A ferramenta Kaspersky RakhniDecryptor descriptografa os arquivos que foram alterados de acordo com os seguintes padrões:

• Trojan-Ransom.Win32.Ragnarok:
  • <nome_do_arquivo>.<ID>.thor
  • <nome_do_arquivo>.<ID>.odin
  • <nome_do_arquivo>.<ID>.hela
• Trojan-Ransom.Win32.Fonix:
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.E-mail=[<correio>@<servidor>.<domínio>]ID=[<id>].XINOF
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.E-mail=[<correio>@<servidor>.<domínio>]ID=[<id>].FONIX
• Trojan-Ransom.Win32.Rakhni:
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.locked
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.kraken
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.darkness
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.oshit
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.nochance
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.oplata@qq_com
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.relock@qq_com
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.crypto
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.helpdecrypt@ukr.net
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.p***a@qq_com
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.dyatel@qq_com
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.nalog@qq_com
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.chifrator@gmail_com
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.gruzin@qq_com
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.troyancoder@gmail_com
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.coderksu@gmail_com_id373
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.coderksu@gmail_com_id371
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.coderksu@gmail_com_id372
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.coderksu@gmail_com_id374
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.coderksu@gmail_com_id375
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.coderksu@gmail_com_id376
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.coderksu@gmail_com_id392
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.coderksu@gmail_com_id357
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.coderksu@gmail_com_id356
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.coderksu@gmail_com_id358
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.coderksu@gmail_com_id359
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.coderksu@gmail_com_id360
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.coderksu@gmail_com_id20

• Trojan-Ransom.Win32.Mor: <nome_do_arquivo>.<extensão_original_do_arquivo>_crypt
• Trojan-Ransom.Win32.Autoit: <nome_do_arquivo>.<extensão_original_do_arquivo>.<_crypt@india.com_.letters>
• Trojan-Ransom.MSIL.Lortok:
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.cry
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.AES256
• Trojan-Ransom.MSIL.Yatron: <nome_do_arquivo>.<extensão_original_do_arquivo>.Yatron
• Trojan-Ransom.AndroidOS.Pletor: <nome_do_arquivo>.<extensão_original_do_arquivo>.enc
• Trojan-Ransom.Win32.Agent.iih: <nome_do_arquivo>.<extensão_original_do_arquivo>+<hb15>
• Trojan-Ransom.Win32.CryFile: <nome_do_arquivo>.<extensão_original_do_arquivo>.encrypted
• Trojan-Ransom.Win32.Democry:
  • <nome_do_arquivo>.<extensão_original_do_arquivo>+<._data-hora_$e-mail@domínio$.777>
  • <nome_do_arquivo>.<extensão_original_do_arquivo>+<._data-hora_$e-mail@domínio$.legion>
• Trojan-Ransom.Win32.GandCrypt:
  • versão 4: <nome_do_arquivo>.<extensão_original_do_arquivo>.KRAB
  • versão 5: <nome_do_arquivo>.<extensão_original_do_arquivo>.<linha_de_caracteres_randômicos>
• Trojan-Ransom.Win32.Bitman ver. 3:
  • <nome_do_arquivo>.xxx
  • <nome_do_arquivo>.ttt
  • <nome_do_arquivo>.micro
  • <nome_do_arquivo>.mp3
• Trojan-Ransom.Win32.Bitman ver. 4: <nome_do_arquivo>.<extensão_original_do_arquivo> (o nome do arquivo e a sua extensão não mudam).
• Trojan-Ransom.Win32.Libra:
  • <nome_do_arquivo>.encrypted
  • <nome_do_arquivo>.locked
  • <nome_do_arquivo>.SecureCrypted
• Trojan-Ransom.MSIL.Lobzik:
  • <nome_do_arquivo>.fun
  • <nome_do_arquivo>.gws
  • <nome_do_arquivo>.btc
  • <nome_do_arquivo>.AFD
  • <nome_do_arquivo>.porno
  • <nome_do_arquivo>.pornoransom
  • <nome_do_arquivo>.epic
  • <nome_do_arquivo>.encrypted
  • <nome_do_arquivo>.J
  • <nome_do_arquivo>.payransom
  • <nome_do_arquivo>.paybtcs
  • <nome_do_arquivo>.paymds
  • <nome_do_arquivo>.paymrss
  • <nome_do_arquivo>.paymrts
  • <nome_do_arquivo>.paymst
  • <nome_do_arquivo>.paymts
  • <nome_do_arquivo>.gefickt
  • <nome_do_arquivo>.uk-dealer@sigaint.org
• Trojan-Ransom.Win32.Mircop:<Lock>.<nome_do_arquivo>.<extensão_original_do_arquivo>
• Trojan-Ransom.Win32.Crusis (Dharma):
  • <nome_do_arquivo>.ID<…>.<correio>@<servidor>.<domínio>.xtbl
  • <nome_do_arquivo>.ID<…>.<correio>@<servidor>.<domínio>.CrySiS
  • <nome_do_arquivo>.id<…>.<correio>@<servidor>.<domínio>.xtbl
  • <nome_do_arquivo>.id<…>.<correio>@<servidor>.<domínio>.wallet
  • <nome_do_arquivo>.id<…>.<correio>@<servidor>.<domínio>.dharma
  • <nome_do_arquivo>.id<…>.<correio>@<servidor>.<domínio>.onion
  • <nome_do_arquivo>.<correio>@<servidor>.<domínio>.wallet
  • <nome_do_arquivo>.<correio>@<servidor>.<domínio>.dharma
  • <nome_do_arquivo>.<correio>@<servidor>.<domínio>.onion

