How to Decrypt CryptoLocker (Not Cryp0L0cker)

โปรแกรมที่ใช้ถอดรหัส CryptoLocker(ไม่รวม Crypt0L0cker นะครับ)


TorrentUnlocker Decrypt TorrentLocker (DecrypterFixer : Nathan Scott)

ส่วน Crypt0L0cker นั้นถอดไม่ได้นะครับ ดูข้อมูลเพิ่มเติมที่นี่นะครับ

http://hotzone-it.blogspot.com/2015/07/how-to-remove-crypt0l0cker-not.html

How to remove Crypt0L0cker (Not CryptoLocker)

 ## รบกวนผู้ที่เข้ามาอ่านช่วยกันแชร์ด้วนะครับ ##

*คำเตือน ห้ามจ่ายเงิน โดยเด็ดขาด  เพราะจะเสียทั้งเงินและไม่ได้ข้อมูลคืน เนื่องจาก การเข้ารหัสที่ผิดพลาดของCrypto creator ของ Crypt0L0cker เอง ทำให้ผู้ที่ติด Ransomware ตัวนี้ได้รับรหัสที่ผิด  ถ้าจ่ายเงินก็ได้รหัสที่ไม่สามารถถอดรหัสได้ เช่นกัน (Wrong Encrypt + Fail DecryptCode+Loss money)


Crypt0L0cker คล้าย แต่ไม่เหมือนกับ CryptoLocker (TorrentLocker) ซึ่งตัว CryptoLocker นี้จะใช้
TorrentUnlocker Decrypt TorrentLocker (DecrypterFixer : Nathan Scott) ในการถอดรหัส


Crypt0L0cker จะเข้ารหัสไฟล์เกือบทั้งหมดในเครื่อง ยกเว้นไฟล์เหล่านี้ ที่ไม่ถูกเข้ารหัส
.html, .inf, .manifest, .chm, .ini, .tmp, .log, .url, .lnk, .cmd, .bat, .scr, .msi, .sys, .dll, .exe,  .avi, .wav, .mp3, .gif, .ico, .png, .bmp and .txt

หลังจาก Crypt0L0cker เข้ารหัสไฟล์เสร็จ จะสร้างไฟล์ ทิ้งไว้ใน folder คือ
DECRYTP_INSTRUCTIONS.html
DECRYPT_INSTRUCTIONS.txt

File encrypt :
Algorithm – RSA-2048 (AES CBC 256-bit encryption algorithm)

คอมพิวเตอร์เป้าหมายคือ อยู่ในกลุ่มประเทศดังต่อไปนี้ คือ
Australia, Austria, Canada, Czech Republic, Italy, Ireland, France, Germany, Netherlands, Korea, Thailand, New Zealand, Spain, Turkey, and the United Kingdom

เมื่อติด Crypt0L0cker แล้ว ไฟล์ที่ถูกเข้ารหัสจะมานามสกุล .encrypted และจะแสดงข้อความเรียกค่าไถ่ โดยข้อความที่แสดงจะแปลเป็นภาษาต่างๆ ตามแต่ละแต่เทศในกลุ่มเป้าหมายที่ติด ตามภาพตัวอย่างด้านล่าง

วิธีกำจัด Crypt0L0cker (เดี๋ยวพรุ่งนี้จะ Update รูปภาพ คำอธิบายให้นะครับ)
*เมื่อท่านติดไวรัสพวกนี้แล้ว และยังไม่ได้กำจัดตัวไวรัส อย่าเอา External drive มาเสียบกับคอมพิวเตอร์ของท่านเด็ดขาด เพราะข้อมูลใน External driveจะถูกเข้ารหัสไปด้วย

*หาก เมื่อท่านรู้ตัวว่ากำลังติดไวรัสพวกเข้ารหัสไฟล์ ให้รีปปิดเครื่องทันที (วิธีที่เร็วสุดคือดึงปลั๊กออก)สังเกตุได้จากเครื่องจะช้ามาก วิธีนี้ก็ขึ้นอยู่กับว่ารู้ตัวเร็วแค่ไหนครับ เพราะไวรัสก็ต้องใช้เวลาในการเข้ารหัสไฟล์ (แต่ไม่นาน) ขึ้นอยู่กับว่าเครื่องมีข้อมูล ไฟล์ที่เป็นเป้าหมายมากน้อยแค่ไหน (แต่ผู้ใช้ส่วนใหญ่ จะไม่ทราบว่ากำลังติดไวรัส) แล้วห้ามเปิดเครื่องอีก ให้ถอด harddisk ไปต่อกับเครื่องอื่่นแล้ว scan ไวรัส หรือเปิดเครื่องแล้ว set ให้ boot จาก Rescue CD แทนครับ

