NO_MORE_RANSOM – comment déchiffrer les fichiers chiffrés?

À la fin de 2016, le monde a été attaqué par un virus très trivial cheval de Troie encrypte documents et contenus multimédias, NO_MORE_RANSOM baptisé. Comment décrypter les fichiers après l'exposition à cette menace, et sera discuté plus loin. Cependant, une fois qu'il est nécessaire d'avertir tous les utilisateurs qui ont été attaqués, qu'il n'y a pas de méthode unique. Ceci est lié à l'un des algorithmes de cryptage les plus avancés, et avec le degré de pénétration du virus dans le système informatique, ou même un réseau local (même si au départ sur les effets du réseau et il ne se calcule pas).

Quel virus NO_MORE_RANSOM et comment cela fonctionne?

En général, le virus lui-même en tant que classe de chevaux de Troie tels que Je t'aime, qui pénètrent dans le système informatique et crypter les fichiers de l'utilisateur (généralement multimédia). Toutefois, si un grand-parent ne différait que le cryptage, ce virus est très emprunté à la menace une fois sensationnel appelé DA_VINCI_COD, combinant en lui-même fonctionne également extortionist.

Après l'infection, la majorité des fichiers audio, vidéo, graphiques et documents de bureau est attribué un nom très long avec une NO_MORE_RANSOM d'extension, contenant un mot de passe complexe.

Lorsque le message ouvert apparaît que les fichiers sont cryptés et décryptage pour le produit que vous devez payer une certaine somme.

Comme une menace pour pénétrer dans le système?

Laissons parler de la question de savoir comment, après la NO_MORE_RANSOM d'impact décrypter les fichiers de l'un des types ci-dessus, et se tourner vers la technologie pour pénétrer le virus dans le système informatique. Malheureusement, comme ringard que cela puisse paraître, il utilise l'ancienne manière: par e-mail est livré avec une pièce jointe est ouverte, l'utilisateur reçoit l'activation et le code malveillant.

Originalité, comme on peut le voir, cette technique ne diffère pas. Cependant, le message peut être déguisé en rien texte dénué de sens. Ou, au contraire, par exemple, dans le cas des grandes entreprises, – un changement dans les conditions d'un contrat. Il est entendu qu'un employé ordinaire ouvre la pièce jointe, puis et obtient des résultats médiocres. L'une des fusées les plus brillantes sont devenus des bases de paquet de chiffrement des données populaires 1C. Et cela est une affaire sérieuse.

NO_MORE_RANSOM: comment déchiffrer les documents?

Mais encore la peine de se tourner vers la question principale. Certes, tout le monde est intéressé par la façon de décrypter les fichiers. virus NO_MORE_RANSOM a une séquence d'actions. Si l'utilisateur tente d'effectuer le déchiffrement immédiatement après l'infection, faire quelque chose d'autre que possible. Si la menace est bien réglée dans le système, hélas, sans l'aide de professionnels ne peuvent pas faire. Mais ils sont souvent impuissants.

Si la menace a été détectée en temps opportun, la façon dont une seule – applique au soutien des entreprises anti-virus (mais pas tous les documents ont été chiffrés) pour envoyer une paire inaccessible pour l'ouverture de fichiers et sur la base de l'analyse originale, stockée sur un support amovible, essayez de restaurer des documents déjà infectés précédemment la copie sur le même lecteur flash USB tout le reste est disponible pour ouvrir (même si une garantie complète que le virus n'a pas étendu à de tels documents ne sont pas les mêmes). Après cela, pour une fidélité de transporteur, il est nécessaire de vérifier au moins un scanner de virus (qui sait quoi).

algorithme

Il faut aussi mentionner le fait que pour chiffrer le virus utilise l'algorithme RSA-3072, qui, contrairement à la déjà utilisé la technologie RSA-2048 est si complexe, que le choix du mot de passe correct, même en supposant que cela traitera tout le contingent des laboratoires anti-virus , il peut prendre des mois ou des années. Ainsi, la question de savoir comment déchiffrer NO_MORE_RANSOM, exigent beaucoup de temps tout à fait. Mais si vous avez besoin pour restaurer les informations immédiatement? Tout d'abord – pour supprimer le virus lui-même.

Est-il possible d'éliminer le virus et comment le faire?

