TeslaCrypt: проект закрыт и поднят белый флаг

отредактировано June 2020 Раздел: Шифровирусы шумной толпою
фантастика!
получен мастер-ключ Tesla, который подходит для расшифровки всех файлов Tesla3,4+
440A241DD80FCC5664E861989DB716E08CE627D8D40C7EA360AE855C727A49EE

Теперь, когда ключ дешифрования сделан общедоступным
440A241DD80FCC5664E861989DB716E08CE627D8D40C7EA360AE855C727A49EE
, это позволило эксперту по TeslaCrypt BloodDolly обновить TeslaDecoder до версии 1.0, так что он может расшифровать файлы, зашифрованные в TeslaCrypt ver. 3.0/4.0. Это означает, что все, у кого файлы зашифрованы в TeslaCrypt с расширением .xxx, .ttt, .micro, .mp3 или без расширения, теперь могут расшифровать свои файлы бесплатно!
TeslaCrypt shuts down and Releases Master Decryption Key




****************
* TeslaDecoder *
****************
==========
= 1.0.0 =
==========
- Added 4th PrivateKyTesla into TeslaDecoder. All files encrypted by TeslaCrypt 3.0.0 - 4.2 can be decrypted.
The key is predefined when extension of TeslaCrypt 3/4 is choosen in Set key dialog.


TeslaDecoder - 1.0.0
Custom priviledges: 1
Admininsrator's rights: 1
Debug mode: 0
Key version: TeslaCrypt 4.0+ (as original)

Decryption started.
-------------------

DECRYPTED: E:\deshifr\files_encode\teslacrypt\tsl4\non-extension\1\GOPR0141.JPG
DECRYPTED: E:\deshifr\files_encode\teslacrypt\tsl4\non-extension\1\GOPR0142.JPG

Decryption finished. (2 files decrypted, 0 files skipped, 0 warnings)


--------------
добавлю, что компания ESET оперативно выпустила дешифратор TEslaCryptDecryptor
http://download.eset.com/special/ESETTeslaCryptDecryptor.exe



и добавила решение по расшифровке в базу знаний.
How do I clean a TeslaCrypt infection using the ESET TeslaCrypt decrypter?

[2016.05.19 13:46:34.899] - Begin
[2016.05.19 13:46:34.909] -
[2016.05.19 13:46:34.909] - ....................................
[2016.05.19 13:46:34.909] - ..::::::::::::::::::....................
[2016.05.19 13:46:34.909] - .::EEEEEE:::SSSSSS::..EEEEEE..TTTTTTTT.. TeslaCrypt decryptor
[2016.05.19 13:46:34.909] - .::EE::::EE:SS:::::::.EE....EE....TT...... Version: 1.1.0.0
[2016.05.19 13:46:34.909] - .::EEEEEEEE::SSSSSS::.EEEEEEEE....TT...... Built: May 18 2016
[2016.05.19 13:46:34.909] - .::EE:::::::::::::SS:.EE..........TT......
[2016.05.19 13:46:34.909] - .::EEEEEE:::SSSSSS::..EEEEEE.....TT..... Copyright (c) ESET, spol. s r.o.
[2016.05.19 13:46:34.909] - ..::::::::::::::::::.................... 1992-2015. All rights reserved.
[2016.05.19 13:46:34.909] - ....................................
[2016.05.19 13:46:34.909] -
[2016.05.19 13:46:34.909] - --------------------------------------------------------------------------------
[2016.05.19 13:46:34.909] -
[2016.05.19 13:46:34.919] - INFO: OS: 6.1.7601 SP1
[2016.05.19 13:46:34.919] - INFO: Product Type: Workstation
[2016.05.19 13:46:34.919] - INFO: WoW64: True

[2016.05.19 13:46:34.919] - INFO: Backup: 1
[2016.05.19 13:46:34.919] - INFO: Supported TeslaCrypt version : 3.0.0 - 4.2
[2016.05.19 13:46:34.919] - INFO: Looking for infected files...

[2016.05.19 13:46:35.909] - INFO: Cleaning [6\файлы для тестирования шифровальщиков2\Правила поведения вахтеров.jpg]
[2016.05.19 13:46:35.939] - INFO: Cleaned
[2016.05.19 13:46:35.949] - --------------------------------------------------------------------------------
[2016.05.19 13:46:35.949] - INFO: 34 infected files found.
[2016.05.19 13:46:35.949] - INFO: 34 file(s) cleaned.
[2016.05.19 13:46:39.469] - End



а все таки приятно было в этом поучаствовать....
A Special Thanks to our Helpers and Volunteers

I would like to send a special thanks to those volunteers who sacrificed their precious time to help victim's of TeslaCrypt. A very special thanks go to BloodDolly, Googulator, VirusD, Demonslay335, NightbirD, vilhavekktesla, al1963Goosea, the encryption gurus at Kaspersky, Quietman7, and the numerous other volunteers who have spent huge amounts of time helping the TeslaCrypt victims at BleepingComputer.com. Without your help there would be many people who would have lost their data.
http://www.bleepingcomputer.com/news/security/teslacrypt-decrypted-flaw-in-teslacrypt-allows-victims-to-recover-their-files/
Мы ищем точки опоры не с целью перевернуть мир, но чтобы не позволить миру опрокинуть нас.

