donload_now_140
ソフトウェアのフルバージョンを購入する前にシステムスキャンを実行して、マルウェアの現在のバージョンがSpyHunterによって検出されることを確認することを強くお勧めします。.

ランサムウェアファイルの復元

この特定のチュートリアルの場合, .bitcrypt拡張子ファイルを使用しました, ランサムウェアによる暗号化, Bitcryptと呼ばれる. Ubuntu版も使用しています 14.04 これは、この配布に適した特別なソフトウェアを使用するのに役立ちました. あなたは彼らのウェブサイトのダウンロードページからそれを得ることができます、そしてあなたはどちらかをすることができます:

-ライブUSBドライブを起動して、オペレーティングシステムと一緒にインストールします.

-仮想ドライブにインストールします (おすすめされた).

ここに両方の簡単なチュートリアルがあります:

マシンへのUbuntuのインストール:

ステップ1: 2GBを超える容量のUSBフラッシュドライブを入手する.

ステップ2: 自由ソフトウェアをダウンロードする, Rufusと呼ばれ、Windowsにインストールします.

ステップ3: システムとしてNTFSを選択し、起動可能なUSBとして作成するものとしてUSBドライブを選択することにより、Rufusを構成します. その後、次のボタンからLinuxイメージを起動します:

rufus

必ず見つけて、ダウンロードした場所から選択してください.

ステップ4: フラッシュドライブの準備ができたら, コンピュータを再起動してください, Ubuntuのインストールを実行する必要があります. そうでない場合, PCの起動時にBIOSホットキーを押してBIOSメニューに移動する必要があります (通常はF1です) そこから、Ubuntuをそのようなもので焼いた場合に備えて、最初の起動オプションをUSB起動可能ドライブまたはCD/DVDとして選択します。.

仮想ドライブへのUbuntuのインストール

このインストールの場合, あなたは彼らからVMwareWorkstationをダウンロードする必要があります ダウンロードページ またはその他の仮想ドライブ管理プログラム. インストール後、:

ステップ1: 新しい仮想ドライブを作成します.

ステップ2: ドライブサイズを設定する. 少なくとも 20 コンピューター上のUbuntuのギガバイトの空き容量. また、「単一ドライブとして実行」を選択します.

ステップ 3: ISOイメージを選択します. このオプションの場合, あなたはそれがどこにあるかを知っている必要があります.

ステップ 4: その後、仮想マシンを再生すると、自動的にインストールされます.

ファイルの復号化

コンピュータにUbuntuまたはその他のLinuxディストリビューションをインストールしたら、次の手順でターミナルを開きます。:

オープンターミナル

次に、Linuxを更新し、Pythonよりも新しいバージョンをインストールします 3.2 ターミナルで次のように入力します:

→sudo apt-get update
sudo apt-get install python3.2

また, Linuxにがない場合 sqlite3 モジュール, 次のように入力してインストールします:

→sudo apt-get install sqlite3 libsqlite3-dev
sudo gem install sqlite3-ruby

Pythonをインストールした後, によって作成されたスクリプトをダウンロードする必要があります 2014 エアバスディフェンスアンドスペースサイバーセキュリティ. これを行うには、これをクリックしてください リンク. 'ホームにファイルをダウンロードします’ 保存先のプロンプトが表示された後のフォルダ. この形式で保存されない場合に備えて、これをdecrypt.pyとして保持します.

これでPythonとスクリプトができました, .bytrcypt暗号化ファイルのキーを見つける時が来ました. これを行うには、ファイルマネージャーを使用して暗号化されたファイルをホームフォルダーに移動します:

ファイルマネージャー

暗号化されたすべてのファイルと「decrypt.py」ファイルを見つけたら、ターミナルに次のように入力してスクリプトを開始します:

→python./decrypt.py「Your_Encrypted_Document_Name_and_Format」

エラーが表示されます, このコードが表示されている限り、これは完全に正常です。:

コード

これは、このファイルのRSAコードです. 今, 復号化する必要があります, 途中です. これを行うには、cado-nfs2.0.tar.gzというプログラムを彼らからダウンロードします。 ここからダウンロードページ. お勧めします 2.0 バージョン. でも, 最新バージョンも良いレベルにあります.

