Keyholder virüsünün şifrelediği dosyalar nasıl açılır?

Öncelikle annenizin mekanı cennet olsun, sizlere de sabır diliyorum.

KeyHolder Ransomware eski bir fidye virüsü olmakla beraber bugüne kadar KeyHolder Ramsomware'in şifrelediği dosyaları çözen bir uygulama ortaya çıkmadı.

Fakat KeyHolder günümüz fidye virüslerinden farklı bir şekilde çalışıyordu.  KeyHolder  şu şekilde işliyor

• Orjinal dosyayı kopyala
• Kopyalanan dosyayı şifrele
• Orjinal dosyayı sil.

Bu aslında dosyalarınızı kurtarmak için size bir şans sunuyor. Eğer dosyaların üzerine yazılmamışsa silinen dosyaları geri alabilirsiniz.

Öncelikle Recuva ile derin tarama (deep scan) yapmanızı tavsiye ederim: Silinen dosyaları geri getirme linkinde Recuva daha önce anlatılmıştı.

Yine eğer Gölge kopyalar duruyorsa ShadowExplorer ile verileri kurtarmayı deneyebilirsiniz: ShadowExplorer nedir, nasıl kullanılır?

Bu tür programlara aşina değilseniz mutlaka yanınızda tecrübeli biri olsun ve programları o kullansın. Mümkünse program kurulumlarını USB harici diske yapmanız iyi olacaktır, bu şekilde veri kayıplarının önüne geçebilirsiniz.

Yine eğer programlar diskte kurtarılacak veri bulursa, bu verileri de mutlaka başka bir diske kurtarın. Kurtarma yapılan diskin üzerinde işlem yapmayın.

dosyaların uzantısı değişmemiş jpeg formatında hepsi. açtığımda sadece bu fotoğrafın görüntülenemediğini falan söylüyor

başka bir program ile açmayı deneyebilirmisin? belki olur.(annenin mekanı cennet olsun..)

Annen için başın sağolsun. Sabırlar dilerim.

Kayıp ve şifreli dosyalar meseleside gerçekten çok üzücü. Ama bunların fidye ödenmeden kurtarılması maalesef imkansız gibi. Zira aradan çok zaman geçmiş olabilir ve belki bu sebeple  fidye ödenmesini kabul etmek bile çözüm sağlamayabilir (Yada üç kağıt yapabilirler, oyun oynayabilirler, aldatma yoluna gidebilirler).

Hep olumsuz düşünceler belirttim ama bana göre vaziyet gerçekten ve maalesef böyle.

Ayrıca yinede çözüm araştırırsın/araştıralım ama verdiğin bilgiler tam açık değil. Bazı şeyler pek anlaşılamayabiliyor. Veya ben şu şekilde anlıyor ve soruyorum:

Kayıp/şifrelenmiş dosyaların orjinal yeri sabit disk üzerinde C: bölümünde değil D:'de idi öylemi?

Birkaç ay önce sabit disk bölümlerinin tamamına format atılmıştı ve yeni işletim sistemide yüklenerek bu PC aylardan beri bu şekilde kullanılmaktaydı, öylemi?

ShadowExplorer ile baktığında sadece C: bölümündeki dosyaların gölgesini/yedeğini görebilmektesin ve D bölümü boş olarak görülmekte, öylemi?

Hiç belirtmemişsin ama C: bölümü gölgesi yedeklenme tarihide öyle aylar öncesi ve bir, birbuçuk sene öncesi tarihler değil, yakın bir geçmiş olmalı, öylemi?

Bunları açık olarak belirtirsen çözüm yolunda belki daha sağlıklı adımlar atabiliriz veya çözüm olabilirmi olamazmı tam olarak anlarız.

Bu arada şunlarıda belirtmeliyimki birkaç ay önce formatlanmış ve format sonrası yeni işletim sistemi kurularak aylarca kullanılmış sistemden format öncesi dosyalara erişmek vede onları geri  getirmek imkansız gibidir veya belki sadece pek azı ancak kurtarılabilir (Sadece tesadüf olarak sabit disk üzerinde üzerine yeni dosyalar yazılmayanlar olabilir).

Birde şunu bilmeliyizki, ShadowExplorer'ın senin sistemde gösterdikleri sadece windowsun bilinen Sistem Geri Yükleme uygulaması vasıtası ile yedek oluşturmasıyla eşit ve ortak zamanlı alınan yedeklerin dosyalar/klasörler şekliyle olan halidir. Bunları zaten Sistem Geri Yükleme ile kayıtlı geri alma noktasından geri almabilmen mümkün olur. Yani ShadowExplorer'ın gösterdiği gögelenmiş yedekler Sistem Geri Yükleme ile alınmış yedeklerden farklı olmayıp tersine aynı dosyaların yedeğini ihtiva etmektedir. ShadowExpoler'ın bu yedeklerin geri alınmasında kullanıcı bakımından Sistem Geri Yüklemeye göre bir avantajı vardırki o da Sistem Geri Yükleme kayıp/bozuk bölümü bir bütün halinde geri getirirken ShadowExplorer'da bu, istenen dosya ve klasörlerin seçilerek onların geri getirilebilmesini mümkün hale getirmesidir.

Ve herhalde ShadowExplorer uygulaması sadece sabit disk C: bölümünde gölge kopyalar alabiliyorken bu fonksiyon D: ve/veya C: haricinde diğer disk bölümlerinde işlemiyor; bu bölümlerde gölge kopyalamalar yapamıyor.

Üstteki sorularımdan sonra belirttiklerimin bir kısmı kesin bilgiler olmayıp @alattin arkadaşımızın açmış olduğu ShadowExplorer konusu altında sorarak öğrenmeyi, alakalı bildiklerimi geliştirmeyi arzuladığım şeylerdi ama @alattin hoca bunları belki açıklama ihtiyacı hissetmedi, belki sorularım gözünden kaçtı. Sonuç olarak bende konunun tam hakimi değilim bildiklerimin ve düşündüklerimin teyide ihtiyacı bulunuyor.

Belki vesile olur bu defa @alattin alakalı hususlarda  bizi tatminkar bilgilendirir. Onada burdan selamlarımızı iletmiş olalım :)

Ama tüm bunlardan sonra ve eğer yeni gayretlerde sonuç vermezse artık küçük bir şans olsada fidyeyi ödemeni tavsiye ediyorum. Belki verdiğin parada boşa gidecek, dolandırılacaksın ama eğer gerçekten fidyeci korsanlar sözlerini yerine getirerirlerse vazgeçilmez olduğunu belirttiğin şifreli dosyalarının orjinaline/şifresiz haline yeniden kavuşabileceksin. Bunun için bir miktar para kaptırma riski göze alınabilir diye düşünüyorum ve eğer benzer bir vaziyette olsaydım ben bunu yapabilirdim (Aman fidyeci korsanlara mesaj olmasın).