如何扫描/列出加密文件？

Question

臭名昭著的cryptowall加密了我的大量文件/文件夹。虽然我已经从备份中恢复了大部分文件，但我现在正在寻找一种方法来扫描分散在本地和网络驱动器上的其余加密文件。

有办法生成那些加密文件的列表吗？(通过扫描文件头/或验证文件完整性)。是在命令行中还是在特定的软件中？

干杯，弗洛里安

Answer 1

CryptoWall将所有加密文件的列表存储在windows注册表中。一旦恢复，一些文件可能已经丢失，并可能仍然是加密的。

查看修改后的file属性会给出一个简短的文件列表，这些文件可能已经被加密，并且仍然是加密的。使用Recuva (Windows恢复工具)，我注意到加密的文件魔术号是随机的，而对于普通的文件，这些魔术数字(前四个字节)是每个文件类型相同的。FF D8 FF E0

编辑:我找到了这个得力的unix 命令，名为"file“。它可以在Linux、Cygwin和OS上使用。

使用快速脚本扫描系统中的每个文件，未知的文件类型很可能是剩余的加密文件。

将这些神奇的数字与文件扩展名进行比较是可以编写脚本的，应该允许确定什么是加密的/损坏的。然而，我还没有找到这样一个工具，能够执行这项工作，并与一个众所周知的魔术数字数据库(前四个字节)进行比较。

Answer 2

您可以尝试生成一个加密文件列表。

http://www.bleepingcomputer.com/download/listcwall/

尝试使用这个链接解密文件--总比没有好。

https://www.fireeye.com/blog/executive-perspective/2014/08/your-locker-of-information-for-cryptolocker-decryption.html

来自http://www.bleepingcomputer.com/virus-removal/cryptowall-ransomware-information的原始帖子