1. Malwarebyte Anti Malware Malwarebytes Anti Malware Download link
2. HitManPro HitmanPro Download link


หมายเหตุ :
ตัวเลือกอื่นๆ ที่ใช้กำจัด Crypt0L0cker
EMSISOFT EMERGENCY KIT
RogueKiller
Kaspersky Rescue Disk
Avira AntiVir Rescue CD

วิธีกู้ไฟล์
Crypt0L0cker จะพยายามที่จะลบสำเนาไฟล์ทั้งหมด ถ้าโชคดี อาจกู้คืนด้วย shadow copies 
(แต่ส่วนใหญ่ไฟล์พวก Restore จะถูก delete ทิ้งไปด้วย) ทั้งนี้ทั้งนั้น การ Restore หรือทำ shadow copies  จะทำได้ไม่ได้ ก็ขึ้นอยู่กับว่า เราได้ทำการเปิด เปิด system restore ไว้ก่อนที่จะติดไวรัสหรือเปล่า)
Option 1. กด shadow copies Shadowexplorer Download link
Option 2. กู้ไฟล์ โดยใช้โปรแกรมกู้ไฟล์ตัวไหนก็ได้ (แนะนำลองใช้ Recuva ดูก่อน) เนื่องจากก่อนที่ไวรัสจะเข้ารหัสไฟล์และลบไฟล์ต้นฉบับทิ้ง ไวรัสจะสำเนาไฟล์และเข้ารหัสไฟล์ที่ได้สำเนาไว้จากนั้นจึงลบไฟล์ต้นฉบับทิ้ง ทำให้แนวทางการใช้โปรแกรมกู้ไฟล์มีโอกาสได้ข้อมูลกลับคืน (แต่มีข้อแนะนำว่า หลังจากติดไวรัสไม่ ไม่ควร copy ไฟล์อะไรที่ไม่จำเป็นลงใน harddisk เพราะไฟล์ต้นฉบับอาจถูกเขียนทับได้ครับ)

Recuva
EaseUS Data Recovery Wizard Free
R-Studio (shareware)




3. เมื่อกำจัดไวรัสเรียบร้อยแล้ว แนะจำให้ติดตัังโปรแกรมพวก Crypto Prevention ดูเพิ่มเติมจาก Link นี้นะครับ
http://www.malwarefighting.blogspot.com/2015/06/cryptoprevent-tool.html
http://www.malwarefighting.blogspot.com/2015/06/ransomware-fighter-tool.html

Repair File
กรณีไฟล์ ที่กู้ หรือถอดรหัสได้ แต่ไม่สามารถเปิดได้ แนะนำให้ใช้โปรแกรมซ่อมแซมไฟล์คือ
File Repair
http://www.malwarefighting.blogspot.com/2015/07/repair-file-tool-decrypt-ransomware.html/2015/07/repair-file-tool-decrypt-ransomware.html

บางไฟล์อาจจะได้ร้บความเสียหายจนซ่อมไม่ได้นะครับ (ทำใจไว้เผื่อเลยครับ)

 *******************************************************************
ใครที่ติดจะลองทดสอบถอดรหัสผ่าน Decrypt Tool พวกนี้ดูก็ได้นะครับ เผื่อว่ามีการ Update เผื่อข้อมูลการถอดรหัสแล้ว (แต่คิดว่ายังถอดไม่ได้ เนื่องจากเหตุผลที่ได้อธิบายไว้ตั่้งแต่ต้นครับ)
Noransom.kaspersky.com
TorrentUnlock De-ransom DecryptoFixer By Nathan Scott
Panda Unransom by pandasecurity.com
Free decryption for Dr.Web commercial customers

สุดท้ายอย่าลืมสำรองข้อมูลเก็บกันไว้บ้างนะครับ
ขอให้โชคดีทุกท่านครับ

Locker Unlocker : โปรแกรมถอดรหัสลับข้อมูลที่ติด Ransomware

ผู้เขียน: ทีมไทยเซิร์ต
วันที่ประกาศ: 9 มิถุนายน 2558
ปรับปรุงล่าสุด: 9 มิถุนายน 2558

