作者ARay (ARay)
看板AntiVirus
標題Re: 檔案變成vvv檔
時間Wed Dec 23 19:20:26 2015
※ 引述《smallha (Denise Tsai)》之銘言：
: 公司電腦內的檔案包含word excel檔全變成附檔名為vvv檔，桌面背景也變了
: 似乎是中了病毒
: 很擔心 公司的資料不知道可否救回來
這兩天幫別人處理一樣的病毒 (TeslaCrypto)
判別現象如下：
1. 附檔名被加上了.vvv
2. 資料夾內多了類似 how_recovery_xxx.txt & html 檔
裡面大意就是你的檔案被使用RSA-4096加密了
付錢給我才給你金鑰解密還原
上網查了一些國外的討論
找到相關的解法，也完成了檔案的復原
(檔案還原回來都要感動到哭了)
這邊提供給需要的人參考：
https://github.com/Googulator/TeslaCrack
ps. 不確定是否適用每一種狀況，但目前看到有人成功，我也試過ok
建議不管什麼時候中毒，都不要絕望的把檔案刪除
記得備份下來等待，解法現在沒有但不久的未來可能會出現
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 118.168.70.162
※ 文章網址: https://webptt.com/m.aspx?n=bbs/AntiVirus/M.1450869633.A.FA0.html
1F：→ tsai82118: TeslaCrypto是第一代的，有解密程式可用。 12/23 19:54
2F：→ bestpika: 因為裡面有 3 組已知的 key 才能解的 12/23 21:27
3F：→ ARay: 每個人要拿到的key都不同 附上的網址其實最主要的重點就是 12/23 22:31
4F：→ ARay: 利用自己已經中毒被加密的檔案 去得到可以解碼的key的步驟 12/23 22:32
5F：→ ARay: 得到key的過程需要一些時間(需要跑一些運算程式) 12/23 22:33
6F：→ ARay: 我自己的經歷是花了差不多6個小時才跑出來 12/23 22:33
7F：推 denru01: 一開始的原因是作者偷懶, 現在已經不是這個情況了.... 12/24 02:19
8F：推 macgyver980: 昨晚我也莫明的中標了,開安全模式ok但是正常模式 12/24 17:25
9F：→ macgyver980: 就會慢慢的將檔案加上.VVV 12/24 17:26
10F：推 sogoso: 請問樓上m大，安全模式下，那些原本已中毒的檔案，能使用 12/24 23:16
11F：→ sogoso: ?如果可以，把檔案用隨身碟COPY到別台電腦使用，不知道是 12/24 23:17
12F：→ sogoso: 否可行! 12/24 23:18
13F：→ hinajian: 檔案本身就是已經被加密了沒辦法 12/24 23:57
14F：→ hinajian: 難道你自己加上密碼的RAR檔在安全模式會自動解密嗎 12/24 23:58
15F：推 yehmd: 請問m大，你的安全模式是有連網路的嗎？ 12/25 10:02
16F：推 oioio9887: 我也中了... 乖乖重灌，跟回憶SAY GOODBYE... 12/25 14:44
17F：推 philipmorris: 我中了~很難過~~多年來的照片全都不能看了~~ 12/25 23:09
18F：→ philipmorris: 現在只能先備份~等待有人能解開~~ 12/25 23:13
19F：→ abram: 到底是上哪一個網站中的啊 應該要檢舉出來 12/26 09:21
20F：推 macgyver980: 不行,檔案已被加密過,所以在安全模式下一樣點不開 12/26 13:29
21F：→ macgyver980: 我安全模式有連網,好在我重要的文件都放在外接碟 12/26 13:30
22F：推 yehmd: 哦哦～所以安全模式下連網是ok的……筆記 12/27 07:53
23F：推 kax0205: 真好 是舊版 新版還是無解 12/27 11:38
24F：→ philipmorris: 持續追蹤網路上的消息,目前無解~期待能有解決的一天 12/27 21:59
25F：→ philipmorris: 若是哪位大大得到了有解的資訊,請協助PO出來幫忙.謝 12/27 22:00
26F：→ ARay: 不確定大家說的新版舊版如何分別？我查到的.vvv算是蠻新的 12/28 02:14
