Shade / Troldesh Ransomware စကားဝှက်ဖြည် tool

ကျွန်ုပ်တို့ထံမှ Shade (Troldesh) Ransomware အတွက် update လုပ်ထားသော စကားဝှက်ဖြည် tool တစ်ခုအား ထုတ်ပြန် ပေးလိုက်သည်။ Ransomware ၏ နှစ်ရှည်ကြာ ရပ်တည်နေသော မိသားစုဝင်တစ်ခု အနေနှင့် Shade သည် ၂၀၁၄ ခုနှစ်ကတည်းက လုပ်ဆောင်မှုစတင်ခဲ့ပြီး ယနေ့တိုင် စဉ်ဆက်မပြတ် လုပ်ဆောင် နေခဲ့သည်။

၂၀၂၀ ခုနှစ် ဧပြီလ ကုန်ပိုင်းတွင် ၎င်း၏ လုပ်ဆောင်သူများမှနေ၍ ၎င်းတို့သည် Shade လုပ်ဆောင်မှုအား ရပ်တန့်လိုက်ပြီး ဆိုက်ဘာ-လုံခြုံရေး ကုမ္ပဏီများအနေနှင့် ၎င်းတို့ထက်သာသည့် စကားဝှက်ဖြည်သည့်အရာတစ်ခု တည်ဆောက်သင့်ကြောင်း အရိပ်အမြွက်ပေးရင်း စကားဝှက်ဖြည် key ပေါင်း ၇၅၀,၀၀၀ ခန့်အား လူသိရှင်ကြား ထုတ်ပြန်ပေးခဲ့သည်။

DR, ကျွန်ုပ်ကို ဒေါင်းလုတ် သာ ပြပေးပါ

သင်သည် သင့်ဖိုင်များအားပြန်ရရန် စကားဝှက်ဖြည်သည့်အရာအား ဤနေရာတွင် အခမဲ့ ဒေါင်းလုတ် လုပ်နိုင်သည်။

• Shade Ransomware စကားဝှက်ဖြည် tool အား ဒေါင်းလုတ် လုပ်ပါ

အကယ်၍ သင်သည် tool မည်သို့အလုပ်လုပ်သည့်အပေါ် စိတ်ဝင်စားလျှင် ကျွန်ုပ်တို့၌ ထပ်ဆင့်သတင်းအချက်အလက်များ အောက်တွင် ရှိသည်။

နည်းပညာပိုင်းဆိုင်ရာ ဖော်ပြချက် - 

ဤ tool သည် Shade/Troldesh ransomware အားဖြင့် စကားဝှက်ပြုခြင်းခံထားရသည့် ဖိုင်များကို ပြန်လည်ရယူပေးသည်။ ၎င်းအား မရင်းနှီးသောသူများအတွက် Crysis/Dharma ransomware နှင့် မှားထင်မိနိုင်ရန် လွယ်ကူသော်လည်း Shade သည် နည်းလမ်းများစွာတွင် အတော်အတန် ကွဲပြားခြားနားသည်။ တစ်ယောက်သောသူမှ ဤ ransomware မိသားစု နှင့် ဗားရှင်းအပေါ် ၎င်း စကားဝှက်ပြုထားသည့်ဖိုင်များတွင် ထပ်ထည့်သည့် extension အားဖြင့်သော်လည်းကောင်း၊ အခြား အလားတူ ပြန်ရွေးခ-စာသား ၁၀ ခုအားဖြင့်သော်လည်းကောင်း၊ သို့မဟုတ် စကားဝှက်ပြုထားသည့်ဖိုင်များအား အမည်ပေးသည့်နည်း (base64) အားဖြင့်သော်လည်းကောင်း ပြောနိုင်သည်။

Eစကားဝှက်ပြုထားသော ဖိုင်အမည်များအတွက် အသုံးပြုသည့် extension များ - 

.xtbl
.ytbl
.breaking_bad
.heisenberg
.better_call_saul
.los_pollos
.da_vinci_code
.magic_software_syndicate
.windows10
.windows8
.no_more_ransom
.tyson
.crypted000007
.crypted000078
.rsa3072
.decrypt_it
.dexter
.miami_california

