Das Hilfsprogramm Kaspersky RakhniDecryptor.zip entschlüsselt Dateien, deren Erweiterungen wie folgt geändert wurden:

• Trojan-Ransom.Win32.Rakhni:
  • <Dateiname>.<ursprüngliche_Erweiterung>.locked
  • <Dateiname>.<ursprüngliche_Erweiterung>.kraken
  • <Dateiname>.<ursprüngliche_Erweiterung>.darkness
  • <Dateiname>.<ursprüngliche_Erweiterung>.oshit
  • <Dateiname>.<ursprüngliche_Erweiterung>.nochance
  • <Dateiname>.<ursprüngliche_Erweiterung>.oplata@qq_com
  • <Dateiname>.<ursprüngliche_Erweiterung>.relock@qq_com
  • <Dateiname>.<ursprüngliche_Erweiterung>.crypto
  • <Dateiname>.<ursprüngliche_Erweiterung>.helpdecrypt@ukr.net
  • <Dateiname>.<ursprüngliche_Erweiterung>.p***a@qq_com
  • <Dateiname>.<ursprüngliche_Erweiterung>.dyatel@qq_com
  • <Dateiname>.<ursprüngliche_Erweiterung>.nalog@qq_com
  • <Dateiname>.<ursprüngliche_Erweiterung>.chifrator@gmail_com
  • <Dateiname>.<ursprüngliche_Erweiterung>.gruzin@qq_com
  • <Dateiname>.<ursprüngliche_Erweiterung>.troyancoder@gmail_com
  • <Dateiname>.<ursprüngliche_Erweiterung>.coderksu@gmail_com_id373
  • <Dateiname>.<ursprüngliche_Erweiterung>.coderksu@gmail_com_id371
  • <Dateiname>.<ursprüngliche_Erweiterung>.coderksu@gmail_com_id372
  • <Dateiname>.<ursprüngliche_Erweiterung>.coderksu@gmail_com_id374
  • <Dateiname>.<ursprüngliche_Erweiterung>.coderksu@gmail_com_id375
  • <Dateiname>.<ursprüngliche_Erweiterung>.coderksu@gmail_com_id376
  • <Dateiname>.<ursprüngliche_Erweiterung>.coderksu@gmail_com_id392
  • <Dateiname>.<ursprüngliche_Erweiterung>.coderksu@gmail_com_id357
  • <Dateiname>.<ursprüngliche_Erweiterung>.coderksu@gmail_com_id356
  • <Dateiname>.<ursprüngliche_Erweiterung>.coderksu@gmail_com_id358
  • <Dateiname>.<ursprüngliche_Erweiterung>.coderksu@gmail_com_id359
  • <Dateiname>.<ursprüngliche_Erweiterung>.coderksu@gmail_com_id360
  • <Dateiname>.<ursprüngliche_Erweiterung>.coderksu@gmail_com_id20