Комментарии

  • отредактировано December 2016 PM
    Trend Micro выпустил дешифратор для Teslacrypt 3+



    скачать декрипторы можно отсюда:



    Мы ищем точки опоры не с целью перевернуть мир, но чтобы не позволить миру опрокинуть нас.
  • отредактировано December 2016 PM
    Cisco Talos разработала инструмент TeslaCrypt Decryption Tool, чтобы помочь пользователям расшифровать файлы, которые были зашифрованы в TeslaCrypt.

    Как утверждается в пресс-релизе:
    TeslaCrypt Decryption Tool ver 1.0 может расшифровать все файлы, зашифрованные всеми версиями TeslaCrypt.
    TeslaCrypt 0.x - Encrypts files using an AES-256 CBC algorithm
    AlphaCrypt 0.x - Encrypts files using AES-256 and encrypts the key with EC
    TeslaCrypt 2.x - Same as previous versions, but uses EC to create a weak Recovery key. The application is able to use factorization to recover the victim's global private key.
    TeslaCrypt 3 & 4 - The latest versions. Able to decrypt thanks to the C&C server EC private key which was recently released.
    http://www.talosintel.com/teslacrypt_tool/
    ----------
    выбрал попроще файл vvv для проверки работы факторизации,
    http://factordb.com/index.php?id=1100000000840120939
    чтобы вычисление всех факторов, необходимых для получения PrivateKey прошло быстрее... похоже, что-то считается: :)

    Sat Jun 11 16:35:23 2016
    Sat Jun 11 16:35:23 2016
    Sat Jun 11 16:35:23 2016 Msieve v. 1.52 (SVN 958)
    Sat Jun 11 16:35:23 2016 random seeds: 7fd82c28 b43cc5cb
    Sat Jun 11 16:35:23 2016 factoring 737228582407689094184245043594961682210040547451578177707019561921511090019720483411707988038592146179038917751390126757190675546710082182492331858611854 (153 digits)
    Sat Jun 11 16:35:24 2016 searching for 15-digit factors
    Sat Jun 11 16:35:25 2016 P-1 stage 2 factor found
    Sat Jun 11 16:35:27 2016 searching for 20-digit factors
    Sat Jun 11 16:35:37 2016 ECM stage 1 factor found
    Sat Jun 11 16:35:38 2016 searching for 25-digit factors
    Sat Jun 11 16:37:42 2016 searching for 30-digit factors
    Sat Jun 11 16:58:31 2016 searching for 35-digit factors
    Sat Jun 11 17:04:42 2016 p1 factor: 2
    Sat Jun 11 17:04:42 2016 p2 factor: 37
    Sat Jun 11 17:04:42 2016 p2 factor: 37
    Sat Jun 11 17:04:42 2016 p6 factor: 340913
    Sat Jun 11 17:04:42 2016 p9 factor: 600016117
    Sat Jun 11 17:04:42 2016 prp12 factor: 256337535229
    Sat Jun 11 17:04:42 2016 prp14 factor: 24529283600971
    Sat Jun 11 17:04:42 2016 c111 factor: 209346244107552852175755473846626154874259340061523694284191023309414149498873838545018381994313105811596949997
    Sat Jun 11 17:04:42 2016 elapsed time 00:29:19

    ------------
    для контроля полный список факторов к данному файлу полученный в yafu
    2 · 37^2 · 340913 · 600016117 · 256337535229<12> · 24529283600971<14> · 547520444410616350671351819389<30> · 279241932619154554407307933227104183<36> · 1369254567023061363019338070344921707068684631<46>
    http://factordb.com/index.php?id=1100000000840120939