.tarアーカイブファイルをダウンロードします (.tarファイルは.rarまたは.zipファイルと非常によく似ています). それを開いて上部の[抽出]ボタンをクリックし、[ホーム]を選択するだけです。’ フォルダ. このように見えるはずです:

エキス

'ホームにすべてのファイルを抽出した後’ フォルダ, cado-nfsをコンパイルする必要があります. これをする, 別の端末を開いて入力します:

→cdcado-nfs-2.0
作る

これが設定された後, キークラッカーを実行する時が来ました. 重要–このプロセスは、完了するまでに数時間から数日かかる場合があります. cdcado-nfsターミナルでプロセスタイプを開始するには:

→./factor.sh YOUR_UNIQUE_KEY_WHICH_IS_LETTERS_OR_NUMBERS_HERE -s 4 -t 6

プロセスが完了した後, 次のように表示されます:

→情報:完全な因数分解: すべての合計CPU/リアルタイム: hhhh / dddd
LongNumber1 LongNumber2

復号化されたキーを取得した後, 「decrypt.py」スクリプトに挿入する必要があります. これを行うには、テキストエディタでdecrypt.pyを開き、その一部を見つけます。:

→known_keys = { 多くの長い数字 }

2番目の括弧の前に追加する必要があります (「「}」) これらの行:

前のキー, 列, 開き括弧, LongNumber1, コンマ, LongNumber2, 閉じ括弧. このように見えるはずです:

→前のキー:(LongNumber1、LongNumber2)

これは1回だけ行う必要があることに注意してください. この後、ファイルをデコードする時が来ました. このタイプを行うには:

→python ./decrypt.py “Your_Encrypted_Document.docx.bitcrypt”

このコマンドを実行すると、と呼ばれるファイルが作成されます “Your_Encrypted_Document.docx.bitcrypt.CLEAR”

.clear拡張子を削除してファイルの名前を変更するだけで、すべての設定が完了します。. 他のファイルについてもこのプロセスを繰り返します. ただし、最初に、それらを復号化するための初期キーを見つける必要があることを忘れないでください. 今すぐ開くことができるはずです. これがあなたのために働くことを願っています.

結論

ランサムウェアの脅威に対する最善の防御策は、常にユーザー自身です. 開いているファイルと、それらのファイルの場所が安全かどうかを知ることが重要です。. ただし、組織内、またはコンピューターが公共または職場環境にある場所にいる場合, それは常にそれをさらに危険な直接攻撃にさらします. 本当の専門家は、最高のコンピューターはスイッチがオフになっているコンピューターだと言うでしょう, それは最高の防御力を持っているかもしれないので, しかし、間違いを犯すのは機械ではありません, それは男です. これが、常に十分な知識を保持し、セキュリティ指向のPC使用動作を構築する必要がある理由です。.

ダウンロード

マルウェア除去ツール


スパイハンタースキャナーは脅威のみを検出します. 脅威を自動的に削除したい場合, マルウェア対策ツールのフルバージョンを購入する必要があります.SpyHunterマルウェア対策ツールの詳細をご覧ください / SpyHunterをアンインストールする方法

ベルタビルバオ

Bertaはマルウェアの専門研究者です, より安全なサイバースペースを夢見ている. 彼女のITセキュリティへの興味は、マルウェアが彼女を自分のコンピューターから締め出した数年前に始まりました。.