ปัจจุบันหลายประเทศทั่วโลกรวมถึงประเทศไทยกำลังได้รับผลกระทบจากการโจมตี ด้วย Ransomware ซึ่งเป็นมัลแวร์ที่เข้ารหัสลับข้อมูล เช่น ไฟล์เอกสาร ทำให้เปิดใช้งานไม่ได้และเรียกร้องเงินเพื่อแลกกับการทำให้สามารถใช้งานได้ อีกครั้ง
ความน่ากลัวของมัลแวร์ประเภทนี้อยู่ตรงที่การจะถอดรหัสลับข้อมูลเพื่อให้ กลับมาใช้งานได้อีกครั้งเป็นเรื่องค่อนข้างยาก แต่ที่ผ่านมาก็มีการพบจุดอ่อนในกระบวนการทำงานของ Ransomware บางสายพันธุ์ ทำให้สามารถถอดรหัสลับข้อมูลได้ ล่าสุดมีข่าวการเผยแพร่เครื่องมือชื่อ Locker Unlocker สำหรับถอดรหัสลับข้อมูลที่ถูกเข้ารหัสลับโดย Ransomware สายพันธุ์ Locker ไทยเซิร์ตจึงได้ทำการวิเคราะห์เครื่องมือดังกล่าว รวมถึงแนะนำเครื่องอื่น ๆ ที่ใช้ในการถอดรหัสลับข้อมูลในบทความนี้

การวิเคราะห์โปรแกรม Locker Unlocker

เมื่อวันที่ 30 พฤษภาคม มีผู้ที่อ้างว่าเป็นคนสร้างมัลแวร์ Locker ได้เผยแพร่ข้อมูล Private Key [1] [2] ที่สามารถใช้ในการถอดรหัสลับไฟล์ที่ถูกเข้ารหัสลับบนเครื่องของเหยื่อได้ โดยลักษณะข้อมูลที่เผยแพร่ประกอบด้วยรายการ Private key, Public key กับ Bitcoin Address ของเหยื่อแต่ละคน ทำให้ทราบว่า ไฟล์ของเหยื่อที่ถูกเข้ารหัสลับไว้นั้น ถูกเข้ารหัสลับด้วยกุญแจอะไรและใช้ Bitcoin Address อะไรในการจ่ายเงินเรียกค่าไถ่
ต่อมาเมื่อวันที่ 31 พฤษภาคม นาย Nathan Scott นักวิเคราะห์และเคยพัฒนาเครื่องมือเกี่ยวกับการตรวจสอบ Ransonware [3] ได้เผยแพร่เครื่องมือ Locker Unlocker เมื่อเปิดใช้งานจะมีหน้าตาดังรูปที่ 1 ซึ่งใช้สำหรับถอดรหัสลับข้อมูลที่ถูกเข้ารหัสลับโดย Ransomware สายพันธุ์ Locker ดังรูปที่2 [4]

รูปที่ 1 ลักษณะของโปรแกรม Locker Unlocker

รูปที่ 2 ลักษณะของ Ransomware สายพันธุ์ Locker

จากข้อมูลเครื่องมือดังกล่าวนั้น เมื่อมีการนำไปตรวจสอบผ่านเว็บไซต์ ได้แก่ Virus Total [5] และ Metascan Online [6] ซึ่งเป็นบริการที่ใช้ตรวจสอบไฟล์ที่ต้องสงสัยว่าจะเป็นมัลแวร์หรือไม่ โดยตรวจสอบจาก Anti virus หลายๆแหล่ง ก็แสดงผลลัพธ์ว่าอาจมีพฤติกรรมในลักษณะโปรแกรมแฝงโฆษณา (Adware) หรือดาวน์โหลดโปรแกรมอื่นเข้ามาติดตั้งยังเครื่องผู้ใช้ได้ (Downloader) ดังรูปที่ 2

