Shade(Troldesh)勒索颁发停运并放出75万个解密密钥
颁布功夫 2020-04-300x00 事务布景
勒索软件Shade背后组织于周末颁发收手，， ，，，，并在GitHub上颁布了超过75万个解密密钥。。。。。 。
卡巴斯基尝试室的安全钻研人员已经证实相始密钥的有效性，， ，，，，并且在致力于创建免费的解密工具。。。。。 。
在GitHub存储库中颁布的短新闻中（https://github.com/shade-team/keys），， ，，，，Shade团队诠氏缢导致他们做出决定的原因。。。。。 。
“我们是一个团队，， ，，，，开发了一个木马加密法式，， ，，，，通常被称为Shade，， ，，，，Troldesh或Encoder.858。。。。。 。现实上，， ，，，，我们已在2019年底终场分发。。。。。 。此刻，， ，，，，我们决定为此事画上句号，， ，，，，并颁布我们占有的所有解密密钥（总共超过750,000个）。。。。。 。我们还将颁布解密软件。。。。。 。我们还但愿，， ，，，，有了密钥，， ，，，，防病毒公司将能开发并颁布越发用户敦睦的解密工具。。。。。 。与8827太阳集团活动有关的所有其他数据（蕴含特洛伊木马的源代码）均被不成裁撤地销毁。。。。。 。我们向所有特洛伊木马受害者致歉，， ，，，，并但愿我们颁布的密钥可能援手他们复原数据。。。。。 。”
经验证，， ，，，，这次颁布的解密密钥可以为所有被勒索软件Shade加密的文件解密。。。。。 。
0x01 Shade简介
Shade自2014年以来一向活跃，， ，，，，其时在俄罗斯发现了大规模的习染。。。。。 。Shade习染在2018年10月期间有所增长，， ，，，，一向持续到2018年12月下半月，， ，，，，在圣诞节期间休息，， ，，，，而后在2019年1月中旬复原增长一倍。。。。。 。2019年5月钻研人员又发现了新一波Shade勒索软件攻击，， ，，，，蕴含美国和日本。。。。。 。受Shade勒索软件影响的前五个国度是美国，， ，，，，日本，， ，，，，印度，， ，，，，泰国和加拿大，， ，，，，重要针对高科技、批发和教育行业。。。。。 。
Shade习染指标是运行 Microsoft Windows 的主机。。。。。 。通常通过垃圾邮件（出格是恶意电子邮件附件）传布。。。。。 。附件通常是zip文件，， ，，，，收件人解压缩附件并双击该文件，， ，，，，勒索软件起头运杏祝。。。。 。其中提取的zip内容是一个Javascript剧本，， ，，，，用来下载恶意payload（勒索软件），， ，，，，该payload通常托管在CMS站点上。。。。。 。
一旦系统受到习染，， ，，，，恶意代码就会设置桌面布景来颁发习染，， ，，，，并且将名为README1.txt到README10.txt的Desktop 10个文本文件放在桌面上，， ，，，，在README.txt文件中就蕴含有关通过电子邮件地址与黑客联系的批示，， ，，，，以便沟通赎金事宜。。。。。 。
Shade加密方式是将文件在CBC模式下使用AES 256加密。。。。。 。对于每个加密文件，， ，，，，将天生两个随机的256位AES密钥：一个用于加密文件的内容，， ，，，，另一个用于加密文件名。。。。。 。
0x02 解密秘钥
解密秘钥下载：https://github.com/shade-team/keys
下载镜像：
? https://yadi.sk/d/36uVFJ6bUBrdpQ （所有密钥分隔；；；；；；zip中的所有密钥；；；；；；软件）
? https://cloud.mail.ru/public/5gy6/4UMfYqAp4 （所有密钥分隔；；；；；；zip中的所有密钥；；；；；；软件）
? https://drive.google.com/open?id=1iA2KquslytIE83mwzlXPcL3u8Z0yoqat（zip中的 所有密钥；；；；；；软件）
? https://github.com/shade-team/keys （所有密钥分隔）
? https://github.com/shade-binary/bin （软件）
0x03 解密注明
把稳：某些防病毒软件会检测到某些已颁布的软件，， ，，，，由于它与加密器一路使用了常见的代码块。。。。。 。为预防删除它们，， ，，，，所有exe文件均使用一样的密码压缩：123454321