その他の投稿

  • パトリック

    やあ,
    I have the same problem. My files are also infected by the Cryptowall 3.0. And the extension is ccc. Can I use this python script to decrypt ? Are there other possible solutions ?
    ありがとう
    パトリック
    返事 ↓
    1. BertaB (投稿者)

      Hello Patrick,

      We are sorry to hear your files have been encrypted by ransomware. The .ccc extension may not belong to the CryptoWall threat. There are variants of other ransomware that pretend to be Cryptowall 3.0, possibly because it is the most vicious of them all so far. There is a tool that may help you, known as Tesla decryptor. More information in the link below.

      We have started a new topic in our security forum, with the intention to help as many users as possible. There it is: sensorstechforum.com/ forums/malware-removal-questions-and-guides/my-files-are-encrypted-with-the-ccc-extension-help!/

      返事 ↓
      1. Parawi

        やあ! All my files were encrypted by rsa4096, all has the extension .mp3. 私は何をすべきか? Thks
        返事 ↓
  • Brently

    I have a my VP’s computer at my desk right now that has the DecryptorMax ransomware. I have removed the trojan and malware in Safe Mode, but am looking for a way to decrypt the files. This has my VP’s first baby girl’s baby photos from the first couple months of her life, so these files are really important to her. They aren’t providing me the time to do the Linux decrypt, so looking for a tool. Hoping Kaspersky comes out with a tool to decrypt these. They have the crinf extension. どんな助けでも大歓迎です.

    返事 ↓
    1. ミレーナ・ディミトロワ

      Hi Brently, we’re about to start a topic in our forum about DecryptorMax, and we’re also going to research it in depth. Can you please clarify what you meant by saying ‘They aren’t providing me the time to do the Linux decrypt’?

      どうも,

      STFチーム

      返事 ↓
  • Gil

    ご挨拶,

    I am getting the following error when running decrypt.py

    python3.4 ./decrypt.py test.bitcrypt
    ファイル “./decrypt.py”, ライン 99
    印刷 “利用方法: %s ” % sys.argv[0]
    ^
    SyntaxError: Missing parentheses in call to ‘print’

    Any help would be great.

    ありがとうございました,

    Gil

    返事 ↓
    1. ミレーナ・ディミトロワ

      Hi Gil,

      What ransomware are you dealing with?

      Please join our forum and follow the topic about SyntaxError: Missing parentheses in call to ‘print’:

      sensorstechforum.com/ forums/malware-removal-questions-and-guides/how-to-fix-decrypt-py-‘syntaxerror-missing-parentheses-in-call-to-print/

      返事 ↓
  • Gab

    それで… just to double check if there’s no restore point and no shadow copy, there’s no way to get the files back from cryptowall 3.0 correct?
    よろしく

    返事 ↓
  • yohji

    do you have a method to decrypt files that is encrypted using cryptowall 4

    返事 ↓
    1. ミレーナ・ディミトロワ

      Hi yohji,

      Are you dealing with CryptoWall 4.0?

      返事 ↓
      1. Gab

        Would you help me with cryptowall 3.0 お願いします.
        よろしく

        返事 ↓
        1. ミレーナ・ディミトロワ

          Hi Gab,

          Can you please start a topic here: sensorstechforum.com/ forums/malware-removal-questions-and-guides/

          前もって感謝します :)

          返事 ↓
      2. KJ

        やあ,
        My files were infected by cryptowall 4.0 with ‘help_your_files’.
        I removed the cryptowall 4.0 using anti-malware softwares.
        Can I use the “decrypt.py” script to find out the key of the encrypted files by cryptowall 4.0?
        Would you tell me if you have other possible solutions for restoring the encrypted files?