• Trojan-Ransom.Win32.Mor: <Dateiname>.<ursprüngliche_Erweiterung>_crypt
• Trojan-Ransom.Win32.Autoit: <Dateiname>.<ursprüngliche_Erweiterung>.<_crypt@india.com_.Buchstaben>
• Trojan-Ransom.MSIL.Lortok:
  • <Dateiname>.<ursprüngliche_Erweiterung>.cry
  • <Dateiname>.<ursprüngliche_Erweiterung>.AES256
• Trojan-Ransom.MSIL.Yatron: <Dateiname>.<ursprüngliche_Erweiterung>.Yatron
• Trojan-Ransom.AndroidOS.Pletor: <Dateiname>.<ursprüngliche_Erweiterung>.enc
• Trojan-Ransom.Win32.Agent.iih: <Dateiname>.<ursprüngliche_Erweiterung>.hb15
• Trojan-Ransom.Win32.CryFile: <Dateiname>.<ursprüngliche_Erweiterung>.encrypted
• Trojan-Ransom.Win32.Democry:
  • <Dateiname>.<ursprüngliche_Erweiterung>.<Datum_Uhrzeit_$E-Mail@Domain$.777>
  • <Dateiname>.<ursprüngliche_Erweiterung>.<Datum_Uhrzeit_$E-Mail@Domain$.legion>
• Trojan-Ransom.Win32.Bitman 3:
  • <Dateiname>.xxx
  • <Dateiname>.ttt
  • <Dateiname>.micro
  • <Dateiname>.mp3
• Trojan-Ransom.Win32.Bitman (Version 4): <Dateiname>.<ursprüngliche_Erweiterung> (Der Name und die Erweiterung der Datei werden nicht geändert)
• Trojan-Ransom.Win32.Libra:
  • <Dateiname>.encrypted
  • <Dateiname>.locked
  • <Dateiname>.SecureCrypted
• Trojan-Ransom.MSIL.Lobzik:
  • <Dateiname>.fun
  • <Dateiname>.gws
  • <Dateiname>.btc
  • <Dateiname>.AFD
  • <Dateiname>.porno
  • <Dateiname>.pornoransom
  • <Dateiname>.epic
  • <Dateiname>.encrypted
  • <Dateiname>.J
  • <Dateiname>.payransom
  • <Dateiname>.paybtcs
  • <Dateiname>.paymds
  • <Dateiname>.paymrss
  • <Dateiname>.paymrts
  • <Dateiname>.paymst
  • <Dateiname>.paymts
  • <Dateiname>.gefickt
  • <Dateiname>.uk-dealer@sigaint.org
• Trojan-Ransom.Win32.Mircop: <Lock>.<Dateiname>.ursprüngliche_Erweiterung
• Trojan-Ransom.Win32.Crusis (Dharma):
  • <Dateiname>.ID<…>.<mail>@<server>.<domain>.xtbl
  • <Dateiname>.ID<…>.<mail>@<server>.<domain>.CrySiS
  • <Dateiname>.id-<…>.<mail>@<server>.<domain>.xtbl
  • <Dateiname>.id-<…>.<mail>@<server>.<domain>.wallet
  • <Dateiname>.id-<…>.<mail>@<server>.<domain>.dhrama
  • <Dateiname>.id-<…>.<mail>@<server>.<domain>.onion
  • <имя_файла>.<mail>@<server>.<domain>.wallet
  • <Dateiname>.<mail>@<server>.<domain>.dhrama
  • <Dateiname>.<mail>@<server>.<domain>.onion

• Beispiele für einige der schädlicher Absenderadressen:

  • webmafia@asia.com
  • braker@plague.life
  • crannbest@foxmail.com
  • amagnus@india.com
  • stopper@india.com
  • bitcoin143@india.com
  • worm01@india.com
  • funa@india.com
  • pay4help@india.com
  • lavandos@dr.com
  • mkgoro@india.com
• Trojan-Ransom.Win32.Crypren.afjh (FortuneCrypt): Diese Ransomware verändert die Dateierweiterung nicht.
• Trojan-Ransom.Win32.Nemchig <Dateiname>.<ursprüngliche_Erweiterung>.<safefiles32@mail.ru>
• Trojan-Ransom.Win32.Lamer:
  • <Dateiname>.<ursprüngliche_Erweiterung>.bloked
  • <Dateiname>.<ursprüngliche_Erweiterung>.cripaaaa
  • <Dateiname>.<ursprüngliche_Erweiterung>.smit
  • <Dateiname>.<ursprüngliche_Erweiterung>.fajlovnet
  • <Dateiname>.<ursprüngliche_Erweiterung>.filesfucked
  • <Dateiname>.<ursprüngliche_Erweiterung>.criptx
  • <Dateiname>.<ursprüngliche_Erweiterung>.gopaymeb
  • <Dateiname>.<ursprüngliche_Erweiterung>.cripted
  • <Dateiname>.<ursprüngliche_Erweiterung>.bnmntftfmn
  • <Dateiname>.<ursprüngliche_Erweiterung>.criptiks
  • <Dateiname>.<ursprüngliche_Erweiterung>.cripttt
  • <Dateiname>.<ursprüngliche_Erweiterung>.hithere
  • <Dateiname>.<ursprüngliche_Erweiterung>.aga
• Trojan-Ransom.Win32.Cryptokluchen:
  • <Dateiname>.<ursprüngliche_Erweiterung>.AMBA
  • <Dateiname>.<ursprüngliche_Erweiterung>.PLAGUE17
  • <Dateiname>.<ursprüngliche_Erweiterung>.ktldll
• Trojan-Ransom.Win32.Rotor:
  • <Dateiname>.<ursprüngliche_Erweiterung>..-.DIRECTORAT1C@GMAIL.COM.roto
  • <Dateiname>.<ursprüngliche_Erweiterung>..-.CRYPTSb@GMAIL.COM.roto
  • <Dateiname>.<ursprüngliche_Erweiterung>..-.DIRECTORAT1C8@GMAIL.COM.roto
  • <Dateiname>.<ursprüngliche_Erweiterung>.!______________DESKRYPTEDN81@GMAIL.COM.crypt
  • <Dateiname>.<ursprüngliche_Erweiterung>.!___prosschiff@gmail.com_.crypt
  • <Dateiname>.<ursprüngliche_Erweiterung>.!_______GASWAGEN123@GMAIL.COM____.crypt
  • <Dateiname>.<ursprüngliche_Erweiterung>.!_________pkigxdaq@bk.ru_______.crypt
  • <Dateiname>.<ursprüngliche_Erweiterung>.!____moskali1993@mail.ru___.crypt
  • <Dateiname>.<ursprüngliche_Erweiterung>.!==helpsend369@gmail.com==.crypt
  • <Dateiname>.<ursprüngliche_Erweiterung>.!-==kronstar21@gmail.com=--.crypt

