Gratis dekrypteringsværktøjer til ransomware: Lås dine filer op uden at betale

Bliver dine filer pludselig omdøbt og utilgængelige, mens der dukker en besked op, som kræver betaling i kryptovaluta? Så er du med stor sandsynlighed ramt af ransomware. Den gode nyhed er, at du ikke nødvendigvis behøver at betale løsesum for at få dine dokumenter tilbage. For en lang række ransomware-familier findes der gratis dekrypteringsværktøjer, som er udgivet af sikkerhedsfirmaer og politimyndigheder, og som kan låse dine filer op igen. I denne guide får du et opdateret overblik over, hvordan du identificerer angrebet, hvor du finder de rigtige værktøjer, og hvordan du bruger dem sikkert.

Hvad er ransomware, og hvorfor er det så udbredt?

Ransomware er en type skadelig software (malware), der tager dine data som gidsel. Ordet er sammensat af engelske “ransom” (løsesum) og “software”. Når først programmet er aktivt på din Windows-pc, krypterer det dine filer — altså låser dem med en digital nøgle — eller spærrer helt for adgangen til hele computeren. Bagefter kræver bagmændene penge for at udlevere nøglen.

Der findes groft sagt to typer:

• Krypterende ransomware (crypto-ransomware) — låser dine filer, så de får en ny filendelse og ikke kan åbnes. Selve Windows virker stadig, men dine dokumenter, billeder og regneark er utilgængelige.
• Låsende ransomware (locker-ransomware) — spærrer hele skærmen eller selve systemet, så du slet ikke kan bruge computeren. Her er filerne ofte intakte bagved.

Ransomware er blevet så udbredt, fordi det er en effektiv forretningsmodel for kriminelle. Betalingen sker typisk i kryptovaluta som Bitcoin, der er svær at spore. Moderne angreb bruger desuden ofte såkaldt “dobbelt afpresning”: bagmændene stjæler en kopi af dine data, før de krypterer dem, og truer med at offentliggøre dem, hvis du ikke betaler. Derfor er den bedste beskyttelse altid en kombination af forsigtighed, opdateret sikkerhedssoftware og gode sikkerhedskopier.

Kan du få dine filer tilbage uden at betale?

Nogle gange ja — men ikke altid. Om der findes et gratis værktøj til lige netop din ransomware, afhænger af, hvilken familie du er ramt af. Gratis dekryptering bliver typisk mulig i et af disse tilfælde:

• Bagmændene har lavet fejl i deres kryptering, som sikkerhedsforskere kan udnytte til at udregne nøglen.
• Nøglerne er beslaglagt eller lækket — for eksempel når politiet aktionerer mod en gruppe og offentliggør nøglerne, eller når en gruppe lukker ned og selv frigiver masternøglen.
• Ældre varianter er blevet knækket, selv om nyere udgaver af samme ransomware stadig er sikre.

For nyere, professionelt opbyggede familier med stærk kryptering findes der ofte endnu intet værktøj. Derfor er det vigtigste råd fra både politi og sikkerhedsbranchen klart: betal ikke løsesummen. Der er ingen garanti for, at du får en fungerende nøgle, betalingen finansierer mere kriminalitet, og den gør dig til et attraktivt mål for nye angreb. Tjek i stedet altid først, om der findes et gratis værktøj.

Første skridt: identificér din ransomware

Før du leder efter et værktøj, skal du vide, præcis hvilken ransomware du er ramt af. Forskellige familier kræver forskellige løsninger, og et forkert værktøj kan i værste fald beskadige dine filer yderligere. Gør derfor følgende, før du gør noget andet:

• Afbryd computeren fra netværket — tag netværkskablet ud eller slå Wi-Fi fra, så angrebet ikke spreder sig til andre enheder eller drev.
• Gem en kopi af de krypterede filer på et eksternt medie. Hvis der senere udgives et værktøj, kan du låse dem op på et andet tidspunkt.
• Gem løsesumsbeskeden (ransom note) og notér den nye filendelse, dine filer har fået. Begge dele hjælper med at identificere familien.