• Exemplos de alguns endereços de e-mail usados para disseminar programas maliciosos:

  • webmafia@asia.com
  • braker@plague.life
  • crannbest@foxmail.com
  • amagnus@india.com
  • stopper@india.com
  • bitcoin143@india.com
  • worm01@india.com
  • funa@india.com
  • pay4help@india.com
  • lavandos@dr.com
  • mkgoro@india.com
• Trojan-Ransom.Win32.Crypren.afjh (FortuneCrypt) (o nome do arquivo e a sua extensão não mudam).
• Trojan-Ransom.Win32.Nemchig: <nome_do_arquivo>.<extensão_original_do_arquivo>.safefiles32@mail.ru
• Trojan-Ransom.Win32.Lamer:
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.bloked
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.cripaaaa
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.smit
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.fajlovnet
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.filesfucked
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.criptx
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.gopaymeb
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.cripted
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.bnmntftfmn
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.criptiks
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.cripttt
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.hithere
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.aga
• Trojan-Ransom.Win32.Cryptokluchen:
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.AMBA
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.PLAGUE17
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.ktldll
• Trojan-Ransom.Win32.Rotor:
  • <nome_do_arquivo>.<extensão_original_do_arquivo>..-.DIRECTORAT1C@GMAIL.COM.roto
  • <nome_do_arquivo>.<extensão_original_do_arquivo>..-.CRYPTSb@GMAIL.COM.roto
  • <nome_do_arquivo>.<extensão_original_do_arquivo>..-.DIRECTORAT1C8@GMAIL.COM.roto
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.!______________DESKRYPTEDN81@GMAIL.COM.crypt
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.!___prosschiff@gmail.com_.crypt
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.!_______GASWAGEN123@GMAIL.COM____.crypt
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.!_________pkigxdaq@bk.ru_______.crypt
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.!____moskali1993@mail.ru___.crypt
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.!==helpsend369@gmail.com==.crypt
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.!-==kronstar21@gmail.com=--.crypt

• Trojan-Ransom.Win32.Chimera:
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.crypt
  • <nome_do_arquivo>.<extensão_original_do_arquivo>.<4 random tokens>
• Trojan-Ransom.Win32.AecHu:
  • <nome_do_arquivo>.aes256
  • <nome_do_arquivo>.aes_ni
  • <nome_do_arquivo>.aes_ni_gov
  • <nome_do_arquivo>.aes_ni_0day
  • <nome_do_arquivo>.lock
  • <nome_do_arquivo>.decrypr_helper@freemail_hu
  • <nome_do_arquivo>.decrypr_helper@india.com
  • <nome_do_arquivo>.~xdata
• Trojan-Ransom.Win32.Jaff:
  • <nome_do_arquivo>.jaff
  • <nome_do_arquivo>.wlu
  • <nome_do_arquivo>.sVn

• Trojan-Ransom.Win32.Cryakl: e-mail-<...>.ver-<...>.id-<...>.randomname-<...>.<randomextension>

• Versão dos programas maliciosos	Endereço de e-mail
  CL 1.0.0.0	cryptolocker@aol.com iizomer@aol.com seven_Legion2@aol.com oduvansh@aol.com ivanivanov34@aol.com trojanencoder@aol.com load180@aol.com moshiax@aol.com vpupkin3@aol.com watnik91@aol.com
  1.0.0.0.u	cryptolocker@aol.com_graf1 cryptolocker@aol.com_mod byaki_buki@aol.com_mod2
  CL 1.2.0.0	oduvansh@aol.com cryptolocker@aol.com
  CL 1.3.0.0	cryptolocker@aol.com
  CL 1.3.1.0	byaki_buki@aol.com byaki_buki@aol.com_grafdrkula@gmail.com vpupkin3@aol.com

Para saber mais sobre as tecnologias que a Kaspersky usa para proteger contra programas maliciosos, acesse esta página.

1. Baixe o RakhniDecryptor.zip e extraia os arquivos a partir do arquivo compactado. Para obter instruções, consulte este artigo (em inglês).
2. Abra a pasta contendo os arquivos extraídos.
3. Execute o RakhniDecryptor.exe.

4. Clique no link Change parameters.

5. Selecione os objetos a serem verificados (discos rígidos / unidades removíveis / unidades de rede).
6. Marque a caixa de seleção Delete crypted files after decryption. Nesse caso, a ferramenta removerá as cópias de arquivos criptografados com as extensões LOCKED, KRAKEN, DARKNESS etc.
7. Clique em OK.

8. Clique em Start scan.

9. Selecione o arquivo criptografado e clique em Open.

10. Leia o aviso e clique em OK.

Os arquivos serão descriptografados

O arquivo com a extensão CRYPT pode ser criptografado mais de uma vez. Por exemplo, caso o arquivo test.doc esteja criptografado duas vezes, a ferramenta decodificará a primeira camada no arquivo test.1.doc.layerDecryptedKLR. Na ferramenta do relatório de desempenho, será visualizado: «Decriptação bem-sucedida: disco:\caminho\test.doc_crypt -> disco:\caminho\test.1.doc.layerDecryptedKLR». Será necessário descriptografar o arquivo mais uma vez. Se a descriptografia for bem-sucedida, o arquivo será salvo com o nome original test.doc.

Por questões de conveniência e economia de tempo, o Kaspersky RakhniDecryptor é compatível com os seguintes parâmetros de linha de comando:

Caso o utilitário não ajude, entre em contato com o Suporte Técnico da Kaspersky, selecionando o tópico e preenchendo o formulário.