    судя по логу из TeslaCrypt Decryption Tool софактор упал до C111, что вобщем соответствует результату, полученному в yafu
    осталось найти три фактора:
    547520444410616350671351819389<30> · 279241932619154554407307933227104183<36> · 1369254567023061363019338070344921707068684631<46>

    http://factordb.com/index.php?id=1100000000840142483

    надо определить, сколько же времени займет вычисление всех факторов в TeslaCrypt Decryption Tool
    --------
    считает, но крайне медленно...
    Мы ищем точки опоры не с целью перевернуть мир, но чтобы не позволить миру опрокинуть нас.
  • отредактировано December 2016 PM
    Проект закрыт, однако количество пользователей, пострадавших от всех версий TeslaCrypt пока не уменьшается.
    Интересный случай недавно был на форуме bleepingcomputer.com от пользователя stefanova.
    https://www.sendspace.com/filegroup/8FtogO+q81YkTNF0A52rxQ
    Шифрование файлов было выполнено ранней версией Teslacrypt *.ecc.
    Судя по размеру файла key.dat (656 байт) версия шифратора согласно документации разработчика методики:
    Version 2:
    File extension: .ecc
    Location of data file on disk: %appdata%\key.dat [656 bytes]
    Location of recovery file: N/A
    Location of data file in registry: not used
    Location of log file: %appdata%\log.html
    Data file protected: No
    Decryption key offset: 0x177
    Partial key offset: 0x136
    Info: If decryption key was zeroed out, but partial key was found in key.dat, Tesladecoder can recover original decryption key. This process can take several hours on slow computers. Encrypted files are not paired with data file. Decryption key can be also obtained from Tesla's request that was sent to server.

    Ранее, для получения SharedSecret1*PrivateKeyBC and PublicKeyBC, которые необходимы для расчета факторов и в конечном итоге PrivateKeyBC мы использовали Teslaviewer, yafu, TeslaRefactor и в конечном итоге, найденный ключ можно было добавить в Tesladecoder и выполнить расшифровку файлов. Источником данных для версии *.ecc были либо key.dat, либо файлы RECOVERY_KEY.TXT/RECOVERY_FILE.TXT. В случае @stefanova Teslaviewer не смог извлечь SharedSecret1*PrivateKeyBC and PublicKeyBC из файла key.dat, и таким образом процесс расшифровки остановился. Хм. И вот эта часть из readme.txt мной не была правильно понята.
    Info: If decryption key was zeroed out, but partial key was found in key.dat, Tesladecoder can recover original decryption key. This process can take several hours on slow computers
    Информация: Если ключ дешифрования был обнулен, но частичный ключ был найден в key.dat, Tesladecoder может восстановить оригинальный ключ дешифрования. Этот процесс может занять несколько часов на медленных компьютерах

    Оказывается, один из файлов key.dat по ссылке как раз содержал частичный ключ, и мог быть легко восстановлен в TeslaDecoder через функцию "загрузить данные".
    Loading data file from >> E:\deshifr\files_encode\teslacrypt\tsl2\ecc\1000\key.dat
    Data file version 2 recognized.
    Decryption key found >> C7C7CA5A729515C13A67B0D314E1E5E419A7D9B8861A7B552175E386823CEAC0
    Verification with Bitcoin address... OK.

    *** You can try to decrypt your files now. ***

    т.о. найденный ключ C7C7CA5A729515C13A67B0D314E1E5E419A7D9B8861A7B552175E386823CEAC0 можно было использовать для расшифровки файлов stefanova.
    Мы ищем точки опоры не с целью перевернуть мир, но чтобы не позволить миру опрокинуть нас.
  • отредактировано October 2016 PM
    или здесь просто классика:
    Jazzer пишет, что у него вариант шифрования *.ecc, он нашел key.dat, в котором может содержаться информация о ключе. Но ключ извлечь не получается... + добавил один зашифрованный файл:
    https://www.sendspace.com/file/4byce7

    просим его добавить файл key.dat
    In case of .ecc or .ezz encryption you have to additionally use key.dat located in %appdata% folder or RECOVERY_KEY.TXT/RECOVERY_FILE.TXT located in My documents folder.
    Key.dat добавлен.
    https://www.sendspace.com/file/n1ahmj
    файл размером 752 байт (752 байт), согласно документации, инофрмация о ключе может быть извлечена с помощью Teslaviewer.
    * key.dat information:

    636 and 648 bytes long key.dat doesn't contain ECDH so they are not supported in TeslaViewer.
    656 bytes long key.dat is a hybrid version and it is supported in TeslaViewer if the content is valid. (This data file should be manually checked. Please contact BloodDolly via PM on BleepingComputer.com.)
    752 bytes long key.dat is supported in TeslaViewer.
    извлекаем информацию из key.dat:
    ================
    = PrivateKeyBC =
    ================
    
    SharedSecret1*PrivateKeyBC
    hex 81F28AC89DF6479AFFA59557007B9D57ABF89C41939AAA598FC80332C40114D1677C5D5A5E14551636C09B79FBE7CDF4E0B1635FAB4D64AA82989DDA7F5E3ECC
    dec 6805899159050802758114618921023341363176397535354340920615266233981815743527178076152242436824603593266600022748721251512230407955109409732407382679371468
    
    PrivateKeyBC = 
    PublicKeyBC = 1135FEC07D07D0B8D912DF0850ABBB166A796A944C910A8E189006B67CB44A43
    