• Trojan-Ransom.Win32.Chimera:
  • <Dateiname>.<ursprüngliche_Erweiterung>.crypt
  • <Dateiname>.<ursprüngliche_Erweiterung>.<4 zufällige Zeichen>
• Trojan-Ransom.Win32.AecHu:
  • <Dateiname>.aes256
  • <Dateiname>.aes_ni
  • <Dateiname>.aes_ni_gov
  • <Dateiname>.aes_ni_0day
  • <Dateiname>.lock
  • <Dateiname>.decrypr_helper@freemail_hu
  • <Dateiname>.decrypr_helper@india.com
  • <Dateiname>.~xdata
• Trojan-Ransom.Win32.Jaff:
  • <Dateiname>.jaff
  • <Dateiname>.wlu
  • <Dateiname>.sVn

• Trojan-Ransom.Win32.Cryakl: email-<...>.ver-<...>.id-<...>.randomname-<...>.<zufällige_Erweiterung>

• Versionen schädlicher Programme	E-Mail-Adressen von Kriminellen
  CL 1.0.0.0	cryptolocker@aol.com iizomer@aol.com seven_Legion2@aol.com oduvansh@aol.com ivanivanov34@aol.com trojanencoder@aol.com load180@aol.com moshiax@aol.com vpupkin3@aol.com watnik91@aol.com
  CL 1.0.0.0.u	cryptolocker@aol.com_graf1 cryptolocker@aol.com_mod byaki_buki@aol.com_mod2
  CL 1.2.0.0	oduvansh@aol.com cryptolocker@aol.com
  CL 1.3.0.0	cryptolocker@aol.com
  CL 1.3.1.0	byaki_buki@aol.com byaki_buki@aol.com_grafdrkula@gmail.com vpupkin3@aol.com

Detaillierte Informationen über die Technologien zum Schutz vor schädlichen Programmen, insbesondere vor Ransomware, finden Sie auf englischsprachigen Seite von TechnoWiki.

1. Laden Sie das Archiv RakhniDecryptor.zip herunter und entpacken Sie es. Die Anleitung ist im Artikel.
2. Öffnen Sie den Ordner mit extrahierten Dateien.
3. Öffnen Sie die Datei RakhniDecryptor.exe.
4. Klicken Sie auf Change parameters.

5. Wählen Sie zu untersuchende Objekte aus: Festplatten, externe Datenträger oder Netzlaufwerke
6. Aktivieren Sie das Kontrollkästchen Delete crypted files after decryption. Dabei werden Kopien verschlüsselter Dateien mit zugewiesenen Erweiterungen LOCKED, KRAKEN, DARKNESS usw. löschen.
7. Klicken Sie auf OK.

8. Klicken Sie auf Start scan.

9. Wählen Sie eine verschlüsselte Datei aus und klicken Sie auf Öffnen.

10. Lesen Sie die Warnung und klicken Sie auf ОК.

Dateien werden entschlüsselt.

Eine Datei mit der Erweiterung CRYPT kann mehrfach verschlüsselt werden. Wenn z. B. die Datei test.doc zweimal verschlüsselt ist, entschlüsselt das Hilfsprogramm RakhniDecryptor die erste Schicht in die Datei test.1.doc.layerDecryptedKLR. Im Bericht des Hilfsprogramms wird der folgende Eintrag angezeigt: „Decryption success: Laufwerk:\Pfad\test.doc_crypt -> Laufwerk:\Pfad\test.1.doc.layerDecryptedKLR“. Diese entschlüsselte Datei muss noch einmal mit dem Hilfsprogramm entschlüsselt werden. Bei erfolgreicher Entschlüsselung wird die Datei unter dem ursprünglichen Namen test.doc gespeichert.

Damit Dateien schneller entschlüsselt werden können, unterstützt Kaspersky RakhniDecryptor folgende Befehle für die Befehlszeile: