Хакерите на Ransomware са много подобни на обикновените изнудвачи. Както в реалния свят, така и в киберсредата има единична или групова цел на атака. То е или откраднато, или недостъпно. Тогава престъпниците използват определени средства за комуникация с жертвите, за да предадат своите искания. Компютърните измамници обикновено избират само няколко формата за писмото за откуп, но копия от него могат да бъдат намерени в почти всяка част от паметта на заразената система. В случая със семейството на шпионски софтуер, известно като Troldesh или Shade, измамниците прилагат специален подход, когато се свързват с жертвата.
Нека разгледаме по-отблизо този щам на вируса ransomware, който е насочен към рускоезичната аудитория. Повечето от подобни инфекции определят клавиатурната подредба на атакувания компютър и ако един от езиците е руски, инвазията спира. Въпреки това, вирусът ransomware XTBLнеразбираемо: За съжаление на потребителите, атаката се разгръща независимо от тяхното географско местоположение или езикови предпочитания. Ярко въплъщение на тази гъвкавост е предупреждение, което се появява под формата на фон на работния плот, както и TXT файл с инструкции за плащане на откупа.
Вирусът XTBL обикновено се разпространява чрез спам. Съобщенията приличат на букви известни марки, или просто хванете окото ви, защото темата използва изрази като "Спешно!" или "Важни финансови документи". Фишингът ще работи, когато получателят на такъв имейл. съобщения ще изтеглят zip файл, съдържащ JavaScript код, или Docm обект с потенциално уязвим макрос.
След като изпълни основния алгоритъм на компрометиран компютър, троянският софтуер за рансъмуер продължава да търси данни, които могат да бъдат от полза за потребителя. За целта вирусът сканира локалните и външна памет, като едновременно съпоставя всеки файл с набор от формати, избрани въз основа на разширението на обекта. Всички файлове .jpg, .wav, .doc, .xls, както и много други обекти са криптирани с помощта на симетричния блоков криптоалгоритъм AES-256.
Има два аспекта на този вреден ефект. На първо място, потребителят губи достъп до важни данни. Освен това имената на файловете са дълбоко кодирани, което води до безсмислен набор от шестнадесетични знаци. Всичко, което обединява имената на засегнатите файлове, е добавено към тях разширение xtbl, т.е. името на киберзаплахата. Имената на криптирани файлове понякога имат специален формат. В някои версии на Troldesh имената на криптирани обекти могат да останат непроменени и в края се добавя уникален код: [защитен с имейл], [защитен с имейл], или [защитен с имейл]
Очевидно нападателите чрез инжектиране на имейл адреси. имейли директно в имената на файловете, посочете начина на комуникация с жертвите. Имейлът е посочен и другаде, а именно в писмото за откуп, което се съдържа във файла „Readme.txt“. Такива документи на Notepad ще се показват на работния плот, както и във всички папки с кодирани данни. Ключовото послание е:
„Всички файлове са криптирани. За да ги дешифрирате, трябва да изпратите кода: [вашият уникален код] на имейл адрес [защитен с имейл]или [защитен с имейл]След това получавате всичко необходими инструкции... Опитите за самостоятелно дешифриране няма да доведат до нищо друго освен невъзвратима загуба на информация ”
Имейл адресът може да варира в зависимост от групата рансъмуер, разпространяваща вируса.
Що се отнася до по-нататъшното развитие на събитията: в общо очертание, измамниците отговарят с препоръка да изброят откупа, който може да бъде 3 биткойна или друга сума в този диапазон. Моля, имайте предвид, че никой не може да гарантира, че хакерите ще изпълнят обещанието си дори след като получат парите. За да възстановят достъпа до .xtbl файлове, на засегнатите потребители се препоръчва първо да изпробват всички налични международни методи. В някои случаи данните могат да бъдат подредени с помощта на услугата копие в сянкатомове (Volume Shadow Copy), предоставени директно в операционната система Windows, както и програми за декодиране и възстановяване на данни от независими разработчициНА.
Премахнете вируса XTBL ransomware с помощта на автоматичен почистващ препарат
Единствено и само ефективен методработа със злонамерен софтуер като цяло и рансъмуер в частност. Използване на доказано защитен комплексгарантира задълбочено откриване на всякакви вирусни компоненти, техните пълно отстраняванес едно щракване. Забележка, идваза два различни процеса: деинсталиране на инфекцията и възстановяване на файлове на вашия компютър. Въпреки това заплахата със сигурност трябва да бъде премахната, тъй като има информация за въвеждането на други компютърни троянски коне с негова помощ.