รูปที่ 3 แสดงการตรวจสอบโปรแกรมจาก virus total และ metascan-online

อย่างไรก็ตามนาย Nathan Scott ได้เผยแพร่ Source Code ของโปรแกรมดังกล่าวแล้วในภายหลัง ซึ่งสามารถตรวจสอบได้ว่ามีการทำงานที่ไม่เหมาะสมแฝงมาในโปรแกรมหรือไม่ [7] หากผู้ใช้ที่ตกเป็นเหยื่อต้องการใช้งาน ควรใช้งานในเครื่องที่ไม่มีข้อมูลสำคัญ เพื่อใช้ถอดรหัสไฟล์ที่ต้องการและทำการฟอร์แมตเครื่องใหม่เพื่อป้องกัน โปรแกรมแอบแสดงพฤติกรรมไม่พึงประสงค์หรือดาวน์โหลดมัลแวร์อื่นมาติดตั้งใน เครื่อง
จากข้อมูลดังกล่าว ไทยเซิร์ตวิเคราะห์การทำงานของ Locker Unlocker พบข้อสังเกตที่น่าสนใจว่า มีการเก็บฐานข้อมูล Private Key, Public key และ Bitcoin Address ในโปรแกรมที่ติดตั้งแล้ว โดยข้อมูลดังกล่าวไม่ได้มีการดาวน์โหลดจากอินเทอร์เน็ต ดังรูปที่ 4

รูปที่ 4 แสดงฐานข้อมูล Private Key และ Bitcoin Address

อย่างไรก็ตาม ไทยเซิร์ตยังไม่เคยได้รับแจ้งถึง Ransomware สายพันธุ์ Locker จากผู้ใช้ภายในประเทศไทย ซึ่งหากผู้ใช้ที่ตกเป็นเหยื่อ Ransomware สายพันธุ์อื่น ๆ เช่น CryptoLocker จะไม่สามารถใช้งานได้ ดังรูปที่ 5 และ 6

รูปที่ 5 แสดงข้อความหลังจากติด Ransomware สายพันธุ์ CryptoLocker

รูปที่ 6 แสดงข้อความว่าหา Private Key ไม่พบหลังจากใส่ค่า Bitcoin Address ใน LockerUnlocker ของเครื่องที่ติด CryptoLocker

จากข้อมูลข้างต้นแสดงให้เห็นว่าโปรแกรมดังกล่าวไม่สามารถถอดรหัสลับไฟล์ ที่ติดจาก Ransomware ตระกูลอื่น ๆ ได้ นอกจากนี้เนื่องจากโปรแกรมอาศัยการระบุ Private key จากฐานข้อมูล Private key ที่รวบรวมไว้ก่อนหน้า ดังนั้นก็มีโอกาสที่โปรแกรมใช้งานไม่ได้กับผู้ที่ตกเป็นเหยื่อรายใหม่ เนื่องจากโปรแกรมไม่มีการเชื่อมต่อเพื่ออัปเดตฐานข้อมูล ผู้ใช้อาจต้องคอยติดตามการอัปเดตโปรแกรมจากผู้พัฒนาในภายหลัง

เครื่องมืออื่น ๆ สำหรับถอดรหัสลับข้อมูลที่ถูกเข้ารหัสลับโดย Ransomware

ถึงแม้ว่าข้อมูลที่ถูกเข้ารหัสลับ Ransomware ส่วนใหญ่จะไม่สามารถถอดรหัสลับหรือกู้คืนให้กลับมาใช้งานได้ อย่างไรก็ตามในปัจจุบัน มีบริการออนไลน์และโปรแกรมที่ช่วยถอดรหัสลับข้อมูล Ransomware บางสายพันธุ์ เช่น Cryptolocker, CoinVault หรือ TeslaCrypt ซึ่งอาจสามารถทดลองใช้งาน (อาจใช้ไม่ได้กับมัลแวร์เวอร์ชันใหม่) โดยมีข้อมูลดังต่อไปนี้

• บริการถอดรหัสลับข้อมูลที่ถูกเข้ารหัสลับโดย Cryptolocker

รูปที่ 7 ตัวอย่างหน้าต่างที่แสดงโดย Cryptolocker

• บริการถอดรหัสลับข้อมูลที่ถูกเข้ารหัสลับโดย CoinVault

รูปที่ 8 ตัวอย่างหน้าต่างที่แสดงโดย CoinVault

• โปรแกรมถอดรหัสลับข้อมูลที่ถูกเข้ารหัสลับโดย TeslaCrypt[8]