    Чтобы получить PrivateKeyBC, который нужен для расшифровки всех файлов, необходимо число dec разложить на простые множители (факторы)

    используем специальный софт yafu. В нашем случае вычисление факторов заняло не более двух минут.
    2^2 · 7^3 · 263 · 1783 · 47857 · 79063 · 216488639 · 542407189 · 845223349 · 57094773319473697<17> · 112179826221282737<18> · 62303018397755464898988634807296239<35> · 70591646340543193717810292571117752534219<41>

    2
    2
    7
    7
    7
    263
    1783
    47857
    79063
    216488639
    542407189
    845223349
    57094773319473697
    112179826221282737
    62303018397755464898988634807296239
    70591646340543193717810292571117752534219

    06/24/16 15:22:21 v1.34.5 @ AV6, Total factoring time = 106.0747 seconds

    здесь, лучше всего предварительно использовать сервис:
    http://factordb.com/index.php
    для поиска результатов разложения больших чисел на простые множители.
    Те, кто на bleepcomputer.com занимаются вычислением ключей тесла для пользователей, используют данный сервис, прежде чем запускать вычисление на yafu + добавляют результаты своих вычислений на factordb.com, чтобы облегчить работу другим. Может получиться, что в новой задаче поиска ключа, разложить на простые множители необходимо не C154, а значительно меньший софактор, соответственно, время вычисления оставшихся факторов будет меньшим, (а иногда и значительно меньшим)

    добавил свой результат,
    http://factordb.com/index.php?id=1100000000841538840
    Если кто-то хочет повторить вычисление ключа у себя, то можно пропустить вычисление факторов с помощью yafu.

    Теперь когда известны факторы соответствующие произведению SharedSecret1*PrivateKeyBC (в dec формате) и PublicKeyBC (в hex), можно вычислить приватный ключ PrivateKeyBC с помощью инструмента TeslaRefactor.
    lqd794fw4pnq.jpg

    Полученный приватный ключ 9C196149EDAABEF577ED78D336B7A78AD1E14E8C3F784E367D5A5A482349ACD4
    теперь может быть использован для расшифровки файлов *.ecc нашего пользователя.

    для расшифровки файлов используем третий инструмент: Tesladecoder

    l6k0wj65fmtf.jpg

    Расширенные функции инструмента (Encrypted files) позволяют очень гибко подойти к процессу расшифровки: расшифровать отдельный каталог (Decrypt folder), отдельный диск, расшифровать все диски (Decrypt all), получить список зашифрованных файлов (List all files), и далее применить расшифровку по данному списку (Decrypt list).
    Мы ищем точки опоры не с целью перевернуть мир, но чтобы не позволить миру опрокинуть нас.
  • отредактировано October 2016 PM
    и вот еще интересный момент:
    der_kelte завершил факторинг, но не смог получить PrivateKeyBC (довольно частый случай на форуме BC)
    ================
    = PrivateKeyBC =
    ================
    
    SharedSecret1*PrivateKeyBC
    hex 01F0369080AC162EC31420C61C0087356AC9E5B2CE8F1245F036E0DEC38829342EA4D70D830DBE23AE46E4742325FBBA071B7DF426117E6611C50F013B0456D4
    dec 101518714997602680105334548483816355816662148551760429945718497274154406723551357841739829891077796510765460926426139191435035878540081796181954874595028
    
    PrivateKeyBC =
    PublicKeyBC = 042ED944C33AE6448FAC9AF34A808476D9669FF0923F5D5D67724C84547F005D4A0A1C3351ACCA72FDECA3E65F83AE19E5E823CED9D764C0B50A4F6E208DD28137
    
    ==================
    = PrivateKeyFile =
    ==================
    
    SharedSecret2*PrivateKeyFile
    hex 8E4039F0C0FBE6E5551BB7B3D45A6CCC806CC43A173A1C6293F3F2E7237F3690915A29F5DDFAE6ECC29A34E42668D91D58D363E73E094B133534709EB3A762D2
    dec 7450283327699427718397079401619812006015954203830183094620070381082021340878503316396699795949327326320261347297170175827376617110050109713954993225556690
    
    
    PrivateKeyFile =
    PublicKeyFile = 045D09A8C172F9450C722CFCA4075DEAE455F9A95894D554B0D4352CCAC495118BCF3AA4A0B3826AB2A577710F922F7EA42F1827EBA171B028450577683102E2F9
    

    при этом он опубликовал два найденных фактора:

    P67 = 5417651474226086563697011985092547176677025961795358849453426524243
    P50 = 10457596448125897013223999941527100486487475344437