- ... След като стартирате софтуера, щракнете върху бутона Стартирайте сканирането на компютъра(Започнете сканирането).
- Инсталираният софтуер ще предостави отчет за заплахите, открити по време на сканирането. За да премахнете всички намерени заплахи, изберете опцията Поправете заплахите(Елиминирайте заплахите). Въпросният зловреден софтуер ще бъде напълно премахнат.
Възстановете достъпа до криптирани файлове с разширение .xtbl
Както беше отбелязано, XTBL ransomware заключва файлове със силен алгоритъм за криптиране, така че криптираните данни не могат да бъдат възобновени с вълна. магическа пръчка- ако не вземете предвид плащането на нечувана сума от откуп. Но някои методи наистина могат да се превърнат в спасител, който ще ви помогне да възстановите важни данни. По-долу можете да се запознаете с тях.
Декодер - програма автоматично възстановяванефайлове
Известно е много извънредно обстоятелство. Тази инфекция изтрива изходни файловев некриптирана форма. По този начин процесът на криптиране на ransomware е насочен към техни копия. Това дава възможност за такива софтуеркак да възстановите изтритите обекти, дори ако надеждността на тяхното елиминиране е гарантирана. Силно препоръчително е да се прибегне до процедурата за възстановяване на файлове, чиято ефективност е доказана повече от веднъж. 
Обемни сенчести копия
В основата на подхода предоставена от Windowsпроцедура за архивиране на файл, която се повтаря във всяка точка на възстановяване. Важно условиеработа този метод: Възстановяването на системата трябва да бъде активирано преди заразяване. Въпреки това, всички промени, направени във файла след точката на възстановяване, няма да се показват във възстановената версия на файла.
Архивиране
Това е най-добрият от всички методи без обратно изкупуване. Ако процедурата за архивиране на данни е включена външен сървъре бил използван преди атаката на ransomware на вашия компютър; за да възстановите криптирани файлове, просто трябва да въведете подходящия интерфейс, изберете необходими файловеи стартирайте механизма за възстановяване на данни от архива. Преди да извършите операцията, трябва да се уверите, че ransomware е напълно премахнат.
Проверете за възможни остатъчни компоненти на XTBL ransomware
Почистване в ръчно управлениее изпълнен с пропускане на определени фрагменти от ransomware, които могат да бъдат избегнати като скрити обекти операционна системаили записи в регистъра. За да премахнете риска от частично задържане на определени злонамерени елементи, сканирайте компютъра си с надежден универсален антивирусен комплекс.
V последните временаима скок в активността на ново поколение злонамерен софтуер компютърни програми... Те се появиха доста отдавна (преди 6 - 8 години), но темпото на въвеждането им достигна своя максимум в момента. Все по-често можете да се сблъскате с факта, че вирус криптира файлове.
Вече е известно, че това не е просто примитивен зловреден софтуер, например ( причиняващи появата син екран), но сериозни програми, насочени към увреждане, като правило, на счетоводни данни. Те криптират всички налични файлове в обсега, включително 1C счетоводни данни, docx, xlsx, jpg, doc, xls, pdf, zip.
Особената опасност от въпросните вируси
Състои се във факта, че в този случай се използва RSA ключ, който е обвързан с компютъра на конкретен потребител, поради което универсалният декриптор ( декриптор) отсъстващ. Вирусите, активирани на един от компютрите, може да не работят на другия.
Опасността е също така, че повече от година в интернет има готови програми за създаване, които позволяват дори на кулхакерите да разработват този вид вирус (лица, които се смятат за хакери, но не учат програмиране).
В момента се появиха по-мощни модификации.
Как се инжектира този зловреден софтуер
Вирусът се изпраща целенасочено, като правило, в счетоводния отдел на компанията. Първо, имейлите на отделите за персонал, счетоводните отдели се събират от бази данни като например hh.ru. След това писмата се изпращат. Те най-често съдържат заявка за приемане на определена позиция. До такова писмо с автобиография, вътре в което е истински документ с имплантиран OLE обект (pdf файл с вирус).
В ситуации, когато счетоводните служители веднага стартират този документ, след рестартирането се случи следното: вирусът преименува и криптира файловете, след което се самоунищожи.
