I slutet av 2016 blev världen attackerad avtrivial-trojan virus krypterar dokument och multimedieinnehåll, dubbat NO_MORE_RANSOM. Hur dekryptera filer efter exponering för detta hot, och kommer att diskuteras vidare. Men det är en gång nödvändigt att varna alla användare som har angripits, att det inte finns någon enda metod. Detta hänger samman med en av de mest avancerade krypteringsalgoritmer och med graden av penetration av viruset i datasystemet, eller ens ett lokalt nätverk (även om från början på nätverkseffekter och det är inte beräknad).
I allmänhet klassificeras viruset som en klassTrojaner som jag älskar dig som tränger in i datorsystemet och krypterar användarens filer (vanligtvis multimedia). Men om förfäderna bara skilde sig i kryptering tog detta virus mycket av ett enstaka sensationellt hot som heter DA_VINCI_COD, som kombinerar extortionistens funktioner i sig.
Efter infektion tilldelas de flesta filer av ljud-, video-, grafik- eller kontorsdokument ett långt namn med förlängningen NO_MORE_RANSOM som innehåller ett komplext lösenord.
När du försöker öppna dem visas ett meddelande på skärmen som indikerar att filerna är krypterade och du måste betala lite belopp för dekryptering.
Låt oss lämna frågan om hur, eftereffekter NO_MORE_RANSOM dekryptera filer av någon av ovanstående typer och vända sig till virusets penetrationsteknik i datorsystemet. Tyvärr kan det dock hända att det är en gammal beprövad metod. En e-postadress mottar ett brev med en bilaga, som när den öppnas får användaren en skadlig kodutlösare.
Originality, som vi ser, är den här tekniken inteolika. Meddelandet kan emellertid förtäckas som meningslös text. Eller tvärtom, till exempel, om det är fråga om stora företag, - under förändring av villkoren för ett kontrakt. Det är uppenbart att den vanliga kontorist öppnar bifogandet och mottar sedan ett beklagligt resultat. Ett av de ljusaste utbrotten var kryptering av databaser i det populära 1C-paketet. Och det här är allvarligt affärer.
Men det är ändå nödvändigt att ta itu med huvudfrågan.Visst är alla intresserade av hur man dekrypterar filer. Viruset NO_MORE_RANSOM har sin egen sekvens av åtgärder. Om användaren försöker dekryptera omedelbart efter infektion kan detta fortfarande göras på något sätt. Om hotet har fastnat i systemet ordentligt, tyvärr, utan hjälp av specialister är det oumbärligt. Men de är ofta maktlösa.
Om hotet upptäcktes i rätt tid, vägenBara en - gälla för antivirusföretag stöd (ännu ej alla dokument har krypterat) för att skicka ett par oåtkomlig för att öppna filer och på grundval av den ursprungliga analysen lagras på flyttbara media, försöka återställa redan infekterade dokument efter att ha sparat på samma USB-minne alla som fortfarande är tillgänglig för upptäckt (även om det inte finns någon garanti för att viruset inte trängde igenom sådana dokument). Därefter måste bäraren kontrolleras minst av en antivirusskanner (du vet aldrig vad) för att vara sant.
Separat är det nödvändigt att säga och att viruset förkryptering med RSA-3072-algoritmen, som i motsats till den tidigare använda RSA-2048-tekniken är så komplicerad, att valet av rätt lösenord, även om man antar att det kommer att ta itu med hela kontingenten av antiviruslaboratorier kan ta månader eller år. Således frågan om hur man dechiffrera NO_MORE_RANSOM kräver ganska tidskrävande. Men vad händer om du vill omedelbart återställa information? Först av allt - för att ta bort viruset själv.
Det är faktiskt inte svårt att göra detta. Att döma av virusets upphovsmän är inte hotet i datorsystemet. Tvärtom är det till och med fördelaktigt för henne att "gå ut" efter slutet av åtgärderna.
Ändå, först och främst om viruset,Det borde ändå neutraliseras. Först och främst är det nödvändigt att använda bärbara skyddsverktyg som KVRT, Malwarebytes, Dr.Sc. Web CureIt! och liknande. Observera: Programmen som används för kontroll måste vara bärbar typ utan att misslyckas (utan att installera den på hårddisken med optimal uppstart från flyttbart media). Om ett hot upptäcks ska det tas bort omedelbart.
Om sådana åtgärder inte tillhandahålls,Du måste först gå till "Task Manager" och slutföra alla processer som är associerade med viruset, sortera ut tjänsterna med namn (i regel är detta Runtime Broker-processen).
När du har tagit bort uppgiften måste du ringa redigerarensystemregistret (regedit i menyn "Kör") och ställa in sökningen med namnet "Client Server Runtime System" (utan citat), använd sedan navigationsmenyn baserat på resultaten "Sök vidare ...", radera alla hittade objekt. Därefter måste du starta om datorn och tro på "Task Manager", om det finns en sökprocess.
I princip kan frågan om hur man avkoda NO_MORE_RANSOM virus vid infektionsstadiet lösas med denna metod. Sannolikheten för dess neutralisering är givetvis inte bra, men det finns en chans.
Men det finns ytterligare en teknik, av vilka få personervet eller till och med gissningar. Faktum är att operativsystemet själv ständigt skapar egna skuggbackups (till exempel vid återhämtning) eller användaren avsiktligt skapar sådana bilder. Som praktiken visar viruset inte på sådana kopior (i sin struktur är det helt enkelt inte tillhandahållet, även om det inte är uteslutet).
Så problemet med att dechiffreraNO_MORE_RANSOM, det kommer ner till att använda dem. Användning av vanliga Windows-verktyg rekommenderas dock inte (och många användare har inte tillgång till dolda kopior alls). Därför måste du använda ShadowExplorer-verktyget (det är bärbart).
För att återställa behöver du bara springakörbar fil i programmet, sortera informationen efter datum eller sektioner, välj önskad kopia (fil, mapp eller hela systemet) och använd exportmenyn genom PCM-menyn. Därefter väljer du bara katalogen där den aktuella kopian sparas och använd sedan standardåterställningsprocessen.
Naturligtvis, till problemet med att dechiffreraNO_MORE_RANSOM, många laboratorier erbjuder sina egna lösningar. Kaspersky Lab rekommenderar till exempel att använda sin egen programvaruprodukt, Kaspersky Decryptor, presenterad i två versioner - Rakhini and Rector.
Liknande ser inte mindre intressant ut.utvecklingen som avkodaren NO_MORE_RANSOM från Dr. Web. Men här är det värt att omedelbart ta hänsyn till att användningen av sådana program är berättigad endast i händelse av snabb upptäckt av hot, innan alla filer har smittats. Om viruset är stadigt etablerat i systemet (när krypterade filer helt enkelt inte kan jämföras med sina okrypterade original), kan sådana program vara värdelösa.
Egentligen är slutsatsen bara en:Det är nödvändigt att bekämpa detta virus uteslutande vid infektionsstadiet, när endast de första filerna krypteras. I allmänhet är det bäst att inte öppna bilagor i e-postmeddelanden som tas emot från tvivelaktiga källor (det här gäller bara för klienter installerade direkt på datorn - Outlook, Outlook Express, etc.). Dessutom, om en anställd i företaget har en lista över adresser till kunder och partners, öppnas "vänster" -meddelanden helt olämpligt, eftersom majoriteten vid anställning signerar avtal om icke-avslöjande av affärshemligheter och cybersäkerhet.
