Есть ли вероятность восстановить данные после шифровальщика?

Question

[Владимир]

Имеется ноутбук, на котором было не настроено резервное копирование и имелся троян-шифровальщик, который этим нагло воспользовался. В общем, при наличии исходного файла и одного зашифрованного файла есть возможность высчитать ключ? Каким софтом сие лучше сделать и по итогу расшифровать остальные документы? Формат файла не менялся, но текст был замещён примерно на что-то такое:

P0vLlsQґзPі-yј!В’юЌў„яію*џeDЮ’џў3ЛДђ­бэџe'в
эюjОбvhѓЇЯ МФЂПЏ{qэЛ>Й;нЮwџњtMЏµжА·G–(ИJj‘‘†tйў/пrЫЙчbзb«Ћp‘Jh:№•\"Э^`Ъ(їЈЫнЊl|Џ®XяХ° }hГ™MrҐДHіќАш¬зґ2d5Йќ6Ц‹J‘«…*Я•іє w{С
?ёнЕаG–Щ>є®ЋfЉ{ тр ДaгЙoэ
¶ЈY№(пШXaE“4¤з4€KЦ6

Офис ворд доки открыть не в силах, но с этим справляется вордарт.

Comments

[Saboteur]

Нет естественно. Если бы все так было просто, никто бы не платил миллионы за восстановление.

[javedimka]

Saboteur,
https://noransom.kaspersky.com/ru/

[Saboteur]

javedimka, шифровальщики бывают разные. Автор изначально вообще ничего не сказал какой у него. И как выяснилось на данной ссылке нет ничего, что бы могло ему помочь.

[Владимир]

Saboteur, определился как Povlsomware

[Saboteur]

Владимир, Вам же топикстартер уже ответил, что "Шифровальщик определился как Povlsomware и, увы, дешифровальщика я не нашёл." Так что Касперский мимо. Ну и смысл мне это говорить, я не топикстартер )

[javedimka]

Saboteur, С телефона не видно лейбла "Автор вопроса" в комментариях?:)

Answer 1

[Zettabyte]

при наличии исходного файла и одного зашифрованного файла есть возможность высчитать ключ?

Считайте, что нет. Я боюсь спороть чушь, ибо дело было совсем давно, но мы изучали схожую задачу для WinRAR 4 и зашифрованных им файлов. Тогда, по-моему, пришли к выводу, что при наличии незашифрованного файла 128-битное шифрование становится примерно 100-битным.

Вам стоит сделать следующее:

Извлеките из ноутбука жёсткий диск / SSD, подключите его к другому компьютеру, на тот компьютер скачайте бесплатный R.saver, и сделайте полное сканирование вашего диска.
В зависимости от того, как работал вирус, сколько свободного места было доступно, и как долго после атаки пользовались ноутбуком, есть шанс восстановить данные, удалённые шифровальщиком, но не перезаписанные впоследствии.
Если у вас ССД, то оптимальным было бы отключить компьютер как можно раньше, чтобы файлы не удалил TRIM.

Также либо отложите этот диск в сторону до лучших времён, либо сделайте его посекторную копию (несжатую), либо скопируйте куда-то все файлы. В случае SSD вариант хранить диск не подходит - ячейки памяти будут терять заряд без использования.
Это для того, чтобы если какая-то из спецслужб возьмёт сервер злоумышленников и выложит ключи, вы могли ими воспользоваться.

Answer 2

[kalapanga]

Когда-то давно, когда подобные шифровальщики только появились, а компьютеры были менее мощные, чтобы быстро зашифровать много файлов зловреды использовали примитивные алгоритмы (тупо xor какой-нибудь). Тогда ещё была вероятность что-то расшифровать. Сейчас шансов практически нет.

Answer 3

[Рональд Макдональд]

Нет.

Answer 4

[javedimka]

Попробуй поискать что-нибудь по ссылке.
https://noransom.kaspersky.com/ru/

Comments

[Владимир]

Шифровальщик определился как Povlsomware и, увы, дешифровальщика я не нашёл. А откатом к резервной копии - ничего не исправил, кроме удаления трояна. Все доки остались в зашифрованном виде.

[javedimka]

Владимир, https://github.com/0xFenrik/Povlsomware
Он есть на гитхабе, попробуй стандартный пароль, который написан в доках, авось прокатит

[Владимир]

javedimka, а если сам троян снесён чем можно расшифровать, не подскажешь?

Answer 5

[Пума Тайланд]

Нет