İnternette gezinirken indiridiğiniz bir dosya, mailinize gelen bir eki açtığınızda yada hatırlayamadığınız bir sebepten ötürü bilgisayarınızdaki fotoğraf, video, office vb. dosyalarınızı kullanamıyorsanız ve dosyalarınızın formatları .ccc yada .vvv olmuşsa bir fidye virüsü ile karşı karşıyasınız demektir. Bugün sizlere baş belası bir fidye virüsünden nasıl kurtulacağınızı ve dosyalarınızın şifrelerini nasıl kıracağınızı anlatacağım.

Yukarıdaki resimde de gördüğünüz gibi dosya formatları değiştikten sonra “How to recorder file” adlı dosyaları da göreceksiniz. Bu dosyalar fidye virüsü sahibi ile iletişime geçip gerekli ücreti ödeyip dosyalarınıza geri alabileceğinizi anlatır. Bahsedilen ücretin ne kadar olduğunu bilmiyorum ama 3-5 lira gibi bir şey de değildir. Herneyse biz gelelim bu sinir bozucu, tüm foto ve videoları hatta word-excel gibi office dosyalarını bile ele geçiren virüsü temizlemeye.

İlk olarak gerekli olan programları indireceğiz.

TeslaDecoder->https://yadi.sk/d/kBPeUlls3EaGN7
Yafu->https://yadi.sk/d/ah6uvOxt3EaYtN

Programları indirdikten tek bir klasörde ikisinide ayrı ayrı klasörlere çıkartın. TeslaDecoder klasörünün içerisine de .ccc formatlı bir tane dosyanızı kopyalayın.

İlk iş TeslaViewer programını açıyoruz. Browse bölümünden TeslaDecoder’in içine attığımız .ccc formatlı dosyamızı programa ekliyoruz ve aşağıdaki görüntüyü elde ediyoruz. Sonra “Create word.txt“ye tıklıyoruz.

TeslaDecoder klasöründe bir txt dosyası beliriyor. Aslında buna yapmamıza gerek yok ama bütün o kodları kafa karışmadan görmeniz için yapıyoruz yoksa pek bi esprisi yok. Her neyse şimdi o work.txt dosyasını açıyoruz ve SharedSecret1*PrivateKeyBCin decimal yani dec bölümünün altındaki sayıların tamamını kopyalıyoruz. Bu kopyalanan bölümüm Yafu programında kullanacağız.

Şimdi Yafu klasöründen RunYafu’ya tıklayıp çalıştırıyoruz.

a) Tune Yafu yapacağımız işlem öncesi sistemi hazırlıyor
b) Yapılacak olan işlemde işlemciden kaç çekirdek kullanmak istiyorsanız seçiyorsunuz. Arkaplanda başka şeyler yaparım beklerken diyorsanız 3’ü seçin.
c) Hatırlayacağınız üzere SharedSecret1*PrivateKeyBC’nin dec değerini kopyalamıştık. O kopyalanan değeri bu bölüme yapıştırıyoruz.
d) Bu seçeneğe tıklayarak işlemi başlatıyoruz ve ms-dos ekranı açılıyor.

İşlemci hızının gücüne göre yada seçeceğiniz çekirdek sayısına göre bazen 5 dk bazen 1 saat yada saatlerce sürebilir. Devamında yukarıdaki sonuç ekranı ile karşılacaksınız. Sonrasında yapmanız gereken sonuc içerisinde p ile olan ifadeleri kopyalamak.

Yukarıda gösterilen şekilde kopyaladıktan sonra boş bir word dosyası açıp içine kopyalayalım. Sonrasında TeslaRefactor programının açıyoruz. Sonrasında görsellerden de göreceksiniz az önce p ile başlayan sonuç faktörümüzü ekranda görünen yere kopyalayacağız.

Sağ üst taraftaki filteredbölümüne tıkladığımızda p’li ifadeler siliniyor sadece değerler kalıyor.

İlk başta oluşturulan word.txt dosyasına geri dönüyoruz ve oradaki PublicKeyBCdeki değerleri kopyalıyoruz. TeslaRefactor’daki Public Key (hex) satırına yapıştırıyoruz.

