Утилита для расшифровки файлов после заражения Trojan-Ransom.Win32.Rannoh

Если система заражена вредоносной программой семейств Trojan-Ransom.Win32.Rannoh, Trojan-Ransom.Win32.AutoIt, Trojan-Ransom.Win32.Fury, Trojan-Ransom.Win32.CrybolaTrojan-Ransom.Win32.Cryakl или Trojan-Ransom.Win32.CryptXXX, то все файлы на компьютере будут зашифрованы следующим образом:

  • При заражении Trojan-Ransom.Win32.Rannoh имена и расширения изменятся по шаблону locked-<оригинальное_имя>.<4 произвольных буквы>.
  • При заражении Trojan-Ransom.Win32.Cryakl в конец содержимого файлов добавляется метка {CRYPTENDBLACKDC}.
  • При заражении Trojan-Ransom.Win32.AutoIt расширение изменяется по шаблону <оригинальное_имя>@<почтовый_домен>_.<набор_символов>.
    Например, ioblomov@india.com_.RZWDTDIC.
  • При заражении Trojan-Ransom.Win32.CryptXXX расширение изменяется по шаблонам <оригинальное_имя>.crypt, <оригинальное_имя>.crypz и <оригинальное_имя>.cryp1.

Утилита RannohDecryptor предназначена для расшифровки файлов после заражения Trojan-Ransom.Win32.Polyglot, Trojan-Ransom.Win32.Rannoh, Trojan-Ransom.Win32.AutoIt, Trojan-Ransom.Win32.Fury, Trojan-Ransom.Win32.Crybola, Trojan-Ransom.Win32.Cryakl или Trojan-Ransom.Win32.CryptXXX версии 12 и 3.

Как вылечить систему

Чтобы вылечить зараженную систему:

  1. Скачайте файл RannohDecryptor.zip.
  2. Запустите файл RannohDecryptor.exe на зараженной машине.
  3. В главном окне нажмите Начать проверку.
  4. Укажите путь к зашифрованному и незашифрованному файлу.
    Если файл зашифрован Trojan-Ransom.Win32.CryptXXX, укажите файлы самого большого размера. Расшифровка будет доступна только для файлов равного или меньшего размера.
  5. Дождитесь окончания поиска и расшифровки зашифрованных файлов.
  6. Перезагрузите компьютер, если требуется.
  7. Для удаления копии зашифрованных файлов вида locked-<оригинальное_имя>.<4 произвольных буквы> после успешной расшифровки выберите Удалять зашифрованные файлы после успешной расшифровки.
  8. Если файл был зашифрован Trojan-Ransom.Win32.Cryakl, то утилита сохранит файл на старом месте с расширением .decryptedKLR.оригинальное_расширение. Если вы выбрали Удалять зашифрованные файлы после успешной расшифровки, то расшифрованный файл будет сохранен утилитой с оригинальным именем.

    В системе, зараженной Trojan-Ransom.Win32.CryptXXX, утилита сканирует ограниченное количество форматов файлов. При выборе пользователем файла, пострадавшего от CryptXXX v2, восстановление ключа может занять продолжительное время. В этом случае утилита показывает предупреждение:

    По умолчанию утилита выводит отчет работы в корень системного диска (диска, на котором установлена ОС).

    Имя отчета имеет следующий вид: ИмяУтилиты.Версия_Дата_Время_log.txt

    Например, C:\RannohDecryptor.1.1.0.0_02.05.2012_15.31.43_log.txt

В системе, зараженной Trojan-Ransom.Win32.CryptXXX, утилита сканирует ограниченное количество форматов файлов. При выборе пользователем файла, пострадавшего от CryptXXX v2, восстановление ключа может занять продолжительное время. В этом случае утилита показывает предупреждение:

Дополнительные ключи для запуска утилиты из командной строки
-l <имя_файла> – запись отчета в файл.

-y – закрытие окна по окончании работы утилиты.

Что делать, если утилита не помогла
Если утилита RannohDecryptor не помогла расшифровать файлы, скачайте и запустите утилиты XoristDecryptor или RectorDecryptor.
Чтобы исключить возможность заражения в будущем, скачайте и установите Kaspersky Internet Security 2017 с функцией защиты от программ блокировки экрана.