ပြန်ရွေးခ-စာသားများ

Key တူညီမှုအတွက် လိုအပ်သည့် အသုံးပြုသူ Id များအား စကားဝှက်ပြုထားသော ဖိုင်အမည်များတွင်လည်း တွေ့ရတတ်ပြီး အများစု ransomware ဆင့်ပွား-ဗားရှင်းများအတွက် ဖြစ်သည်။ Malware ၏ ယခင်ဗားရှင်းအဟောင်းများအတွက် ID အား ပြန်ရွေးခ-စာသားများ သို့မဟုတ် ထုတ်ပြန်ပြီးသား key များ၏ ကန့်သတ်အစုကို အကြမ်းဖက် တိုက်တွန်းခြင်းအားဖြင့် ပြန်လည်ရယူနိုင်သည်။

ပုံမှန်အားဖြင့် အကယ်၍ နာရီအနည်းငယ်အတွင်း ဆာဗာမှ တုံ့ပြန်မှုမရှိလျှင် malware သည် ဖိုင်များ စကားဝှက်ပြုရန်အတွက်သုံးသော အချို့ လူအများသိ RSA3072 key များနှင့် တွဲလာတတ်သည်။ ရေးဆွဲသူများမှ လူအများသိ Github repository တစ်ခုတွင် malware ဗားရှင်းအားလုံးတွင် သုံးခဲ့သော စကားဝှက်ပြု key များ၏ အစု တစ်စုလုံးအား ထုတ်ပြန်ပေးခဲ့သည်။

စနစ်များ ဆာဗာထံ အောင်မြင်စွာ ချိတ်ဆက်နိုင်ခဲ့သည့် ခံရသူများမှာ သုံးနေကျစကားဝှက်ပြု key များကို ရရှိလိမ့်မည်ဖြစ်ပြီး၊ ချိတ်ဆက်မှုမရှိသည့် ကူးစက်ခံရသူများမှာမူ အထူးကုဒ်ရေးထားသည့် RSA လူအများသိ key များအားဖြင့် စကားဝှက်ပြုခြင်း ခံရပေလိမ့်မည်။

ပြောင်းလဲထုတ်လွှတ်သော key များ အစု နှင့် ransomware ပိုင်ရှင် ဆာဗာများထံ ပို့ခြင်းတို့မှာ 1.8GB (~749K) အထိနေရာယူပြီး မပြောင်းလဲဘဲ သီးသန့် ပို့လွှတ်သော key များမှာမူ 1.6K အရွယ်သာရှိကာ 4MB ထက်ပင် မပိုပေ။

ကျွန်ုပ်တို့၏ စကားဝှက်ဖြည် tool သည် သက်ဆိုင်ရား key များအား လျှပ်တပြက်အတွင်း ခွဲခြားသတ်မှတ်နိုင်စွမ်းရှိပြီး ၎င်းတို့အား ယာယီသိမ်းဆည်းပေးနိုင်ကာ နောက်ဆက်တွဲ စကားဝှက်ဖြည် ကြိုးပမ်းမှုများအပေါ်တွင် ပို၍မြန်ဆန်စွာ အသုံးချနိုင်သည်။ Tool သည် စကားဝှက်ဖြည်ရန် အသုံးပြုသူထံမှ နောက်ထပ် input မလိုအပ်ပေ။ ၎င်းသည် အွန်လိုင်း mode တွင် ကူးစက်ခံရသည့် ဖိုင်များအတွက် ပြောင်းလဲသော key များကိုတွက်ချက်ရန် အင်တာနက်ချိတ်ဆက်မှုတစ်ခု လိုအပ်သည်။

ဤ tool အား မည်သို့အသုံးပြုရန် -

အဆင့် ၁ - အောက်ပါ စကားဝှက်ဖြည် tool အား ဒေါင်းလုတ်လုပ်ပြီး သင့်ကွန်ပျူတာပေါ်တွင် ၎င်းအား သိမ်းပါ။