Този вид писмо, като правило, се пише адекватно и се изпраща от пощенска кутия, която не е спам (името съответства на подписа). Свободно място винаги се иска въз основа на основната дейност на компанията, така че не възникват подозрения.
Нито лицензираният "Kaspersky" (антивирусна програма), нито "Virus Total" (онлайн услуга за проверка на прикачени файлове за вируси) могат да защитят компютъра в този случай. Понякога някои антивирусни програми при сканиране издават, че прикаченият файл съдържа Gen: Variant.Zusy.71505.
Как мога да избегна този вирус?
Всеки получен файл трябва да бъде проверен. Специално вниманиесе дава на документи на Word, които имат вградени PDF файлове.
Варианти на "заразени" имейли
Има много от тях. Най-често срещаните опции за това как криптираните от вируси файлове са представени по-долу. Във всички случаи на електронна пощапристигат следните документи:
- Уведомление относно началото на процеса по разглеждане на дело, заведено срещу конкретна компания (в писмото се предлага проверка на данните чрез щракване върху посочения линк).
- Писмо от Върховния арбитражен съд на Руската федерация относно събирането на вземания.
- Съобщение от Сбербанк относно увеличаване на съществуващия дълг.
- Уведомление за отстраняване на пътни нарушения.
- Писмо от колекторската агенция, в което се посочва максималното възможно забавяне на плащането.
Уведомление за криптиране на файл
След заразяване той ще се появи в главната папка на устройството C. Понякога файлове от типа CHTO_DOE.txt, CONTACT.txt се поставят във всички директории с повреден текст. Там потребителят се информира за криптирането на неговите файлове, което се извършва с помощта на надеждни криптографски алгоритми. И също така той е предупреден за нецелесъобразността на използването комунални услуги на трети страни, тъй като това може да доведе до трайно увреждане на файловете, което от своя страна ще доведе до невъзможност за последващото им декриптиране.
Препоръчително е да оставите компютъра непроменен в известието. Посочва времето за съхранение на предоставения ключ (като правило е 2 дни). Регистриран точна дата, след което всякакъв вид лечение ще бъде игнорирано.
В края се предоставя имейл. Той също така казва, че потребителят трябва да предостави своя ID и че всяко от следните действия може да доведе до елиминиране на ключа, а именно:
Как да декриптирате файлове, криптирани от вирус?
Този вид криптиране е много мощен: на файла е присвоено такова разширение като перфектно, случайност и т.н. Просто е невъзможно да се хакне, но можете да опитате да свържете криптоаналитици и да намерите вратичка (в някои ситуации д-р WEB ще помогне ).
Има още 1 начин за възстановяване на файлове, криптирани от вирус, но той не работи за всички вируси, освен това ще трябва да извадите оригиналния exe заедно с тази злонамерена програма, което е доста трудно да се направи след самоунищожаване.
Искане на вирус за въвеждане специален код- малка проверка, тъй като файлът вече има декодер към този момент (кодът от, така да се каже, натрапници няма да се изисква). Същността този метод- вписване на празни команди в проникналия вирус (на самото място за сравнение на въведения код). Резултатът е, че самата злонамерена програма започва да декриптира файлове и по този начин напълно ги възстановява.
Във всяка отделен вируссобствен специална функциякриптиране, поради което изпълним файл на трета страна (файл във формат exe) не може да бъде декриптиран или можете да опитате да изберете горната функция, за която трябва да извършите всички действия на WinAPI.
файлове: какво да правя?
За да извършите процедурата по декриптиране, ще ви трябва:
Как мога да избегна загуба на данни поради въпросния злонамерен софтуер?
Струва си да знаете, че в ситуация, когато вирусът има криптирани файлове, ще отнеме време, за да ги декриптира. Важен моментфактът, че има грешка в гореспоменатия зловреден софтуер, който ви позволява да запазите част от файловете, ако бързо изключите компютъра (извадете щепсела, изключете мрежов филтър, извадете батерията в случай на лаптоп) веднага щом голям бройфайлове с предварително посоченото разширение.
Още веднъж трябва да се подчертае, че основното нещо е постоянно да създавате архивиране, но не в друга папка, не е включено сменяеми носителивмъкнат в компютъра, защото тази модификациявирусът ще стигне и до тези места. Струва си да запазите резервни копия на друг компютър, на твърд диск, който не е постоянно свързан с компютъра, и в облака.
Трябва да се отнасяте с подозрение към всички документи, които идват по пощата от неизвестни лица (под формата на автобиография, фактура, решения на Върховния арбитражен съд на Руската федерация или данъчни органи и др.). Не е необходимо да ги стартирате на компютъра си (за тази цел можете да изберете нетбук, който не съдържа важни данни).
Зловредна програма * [защитен с имейл]: как да премахнем
В ситуация, когато горните вирусно криптирани файлове cbf, doc, jpg и т.н., има само три варианта за развитие на събитието:
- Най-лесният начин да се отървете от него е да изтриете всички заразени файлове (това е приемливо, освен ако данните не са много важни).
- Влезте в лабораторията антивирусен софтуер, например, Dr. WEB. Задължително е изпращането на няколко заразени файла на разработчиците заедно с ключа за декриптиране, който се намира на компютъра като KEY.PRIVATE.
- Най-скъпият начин. Това включва плащане на сумата, поискана от хакерите за декриптиране на заразените файлове. По правило цената на тази услуга е в диапазона от 200 - 500 щатски долара. Това е приемливо в ситуация, когато вирусът криптира файлове голяма компания, в който всеки ден протича значителен поток от информация и тази злонамерена програма може да причини колосални щети за броени секунди. В това отношение плащането е най-много бърз вариантвъзстановяване на заразени файлове.
Понякога се оказва ефективно допълнителна опция... В случай, когато вирусът криптира файлове ( [защитен с имейл] _com или друг зловреден софтуер) може да помогне преди няколко дни.
Програма за декриптиране на RectorDecryptor
Ако вирусът е криптиран jpg файлове, doc, cbf и т.н., специална програма може да помогне. За да направите това, първо трябва да отидете на стартиране и да деактивирате всичко освен антивируса. След това трябва да рестартирате компютъра си. Вижте всички файлове, маркирайте подозрителни. Полето, озаглавено "Команда", посочва местоположението на конкретен файл (трябва да се обърне внимание на приложения, които нямат подпис: производител - няма данни).
Всичко подозрителни файловетрябва да изтриете, след което трябва да почистите кеша на браузъра, временни папки(за това програмата ще свърши работа CCleaner).
За да започнете декриптирането, трябва да изтеглите горната програма. След това го стартирайте и щракнете върху бутона "Стартиране на сканирането", като посочите модифицираните файлове и тяхното разширение. V модерни версиина тази програма, можете да посочите само самия заразен файл и да щракнете върху бутона "Отваряне". След това файловете ще бъдат декриптирани.
Впоследствие помощната програма автоматично проверява всички компютърни данни, включително файловете, намиращи се на свързания мрежово устройство, и ги декодира. Този процесвъзстановяването може да отнеме няколко часа (в зависимост от обема на работа и скоростта на компютъра).
В резултат на това всички повредени файлове ще бъдат декриптирани в същата директория, където са били първоначално разположени. В крайна сметка остава само да изтриете всички съществуващи файлове с подозрително разширение, за което можете да поставите отметка в квадратчето „Изтриване на криптирани файлове след успешно декриптиране“, като щракнете върху бутона „Промяна на настройките за сканиране“. Въпреки това е по-добре да не го инсталирате, тъй като в случай на неуспешно декриптиране на файлове те могат да бъдат изтрити, а по-късно ще трябва първо да ги възстановите.
Така че, ако вирусът е криптиран doc файлове, cbf, jpg и т.н., не бързайте да плащате за кода. Може би той няма да е нужен.
Нюанси на изтриване на криптирани файлове
Докато се опитва да елиминира всички повредени файловепрез стандартно търсенеи последващо деинсталиране може да замръзне и да забави компютъра. В тази връзка за тази процедура си струва да използвате специална. След като я стартирате, трябва да въведете следното: del «<диск>:\*.<расширение зараженного файла>"/ F/s.
Наложително е да изтриете файлове като "Read-me.txt", за които в същия командна линиятрябва да посочи: del “<диск>:\*.<имя файла>"/ F/s.
По този начин може да се отбележи, че ако вирусът преименува и криптира файлове, тогава не трябва незабавно да харчите пари за закупуване на ключ от киберпрестъпници, първо трябва да опитате сами да разберете проблема. По-добре инвестирайте в покупка специална програмаза декриптиране на повредени файлове.
