下載與使用趨勢科技勒索病毒檔案解密工具

步驟1：選擇勒索病毒名稱

在點選 "click here" 後，即可看到下圖。

注意：
大多數勒索病毒都使用純文字檔(.txt)或網頁檔案(.htm)通知使用者，他們的系統已經遭勒索病毒入侵。
從這樣的通知資訊就可以用來選擇勒索病毒的種類來解密檔案。
如果在判斷勒索病毒的種類有困難，請洽詢趨勢科技技術支援中心尋求協助。

步驟2：選擇被加密的檔案或資料夾

此工具可以對單一檔案或資料夾內所有檔案及資料夾嘗試解密。點選 "Select & Decrypt" 後，選擇資料夾或是檔案，再點選 "OK" 即可開始進行解密程序。

步驟3：開始解密

在選擇檔案或資料夾之後，此工具將開始掃描並自動對檔案解密。

如果在掃描期間點選 "Stop"，此掃描程序將會中斷。

步驟4：解密 CyptXXX V1 , XORIST , XORBAT , Nemucod (可選步驟)

由於被 CryptXXX V1 所加密的檔案，解密時需要使用者操作較多的步驟，因此請參考如下。

如上所述，CryptXXX V1 的解密會跳出另一個視窗請使用者協助提供檔案，因此使用者需要分別提供被加密與未被加密檔案各一個。 (檔案大小越大越好)

步驟5：完成檔案解密

一旦掃描及解密的程序完成後，在工具的介面上將會顯示結果。

1. 因為這個特定的勒索病毒使用的進階加密方式，被 CryptXXX V3 所加密的檔案只有部分的資料有機會被解開。

2. 這個工具將會嘗試修復某些受到影響的檔案格式，包含 DOC、DOCX、XLS、XLSX、PPT、PPTX (常見的微軟Office)檔案。被修復的檔案會放在原始路徑下，並在原始檔案名稱後面添加 "_fixed"。當使用微軟Office開啟被修復的檔案，它可能會顯示訊息，並再次嘗試修復檔案，而這個程序或許可以將文件修好。請注意，由於微軟Office版本的不同版本，以及特定的檔案行為，無法保證這個程序會將文件修好。

3. 目前被加密的檔案只有部分有機會可以被解密，但即便被解密也可能需要用到第三方檔案修復工具進行修復。 (例如：公開原始碼的 JPEGSnoop)

4. 舉例來說，當照片或圖檔僅有部分內容被解密，可能會發生只看得到部分照片或圖檔的內容，如果該檔案是您的重要檔案，或許可以使用第三方工具或更專業的檔案復原服務來協助。

   在被 CryptXXX V3 勒索病毒加密之前的原始圖檔

   

   部分資料經過解密後的圖檔

   

5. 趨勢科技技術支援中心對於第三方檔案復原工具與服務所能提供的支援相當有限，因此無法提供相關工具或諮詢給使用者。

BadBlock可以加密重要的系統檔案，如果感染後，重新開機的話，可能會造成作業系統無法正常載入。因為這些檔案相當敏感，當工具試圖解開這些檔案，將會先備份原本的加密金鑰，並在檔案名稱加上 "_bbbak"。解密後，作業系統檔案將會被還原。非作業系統檔案，解密之後的檔案名稱將會多加 "_decrypted"。

BadBlock有不同感染系統的方法，在此也針對不同的狀況來嘗試解開被加密的檔案：

1. 如果系統已經被感染，但還沒重新開機。 在這個狀況下，使用者可以嘗試執行這個解密工具，它會試圖解開受影響的檔案。
2. 如果系統被感染後，已經重新開機且無法成功進到作業系統。 在這個狀況下，建議使用者從系統安裝光碟或還原光碟或其他方式，對作業系統進行修復，嘗試在該主機開機成功，然後嘗試執行解密工具解開其他檔案。
3. 如果作業系統無法經由系統安裝光碟修復。 當此狀況，使用者需要將該主機的硬碟拿到另一台正常的主機接上，再從正常主機上執行解密工具。

趨勢科技勒索病毒檔案解密工具在執行過程中，會解壓縮到以下路徑的暫存資料夾：

%User%\AppData\Local\Temp\TMRDTSelfExtract\

在完成一次掃描後，在這個暫存資料夾中，將會出現一個名為 log 的資料夾，其中紀載著解密過程的詳細資訊與時間點。

暫存資料夾的截圖

在 log 資料夾中的紀錄檔範例：

1. 將 TeslaCrypt V1、TeslaCrypt V2 解密功能從原本的解密工具中分離出來額外提供。
2. 目前並不支援解密 CryptXXX V2、CryptXXX V3 所加密的純文字檔案。
3. 目前並不支援解密 CryptXXX V3 加密過的壓縮檔或解密檔案大小超過13MB。
4. 特別注意：被 CryptXXX V3 加密的檔案無法 100% 修復成原始檔案(部分解密)。 詳細可參閱上方[關於 CryptXXX V3 重要說明]
5. Crypt V4, V5 透過解密工具可能會無法正常復原原始檔案名稱。每單個檔案解密可能需要長達2小時時間。
6. LeChiffre 解密由於需要特定的電腦名稱與使用者名稱，因此需要在發生問題的原裝置上執行。