• Shade Ransomware စကားဝှက်ဖြည် tool အား ဒေါင်းလုတ် လုပ်ရန်

မှတ်ချက်။ ကျွန်ုပ်တို့၏ဆာဗာများမှာ ဖြစ်နိုင်ချေ အကျုံးဝင် RSA-3072 သီးသန့် key တစ်ခုနှင့်အတူ ပေးသွင်းခဲ့သည့် ID အား အကြောင်းပြန်ရန် ကြိုးပမ်းလိမ့်မည်ဖြစ်သည့်အတွက် ဤ tool သည် အလုပ်လုပ်သော အင်တာနက်ချိတ်ဆက်မှုတစ်ခု လိုအပ်သည်။ အကယ်၍ ဤအဆင့်အောင်မြင်လျှင် စကားဝှက်ဖြည်ခြင်း ဖြစ်စဉ် ဆက်လက်လုပ်ဆောင်လိမ့်မည်။  

အဆင့် ၂ - ဖိုင် (ယခင်က BDParadiseDecryptor.exe အနေဖြင့် သိမ်းခဲ့သော) အား click နှစ်ချက်နှိပ်ပြီး UAC prompt တွင် Yes အား click နှိပ်ခြင်းဖြင့် ၎င်းအား run ရန် ခွင့်ပြုပါ။

အဆင့် ၃ - End User လိုင်စင် သဘောတူချက်အား သဘောတူပါ။

ဤအဆင့် အဆုံးပိုင်းတွင် သင့်ဖိုင်များမှာ စကားဝှက်ဖြည်ပြီးသား ဖြစ်သင့်သည်။

အကယ်၍ သင် အကြောင်းတစုံတရာ ကြုံတွေ့လျှင် ကျေးဇူးပြု၍ ကျွန်ုပ်တို့ထံ tool ထဲရှိ သတ်မှတ်ထားသည့် အီးမေးလ်လိပ်စာ မှတဆင့် ဆက်သွယ်ပါ။

အကယ်၍ သင် backup option အားရွေးခဲ့လျှင် သင်သည် ဖြစ်စဉ်အဆုံး၌ စကားဝှက်ပြုခံရသောဖိုင်များ နှင့် စကားဝှက်ဖြည်ပြီးသောဖိုင်များ နှစ်မျိုးစလုံးကို ရရှိလိမ့်မည်။ သင်သည် %temp%\BDRemovalTool folder: ထဲတွင် စကားဝှက်ဖြည်ခြင်း ဖြစ်စဉ်အား ဖော်ပြပေးထားသည့် log တစ်ခုကိုလည်း တွေ့နိုင်သည်။

သင့်ထံတွင် ကျန်နေသော စကားဝှက်ပြုထားသည့်ဖိုင်များကို အစဖျောက်ရန် extension တူသည့်ဖိုင်များကို ရှာဖွေပြီး bulk ထဲတွင် ၎င်းတို့အား ဖယ်ထုတ်ပါ။ သင်မှ သင့်ဖိုင်များအား အန္တရာယ်ကင်းစွာဖွင့်နိုင်ပြီး ပျက်ဆီးသည့်အရာမကျန်ရှိတော့သည့်တိုင် သေချာစစ်ဆေးမှု မလုပ်ပြီးခင်အထိ ကျွန်ုပ်တို့အနေနှင့် သင့်အား ဤသို့လုပ်ရန် မတိုက်တွန်းပါ။

၎င်းတို့၏ စကားဝှက်ဖြည်ခြင်းမှာ လှည့်စားတတ်သည့်အတွက်  ကြီးမားသော ဖိုင်များအား မဖယ်ထုတ်လိုက်ပါနှင့်။ ပြီးလျှင် ကျွန်ုပ်တို့ဖက်မှလည်း စကားဝှက်ဖြည်ခြင်း မအောင်မြင်သည့် တချို့သော ဖြစ်စဉ်များအတွက် update အချို့လည်းရှိလာနိုင်သည်။

အသိအမှတ်ပြုခြင်း - 

ဤထုတ်ကုန်တွင် OpenSSL Toolkit တွင် သုံးရန်အတွက် OpenSSL ပရောဂျက်အားဖြင့် မြှင့်တင်ထားသည့် ဆော့ဖ်ဝဲ ပါဝင်သည်။ (http://www.openssl.org/)