2016-01-09

翻訳vvvウィルス(TeslaCrypt)の削除と復旧手順

原文:https://community.spiceworks.com/how_to/125475-teslacrypt-2-2-0-removal-and-decryption

原題:TeslaCrypt 2.2.0 Removal and Decryption

原著者:Isaac Rush's (hewhowearsascarf) Portfolio of IT Projects - Spiceworks 氏 (Thank you for your contribution! This article is a translation of your post.)

翻訳日:2016年1月9日

はじめに

私たちワークステーションのうちの一つがTeslacryptランサムウェア感染しました。すべての文書暗号化され、拡張子vvvに変えられました。マルウェア感染のにおいて最も安全回復方法コンピューターワイプしてバックアップから復元させることです。しかし、それは場合によっては選択肢にならないことがあります私たち場合ユーザローカルコンピュータに何のバックアップもとっていませんでした。それで、私たちランサムウェアを取り除く方法ファイルを復号する方法確認する必要がありました。復号を達成させてくれたPythonスクリプトの作者であるGoogulatorに大きな感謝を送りますhttps://github.com/Googulator/TeslaCrack

そこに書いてある説明に従うといいです。引用していくつか説明を付けたものを以下に用意しました。元の記事にはたくさんの指示が書いてありますが、私たちが行った手順は以下の通りです。

手順(全25ステップ)

1. コンピュータからTeslaCryptランサムウェアを取り除く

セーフモード再起動し、Malwarebytes scanを走らせて、見つかったすべてのマルウェアを削除します。私は複数の信頼できるマルウェアクリーナーを使ってこれが消えたか確認することをお勧めします。必要だと言われたら再起動します。これでウィルスはきれいになったはずです。次はドキュメントを復号します。

2. この説明を見よう: https://github.com/Googulator/TeslaCrack.

私たちPythonスクリプトを使って、AES公開鍵特定して、その数値を因数分解して、それから秘密鍵特定して、そしてファイルを一つ復号します。一度復号に成功したら、コンピュータすべてを対象に実行できます。できるなら、多く速く処理するために他のコンピューターを使ってください。

3. https://github.com/Googulator/TeslaCrack/archive/master.zipダウンロードして「C:\decrypt」に展開する
4. VVV暗号化されたドキュメントを一つ、このフォルダ「C:\decrypt」にコピーする
5. Python 2.7 64-bit release をダウンロードする。 https://www.python.org

インストール管理者権限で行ってください。また、インストール中の操作で、Pythonパスに追加するオプションを必ず選択すること。

6. 管理者権限コマンドプロンプトを開き、以下のコマンドを実行する:

python -c "import urllib2; print urllib2.urlopen('https://bootstrap.pypa.io/ez_setup.py').read()"; | python easy_install pip

pip install http://www.voidspace.org.uk/python/pycrypto-2.6.1/pycrypto-2.6.1-cp27-none-win_amd64.whl

pip install ecdsa

7. コマンドを実行する: python teslacrack.py .

私の実行結果は以下の通りです:

Cannot decrypt ./VENDOR LISTING BY CATAGORY.xlsx.vvv, unknown key

Software has encountered the following unknown AES keys, please crack them first using msieve: A1373BCF4EDB39BCFEDD44FA86A82498410A7E83456D8E80E52966F6717CB8B8E5846BBC7A540647AE770FEDEAA0E7F8A0466082156DB332A757407A12C9FB0 found in ./VENDOR LISTING BY CATAGORY.xlsx.vvv

Alternatively, you can crack the following Bitcoin key(s) using msieve, and use them with TeslaDecoder: 5ECA19D475A313AC3DEF915CE6FA37BE012CD1676590C8F253135A3AD92345B78C32C46DB3246ED84A7B9A8C62F1A13D2AF08F09FFB3551701E7B75CCC79457C found in ./VENDOR LISTING BY CATAGORY.xlsx.vvv

8. 最初の数値をクリップボードコピーする

私の場合は以下の値をコピーしました。 A1373BCF4EDB39BCFEDD484FA86A82498410A7E83456D8E80E52966F6717CB8B8E5846BBC7A540647AE770FEDEAA0E7F8A0466082156DB332A757407A12C9FB0

9. http://www.mobilefish.com/services/big_number/big_number.php に行って、16進数から10進数に変換する

さっきの数値はこのようになります: 8443554284208758706290725803426642738777516291375882082881197977752270634322152168104703798454983966849000112082164921264407639940139993317228747401502640

10. 因数分解のためにまず http://factordb.com/ で数値を入力する。

私の場合だと、8443554284208758706290725803426642738777516291375882082881197977752270634322152168104703798454983966849000112082164921264407639940139993317228747401502640 を入力して「Factorize!」を押してみました。もしあなたラッキーなら、画面の左端には「FF」と表示されるでしょう。これは完全に因数分解されていて、すべての因数がリストされていることを意味します。この場合あなたは以下のyafuを使う手順を行う必要はありません。unfactor.pyのところ(訳者注:手順19)までスキップできます

もし「CF」や「C」と表示された場合私たちはまず因数分解をするためにyafuを実行する必要があります因数分解ができたら、 factordb.com に戻ってその整数を下のほうにあるレポートフィールドからレポートしましょう。そうすることで、その数値が「FF」で表示されるようになります因数分解は数値の複雑さによって数時間・数日間・数週間かかります因数分解が終わったら、私たち秘密鍵を得るのに使用するたくさんの数値(因数)を得ていることでしょう。私はmsieve, yafuとこれらのバリエーションを試しました。これを動かすのは結構大変でした。いくつかの問題説明が不完全で、すべての構文を与えられていませんでした。しかし、ついに私はyafuを動かしました。私が何をしたか、以下に書きます

11. http://www.mersenneforum.org/showthread.php?t=20779 から「GGFNS.zip」をダウンロードし、「C:\ggnfs-bin」に展開する
12. http://sourceforge.net/projects/yafu/ から「yafu-x64」をダウンロードし、「C:\ggnfs-bin」に展開する
13. コマンドプロンプトを開き、「C:\ggnfs-bin」に行く
14. 「yafu-x64.exe "tune ()"」を実行する
15. 「yafu.ini」を編集する。「ggnfs_dir=../ggnfs-bin/」「ggnfs_dir=C:/ggnfs-bin/」へ変更し、保存して閉じる。
16. 「yafu-x64.exe "factor(あなた10進数の数値)" –v –threads 4」を実行する

例: yafu-x64.exe "factor(8443554284208758706290725803426642738777516291375882082881197977752270634322152168104703798454983966849000112082164921264407639940139993317228747401502640)" –v –threads 4

17. これはひどく時間がかかる部分です。終われば、「factor.log」に因数がリストされます。このファイルを開きます

因数分解を始めると、小さな因数は素早く見つかり、このようにリストされるでしょう : 「div: found prime factor = x」。ログファイルの中から「found prime factor」を検索します。

さらに「prp」も検索します。このような行が見つかるでしょう。: prp32 = 25647545727466257054833379561743

18. http://factordb.comあなたの数値を因数分解した結果をレポートする。 あなたがすべての因数をレポートしておけば、それは「FF」表示に変わる。あなたはすべての因数を知っている。
19. コマンドプロンプトで「C:\decrypt」に行く。
20. 「python unfactor-ecdsa.py 暗号化されたファイル名 前の手順で得た素数をスペースで区切ったもの」を実行する

すると、AES秘密鍵が出力されます

これが私の実行結果です:

unfactor-ecdsa.py VENDOR.xlsx.vvv 2 2 2 2 3 5 367 12757 25647545727466257054833379561743 75938537910569673895890812481364802067167 3858259146292441335085163995598583072203543699186432807503634945432314399

Found AES private key: b'\xbd\xa2\x54\x3a\x21\x75\xb9\xf3\x0d\xf6\xf3\x09\x60\xec\x08\x2f\x3e\xc5\xef\x61\xd4\x03\xa3\x5b\xc1\x47\x7e\x10\x47\x0a\x7c\x88' (BDA2543A2175B9F30DF6F30960EC082F3EC5EF61D403A35BC1477E10470A7C88)

21. 「teslacrack.py」 の 「known keys」にあなた公開鍵(訳者注:手順8の値)と秘密鍵(訳者注:手順20の値)を追記する。

私は24行目に追記しました:

'A1373BCF4EDB39BCFEDD484FA86A82498410A7E83456D8E80E52966F6717CB8B8E5846BBC7A540647AE770FEDEAA0E7F8A0466082156DB332A757407A12C9FB0': b'\xbd\xa2\x54\x3a\x21\x75\xb9\xf3\x0d\xf6\xf3\x09\x60\xec\x08\x2f\x3e\xc5\xef\x61\xd4\x03\xa3\x5b\xc1\x47\x7e\x10\x47\x0a\x7c\x88',

22. 「python teslacrack.py .」を実行する。

ファイルが復号されるはずです。

23. ドライブ全体を復号するために「python teslacrack.py C:\」を実行する。
24. 終わったら、すべての「*.vvv」と「howto_restore*」を検索し、移動または削除する。

これでもうクリーンかつ復号済みの状態になりました。

25. Backup, Backup, Backup!

あなた重要ファイルバックアップしましょう!できればすべてのシステムで。同じようなことが起こった場合でも、回復するために無数の時間を使うかわりに、バックアップから復元できるようになるから

まとめ

きっとこれらの追加の手順は皆さんを助けます自分がこの手順を行ったときはたくさんの問題がありました。それでもしあなたがこれを不完全だと思うなら、手順を更新するのでお知らせください。たぶん私たちはいっしょにこの手順をより完璧にすることができますありがとう

参照

https://community.norton.com/en/forums/how-decrypt-teslacrypt-vvv-files

http://factordb.com/

http://www.mobilefish.com/services/big_number/big_number.php

http://gilchrist.ca/jeff/factoring/nfs_beginners_guide.html

http://www.mersenneforum.org/showthread.php?t=20779

https://github.com/Googulator/TeslaCrack

トラックバック - http://anond.hatelabo.jp/20160109214743

記事への反応(ブックマークコメント)