    на этот момент текущий софактор для SharedSecret1*PrivateKeyBC (на factordb.com) по данному dec был C137
    Я начал вычисление с C137.
    06/30/16 15:12:25 v1.34.5 @ AV6, Starting factorization of
    
    39526509342176635553260104802255006234684631463502179137403357290395299559057741910369797322235062144930136950241248621803708889132383169
    
    и через несколько секунд был найден P21
    06/30/16 15:12:30 v1.34.5 @ AV6, prp21 = 697662727114195986959 (curve 1 stg2 B1=50000 sigma=4018298279 thread=0)

    и софактор упал до C116
    06/30/16 15:13:24 v1.34.5 @ AV6, pm1: starting B1 = 3750K, B2 = gmp-ecm default on C116
    
    Здесь прервал вычисление, и использовал уже найденные факторы, которые опубликовал der_kelte

    т.о. образом получив полный список факторов, можно было вычислить PrivateKeyBC для стадии C137 в течение минуты, вместо нескольких дней. :)
    2
    2
    3
    47
    79
    109
    17239
    30677
    697662727114195986959
    10457596448125897013223999941527100486487475344437
    5417651474226086563697011985092547176677025961795358849453426524243
    PrivateKeyBC:
    B5DB34E5C2D713C19318B3B7DE5FB393C118F19D3738BE15DB149753DF2AE0F6
    Мы ищем точки опоры не с целью перевернуть мир, но чтобы не позволить миру опрокинуть нас.
  • отредактировано October 2016 PM
    еще один интересный случай, опять же с шифрованием *.ecc
    decrypt_ecc не разобрался с методикой расшифровки и пробовал расшифровать свои файлы без факторизации и вычисления ключа.
    Version 3:
    File extension: .ecc/.ezz
    Location of data file on disk: %appdata%\key.dat [752 bytes]
    Location of recovery file: %mydocuments%\RECOVERY_KEY.TXT/RECOVERY_FILE.TXT
    Location of data file in registry: [HKCU\Software\Microsoft\Windows\CurrentVersion\SET] [752 bytes]

    key.dat не нашел, зато нашел RECOVERY.KEY.TXT
    однако, teslaviewer не смог создать work.txt, в который из файла извлекает инфо о PublicKeyBC и SharedSecret1*PrivateKeyBC, необходимых для факторизации и вычислении ключа. Размер файла (296 байт) оказался несколько больше обычного (232байта).
    Судя по содержимому файла полезная информация была дополнена нулями.
    1GgnEdhHdgt7KaaM2hxRBXzj51ReX4AjYn
    8ADB3E1FD214A2588E1814CF658C435BBA2CD717E906EF6C12901918456B7355
    0920748842BFB68871174117C0D17A79FCA64625E168C000215B70B3E2B3418E04DD1E2F7710E2B7D9399075C020F92738462B90DA6DA792E65735350C57B4980000000000000000000000000000000000000000000000000000000000000000
    
    Предположил, что необходимо отсечь все нули. После удаления нулей размер файла стал 232байт. По нему уже в teslaviewer получаю work.txt
    ================
    = PrivateKeyBC =
    ================
    
    SharedSecret1*PrivateKeyBC
    hex 0920748842BFB68871174117C0D17A79FCA64625E168C000215B70B3E2B3418E04DD1E2F7710E2B7D9399075C020F92738462B90DA6DA792E65735350C57B498
    dec 478008157569547615474880411684821174549323103272051666244476563953126049667201017229331015260629451693966104116935058398196041485472143039690239047611544
    
    
    
    PrivateKeyBC = 
    PublicKeyBC = 8ADB3E1FD214A2588E1814CF658C435BBA2CD717E906EF6C12901918456B7355
    
    Вычисление факторов начал (с учетом информации по данному dec на factordb.com) с C128. Это могло занять при неблагоприятном исходе опять же несколько дней. Но повезло и в этот раз. На стадии ECM были найдены два фактора:
    07/02/16 14:38:47 v1.34.5 @ AV6, prp24 = 229648885968597983757869 (curve 38 stg2 B1 = sigma = 11000 2758448569 thread = 0)
    07/02/16 14:39:05 v1.34.5 @ AV6, prp27 = 659424323397697555714032383 (curve 72 stg1 B1 = sigma = 50000 1949501444 thread = 0)

    и софактор с C128 упал до C78. В итоге общее время вычисления необходимых факторов заняло 2-3 минуты.

