Soft2Secure

Cesar 勒索 病毒:如何解密 .cesar, .cezar, .arena 文件

Cesar 勒索 病毒:如何解密 .cesar, .cezar, .arena 文件

本文提供了全新的Crysis / Dharma 勒索病毒變體的詳細信息,它將.cesar / .cezar / .arena擴展名附加到加密文件。

以前被稱為佛法的“孤島危機”勒索病毒在幾個月不活動之後突然醒來。 此外,在2017年5月下旬,停播還伴隨著一個匿名的主解密密鑰的轉儲。雖然這樣的事件往往表明一個競選活動停止了,但地下網絡犯罪的人們顯然有不同的看法。 Crysis / Dharma 勒索病毒波的最新爆發是圍繞一個變種,玷污了一個.cesar擴展名的編碼文件。 一些最近的報告也揭示了.cezar/.arena文件版本。 但是,這個字符串只是連接擴展的一部分。 之前是受害者的身份證件和威脅演員的聯繫電子郵件地址以便受感染的用戶從獲取到的數據解密中獲得不少線索。

這個數據調整工作流程的結果是,任意文件名以下列格式與擴展名令牌連接:.id- {8-char victim ID}。[email address] .cesar。 例如,一個名為Coffee.jpg的示例項目將變成像Coffee.jpg.id-C21FD978。[m.heisenberg@aol.com] .cesar。 請注意,郵件部分可能會有所不同。 除上述之外,可以是black.mirror@qq.com,gladius_rectus@aol.com或btc2017@india.com。 電子郵件地址變量最有可能表示一個特定的“會員”,能夠將執行代碼存入電腦。 有不同類型的網絡解碼員同時分發Cesar 勒索病毒版本的Crysis,每個都有自己的聯繫人。

Cesar爾勒索 Info.hta救援单

與通過惡意垃圾郵件傳播的大多數文件加密系統相反,Cesar病毒通過遠程桌面協議進行回合。 攻擊者強力RDP憑據以便遠程滲透系統。 這樣,他們可以在受感染的電腦上執行隨機代碼。 在Cesar的情況下,麻煩製作過程被命名為bars.exe。 當部署在機器中時,此可執行文件將刪除受影響的文件的“影子副本”,並在操作系統啟動時添加一個註冊表值以運行。 然後,勒索病毒掃描本地驅動器和可移動驅動器(如果有),以便預定義的數據格式列表。 它對在此掃描期間檢測到的每個文件進行加密。

而對於所有人質文件的擴展程序在用戶應該做什麼方面是非常不言自明的,而Cesar病毒還會將一個名為Info.hta的贖金註釋放到桌面上。 根據本說明,受害者必須向文件擴展名的.cesar部分之前的方括號中指明的電子郵件地址發送消息。 被困的用戶被指示將他們的個人ID包括在這封電子郵件中。 重罪將以贖金的大小和比特幣的錢包地址進行回复。 作為解密工具的保證,敲詐者可以聲稱還原最多三個文件,其總大小不超過10 MB。 總而言之,與其依靠壞人的承諾并通過痛苦的收購程序,我們可以從下面的備選數據恢復選項開始。

Cesar擴展病毒自動刪除

基於最新的惡意軟件特征數據庫和智能行為檢測技術的支持,我們推薦的軟件可以快速定位被感染的位置,並清除勒索軟件和修復所有惡意更改。您需要進行以下操作:

  • 下載並安裝防病毒工具。打開解決方案,通過點擊啟動電腦掃描按鈕檢查您的電腦程序和其他類型的惡意軟件。

    下載.cesar文件病毒刪除器

  • 請放心,掃描報告會列出所有對操作系統有害的項目。請選擇已檢測條目並單擊修復威脅完成排查。

恢復加密的.cesar/.arena檔案的方法

方法1:使用檔案修復軟件

務必要知道洋葱病毒會創建您的檔案副本並對其進行加密。同時,原始檔案被删除。有應用程序可以恢復已删除的數據。可以使用Data Recovery Pro 等工具。雖然最新版本的勒索病毒通常會多個覆蓋並且删除重寫,但無論如何,這種方法值得一試。

Data Recovery Pro

解決方法2:進行備份

首先,這是恢復檔案的好方法。但是,如果您已備份存儲在機器上的資訊,則可以適用。如果這樣,務必從你的遠見中受益。

方法3:使用卷影副本

您大概不知道,只要在電腦上啟動系統還原,作業系統就會為每個檔案創建所謂的影子卷副本。由於恢復點是以指定的間隔創建的,囙此也會生成檔案在該時刻出現的快照。這種方法並不能保證恢復你的檔案的最新版本。這當然值得一試。此工作流可通過兩種方式進行:手動和通過自動解决。我們先來看一下手動過程。

  • 使用之前版本功能

    勒索文件的屬性對話框有一個名為之前版本的標籤。這里便是已備份文件展示和恢復的地方。右擊一個文件,進入屬性,點擊上述標籤,然後選擇複製或恢復選項,這取決於您想要恢復到位置。

  • 應用ShadowExplorer

    以上過程可以通過一款名為 ShadowExplorer的工具自動完成。它所達至的效果相同(取回追蹤拷貝文件),但是方式更加地便捷。下載 並且安裝該應用程序,運行它,然後找到您想要恢復到之前版本的文件和文件夾。想要完成恢復,右擊任意條目,然後選擇導出功能。ShadowExplorer

驗證是否已完全刪除Cesar勒索軟件

此外,惡意軟件清除之後並不會導致您的個人檔案的解密。上面強調資料恢復可以或不可以的方法,勒索軟件本身並沒有歸屬在電腦內部。順便提一下,它經常伴隨著其他惡意軟件,這就是為什麼用自動安全軟件重複掃描系統是有道理的,以確保這種病毒和相關威脅的有害殘留不會留在Windows註冊表和其他位置。

下載Dharma勒索軟件掃描儀和刪除器