協助工具：如何使用趨勢科技勒索病毒解密器

請將「RansomwareFileDecryptor」進行解壓縮（解開壓縮檔）

使用「系統管理員身分執行」RansomwareFileDecryptor.exe 檔案

啟動後，請點選「Agree」接受《最終用戶許可協議》（EULA）才能進入主要的使用者介面

請點選「Select」開始

選擇勒索病毒名稱

大多數勒索病毒通常會包含一個文字檔或 HTML 檔案，告知用戶其系統已被某種類型的勒索病毒感染。根據這些資訊，受感染的用戶可以選擇懷疑的勒索病毒名稱來解密文件。若用戶無法辨識勒索病毒的類型，應聯繫趨勢科技技術支援尋求進一步協助。

注意：當選擇「我不知道勒索病毒名稱」選項時，工具會提示用戶選擇一個目標文件進行解密，並會根據文件的簽名自動嘗試識別勒索病毒。

選擇加密的檔案或資料夾

該工具可以嘗試解密單個檔案或使用遞歸模式解密資料夾及其子資料夾中的所有檔案。

請選擇一個資料夾或檔案後，再點擊「OK」開始解密過程。

開始解密檔案

選擇檔案或資料夾後，工具將自動開始掃描並解密檔案。

如果掃描目標是資料夾，工具將首先收集目標資料夾中的一些檔案資訊，以幫助識別需要解密的檔案。在掃描過程中，進度條會顯示解密進度，並且使用者介面會更新，顯示已加密的檔案數量以及已解密的檔案數量。

該工具可以非常快速地解密某些類型的勒索病毒加密檔案（例如 TeslaCrypt）。然而，其他類型的檔案（例如 CryptXXX）可能需要較長的時間。整體所需的時間也取決於目標資料夾中檔案的數量。

如果在掃描過程中點擊Stop，該過程將會中斷。

解密 CryptXXX V1、XORIST、XORBAT、NEMUCOD 或 TeleCrypt（可選）

如果工具識別到檔案是由上述提到的某一種勒索病毒加密的，它將要求用戶提供額外的資訊以繼續進行，因為這些特定的解密過程需要一些特殊處理。

在選擇上述突顯的「click here」選項後，將會出現另一個對話框，要求用戶提供一對檔案。如果有可用的備份副本，用戶需要選擇一個被感染的檔案和一個匹配的未感染檔案（檔案越大越好）。

完成解密檔案

掃描和解密過程完成後，使用者介面將顯示結果。

點擊查看已加密檔案後，工具將打開先前選擇進行掃描的已加密檔案位置或資料夾。解密後的檔案將保留在開啟的資料夾中。

解密後的檔案名稱將與先前被加密的檔案名稱相同，唯一的區別是移除了勒索病毒所附加的副檔名。

對於那些加密後檔名未改變的檔案，解密後的檔案名稱將為 {原始檔名} decrypted.{副檔名}。

點擊Done後，工具將返回主介面。請重複步驟 1 和 2 以解密更多檔案。

由於這種特定的加密勒索病毒（Crypto-Ransomware）使用了高級加密技術，目前僅能對受 CryptXXX V3 影響的檔案進行部分數據解密。

工具在解密嘗試後，會嘗試修復某些檔案格式，包括 DOC、DOCX、XLS、XLSX、PPT 和 PPTX（常見的 Microsoft Office 檔案）。  修復後的檔案將與原始檔案同名，但檔名會加上 "_fixed" 並保存在相同位置。  當使用 Microsoft Office 打開修復後的檔案時，可能會顯示一條訊息，提示再次嘗試修復檔案，這個過程可能有助於恢復文檔。  請注意，由於 Microsoft Office 的不同版本和檔案行為，無法保證此方法能夠完全恢復文檔。

然而，對於其他經過部分數據解密的檔案，用戶可能需要使用第三方損壞檔案恢復工具（例如開源程式 JPEGSnoop*）來嘗試恢復完整檔案。

這個例子可以是照片或影像檔案，該檔案部分恢復顯示圖像的一部分，但不是整個圖像。用戶需要判斷該檔案是否足夠重要，值得使用第三方工具或尋求第三方專業檔案恢復服務的協助。

原始照片（CryptXXX V3 感染前）

部分數據解密後的照片

很遺憾，趨勢科技技術支援在第三方檔案恢復方面的協助將非常有限。

BadBlock 會加密關鍵的系統檔案，這可能會導致在重啟後操作系統（OS）無法正常啟動。如果被感染，由於這些檔案的敏感性，當工具嘗試解密這些檔案時，它會備份選定的原始加密 PE 檔案，並將“_bbbak”附加到檔名上。解密後，原始的 PE 檔案名稱將被恢復。對於非 PE 檔案，解密後的檔案名稱將是原始檔名，並加上“_decrypted”。

由於 BadBlock 可能以不同方式影響系統，因此工具可能會採用幾種不同的方法來嘗試解密受影響的檔案：

1. 如果系統已被感染且尚未重新啟動， 在這種情況下，用戶可以嘗試運行該工具，工具將嘗試解密受影響的檔案。
2. 如果系統在感染後已經重新啟動並且無法成功啟動進入操作系統， 在這種情況下，建議用戶從操作系統安裝映像（例如 Windows 恢復磁碟）或其他方法啟動，以嘗試將系統恢復到可以成功啟動的狀態，然後再嘗試運行該工具來解密其他檔案。
3. 如果無法通過上述的操作系統安裝映像來恢復系統操作系統， 在這種情況下，用戶可能需要將受影響的硬碟驅動器（HDD）物理移除，並將其安裝到另一台已知正常運行的系統作為額外的硬碟，然後嘗試在該系統上運行該工具。

