【工具分享】Chernolocker勒索病毒恢复工具

前言

Chernolocker 勒索病毒是一种具有高破坏性的加密勒索软件，首次被发现于2019年。该病毒通过加密受害者的文件并要求支付赎金来获取解密密钥，其目标主要是企业和个人用户的重要数据。Chernolocker 通常通过钓鱼邮件、恶意附件和漏洞利用工具包传播，并以其快速加密和高效的勒索策略闻名。病毒开发者通过使用复杂的加密算法和恐吓策略，极大地增加了受害者恢复数据的难度，同时其强大的反检测功能也使得防御和清除工作更加复杂。

特征

Chernolocker 勒索病毒感染后，会迅速扫描系统中的文件并对其进行加密，常见目标包括文档、图片、视频和数据库文件等。加密后的文件通常附加特定后缀，例如“.chernolocker”，以标识文件已被锁定。病毒会在每个被加密的文件夹中生成勒索信，通常命名为“DECRYPT_INSTRUCTIONS.txt”或类似文件，详细说明赎金支付的方式及支付比特币地址，同时威胁如果受害者未在指定时间内支付赎金，文件将被永久删除或公开。

该病毒主要通过钓鱼邮件和恶意链接传播，邮件内容通常伪装成合法的企业通信或紧急通知，诱使用户打开恶意附件或点击链接。一旦运行，病毒不仅会加密文件，还会尝试禁用防病毒软件和删除系统恢复点，进一步增加恢复数据的难度。此外，Chernolocker 勒索病毒具备较强的反检测能力，能够识别虚拟机和沙箱环境，从而避免被安全分析工具检测到。

Chernolocker 还可能结合数据窃取行为，在加密文件的同时获取受害者的敏感信息，并威胁公开数据，以进一步迫使受害者支付赎金。这种结合加密和数据泄露的双重威胁策略，使得 Chernolocker 对企业和个人用户构成了巨大的安全挑战。通过高效的加密手段和隐蔽的传播方式，Chernolocker 勒索病毒成为网络犯罪中的重要工具，同时提醒用户提高网络安全意识，定期备份数据并避免打开未知来源的文件或链接。

工具使用说明

重要提示：确保首先从系统中删除恶意软件。否则，它将反复锁定您的系统或加密文件。任何可靠的防病毒解决方案都可以为您做到这一点。如果您的系统通过 Windows 远程桌面功能遭到入侵，我们还建议更改允许远程登录的所有用户的所有密码，并检查本地用户帐户中是否有攻击者可能已添加的其他帐户。

1. 从提供此文档的同一公众号下载解密器。
2. 以管理员身份运行解密器。将会显示许可条款，您需要通过点击“是”按钮来同意这些条款：
3. 接受条款后，通过点击“浏览”按钮选择勒索信。然后点击“开始”按钮。
4. 解密工具将在恢复过程完成后显示重建的加密详情。此显示仅用于确认已找到所需的加密细节。
5. 一旦找到密钥，点击“确定”以打开主解密器用户界面：
6. 默认情况下，解密器将在解密的位置预填充当前连接的驱动器和网络驱动器。可以使用“添加”按钮添加其他位置。此外，对象列表接受通过拖放添加的文件和位置。
7. 解密器通常根据特定的恶意软件系列提供各种选项。可用选项位于“选项”选项卡中，可以在那里启用或禁用。您可以在下面找到可用选项的详细列表。
8. 将要解密的所有位置添加到列表中后，单击“解密”按钮开始解密过程。屏幕将切换到状态视图，通知您文件的当前进程和解密状态：
9. 解密器将在解密过程完成后通知您。如果您需要报告以供个人记录，可以通过点击“保存日志”按钮来保存它。如果您需要，也可以直接将其复制到剪贴板，以便粘贴到电子邮件或论坛帖子中。

可用的解密器选项：

• 保留加密文件：由于勒索软件不会保存有关未加密文件的信息，解密器无法保证解密的数据与之前加密的数据相同。因此，默认情况下，解密器将保留加密文件。如果您希望在解密后删除加密文件，则可以禁用此选项。如果磁盘空间有限，则可能需要考虑这一点。