Sonra Find Private Key bölümüne tıklıyoruz. İşlemleri eksiksiz yapmış isek aşağıdaki resimde de ördüğünüz gibi şifre çözen kodu edinmiş oluyoruz.

Resimde de gördüğünüz gibi Private Key (hex) değerini kopyalıyoruz ve son programımız olan TeslaDecoder’i açıyoruz.

Set Key bölümüne tıklayıp kopyaladğımız kod çözücü değeri buraya yapıştırıyoruz.

Sonra hemen altından bu kodun hangi dosya formatlarına uygulanmak istediğimizi seçiyoruz ve set key’e tıklıyoruz.

Daha sonra Decrypt folder bölümüne tıklıyoruz .ccc dosyanızın bulunduğu klasörü seçiyorsunuz ve tamam diyorsunuz.

Evet yada Hayır seçenekli bir uyarı mesajı ekranda beliriyor. İşlem sonrasında .ccc’li dosyaları sileyim mi diye soruyor. Size tavsiyem hayır‘ı işaretlemeniz. Eğer sıkıntısız dosyanıza kavuştuysanız o zaman .ccc yada .vvv leri silersiniz.

Veee mutlu son.

Hata yapmayın diye aşamaları bol bol görsellerle destekledim, faydalı olması dileğiyle.

Bu yöntem test edilmiştir, geçtiğimiz günlerde bir arkadaşımın fotoğraf arşivini böyle kurtardık.

Combofix her bilgisayar kullanıcısı için gerekli olan boyutu küçük ama çok güçlü bir temizleme aracıdır. Bilgisayarınıza flash belleklerle gelen amvo.exe, kavo.exe zararlı yazılımlarıyla beraber, internetten bulaşan yaygın malware, spyware ve trojanları bilgisayarınızdan temizleyerek sisteminizi güvenli bir hale getirir.

Çalışma sistemi çok basit olan bu küçük programımızı çalıştırmadan önce herhangi bir sıkıntı çıkmaması için Güvenlik Duvarı (firewall), antispyware ve antivirüs gibi programları kapatmanız gerekiyor. Bunu neden söylüyorum çünkü herhangi bir sorunda bilgisayarınızda yolunca gitmeyen bazı şeyler olabilir.

Önlemimizi aldıktan sonra indirdiğiniz combofix.exe dosyasını masaüstüne alıyorsunuz ve programı masaüstünden başlatıyorsunuz ve kurulum başlıyor. Kullanım şartlarını kabul ettikten sonra programın çalışması için hazırlık yaptığını gördüğünüz bir pencere geliyor.

Sonra Combofix bilgisayarımızın kayıt defterinin yedeğini alıyor. Daha sonra önünüze sırasıyla iki pencere gelecek ikisinede “evet“te tıklıyoruz ve tarama işlemi başlıyor. Tarama işlemi sonucu raporu C:/de oluşturulan Combofix.txt dosyasından okuyabilirsiniz. Rapor analizi konusunda buradan destek alabilirsiniz.

Eğer tehdit oluşturulan dosyalar bulunursa ki bunu rapordan görebilirsiniz o zaman ComboFix bulunan tehditleri yok ediyor. Bilgisayarınızı tertemiz yapıyor. Bütün işlemler sonuçlandığında programı kaldırmak için Çalıştır‘a combofix /uninstall yazıyorsunuz ve tamam diyorsunuz.

Böylelikle bilgisayarınız zararlı yazılımlardan temizleniyor ve siz de rahat bir nefes alıyorsunuz. Bir kaç sefer bende kullanmak zorunda kalmıştım. Alanındaki en başarılı programlardan biri diyebilirim. Programı buradan indirebilirsiniz.

NOT: Acemi bilgisayar kullanıcıların böylesine güçlü bir programı kullanmasını tavsiye etmiyorum olası bir sistem çökme durumunda yazılımcı firma gibi bende mesuliyet kabul etmem. Combofix kullanımı için detaylı bilgilere ve uyarılara buradan ulaşabilirsiniz.