28F：→ ARay: 先不管新舊，都可以透過文中提供的方式將檔案成功還原(破解) 12/28 02:18
29F：推 vmjulianking: 請問 這東西下載後怎麼執行 12/28 19:27
30F：推 yusy: 可以問一下rrk 是哪個變種體嗎？我google過沒有rrk 12/29 19:13
31F：→ yusy: 還是改的三碼是隨機的? 12/29 19:14
33F：推 philipmorris: 1mkkm1大提供的解法 我進行實測 初步報告如下: 01/02 00:59
34F：→ philipmorris: 我把中毒的檔案備份到另一顆硬碟 拆卸中毒的硬碟後 01/02 01:00
35F：→ philipmorris: 以備份的這顆硬碟開機 然後執行那個網址所說的解法 01/02 01:02
36F：→ philipmorris: 確實可以把檔案後面的.vvv解掉 01/02 01:03
37F：→ philipmorris: 如除了中毒的123.jpg.vvv檔 再多出一個123.jpg檔 01/02 01:04
38F：→ philipmorris: 不過這兩個檔案依然沒辦法打開 殘念~~ 01/02 01:04
39F：→ philipmorris: 我會再找時間已原本中毒那顆硬碟來測試 再來回報 01/02 01:05
40F：推 philipmorris: 狀況回報:使用原本中毒的那顆硬碟進行相同方法解密 01/02 14:37
41F：→ philipmorris: 無法解得 AES 公鑰.解碼失敗~ 期望有更新的解法出現 01/02 14:38
42F：推 long0718: 感謝 依照lmkkml網址步驟，真的解開了~ 01/03 11:53
43F：推 long0718: 有些檔案沒解開，後來發覺是簡體檔名，大家記得檢查 01/03 20:51
44F：推 philipmorris: 我解失敗後出現畫面如下 http : //ppt.cc/geK4i 01/03 21:35
45F：推 long0718: 再加一個，日文檔名也會沒解開，然後不同時間加密的 01/04 00:08
46F：→ long0718: 金鑰也不同的樣子..記得多檢查，以免還沒解開就刪掉了 01/04 00:09
47F：推 onelife: 算key算好久，剛剛終於跑完，試了幾個檔案真的可以解開! 01/04 19:57
48F：→ onelife: 我的資料竟然有救了 T口T;; 01/04 19:58
49F：→ onelife: 感謝各位大德分享資訊~~~ 01/04 19:58
50F：→ onelife: 另外要記得預設是用pdf算key，一開始沒注意用jpg白跑很久 01/04 20:00
51F：→ onelife: 還有我用yafu不知道為什麼算到一半都會出錯 01/04 20:01
52F：→ onelife: 改用Msieve才有跑完，但是Msieve只有單核，會算很久 01/04 20:01
53F：→ booboss: 請問命令提示字元該如何叫出 01/07 01:04
54F：→ booboss: 以及請問是手動輸入 鑰使密碼 抱歉用了很久解不開 01/07 01:06
55F：推 onelife: 開始>附屬應用程式>命令提示字元 點右鍵，選"以系統管理 01/07 15:37
56F：→ onelife: 員"身分執行 01/07 15:37
58F：推 booboss: 謝謝您的回覆 我是照網址下去執行 01/07 21:18
59F：→ booboss: 只是卡關在命令指示字元那 不知如何輸入資料夾路徑指令哈 01/07 21:29
60F：推 philipmorris: 我總算解開來了, 謝謝. 01/08 22:58
62F：→ philipmorris: yafu和msieve都不斷重複一直試一直試 就突然解開了 01/08 23:02
63F：推 D93Y3: 請問大家用msieve都跑多久？我的5天了還沒停 01/12 18:15
64F：→ philipmorris: 很久~真的很久~我有跑2-3天 跑久沒關係 解開就好 01/12 22:37
65F：→ D93Y3: 了解～再讓他繼續希望能有結果，感謝囉 01/13 14:18
66F：推 lmkkml: 給還在努力解碼或解不出來已經放棄的人：可以到下面網址 01/14 14:02
67F：→ lmkkml: 請好心外國人幫忙跑因式分解的這個步驟 01/14 14:03