CERBER 解密必須在被感染的機器上執行（而不是在另一台機器上），因為該工具需要嘗試定位第一個被感染的檔案，以進行關鍵的解密計算。

由於 CERBER 的解密方式，該工具在標準的 Intel i5 雙核機器上完成解密可能需要數小時（平均為 4 小時）。此外，CERBER 的加密邏輯設計使得 CPU 擁有更多核心時，解密成功的機率反而會較低，因為其加密過程較為複雜。

與其他類型的勒索病毒加密類似，某些檔案可能只會部分解密，並可能需要後續的檔案修復。

由於此工具使用暴力破解方式計算 Globe/Purge 的密鑰，解密過程可能需要超過二十（20）小時。平均解密時間從約十（10）小時（4 核心 CPU 機器）到三十（30）小時（單核 PC 機器）不等。

要解密 Globe/Purge V1，解密過程必須在最初被感染的機器上執行。

請注意，由於勒索病毒本身的錯誤，該工具無法在 FAT32 系統上解密檔案。這也是勒索病毒作者原始解密工具的限制之一。

該工具會在勒索病毒的進程記憶體中搜尋私人密鑰——這意味著它只有在原始的 WannaCry 勒索病毒進程仍然存在並且正在運行時才有效。如果被感染的機器重新啟動，勒索病毒進程在初始感染後被停止，或發生任何其他影響感染機器進程記憶體的情況，解密將會失敗。因此，使用者在嘗試使用該工具之前，務必不要重啟系統。

目前尚不清楚與私鑰相關的質數會在記憶體地址空間中存儲多長時間，直到被重新使用或覆寫。因此，在感染鏈的早期運行此工具比後期運行更具優勢。

根據 Trend Micro 內部測試，與其他版本的 Windows 相比，該工具在 Windows XP (x86) 機器上的成功率最高，但個別使用者的成功率可能會有所不同。

Petya 工具有一個特殊的用戶介面。若要將操作系統恢復到正常啟動，請按照以下步驟操作：

1. 在勒索病毒提示畫面上，選擇您機器上的 Petya 勒索病毒家族，然後從下拉選單中選擇一個螢幕字型顏色。

2. 在勒索病毒提示畫面上，將您的個人解密代碼輸入到相應的框中。

    

   解密代碼區分大小寫。

    
3. 點擊Decrypt Key按鈕，將解密密鑰顯示在文字框中。
4. 在受感染的機器上，輸入來自工具的解密密鑰，然後點擊Enter以重新啟動機器並將操作系統恢復到正常狀態。

點擊圖片以放大

趨勢科技勒索病毒檔案解密工具在執行過程中會將自身提取到以下臨時資料夾：

%User%\AppData\Local\Temp\TMRDTSelfExtract\

掃描完成後，會在此位置顯示一個名為「log」的資料夾，其中包含詳細的解密過程日誌，並附有不同的時間戳。

臨時目錄範例：

在log子資料夾中的日誌範例：

從版本 1.0.1657 開始，用戶可以通過工具直接選擇主菜單中的「反饋」按鈕，將反饋發送給趨勢科技。  

用戶可以選擇預先填充的答案之一，或者選擇「其他」並根據需要添加評論。

Trend Micro 已為客戶創建了一個計算機基礎訓練（CBT）模塊，提供有關如何運行該工具的說明。請點擊 此處 點擊以查看該模塊。

• TeslaCrypt V1、V2 解密工具現在已經單獨打包成一個獨立的工具包。e
• CryptXXX V2、V3 解密不支持純文字檔案。
• CryptXXX V3 解密不支援存檔或解密檔案大小大於13MB
• 請注意: CryptXXX V3加密的檔案無法完全恢復到100%（部分解密）, 請參閱上面的註釋 CryptXXX V3 部分解密
• CryptXXX V4 和 V5 解密過程可能無法恢復原始檔案名稱。每個檔案的解密可能需要長達 2 小時的時間。
• LeChiffre 解密應該在原始感染的機器上進行，因為它需要機器名稱和用戶名稱。
• Teamxrat/Xpan 解密工具必須在感染的機器上運行。
• WannaCry (WCRY) 解密僅對感染了勒索病毒且該勒索病毒進程仍然處於活動狀態的機器有效。目前，只有 Windows XP (x86) 的解密成功率較高
• 此工具僅能解密 2016 年發現的 Petya 家族，它加密了 NTFS 的 MFT。由於感染的機器無法正常啟動，您需要使用另一台 Windows 計算機來運行此工具。此 Petya 家族與 2017 年發現的 EternalPetya 家族不同。

• RansomwareFileDecryptor 1.0.1668 MUI.exe uploaded on November 16, 2017 at 17:40 GMT
• MD5: 5a64a4425aead92b9d9e1891be7572e3
• SHA-256: db8c550e5d92d913ea84ca29b59342eeba001d9c2beb8c2320f791346c1bc3cc