Công cụ giải mã một số mã độc ransomware phần 1

1. Giả mã ransomware dòng Apocalypse.

Apocalyse là dòng mã độc ransomware phát hiện lần đầu vào tháng 6 năm 2016. Một số dấu hiệu điển hình của dòng mã độc như sau:

- Đổi đuôi dữ liệu sau khi mã hóa thành: .encrypted, .FuckYourData, .locked, .Encryptedfile, or .SecureCrypted 

- Thêm vào file yêu cầu tiền chuộc sau: How_To_Decrypt.txt, .Contact_Here_To_Recover_Your_Files.txt, .How_to_Recover_Data.txt, .Where_my_files.txt

Khi mở file txt ra thì sẽ hiện thông báo của "tác giả":

Bạn sử dụng công cụ giải nén sau:

Aplocalypse Fix

ApocalypseVM Fix

2. Gải mã ransomware BadBlock

BadBlock xuất hiện lần đầu vào tháng 5 năm 2016.

- Dòng này không đổi đuôi dữ liệu.

- Thông báo tiền chuộc: Sau khi mã hóa dữ liệu xong, mã độc để lại thông điệp Help Decrypt.html để "khổ chủ" đọc

Hoặc màn hình thông báo sau:

Bạn sử dụng công cụ sau để giải mã.

BadBlock Fix 32 bit

BadBlock Fix 64 bit

3. Gải mã ransomware Bard

Mã độc ransomware xuất hiện lần đầu vào cuối tháng 6 năm 2016. Dấu hiệu điển hình.

- Đổi đuôi dữ liệu sau khi mã hóa thành file .Bard.zip

- Thông tin tiền chuộc: Sau khi mã hóa xong dữ liệu máy nạn nhân, mã độc đổi màn hình nền của máy bị nhiễm độc bằng hình nền dưới và lưu thông báo dưới dạng file bmp và file txt đó là Recover.bmp and recover.txt.

Bạn tải công cụ sau về để giải mã.

Bard Fix

4. Giải mã ransomware Crypt888

Crypt888 xuất hiện lần đầu vào tháng 6 năm 2016. Dấu hiện nhận biết:

- Thay đổi dữ tên file sau khí mã hóa bằng cách thêm Lock. vào bắt đầu tên file (Ví dụ: file gốc là Bangluong_10.doc bị đổi thành Lock.Bangluong_10.doc)

- Sau khi đã mã dữ liệu nạn nhân, Crypt888 đổi màn hình nạn nhân thành một trong các hình sau:

Bạn tải công cụ sau để giải mã:

Crypt888 fix

* Biên dịch từ nguồn AVG Virus Lab

Phần 2: Giải mã dòng mã độc: Legion, TeslaCrypt, SZFLocker