Дешифратор для Trojan-Ransom.Win32.Stop.repp?

Question

[Сергей Буханов]

Здравствуйте!
Компьютер заражен вирусом шифровальщиком .Repp File Virus (Repp Ransomware)
Стояло четыре диска общий объем 2.5Тб все файлы зашифрованы расширение *.repp .
В лаборатории Касперского определили как зашифрованы Trojan-Ransom.Win32.Stop
На данный момент для шифрования используется криптографически стойкий алгоритм, поэтому расшифровка файлов, к сожалению, не представляется возможной в настоящий момент.
Если кому-то что-то будет известно про дешифратор буду очень благодарен!!!
Ссылки по этой теме нашел только две:

https://www.uninstallallpcvirus.com/repp-file-viru...

https://sensorstechforum.com/remove-repp-virus/



Весь список дешифраторов, кому-то точно поможет:
https://www.emsisoft.com/ransomware-decryption-too...

Comments

[Сергей Буханов]

Нашел Дешифратор для Ransomware Decryption Trojan-Ransom.Win32.STOP.Djvu
ссылка:
https://www.emsisoft.com/ransomware-decryption-too...
Более подробная информация:
https://blog.emsisoft.com/en/34375/emsisoft-releas...
Также дешифратор для Puma Decryptor for STOP Puma
https://www.emsisoft.com/ransomware-decryption-too...

[Сергей Буханов]

Весь список дешифраторов:
https://www.emsisoft.com/ransomware-decryption-too...

[GrayHorse]

Откуда вирус подхватили, если не секрет?
Встроенный антивирус Windows работал (Это ж Win 10?)?

Answer 1

[CityCat4]

Если каспер говорит, что "не представляется в настоящий момент" - то скорее всего этот момент и не представится, считайте файлы потерянными и восстанавливайте из бэкапа.
Года уже почти четыре назад один юзер поймал DaVinchi. Каспер какое-то время тоже покормил завтраками, потом сказал что "не шмогла". Год назад мы снова обратились - может изменилось что. Не-а, нихрена...

Comments

[Сергей Буханов]

Весь список дешифраторов может поможет:
https://www.emsisoft.com/ransomware-decryption-too...

[CityCat4]

bukh79, не, уже нет. Там был переносной винт, он уже давно отформатирован.

Answer 2

[Сергей Буханов]

Проанализировал зашифрованный файл "текстовый *.repp" - нашел код в начале и конце файла, сами данные целы, получается вирус добавляет в начале и в конце файла свой код, решение проблемы может быть удаление части кода и верхней и нижней части путем программы hex-editor, если получиться отпишусь...

Comments

[d'Ivan]

Выходит, шифрации и нет. А какой размер вставок вначале и конце? Фиксированные размеры?

[Сергей Буханов]

в конце вставка файла фиксированная, начало еще не определил возможно и нет...

‚8«N©Ъ–n ‹Г¶pК+ґю”Ї‰Уm:HЃJw'#peцОы|/I•,L№Зо‹єm і]фv
:BS¦ХЊѕ0„}ґLМЎF ”(_-tѓЪ%$±р#‚xfЈbh№™/Sn:Ц\‹uД}.ц уЙЏб»Д~Іб*w\hLЃФ№Wдю~_4»‡|yр3цj‡$l=™Ё€йЩф33u™ЦC‘ЋЛ№c
SLЋпJЋЉ[&Bэ¦MRS«>ў+ПвкЋ#cТ]µPт`vuz&*\Oдѕњ6
,Щщ”пяjз Yz
8H[U‡d:D
eИ;љ+Ў°j4mSCzF3yhC0DJadRCZ4LxftIh8CY8isHUYeuYt1{36A698B9-D67C-4E07-BE82-0EC5B14B4DF5}

[d'Ivan]

Сергей Буханов, есть что-то общее в этих вставках у разных документов?
Если не секретно, любопытно взглянуть на пару примеров .repp и их незакодированных исходных файлов.

[d'Ivan]

Сергей Буханов, https://www.bleepingcomputer.com/forums/t/671473/s...

[Сергей Буханов]

Да, шифрование конечно есть!
Вот ссылка пару простых примеров текстового файла:
https://yadi.sk/d/_Y-5JgCOrI-09Q

[d'Ivan]

Сергей Буханов, не, согласно этим примерам там нетривиально откусить вставки и они таки похожи на шифрованный блок данных.