И накрая, заслужава си да припомним, че тази статия обсъжда въпроса как да декриптират файлове, криптирани от вирус.
Днес потребителите на компютри и лаптопи все по-често трябва да се справят зловреден софтуеркоито заменят файловете с техните криптирани копия. Всъщност това са вируси. Един от най-опасните в тази серия е XTBL ransomware. Какъв е този вредител, как попада в компютъра на потребителя и възможно ли е да се възстанови повредената информация?
Какво е XTBL ransomware и как попада в компютър
Ако намерите на вашия компютър или лаптоп файлове с дълго заглавиес разширението .xtbl, тогава е безопасно да се каже, че системата е получила опасен вирус- XTBL ransomware. Засяга всички версии на Windows OS. Почти невъзможно е да дешифрирате такива файлове самостоятелно, тъй като програмата използва хибриден режим, при което изборът на ключа е просто невъзможен.
Заразените файлове се запълват системни директории... Записите се добавят към регистър на windowsкоито автоматично стартират вируса всеки път, когато операционната система стартира.
Почти всички видове файлове са криптирани – графични, текстови, архивни, поща, видео, музика и т. н. Става невъзможно да се работи в Windows.
Как работи? XTBL ransomware, пуснат в Windows, първо сканира всички логически устройства... Това включва облак и мрежово съхранениенамира на компютъра. В резултат на това файловете се групират по разширение и след това се криптират. По този начин, цялото ценна информацияпоставен в папките на потребителя става недостъпен.
Това е картината, която потребителят ще види вместо икони с имената на познати файлове.
Разширението на файла се променя под влияние на XTBL ransomware. Потребителят вече вижда иконата празен листи дълго заглавие, завършващо с .xtbl вместо изображение или текст в Word. Освен това на работния плот се появява съобщение, вид инструкция за възстановяване на криптирана информация, която изисква да платите за отключване. Това не е нищо повече от изнудване за откуп.
Такова съобщение се показва в прозореца на компютъра.
Разпространението на XTBL ransomware обикновено става по имейл. Писмото съдържа прикачени файлове или документи, заразени с вирус. Измамникът привлича потребителя с цветно заглавие. Всичко е направено така, че съобщението, което казва, че вие например сте спечелили милион, да бъде отворено. Не отговаряйте на такива съобщения, в противен случай съществува голям риск вирус да се окаже във вашата ОС.
Възможно ли е възстановяване на информация
Можете да опитате да дешифрирате информацията с помощта на специални помощни програми.Въпреки това, няма гаранция, че ще можете да се отървете от вируса и да възстановите повредени файлове.
В момента XTBL ransomware представлява несъмнена заплаха за всички компютри, работещи с Windows. Дори признатите лидери в борбата с вирусите - Dr.Web и Kaspersky Lab - нямат 100% решение на този проблем.
Премахване на вирус и възстановяване на криптирани файлове
Има различни методии програми, които ви позволяват да работите с XTBL ransomware.Някои премахват самия вирус, други се опитват да декриптират заключени файлове или да възстановят предишните им копия.
Прекъсване на компютърна инфекция
Ако имате късмета да забележите началото на появата на файлове с разширение .xtbl на вашия компютър, тогава процесът на по-нататъшно заразяване е напълно възможно да бъде прекъснат.
Kaspersky Virus Removal Tool за премахване на XTBL ransomware
Всичко подобни програмитрябва да се отвори в операционна система, която преди това е била стартирана в безопасен режим с опция за зареждане на мрежови драйвери. В този случай е много по-лесно да премахнете вируса, тъй като минималният брой системни процесинеобходими за стартиране на Windows.
За зареждане безопасен режимв Window XP, 7 по време на стартиране на системата, натиснете клавиша F8 неколкократно и след като се появи прозорецът на менюто, изберете подходящия елемент. В използвайки Windows 8, 10, трябва да рестартирате ОС, като задържите Клавиш Shift... По време на процеса на стартиране ще се отвори прозорец, в който можете да изберете необходимата опция за сигурно зареждане.
Избор на безопасен режим със зареждане на мрежови драйвери
Програма Касперски Премахване на вирусиИнструментът перфектно разпознава XTBL ransomware и премахва този тип вирус. Стартирайте компютърно сканиране, като щракнете върху съответния бутон, след като помощната програма се зареди. След като сканирането приключи, изтрийте откритите злонамерени файлове.