        よろしく

        返事 ↓
      3. Mehmet

        ハロー,
        Ich habe auch das selber probleme mit cryptowall virüs aber weiss es nicht genau,welche version das ist.
        Es gibt in jeder ordner einen bild mit HELP_YOUR_FILES

        und folgende dateien formate ; .DZ7 .O1R .7FT .1Q .7429D .0PQGL .BR4 .7UV .2PF Usw…

        Können Sie mir bitte helfen?
        Ich habe sehr wichige fotos und text dokumenten.
        Mfg Mehmet
        返事 ↓
        1. フラン

          Hola Mehmet, has conseguido arreglar los archivos? Mi virus tenia el mismo archivo que el tuyo.
          返事 ↓
        2. Effesse72

          おはようございます, my problem is the same of your since 05/01/2016!
          返事 ↓
  • ベンシスラフ・クルステフ

    こんにちは, KJ as far as we know so far most methods for decrypting files encrypted by cryptowall 4.0 have proven to be unsuccessful even by law enforcement. However what you can try is ask a question in the Cryptowall 4.0 topic in our forum and wait to see if you get any help from other affected users and experts in this subject. Here is the topic link, there are also some instructions included:

    sensorstechforum.com/ forums/malware-removal-questions-and-guides/how-to-remove-cryptowall-4-0-and-restore-your-data/

    返事 ↓
  • マーク

    Has anyone been able to decrypt CryptoWall 3.0 暗号化されたファイル (2048 ビット暗号化) using this method?

    返事 ↓
  • Yannick

    ボンジュール,
    Ayant été infecté par l’un de ces virus, je me demande lequel car il a encrypté un grand nombre de fichiers en rajoutant une extension vvv à chaque fois, rendant celui-ci invisible et en mettant dans chaque sous-répertoire plusieurs fichiers appelés “how_recover” ? Donc quel virus est-ce et quelle méthode pour retrouver ses fichiers crypés s’il y en a ?
    メルシーボークー.

    心のこもった
    Yannick
    返事 ↓
    1. ミレーナ・ディミトロワ

      Hello Yannick,

      不運にも, you have been attacked by TeslaCrypt. More information about the ransomware here: sensortechforum.com/remove-teslacrypt-and-restore-vvv-encrypted-files/.

      返事 ↓
  • Yannick

    ボンジュール,

    メルシーボークー. ウイ, donc il n’y a rien à faire pour récupérer ses fichiers….
    返事 ↓
  • Cornel Goran

    やあ! I’ve also got some encrypted files that I’d like to decrypt. 私は持っている 2 ファイル “5k5m3y.1mm” と “8co7o3co.ze4ha” and they look like this if I try to edit them with notepad: i.imgur.com/NIJozDk.png

    First thing first, how do I know what virus caused this?

    返事 ↓
    1. ベンシスラフ・クルステフ

      Hello @Corel Goran
      This is typical for Ransomware infections such as CTB Locker and CryptoWall 4.0. In order for me to be able to adequately provide you with assistance I would like you to send me a snip or a screenshot of any ransom message that you may see. It may be a .txt file on your desktop or a picture, named like this, 例えば:

      • Help_Decrypt_Your_Files
      • Help_Your_Files
      • HELP_DECRYPT

      Attach the screenshots in your reply to this topic in our forum so that our experts may be able to relevantly assist you the best way they can:

      sensorstechforum.com/forums/malware-removal-questions-and-guides/files-encrypted-with-random-file-extensions/

      返事 ↓
  • Carsten

    やあ.
    Got the same problem since Thursday this week. Encrypted files have .micro extention. Kaspersky Rescue disc reported trojan-ransom.win32.bitman.fay to be the threat.
    Does the above described procedure work for .micro files as well?
    Many thanks for any help.

    返事 ↓
    1. Carsten

      添加:
      I have found some files in My Documents folder named recover_file_***random_text***.txt that seem to contain keys. May these possibly be the keys to be retrieved by using phyton as described above?

      返事 ↓
  • Joel

    As Carsten, I have same problem with “.マイクロ” ファイル.
    And as him, I have some file named “recover_file….TXT”. Any idea about how to use them and if this solution works with .micro file?
    ありがとう
    返事 ↓
  • Mauzinh0

    Same problem with *.micro file
    Same recover…TXT
    Any news?
    ありがとうございました

    返事 ↓
  • nf

    こんにちは, I have also the problem with the *.micro extension.