    по найденным факторам:
    2^3 · 3 · 13 · 19 · 43 · 436439 · 247325704679491<15> · 229648885968597983757869<24> · 659424323397697555714032383<27> · 2351716053829935281694832375001849<34> · 48781108084078689110783399505771186425469043<44>
    вычислил приватный ключ.
    PrivateKeyBC:
    D172CCF6824A851666242412C53BB99B94EE5DA86B351C3C3606B54D5911CC83
    Мы ищем точки опоры не с целью перевернуть мир, но чтобы не позволить миру опрокинуть нас.
  • отредактировано December 2016 PM
    AVG выпустил дешифратор для Teslacrypt 3+
    http://files-download.avg.com/util/avgrem/avg_decryptor_TeslaCrypt3.exe

    проверим.
    работает, хотя и сделан на скорую руку.
    без логов по расшифрованным файлам. (по крайней мере при проверке по каталогу)
    Мы ищем точки опоры не с целью перевернуть мир, но чтобы не позволить миру опрокинуть нас.
  • отредактировано December 2016 PM
    McAfee выпустил консольный дешифратор для Teslacrypt v 3,4

    How Do You Use Tesladecrypt?
    TeslaDecrypt v1.0.0 (C) 2016 Intel Security
    MD5: 91B1917C822DCE5AB98BBA70E2F0B706

    tesladecrypt1.gif

    http://www.mcafee.com/us/downloads/free-tools/how-to-use-tesladecrypt.aspx
    Мы ищем точки опоры не с целью перевернуть мир, но чтобы не позволить миру опрокинуть нас.
  • отредактировано November 2017 PM
    а здесь CryptoWall закрыл возможность получить обратно оригиналы файлов, несмотря на то, что были сняты два слоя шифрования.
    can help with .ecc.exx encrypted files?

    https://www.sendspace.com/file/grt32e

    шифрование было в несколько слоев: ecc.exx
    пользователь выложил несколько зашифрованных файлов и так же файлы, необходимые для получения ключа в случае шифрования Teslacrypt: ecc и exx: recovery_file.txt, key.dat и recovery_key.txt.
    recovery_file.txt для ключа к расшифровке слоя exx:
    1BSoqw1wrb2QAKJobMXEjKCnTmvwyWHJ2e
    7823C819887DB0F43C23640F2BC3A8032880312A91B14D1485C54E8E1F8BCAEA
    21DB63EFF21219F61119A6178FD20D54C80A962129FD9A1187FF446FC61A78C9F34D3D75B95B7F21BCAA33FB4A71BF3B2C9885491D11D561DCE683AA9AB354CC
    
    время факторизации получилось небольшим:
    2^2 · 3^2 · 5 · 7 · 71 · 751 · 380819 · 404959 · 369546477247794403<18> · 351867669651395733973601<24> · 3522448565413293506046050851710074841379854713<46> · 373658288980219506805143820961079697180164054127<48>

    PrivateKeyBC:
    EB6D4A4F0927FECACC877AEF8B2916932609FEB9F620DD22DCB66E6F0EFC6822
    и
    key.dat и recovery_key.txt помогли получить ключ к расшифровке слоя ecc:
    1QK5dCnWXPD4xHMp8cPPA3Hh574HcKwNhR
    01B1856CCB6259197A66F06F91B936FC67565192A4E0C38413394CB29CB686CA
    7DCF92965BFFE180DD6C662F4FA8CB2A0F3BCB779C3B5E594AFE6BFA7F4E11EE23DFDEC9915C22C16C6B38F0D85E5E7CF414B326CFB0F1620EB5CB2156FB108D
    

    здесь вычисление факторов не для "слабых" одно-двухядерных процессоров. :)

    4138261 · 215056296861084617<18> · 301302595880024239796499194111603622363807976135469842784081<60> · 24573268675657506763836845282468837096672395839219919491653897989728769<71>

    PrivateKeyBC:
    E0D2D6EFBA0F9E4BA71150B0C55803E4A554C035A63554B915C5096BD8C19715

    после расшифровки слоя ecc получены файлы с оригинальным расширением, но открыть данные файлы невозможно. Судя по заголовкам файлов, было еще одно шифрование, которое не изменило расширение файлов. Demonslay335 предположил, что это Cryptowall 3.0, судя по тому что в расшифрованных файлах первые 16 байт у всех файлов одинаковы. К сожалению, он оказался прав, и пользователь нашел записку о выкупе HELP_DECRYPT.TXT, характерные для шифрования Cryptowall 3.0
    ¿Qué pasó con sus ficheros?
    Todos sus ficheros fueron protegidos con la codificación persistenre RSA-2048 con la ayuda del programa CryptoWall 3.0.
    Puede conocer más sobre la codificación con las claves RSA-2048 aqúi: http://en.wikipedia.org/wiki/RSA_(cryptosystem)


    ¿Qué significa esto?
    Significa que la estructura y los datos dentro de sus ficheros fueron cambiados irrevocablemente, no podrá trabajar con ellos,
    leer o verlos, esto es lo mismo que perderlos para siempre, pero con nuestra ayuda podrá restaurarlos.
    Что случилось с файлами?
    Все файлы были защищены с помощью шифрования RSA persistenre-2048 с помощью CryptoWall 3.0.
    Вы можете узнать больше о кодировании с ключом RSA-2048 здесь: http://en.wikipedia.org/wiki/RSA_(cryptosystem)

    Что это значит?
    Означает, что структура и данные в своих файлах были изменены безвозвратно, вы не можете работать с ними,
    читать или смотреть, это то же самое, как потерять их навсегда, но с нашей помощью можно восстановить.