若是您的加密文件拥有以下扩大名之一，， ，，，，则在后续步骤中，， ，，，，您将必要“keys”文件夹中的“main”子文件夹：
? xtbl
? ytbl
? breaking_bad
? Heisenberg
? better_call_saul
? los_pollos
? da_vinci_code
? magic_software_syndicate
? windows10
? windows8
? no_more_ransom
? Tyson
? crypted000007
? crypted000078
? rsa3072
? decrypt_it
若是您的加密文件拥有以下扩大名之一，， ，，，，则在后续步骤中，， ，，，，您将必要“keys”文件夹中的“alt”子文件夹：
? dexter
? miami_california
所需的子文件夹鄙人面暗示为。。。。。 。“master”子文件夹合用于某些防病毒公司，， ，，，，他们已经被奉告要使用该文件加祝。。。。 。
1. 强烈建议关关推算机上的所有法式（蕴含杀毒软件），， ，，，，并预防在解密过程中执行任何其他操作。。。。。 。若是您占有推算机的ID，， ，，，，请转到第2段。。。。。 。不然，， ，，，，请转到第3段。。。。。 。此ID是一个20个符号的字符串，， ，，，，蕴含大写字母和数字（例如AABBCCDDEEFF00112233），， ，，，，并保留在台式机和README.txt文件钟祝。。。。 。所有磁盘的根文件加祝。。。。 。在更高版本的加密软件中，， ，，，，文件名之后也增长了ID。。。。。 。
2. 若是README.txt文件中的代码在竖线后蕴含零（例如AABBCCDDEEFF00112233|0），， ，，，，请持续执行第2.1段。。。。。 。若是README.txt文件中的代码蕴含三个竖线（例如AABBCCDDEEFF00112233|765|8|1），， ，，，，请持续执行第2.2段。。。。。 。
2.1 进入/keys//dynamic/
2.2 进入/keys//static/文件夹，， ，，，，而后找到名称为代码第一个竖线后的数字的文件（在8827太阳集团示例中为765）。。。。。 。下载它并持续执行第4段。。。。。 。
3. 下载并执行/bin/getid.exe法式。。。。。 。它会显示您的ID，， ，，，，而后您应该转到它的第2段。。。。。 。若是这样做没有援手，， ，，，，请尝试执行3.1段落中的注明。。。。。 。
3.1 在推算机上创建一个文件夹，， ，，，，其蹊径仅蕴含英文字母或数字。。。。。 。下载文件/bin/decrypt_bruteforce.exe，， ，，，，将其保留到此文件夹并在其中创建文件加装keys”。。。。。 。而后从/keys//static/文件夹下载所有文件，， ，，，，并将它们放在“keys”文件夹钟祝。。。。 。取出任何加密文件，， ，，，，并将其放入c:\1\文件加祝。。。。 。运行crypto_bruteforce.exe并期待实现。。。。。 。若是找到密钥，， ，，，，则其文件名将显示在窗口钟祝。。。。 。获得密钥文件并持续执行第4段。。。。。 。
4. 在推算机上创建一个文件夹，， ，，，，该文件夹的蹊径仅蕴含英文字母或数字。。。。。 。下载/bin/decrypt.exe文件并将其保留到此文件加祝。。。。 。您也能够改用/bin/decrypt_nolog.exe法式。。。。。 。而后使用上一步中获得的密钥获取文件，， ，，，，并将其搁置在该目录中，， ，，，，并带佑装key.txt”名称（或者，， ，，，，若是系统不显示文件扩大名，， ，，，，则只是“key”）。。。。。 。若是加密文件位于您的推算机上，， ，，，，则只需运行crypto.exe。。。。。 。若是加密文件位于表部驱动器上，， ，，，，而后将其衔接，， ，，，，请按Start->Execute->cmd.exe，， ，，，，而后按Enter。。。。。 。在打开的窗口中键入以下号令，， ，，，，而后按Enter：cd c:\decrypt\&&crypto.exe
0x04 参考链接
https://github.com/shade-team/keys
https://securityaffairs.co/wordpress/102384/cyber-crime/shade-ransomware-shut-down.html
京公网安备11010802024551号