    返事 ↓
  • ウィリアム

    Mis archivos han quedado encintados con extension .locky, que virus me ataco? y que guía para recuperarlos me recomiendan

    アテ
    ウィリアム
    返事 ↓
  • stef

    こんにちは, j’ai bien les fichier HELP_FILE*.HTML et PNG
    Mes fichiers ont maintenant des noms et extensions aelatoires.
    Le nettoyage est fait sans probleme.
    Sur leur site où il faut payer, j’ai juste fait decryptage d’un fichier 512 ko max gratuitement, donc maintenant j’ai l’ancien fichier crypté 0sqn1xx.dh1w et le meme fichier decrypté : decrypted-file.jpg
    Ne serait-il pas possible d’apres ces 2 fichiers, d’en reconstruire la clef RSA ?? pour faire les tous les autres fichiers.
    メルシーボークー, j’aime votre travail.
    Stef

    返事 ↓
    1. ベルタビルバオ (投稿者)

      こんにちは, this appears to be CryptoWall 4.0. It has a very strong encryption, so without the key it’s going to be very hard to decrypt your files. The two files don’t hold a decryption key in themselves, but might help a decryptor program to see a similarity in its database and find a password.

      Try support.kaspersky.com/viruses/disinfection/10556 by Kaspersky – it’s a free tool and with the help of the two files it might find a key file on your computer if it’s not deleted. また, take a look at the sensorstechforum.com/forums/malware-removal-questions-and-guides/how-to-remove-cryptowall-4-0-and-restore-your-data/ in our forum.

      返事 ↓
  • Vinny

    こんにちは, I did the commands and I received the page footer error… the file is encrypted with the “.ロッキー” 拡大. is there something i could do?

    返事 ↓
  • Oswaldo Leonett

    やあ,
    I have the same problem. My files are also infected by redshitline(で)india.com And the extension is xtbl- Can I use this python script to decrypt ? Are there other possible solutions ?

    Oswaldo

    返事 ↓
  • マルコ

    Hy Berta,
    I infected a month ago by cryptowall 4.0, the same of Oswaldo Leonett and I should know how to do… The instructions in this article are valid also for cryptowall 4? If I run .py script I can hope to decrypt my files of the script operate up to version 3.0 of cryptowall?
    Are There some new information about Cryptowall 4?

    返事 ↓
  • マルコ

    I correct myself, the contracted infection is the same of Stef with some HELP_FILE*.HTML and PNG.

    返事 ↓
  • Karl Kristian dall

    Alle dine filer er blevet krypteret med RSA – 2048 og EAS -128 . INFORMATION om SA kan ses på da.Wikipedia. org/wiki/RSA. OG da.Wikipedia. org/wiki/Advanced Encryption Standard
    Dekryptering til hemmelig server på links
    Hw5qrh6fxv2tnaqn.tor2web.org/17572E56401D80
    Jeg tør ikke klikke på dem, måske der er mere virus. De vil nok have betaling for at dekryptere, og få adgang til mit Dankort.

    Kan der gøres noget.
    På forhånd tak
    Mvh. カール
    返事 ↓
  • KD Samir

    ボンジュール
    Le pirate a tous les fichiers et encrypte m’a demandé de rançon
    Je n’ai pas l’argent.
    Pouvez-vous aider?
    Si oui j’envoyer des fichiers (オリジナル – crypté) pour trouver le code.
    type de cryptage :
    CryptoLocker
    public key RSA-2048 generated
    ᐧ
    ᐧ

    返事 ↓

    • コメントを残す

    あなたのメールアドレスが公開されることはありません. 必須フィールドは、マークされています *

    This website uses cookies to improve user experience. By using our website you consent to all cookies in accordance with our プライバシーポリシー.
    同意します