    И к сожалению, решения по расшифровке Cryptowall 3.0 нет.
    Мы ищем точки опоры не с целью перевернуть мир, но чтобы не позволить миру опрокинуть нас.
  • отредактировано October 2016 PM
    + еще один интересный случай от CrisComputer на bleepingcomputer.com

    Здесь старый еще вариант TeslaCrypt - ECC, и к счастью для пользователя у него сохранился RECOVERY_KEY.TXT
    14JmK8qx4v3shaQprSFtXUqQ3o37bcin8V
    ED48F94415B9182C950BE7855A6DB4C812E6BB16B9D20348DD55893D79259F3E
    0E148B772BE974482B8549220703749885B44CB481218F93A9DC670B58B346364693CCA6DEF1393773CD46C4A11730DDD703D0FE55ECF9A4EE90EAFEA38F9EB8
    
    Вычисление факторов здесь не самое быстрое. C128. Факторизацию выполнил Triage за фантастическое время.

    10/24/16 01:59:22 v1.34.5 @ CRUNCH, Total factoring time = 44924.7173 seconds
    ================
    = PrivateKeyBC =
    ================
    
    SharedSecret1*PrivateKeyBC
    hex 0E148B772BE974482B8549220703749885B44CB481218F93A9DC670B58B346364693CCA6DEF1393773CD46C4A11730DDD703D0FE55ECF9A4EE90EAFEA38F9EB8
    dec 737442690752574472474763364811461296368381608919716178206898131946329686273725793712410392927100033148637660154588604580146453764230934072379546480385720
    
    PrivateKeyBC = 
    PublicKeyBC = ED48F94415B9182C950BE7855A6DB4C812E6BB16B9D20348DD55893D79259F3E
    
    с128:
    27966872489374188815601578812869976298288500890542399329135252299002418079486724745662810593009141602798485894816666236969002329
    
    2^3 · 5 · 89 · 5953 · 2596619 · 479170708529<12> · 560028226465092557140593075826778065549795168618000156998721<60> · 49938326619537645927151296780829540106380312870306568399227815265049<68> 
    
    PrivateKeyBC:
    33079C908322604AD5075AFE1475DB5BEE80D073864B2BC21E38C50E09018F36
    
    однако часть файлов после расшифрования данным ключом не открывалась. Вначале было предположение, что эти файлы могут иметь второй слой шифрования (возможно CryptoWall). К счастью для пользователя это оказался не Cryptowall, а повторное шифрование ecc тем же ключом. Как предположил Demonslay335, необходимо дважды расшифровать эти файлы в Tesladecoder найденным ключом 33079C908322604AD5075AFE1475DB5BEE80D073864B2BC21E38C50E09018F36 и оказался прав.
    Мы ищем точки опоры не с целью перевернуть мир, но чтобы не позволить миру опрокинуть нас.
  • отредактировано November 2016 PM
    + еще интересный случай (шифрование *.ECC) от mangache на Bleepcomputer.com

    из добавленных по ссылке файлов key.dat оказался убитый без возможности извлечь информацию о ключе, в recovery_key.dat в строки были добавлены лишние нули, так что с помощью teslaviewer извлечь рабочую информацию о ключе было невозможно.
    + 1Jto2nWykVpBwDcy523ZN9GvXFEYfdUsYp
    17C6EDB44D1304BB73EA19D0EF5F973CBD53EDB592C0253765820E01596BF600
    13975CD01E5B051F698384909E2DF85D78A3B007878CEFFAE5A337999D36DABC8D190F4EF9992B5E6F079CE44F038B56A558327C60FE46B62D3F6427D94E66460000000000000000000000000000000000000000000000000000000000000000
    
    для восстановления информации о ключе пришлось отсечь нули в третьей строке исходя из размера файла 232байта:
    RECOVERY_KEY.TXT/RECOVERY_FILE.TXT (232B) (.ecc, .ezz, .exx, .xyz)
    1st line> Bitcoin address
    2nd line> PublicKey X coordinate
    3rd line> RecoveryKey = SharedSecret * PrivateKey


    т.е. для факторизации используем:
    13975CD01E5B051F698384909E2DF85D78A3B007878CEFFAE5A337999D36DABC8D190F4EF9992B5E6F079CE44F038B56A558327C60FE46B62D3F6427D94E6646

