Ransomware File Decryptor decifra parzialmente anche CryptXXX V3

Trend Micro ha pubblicato da alcuni giorni il tool RansomwareFileDecryptor, un decryptor in grado di decifrare file criptati da diversi ransomware, che va ad aggiungersi al TeslaCryptDecryptor già disponibile da tempo. Il tool è in grado di recuperare file criptati da diverse versioni di cryptovirus, incluse (anche se in modo parziale) alcune varianti recenti del trojan CryptXXX oltre al noto TeslaCrypt in qualunque versione e alcuni trojan minori come SNSLocker, AutoLocky, BadBlock, 777, XORIST e XORBAT.

Il tool RansomwareFileDecryptor può essere scaricato da questo link, mentre la versione precedente del tool, TeslaCryptDecryptor, è disponibile a questo link.

Il tool RansomwareFileDecryptor di Trend Micro è in grado di decifrare file criptati dai seguenti ransomware:

• CryptXXX V1, V2, V3* [nome file cifrato: {nome originale del file}.crypt, crypz, o 5 caratteri esadecimali]
• TeslaCrypt V1** [nome file cifrato: {nome originale del file}.ECC]
• TeslaCrypt V2** [nome file cifrato: {nome originale del file}.VVV, CCC, ZZZ, AAA, ABC, XYZ]
• TeslaCrypt V3 [nome file cifrato: {nome originale del file}.XXX o TTT o MP3 o MICRO]
• TeslaCrypt V4 [il nome del nome file cifrato e l’estensione non cambiano]
• SNSLocker [nome file cifrato: {nome originale del file}.RSNSLocked]
• AutoLocky[nome file cifrato: {nome originale del file}.locky]
• BadBlock [il nome del nome file cifrato e l’estensione non cambiano]
• 777 [nome file cifrato: {nome originale del file}.777
• XORIST [nome file cifrato: {nome originale del file}.xorist o estensione casuale]
• XORBAT [nome file cifrato: {nome originale del file}.crypted]

* La decifratura dei file CryptXXX V3 potrebbe essere incompleta e recuperare soltanto una parte del file

** Utilizzare il tool “TeslacryptDecryptor 1.0.xxxx MUI” per i file cifrati da TeslaCrypt V1 e V2 files. Entrambi i tool invece supportano le versioni V3 e V4.

Le istruzioni dettagliate su come utilizzare il tool sono disponibili a questo link [WBM]. In particolare, vale la pena leggere le istruzioni su come decifrare i documenti criptati dal ransomware CryptXXX V3 dato che vi sono diverse limitazioni.

Trend Micro avvisa infatti che il tool RansomwareFileDecryptor tenta di decifrare a ripristinare alcuni formati di Microsoft Office come DOC, DOCX, XLS, XLSX, PPT e PPTX, che risulteranno avere il testo “_fixed” aggiunto al nome del file dopo la decifratura. Aprendo i file con Microsoft Office, si potrebbe ottenere un messaggio che chiede di riparare il file e questo potrebbe permettere di recuperare i file, senza però alcuna garanzia, in quanto in alcuni casi il processo potrebbe fallire. Il ripristino di altri tipi di file invece, quando soltanto parzialmente decifrati, potrebbe richiedere l’utilizzo di strumenti di terze parti, come ad esempio JPEGSnoop per i JPG.