En fait, il est difficile de ne pas faire. A en juger par l'arrogance des créateurs de virus, la menace du système informatique ne soit pas masqué. Au contraire – encore rentable « samoudalitsya » après la fin des actions mentionnées ci-dessus.

Néanmoins, tout d'abord, à l'instar du virus, il doit encore être neutralisé. La première étape consiste à utiliser un des utilitaires de protection portables comme KVRT, Malwarebytes, Dr. Web CureIt! et autres. Remarque: utilisé pour tester le programme devrait être d'un type portable est obligatoire (sans installer quoi que ce soit sur le disque dur avec un fonctionnement optimal du support amovible). Si une menace est détectée, il doit être retiré immédiatement.

Si une telle action n'est pas fourni, vous devez d'abord aller au « Gestionnaire des tâches » et terminer tous les processus associés au virus, triées par nom de service (généralement, le processus d'exécution Broker).

Après avoir retiré le problème, il faut appeler l'Éditeur du Registre (regedit dans le menu « Exécuter ») et rechercher le titre «Client Server Runtime système» (sans les guillemets), puis en utilisant le menu de déplacement sur les résultats de « Suivant … » pour supprimer tous les objets trouvés. Ensuite, vous devez redémarrer l'ordinateur, et de croire dans le « Gestionnaire des tâches » pour voir s'il y a le processus requis.

En principe, la question de savoir comment déchiffrer le virus de NO_MORE_RANSOM est encore sur la scène de l'infection, et peut être résolu par cette méthode. La probabilité de neutralisation, bien sûr, est petit, mais il y a une chance.

Comment déchiffrer les fichiers chiffrés NO_MORE_RANSOM: sauvegardes

Mais il y a une autre méthode, que peu de gens savent ou même deviner. Le fait que le système d'exploitation crée en permanence ses propres sauvegardes d'ombre (par exemple, en cas de reprise), ou en créant délibérément de telles images. La pratique montre, ce virus ne touche pas ces copies (dans sa structure, il est tout simplement pas fourni, bien qu'il soit possible).

Ainsi, le problème de la façon de déchiffrer NO_MORE_RANSOM, se résume à pour utiliser ce symbole. Toutefois, pour utiliser des outils standard de Windows ne sont pas recommandés pour cela (et beaucoup d'utilisateurs aux copies cachées n'auront pas accès du tout). , Vous devez donc utiliser le ShadowExplorer utilitaire (il est portable).

Pour restaurer, il suffit de lancer l'exécutable fichier programme, trier les informations par date ou titre, sélectionnez la copie souhaitée (fichiers, dossiers, ou l'ensemble du système) et par le menu PCM à utiliser la ligne d'exportation. De plus simplement répertoire sélectionné dans lequel la copie en cours sera enregistré et utilise ensuite le processus de récupération standard.

Outils tiers

Bien sûr, le problème de la façon de déchiffrer NO_MORE_RANSOM, de nombreux laboratoires offrent leurs propres solutions. Par exemple, « Kaspersky Lab » recommande l'utilisation de son propre déchiffreur Kaspersky logiciel, présenté en deux versions – Rakhini et recteur.

Ne cherchez pas moins intéressant et un développement similaire, comme décodeur NO_MORE_RANSOM par le Dr. Web. Mais ici, il faut immédiatement tenir compte du fait que l'utilisation de ces programmes ne se justifie que dans le cas de la détection rapide des menaces, alors que pas tous les fichiers ont été infectés. Si le virus est fermement ancré dans le système (lorsque les fichiers chiffrés ne peuvent simplement pas être comparés à leurs originaux non cryptés), et une telle application peut être inutile.

En conséquence

En fait, la conclusion est qu'une seule: pour lutter contre le virus doit être uniquement sur le stade de l'infection, quand il n'y a que le premier chiffrement des fichiers. En général, il est préférable de ne pas ouvrir les pièces jointes dans les messages électroniques reçus de sources douteuses (cela se réfère exclusivement aux clients, installée directement sur votre ordinateur – Outlook, Oulook Express, etc.). En outre, si l'employé a à sa disposition une liste des clients et des partenaires pour répondre à l'ouverture des messages « gauche », il est tout à fait inappropriée, comme la plupart en signe d'embauche des accords de non-divulgation de secrets commerciaux et la sécurité cybernétique.