    т.о. в Teslaviewer получаем следующую задачу в work.txt
    ================
    = PrivateKeyBC =
    ================
    
    SharedSecret1*PrivateKeyBC
    hex 13975CD01E5B051F698384909E2DF85D78A3B007878CEFFAE5A337999D36DABC8D190F4EF9992B5E6F079CE44F038B56A558327C60FE46B62D3F6427D94E6646
    dec 1026077541778168040122800488321103842479497918391780626744727002476144529544803640329398550794646518488442870720647474317490897405243083171819432857986630
    
    
    
    PrivateKeyBC =
    PublicKeyBC = 17C6EDB44D1304BB73EA19D0EF5F973CBD53EDB592C0253765820E01596BF600
    

    При вычислении в yafu софактор с C141 упал до C128, но здесь пришлось остановить вычисление, по причине больших временных затрат,

    2 · 5 · 7 · 11 · 17 · 571 · 169489 · 69952553708291<14>11578687595669248333772768116561708546894197069866224752983401608666840819944250467528689973563236960430261346020410911207244083<128>

    однако благодаря другим участникам форума (thyrex) были найдены недостающие факторы для полного числа.

    P60 = 153475021795178157724289051532222982081547112528506740679683
    P68 = 75443466045710800008357711476507271514542096663136204761278117846801

    http://factordb.com/index.php?id=1100000000884332100

    далее при вычислении PrivateKeyBC thyrex столкнулся с еще одной неожиданностью, которую впоследствие удачно разрешил.

    при указанном
    PublicKeyBC = 17C6EDB44D1304BB73EA19D0EF5F973CBD53EDB592C0253765820E01596BF600

    ключ не мог быть найден, очевидно thyrex прервал на некоторое время поиск ключа, но в какой-то момент, подобно Архимеду, "о, эврика!" :) убрал последние два нуля в PublicKeyBC и получил верное значение PrivateKeyBC:
    2C62C32AF21EACE3E89EE5609C023142F2B63C0FC61C26FF9775BC764473F7BE

    думаю, mangache будет очень рад, когда увидит результат, поскольку посчитал условия для получения ключа и расшифровки файлов безнадежными. :).
    Мы ищем точки опоры не с целью перевернуть мир, но чтобы не позволить миру опрокинуть нас.
  • отредактировано May 2019 PM
    еще один пример в случае шифрования Teslacrypt ранним вариантом *.ecc, когда возможно восстановление ключа по сохранившемуся парциальному ключу восстановления Recovery/partial key (в случае обнуления в файле key.dat ( [636 bytes], [648 bytes], [656 bytes]) приватного ключа PrivateKey)

    Восстановить приватный ключ получилось:
    PrivateKey found in your case
    Decryption key recovered >> 2E34243A731DE4524B3BF2EE2B99B456BC25BA686C17E008C4C8CF8679DF12BD

    К сожалению, после дешифрования файлов *.ecc найденным ключом (в данном случае), расшифрованные файлы имеют первые 16 байт одинаковыми (0AAFE8FD9736C0B8ADAA09DFB879FD63), что указывает на то, шифрование было выполнено дважды: вначале Cryptowall 3.0 (без изменения расширения файлов), затем TeslaDecoder/ecc.

    zrdjhigrkvt4.jpg

    или по копии приватного ключа (0x177 32 PrivateKey), которая не была обнулена.
    Loading data file from >> G:\DATA\shifr\encode_files\teslacrypt\tsl2\ecc\1000\key.dat
    Data file version 2 recognized.
    Decryption key found >> C7C7CA5A729515C13A67B0D314E1E5E419A7D9B8861A7B552175E386823CEAC0
    Verification with Bitcoin address... OK.

    mxe3ilcyp6fp.jpg
    Format of key.dat
    *****************
    offset size Description
    0x000 34 Bitcoin address
    0x022 260 Random bytes
    0x126 16 SYSTEMTIME
    0x136 32 Recovery/partial key
    0x177 32 PrivateKey
    0x280 8 Time64
    0x288 4 DEADBEAF is set when ShadowCopy was deleted
    Version 1,2:
    File extension: .ecc
    Location of data file on disk: %appdata%\key.dat [648 bytes]
    Location of recovery file: N/A
    Location of data file in registry: not used
    Location of log file: %appdata%\log.html
    Data file protected: No
    Decryption key offset: 0x177
    Partial key offset: 0x136
    Info: If decryption key was zeroed out, but partial key was found in key.dat, TeslaDecoder can recover original decryption key. This process can take several hours on slow computers. Encrypted files are not paired with data file. Decryption key can be also obtained from Tesla's request that was sent to server.

    Мы ищем точки опоры не с целью перевернуть мир, но чтобы не позволить миру опрокинуть нас.
Войдите или Зарегистрируйтесь чтобы комментировать.