Стартиране на компютърно сканиране за наличие на XTBL ransomware в Windows OS и след това премахване на вируса
Dr.Web CureIt!
Алгоритъмът за сканиране и премахване на вирус е практически същият като в предишната версия.Сканирайте всички логически устройства с помощната програма. За да направите това, просто трябва да следвате командите на програмата след нейното стартиране. В края на процеса се отървете от заразените файлове, като щракнете върху бутона "Неутрализирай".
Неутрализиране злонамерени файловеслед стартиране на сканиране на Windows
Malwarebytes Анти-зловреден софтуер
Програмата ще извърши стъпка по стъпка сканиране на вашия компютър за злонамерени кодове и ще ги унищожи.
- Инсталирайте и стартирайте помощната програма за защита от злонамерен софтуер.
- Изберете елемента "Стартиране на сканиране" в долната част на прозореца, който се отваря.
- Изчакайте края на процеса и поставете отметка в квадратчетата със заразени файлове.
- Изтрийте селекцията.
Премахване на злонамерени XTBL ransomware файлове, открити по време на сканиране
Онлайн скрипт-декодер от Dr.Web
На официалния уебсайт на Dr.Web, в секцията за поддръжка, има раздел със скрипт за онлайн декриптиране на файлове. Трябва да се има предвид, че само тези потребители, на чиито компютри е инсталиран антивирусът на този разработчик, ще могат да използват декриптора онлайн.
Прочетете инструкциите, попълнете всичко необходимо и кликнете върху бутона „Изпращане“.
Помощна програма за декриптиране RectorDecryptor от Kaspersky Lab
Kaspersky Lab също декриптира файлове.На официалния уебсайт можете да изтеглите помощната програма RectorDecryptor.exe за версии Windows Vista, 7, 8, следвайки връзките в менюто "Поддръжка - Обработка и декриптиране на файлове - RectorDecryptor - Как да декриптирате файлове". Стартирайте програмата, проверете я и след това изтрийте шифрованите файлове, като изберете подходящия елемент.
Сканиране и декриптиране на файлове, заразени с XTBL ransomware
Възстановяване на криптирани файлове от резервно копие
Започвайки с Версии на Windows 7, можете да опитате да възстановите файлове от архивни копия.
ShadowExplorer за възстановяване на криптирани файлове
Програмата е преносима версия, може да бъде изтеглена от всяка медия.
QPhotoRec
Програмата е специално разработена за възстановяване на повредени и изтрити файлове.Използвайки вградени алгоритми, помощната програма намира и се връща към оригинално състояниецялата загубена информация.
QPhotoRec е безплатна програма.
За съжаление има само английска версия на QPhotoRec, но не е трудно да се разберат настройките, интерфейсът е интуитивен.
- Стартирайте програмата.
- Проверете логическите устройства с криптирана информация.
- Щракнете върху бутона File Formats и OK.
- Изберете с бутона Преглед, разположен в долната част отворен прозорец, местоположението, където са запазени файловете и започнете процедурата по възстановяване, като щракнете върху Търсене.
QPhotoRec възстановява файлове, изтрити от XTBL ransomware и заменени с техни собствени копия
Как да декриптирате файлове - видео
Какво да не се прави
- Никога не предприемайте действия, в които не сте напълно сигурни.По-добре е да поканите специалист от център за услугиили сами донесете компютъра там.
- Не отваряй Имейл съобщенияот неизвестни податели.
- В никакъв случай не трябва да бъдете водени от изнудвачи, като се съгласявате да им превеждате пари. Това най-вероятно няма да даде резултат.
- Не преименувайте ръчно разширенията на криптирани файлове и не бързайте да преинсталирате Windows. Може би ще бъде възможно да се намери решение, което ще коригира ситуацията.
Профилактика
Опитайте да инсталирате надеждна защитаот проникване на XTBL ransomware и подобни ransomware вируси във вашия компютър. Тези програми включват:
- Malwarebytes Anti-Ransomware;
- BitDefender Anti-Ransomware;
- WinAntiRansom;
- CryptoPrevent.
Въпреки факта, че всички те са на английски, работата с такива помощни програми е доста проста. Стартирайте програмата и изберете нивото на защита в настройките.
