Kako otvoriti fajlove kriptovane varijacijom CryptoLocker malware-a?

[ CakNoris @ 14.01.2015. 10:21 ] @

Neka od varijanti CryptoLocker iliti BitCoin Ransomware je kriptovao oko 35000 fajlova za sat vremena.
U pitanju su fajlovi u svim popularnim formatima (DOC, DOCX, XLS, XLSX, JPG, PDF, PST, PPT, PPTX, TXT i slični).

Pošto sam žurio da što pre rešim problem, uklonio sam zlonamerni program (koji se ne svrstava u viruse iako dolazi preko email-a u ZIP-u kao šatro slika/dokument), pre nego što sam shvatio da je program kriptovao fajlove, verovatno 2048bitnim RSA algoritmom.

Da li ima pomoći za ove fajlove?
Za neke od njih postoji bekap, ali za veći deo nema bekapa.

Ideja je da probam buteforce-om da otvorim jedan od fajlova dok ne nađem ključ.
Jel ima neko predlog za ovo?

BTW, da svestan sam da ovo može lako da potraje preko 10godina.

[ serbian_boy @ 14.01.2015. 13:00 ] @

Jel ima neko resenje za ovo?

[ mmix @ 14.01.2015. 13:40 ] @

Samo ako je neko uspeo da upeca lockera dok je kriptovao fajlove i radio snap. Neki kljucevi sunahvatani, probaj ovde:

https://www.decryptcryptolocker.com/

[ serbian_boy @ 14.01.2015. 13:43 ] @

Probao sam preko toga ali ovo mi izbaci

Invalid file.
The file does not seem to be infected by CryptoLocker. Please submit a CryptoLocker infected file.

[ CakNoris @ 14.01.2015. 14:57 ] @

@mmx
Hvala na odgovoru.
Ovo važi za prvu verziju/generaciju CryptoLocker-a.
Meni se čini da ja imam problem sa unapređenom drugom ili trećom verzijom.

Štos je što je postojala opcija u malveru da platim u Bitcoin-ima da mi srede problem.

Moguće je da je malver negde u registriju upisao kod za dekripciju, jer ne znam kako drugačije bi oni znali kako da dekriptuju fajl kriptovane fajlove.
Da veselje bude veće, pre nego što sam primetio da su fajlovi kriptovani, ja sam izbrisao sve fajlove koje sam našao da su povezani sa malverom, uključujući čišćenje registrija i ručno i cleanerima, tako da ne polažem mnogo nade u ovu opciju.

Dakle, da li neko ima preporuku za program koji dekriptuje?
U opšte, kako mogu da odradim, makar sa 60% sigurnosti o kojoj je enkripciji reč?
Na raspolaganju imam kriptovane fajlove koje bih mogao da uporedim sa nekim koje imam bekapovane.
Da li ovo nekako može da se iskoristi?

[ serbian_boy @ 14.01.2015. 15:12 ] @

Ista je prica i samnom, ja sam normalno obrisao fajlove i precesljao....
probaj sa ovim programom, tebi mozda uspe. Meni kaze da ne moze da nadje kljuc

Code:
http://www40.zippyshare.com/v/4hdb2nkq/file.html

Ovo je zadnja verzija Cryplockera-a ako neko ima resenje neka nam javi , jer meni je sve zarobljeno

[ CakNoris @ 14.01.2015. 23:26 ] @

Evo liste svih ekstenzija koje malver kriptovao na ovom racunaru:
doc, docx, txt, xls, xlsx, pdf, jpg, bmp, gif, ai, css, cdr, js, mov, mp3, mp4, odp, ods, html, pst, png, pst, rtf, cer, zip, rar, torrent.

[ serbian_boy @ 16.01.2015. 15:06 ] @

to je CryptoLocker 3.0

[ dr0id @ 19.01.2015. 20:38 ] @

Da li vredi probati neki recovery software? Ako fajlovi nisu prepisani tim enkriptovanim, verovatno mozete da ih iscupate sa diska.

[ CakNoris @ 20.01.2015. 13:19 ] @

Citat:

Da li vredi probati neki recovery software? Ako fajlovi nisu prepisani tim enkriptovanim, verovatno mozete da ih iscupate sa diska.

To je moglo u 1. verziji.
Sada ih on redom kriptuje, pa brise.
Probao sam sa GetDataBack i nije uspelo.

[ aLtipar @ 25.01.2015. 21:28 ] @

Ne moze da se bruteforce-uje ransomware (btw, i trebalo bi ti mnogo vise od 10 godina). Probaj preko System Restore-a da povratis originalne fajlove, ako to ne prodje, skini AccessData FTK Imager (besplatan je) i napravi image file od tog zarazenog hdd-a i snimi ga na neki drugi hdd. Onda otvori taj image file preko prethodno pomenutog programa (ili nekog drugog forenzickog alata, npr. Autopsy for Windows) i povrati sta se povratiti moze iz unallocated space-a. Verovatno ces moci da povratis gotovo sve.