รูปที่ 9 ตัวอย่างหน้าต่างที่แสดงโดย TeslaCrypt

• โปรแกรมกู้ไฟล์ดั้งเดิมที่ถูกลบก่อนถูกเข้ารหัสลับโดย Bit Cryptor

รูปที่ 10 ตัวอย่างหน้าต่างที่แสดงโดย Bit Cryptor

• โปรแกรมถอดรหัสลับข้อมูลที่ถูกเข้ารหัสลับโดย CryptoDefense [9] [10]

รูปที่ 11 ตัวอย่างหน้าต่างที่แสดงโดย CryptoDefense

• โปรแกรมถอดรหัสลับข้อมูลที่ถูกเข้ารหัสลับโดย Operation Global III[11]

รูปที่ 12 ตัวอย่างหน้าต่างที่แสดงโดย Operation Global III

• โปรแกรมถอดรหัสลับข้อมูลที่ถูกเข้ารหัสลับโดย PClock [12]

รูปที่ 13 ตัวอย่างหน้าต่างที่แสดงโดย PClock

• โปรแกรมถอดรหัสลับข้อมูลที่ถูกเข้ารหัสลับโดย TorrentLocker[13]

รูปที่ 14 ตัวอย่างหน้าต่างที่แสดงโดย TorrentLocker

การกู้คืนข้อมูลด้วย Shadow Volume Copies
นอกจากนี้หากเครื่องที่ติดมัลแวร์เป็นระบบปฏิบัติการณ์ Winows 7 ขึ้นไป ผู้ใช้สามารถทดลองใช้งาน Shadow Volume Copies ซึ่งเป็นฟีเจอร์ของ Windows สำหรับสำรองข้อมูล ในการกู้คืนไฟล์เดิมได้ อย่างไรก็ตามวิธีนี้อาจไม่ได้ผลหาก Ransomware ลบข้อมูลที่ถูกสำรองไว้ สำหรับวิธีการใช้งานเป็นไปดังขั้นตอนตามรูปที่ 15-19

รูปที่ 15-19 แสดงขั้นตอนการใช้งานฟังก์ชัน Shadow volumn copies บนระบบปฏิบัติการณ์วินโดวส์ ในการกู้คืนไฟล์ที่ถูกเข้ารหัสลับของมัลแวร์ CTB-Locker

ถึงแม้ว่าจะมีเครื่องมือที่ช่วยในการถอดรหัสลับข้อมูลสำหรับ Ransomware บางสายพันธุ์ แต่เครื่องมือส่วนใหญ่ก็อาจไม่สามารถใช้งานได้กับผู้ที่ตกเป็นเหยื่อรายใหม่ เนื่องจาก Ransomware เวอร์ชันใหม่ได้ปิดจุดอ่อนแล้ว ดังนั้นผู้ใช้ควรตระหนักในการป้องกันไม่ให้ติดมัลแวร์รวมถึงสำรองข้อมูล อย่างสม่ำเสมอ สำหรับข้อแนะนำอื่น ๆ ผู้ใช้สามารถศึกษาได้จาก Infographic “ThaiCERT แจ้งเตือนและแนะนำวิธีป้องกันความเสียหายจาก Ransomware”

อ้างอิง

1. http://pastebin.com/1WZGqrUH
2. http://www.bleepingcomputer.com/forums/t/577953/locker-developer-releases-private-key-database-and-3rd-party-decrypter-released/
3. https://twitter.com/DecrypterFixer
4. http://www.bleepingcomputer.com/forums/t/577246/locker-ransomware-support-topic/page-32#entry3721545
5. https://www.virustotal.com/en/file/58666903e617304e294e8551f1eefc3417c276e897284cd330441fd94334ee6c/analysis/1433315369/
6. https://www.metascan-online.com/en/scanresult/file/d48061c8d902453e8d0fa079474c5e69
7. http://www.bleepingcomputer.com/forums/t/577246/locker-ransomware-support-topic/page-39#entry3724234
8. http://blogs.cisco.com/security/talos/teslacrypt
9. http://www.bleepingcomputer.com/virus-removal/cryptodefense-ransomware-information#emsisoft
10. http://www.thewindowsclub.com/cryptodefense-ransomware
11. http://www.bleepingcomputer.com/forums/t/559220/operation-global-iii-ransomware-not-only-encrypts-but-infects-your-data-as-well
12. http://www.bleepingcomputer.com/forums/t/561970/new-pclock-cryptolocker-ransomware-discovered/
13. http://www.bleepingcomputer.com/forums/t/547708/torrentlocker-ransomware-cracked-and-decrypter-has-been-made/