Стартиране на програмата и избор на ниво на защита
Ако сте попаднали на ransomware вирус, който криптира файлове на вашия компютър, тогава, разбира се, не бива да се отчайвате веднага. Опитайте се да използвате предложените методи за възстановяване на повредена информация. Това често е от полза. Не прилагайте за премахване ransomware XTBLнепроверени програми на неизвестни разработчици. В крайна сметка това може само да влоши ситуацията. Ако е възможно, инсталирайте на компютъра си една от програмите, които пречат на вируса да работи, и извършете текущо планирано Windows сканиранеза наличие на злонамерени процеси.
Ако компютърът се появи текстово съобщение, в който пише, че вашите файлове са криптирани, тогава не бързайте да се паникьосвате. Какви са симптомите на криптиране на файлове? Обичайното разширение се променя на * .vault, * .xtbl, * [защитен с имейл] _XO101 и др. Не можете да отваряте файловете - имате нужда от ключ, който можете да закупите, като изпратите писмо до адреса, посочен в съобщението.
Откъде взехте вашите криптирани файлове?
Компютърът хвана вирус, който блокира достъпа до информация. Антивирусите често ги пропускат, защото тази програма обикновено се основава на някакъв вид безвреден безплатна помощна програмакриптиране. Можете да премахнете самия вирус достатъчно бързо, но могат да възникнат сериозни проблеми с декриптирането на информацията.
Техническата поддръжка на Kaspersky Lab, Dr.Web и други известни компании, занимаващи се с разработването на антивирусен софтуер, в отговор на потребителски искания за декриптиране на данните, информира, че е невъзможно да се направи това в разумен срок. Има няколко програми, които могат да вземат кода, но те знаят само как да работят с предварително проучени вируси. Ако сте изправени пред нова модификация, тогава шансовете за възстановяване на достъпа до информация са изключително малки.
Как вирусът за рансъмуер достига до компютър?
В 90% от случаите потребителите сами активират вируса на компютъра.отваряне на непознати писма. След това на имейла идва съобщение с провокативна тема - "Призовка в съда", "Просрочени задължения по кредита", "Съобщение от данъчната служба" и т.н. Вътре във фалшивия имейл има прикачен файл, след изтеглянето на който ransomware достига до компютъра и постепенно започва да блокира достъпа до файловете.
Шифроването не е мигновено, така че потребителите имат време да премахнат вируса, преди цялата информация да бъде криптирана. Унищожи злонамерен скриптс помощта на помощните програми за почистване Dr.Web CureIt, Kaspersky интернет сигурности Malwarebytes Antimalware.
Методи за възстановяване на файлове
Ако защитата на системата е била активирана на компютъра, тогава дори след действието на вируса ransomware има шансове да върнете файловете на нормално състояниеизползвайки сенчести копияфайлове. Криптографите обикновено се опитват да ги премахнат, но понякога не успяват поради липса на администраторски права.
Възстановяване на предишна версия:
За да бъдат запазени предишни версии, трябва да активирате защитата на системата.
Важно: защитата на системата трябва да бъде активирана, преди да се появи ransomware, след това вече няма да помага.
- Отворете свойствата на "Компютър".
- От менюто вляво изберете „Защита на системата“.
- Маркирайте устройство C и щракнете върху Конфигуриране.
- Изберете настройките за възстановяване и предишни версиифайлове. Приложете промените, като щракнете върху „OK“.
Ако сте предприели тези мерки преди появата на вирус, криптиращ файлове, след това след почистване на компютъра от злонамерен кодще имате добър шанс да възстановите информация.
Използване на специални помощни програми
Kaspersky Lab е подготвил няколко помощни програми, които да помогнат при отварянето на криптирани файлове след премахване на вируса. Първият декриптор, който си струва да опитате, е Kaspersky RectorDecryptor.
- Изтеглете приложението от официалния уебсайт на Kaspersky Lab.
- След това стартирайте помощната програма и щракнете върху "Стартиране на проверката". Посочете пътя към всеки криптиран файл.
Ако злонамереният софтуер не е променил разширението на файловете, тогава, за да ги декриптирате, трябва да ги съберете отделна папка... Ако Помощна програма RectorDecryptor, изтеглете още две програми от официалния уебсайт на Kaspersky - XoristDecryptor и RakhniDecryptor. 
Най-новата помощна програма от Kaspersky Lab се нарича Ransomware Decryptor. Той помага за декриптирането на файлове след вируса CoinVault, който все още не е много разпространен в руския интернет, но скоро може да замени други троянски коне.
Броят на вирусите в обичайното им разбиране става все по-малък и причината за това безплатни антивирусикоито работят добре и защитават компютрите на потребителите. В същото време не всички се интересуват от сигурността на своите данни и рискуват да заразят не само злонамерен софтуер, но и стандартни вируси, сред които най-разпространен остава Trojan. Той може да се прояви различни начини, но едно от най-опасните е криптирането на файлове. Ако вирусът криптира файлове на компютъра, не е факт, че ще бъде възможно да се върнат данните, но някои ефективни методиса налични и те ще бъдат обсъдени по-долу.
Криптиращ вирус: какво представлява и как работи
В мрежата има стотици вируси, които криптират файлове. Техните действия водят до една последица - данните на потребителя на компютъра получават неизвестен форматс които не може да се отвори стандартни програми... Ето само някои от форматите, в които данните на компютър могат да бъдат криптирани в резултат на вируси: .locked, .xtbl, .kraken, .cbf, .oshit и много други. В някои случаи се записва директно в разширението на файла имейл адрессъздателите на вируса.
Сред най-често срещаните вируси, които криптират файловете са Trojan-Ransom.Win32.Auraи Trojan-Ransom.Win32.Rakhni... Те приемат много форми и вирусът може дори да не носи името Trojan (например CryptoLocker), но действията им са практически еднакви. Редовно се пускат нови версии на криптиращи вируси, така че създателите антивирусни приложениябеше по-трудно да се справяме с новите формати.
Ако криптиращ вирус е проникнал в компютъра, той със сигурност ще се прояви не само чрез блокиране на файлове, но и като предложи на потребителя да ги деблокира срещу заплащане. На екрана може да се появи банер, на който ще бъде написано къде трябва да преведете пари, за да деблокирате файловете. Когато такъв банер не се появи, трябва да потърсите "писмо" от разработчиците на вируса на работния плот, такъв файл в повечето случаи се нарича ReadMe.txt. 
В зависимост от разработчиците на вируси, скоростта на декриптиране на файлове може да варира. В същото време далеч не е факт, че когато изпращат пари до създателите на вируса, те ще изпратят обратно метод за отключване. В повечето случаи парите отиват „никъде“ и потребителят на компютъра не получава метод за декриптиране.
След като вирусът се появи на вашия компютър и на екрана виждате кода, на който трябва да бъде изпратен конкретен адресза да получите декодер, не трябва да правите това. Първо, копирайте този код на лист хартия, тъй като новосъздаденият файл също може да бъде криптиран. След това можете да затворите информацията от разработчиците на вируса и да се опитате да намерите в Интернет начин да се отървете от шифратора на файлове във вашия конкретен случай. По-долу изброяваме основните програми, които ви позволяват да премахнете вируса и да декриптирате файлове, но те не могат да се нарекат универсални, а създателите антивирусен софтуерредовно разширявайте списъка с решения.
Доста лесно е да се отървете от вирус, който криптира файлове с помощта на безплатни версииантивирусен софтуер. Три безплатни програми се справят добре с вируси, които криптират файлове:
- Malwarebytes Antimalware;
- Dr.Web лекува;
- Kaspersky InternetСигурност.
Посочените по-горе приложения са напълно безплатни или имат пробни версии... Препоръчваме да използвате решение от Dr.Web или Kespersky, след като сканирате системата на адрес Malwarebytes помагаАнтизловреден софтуер. Нека ви напомним още веднъж, че не се препоръчва да инсталирате 2 или повече антивирусни програми на компютър едновременно, следователно, преди да инсталирате всяко ново решение, трябва да деинсталирате предишното.
Както отбелязахме по-горе, идеалното решение на проблема в тази ситуация ще бъде изборът на инструкции, които ви позволяват да се справите конкретно с вашия проблем. Такива инструкции най-често се публикуват на уебсайтовете на антивирусните разработчици. По-долу предоставяме няколко подходящи антивирусни помощни програмикоито ви позволяват да се справите с различни видовеТроянски коне и други видове ransomware.
Посоченото по-горе е само малка част от антивирусните помощни програми, които могат да декриптират заразени файлове. Струва си да се отбележи, че ако просто се опитате да възстановите данните си, напротив, те ще бъдат загубени завинаги - не трябва да правите това.