Til selve identifikationen er der to gratis onlinetjenester, der er værd at kende. ID Ransomware fra MalwareHunterTeam lader dig uploade løsesumsbeskeden og en krypteret eksempelfil, hvorefter tjenesten forsøger at genkende familien blandt flere hundrede kendte varianter. På tilsvarende vis har det internationale initiativ No More Ransom et værktøj kaldet “Crypto Sheriff”, der matcher dine oplysninger mod databasen og fortæller, om der findes et gratis dekrypteringsværktøj.

De vigtigste gratis kilder til dekrypteringsværktøjer

Størstedelen af de seriøse gratis værktøjer kommer fra en håndfuld kilder. Hold dig til disse officielle udgivere og undgå tilfældige download-sider, da falske “decryptorer” ofte selv er malware.

No More Ransom

No More Ransom blev lanceret i 2016 som et samarbejde mellem Europol, det hollandske politi og flere sikkerhedsfirmaer. I dag står mere end 180 partnere bag, og portalen samler værktøjer fra en lang række leverandører ét sted. Den dækker i øjeblikket omkring 170 ransomware-familier med over 200 værktøjer og har efter eget udsagn hjulpet mere end halvanden million mennesker med at få deres filer tilbage. Her finder du også nyere dekryptorer til blandt andet LockBit 3.0, Akira, Rhysida, Babuk og DoNex.

Emsisoft

Emsisoft er en af de mest produktive udgivere af gratis dekrypteringsværktøjer og har løsninger til et stort antal familier. Virksomheden har udgivet flere decryptorværktøjer til ransomware, og på den officielle side finder du detaljerede brugsanvisninger til hvert enkelt. Et eksempel er værktøjet til AutoLocky, en variant der efterligner den berygtede Locky-ransomware, men er mere mangelfuldt bygget og derfor kan låses op. Et andet er dekryptoren til HydraCrypt og den beslægtede UmbreCrypt, der begge stammer fra CrypBoss-familien.

Avast og AVG

Avast og AVG hører i dag under samme virksomhed og tilbyder begge gratis dekrypteringsværktøjer, der kan hentes direkte fra deres hjemmesider. Avast har samlet sine løsninger på siden for gratis dekrypteringsværktøjer og har gennem årene føjet nye familier til, blandt andet Babuk, AtomSilo, BianLian og DoNex. AVG tilbyder et tilsvarende sæt dekrypteringsværktøjer til ældre familier som Apocalypse, BadBlock, Crypt888, Legion, SZFLocker og TeslaCrypt.

Kaspersky

Kaspersky driver portalen No Ransom, hvor virksomhedens dekryptorer er samlet. Her finder du blandt andet RakhniDecryptor og ShadeDecryptor, der dækker en stribe familier. Kaspersky har også specifikke værktøjer til enkeltstående problemer: Kaspersky WindowsUnlocker er nyttigt, hvis en låsende ransomware har spærret adgangen til hele computeren og inficeret Windows-registreringsdatabasen, mens RannohDecryptor kan låse filer op, der er krypteret af familier som Rannoh, Cryakl, CryptXXX, Crybola og flere.

Trend Micro

Trend Micro tilbyder et samlet Ransomware File Decryptor, der i ét program dækker flere forskellige familier, blandt andet CryptXXX, TeslaCrypt, Nemucod, Jigsaw og en række andre. Ved låsende ransomware skal du som regel starte computeren i fejlsikret tilstand med netværk, før du kører værktøjet.

Bitdefender

Bitdefender har i samarbejde med politimyndigheder udgivet flere meget efterspurgte dekryptorer, blandt andet til GandCrab, REvil (Sodinokibi), DarkSide og senest ShrinkLocker. Alle værktøjerne kan hentes gratis på Bitdefenders officielle side og findes desuden via No More Ransom.

Kendte værktøjer og hvad de historisk har kunnet låse op

Mange af de klassiske ransomware-familier, som i sin tid lammede tusindvis af computere, kan i dag låses op gratis. Her er nogle af de mest kendte eksempler:

• CryptoLocker — et af de tidligste store crypto-angreb. Et gratis værktøj, oprindeligt udviklet af FireEye og Fox-IT, gjorde det muligt at dekryptere filerne, og løsningen findes i dag blandt Avasts dekrypteringsværktøjer.
• TeslaCrypt — blev fuldstændig knækkelig, efter at bagmændene lukkede ned og frigav masternøglen i 2016. Cisco Talos udgav derefter et gratis TeslaCrypt-dekrypteringsværktøj, og på GitHub findes desuden det uofficielle projekt TeslaCrack, der retter sig mod nyere udgaver.
• Petya — en særlig aggressiv ransomware, der overskrev computerens Master Boot Record og gjorde maskinen ustartbar. I 2017 offentliggjorde forfatteren bag den originale Petya masternøglen, som beskrevet i denne gennemgang hos BleepingComputer, hvorefter berørte filer kunne låses op.
• Shade (Troldesh) — kunne tidligere låses op med Kasperskys Shade-dekryptor, efter at gruppen selv frigav sine nøgler.
• Emsisofts samling — ud over de enkeltstående værktøjer har Emsisoft en bredere liste af dekryptorer til familier som DMALocker, CrypBoss, Gomasom, LeChiffre, Globe, Stampado, Nemucod, CryptON og mange flere.

Hvis din computer er helt spærret af en låsende ransomware, kan et startbart redningsværktøj være vejen ind. Programmet HitmanPro.Kickstart lader dig starte pc’en fra et USB-stik og fjerne den skadelige kode, selv når Windows er utilgængeligt. En lignende tilgang finder du i vores oversigt over rescue-cd og rescue-usb til Windows.

Sådan bruger du et dekrypteringsværktøj sikkert

Det er vigtigt at gøre tingene i den rigtige rækkefølge. Hvis du kører et dekrypteringsværktøj, mens ransomwaren stadig er aktiv, risikerer du, at filerne bliver krypteret igen med det samme. Følg denne fremgangsmåde:

• Fjern ransomwaren først. Kør et grundigt virusscan med et antivirusprogram, eller brug et redningsmedie som et SysRescue-værktøj eller en malwarescanner som Webroot, der kan rydde op, før du går videre.
• Arbejd på kopier. Flytter du de krypterede filer til et isoleret, rent system, kan du køre værktøjet uden først at fjerne malwaren — men lav altid en ekstra kopi, før du begynder.
• Tjek, at værktøjet passer til din version. Mange værktøjer virker kun med bestemte udgaver af en ransomware og kan ikke låse op for varianter, der er udgivet efter værktøjet. Læs udgiverens vejledning grundigt.
• Download kun fra den officielle kilde. Falske dekryptorer er en almindelig fælde. Kontrollér altid domænet i browseren, før du henter noget.

Sådan undgår du at blive ramt igen

Det bedste værn mod ransomware er forebyggelse. Selv de familier, der kan dekrypteres i dag, kan koste dig både tid og data. Disse vaner reducerer risikoen markant:

• Tag jævnlige sikkerhedskopier. Hav mindst én kopi af dine vigtige filer offline eller i skyen, så en kryptering ikke kan nå den. Læs mere om, hvorfor backup er din bedste forsikring.
• Hold Windows og dine programmer opdaterede. Mange angreb udnytter kendte sikkerhedshuller, som opdateringer allerede har lukket.
• Brug et opdateret antivirusprogram og en firewall. Vores guide til at beskytte computeren mod virus gennemgår, hvad du bør have på plads.
• Vær skeptisk over for mails og vedhæftede filer. Størstedelen af ransomware spredes via phishing — åbn aldrig uventede vedhæftninger eller links.

Ofte stillede spørgsmål (FAQ)

Er gratis dekrypteringsværktøjer sikre at bruge?

Ja, når du henter dem fra de officielle udgivere som No More Ransom, Emsisoft, Avast, Kaspersky, Trend Micro eller Bitdefender. Problemet opstår, hvis du downloader en “decryptor” fra en ukendt side — den kan i sig selv være malware. Tjek altid domænet, og lav en kopi af dine filer, før du kører værktøjet.

Virker der altid et værktøj til min ransomware?

Nej. Der findes kun et værktøj, hvis forskere har fundet en svaghed, eller hvis nøglerne er blevet lækket eller beslaglagt. Mange nyere familier med stærk kryptering kan endnu ikke låses op gratis. Gem dine krypterede filer — et værktøj kan komme senere.

Hvordan finder jeg ud af, hvilken ransomware jeg er ramt af?

Brug ID Ransomware eller Crypto Sheriff-værktøjet på No More Ransom. Du uploader løsesumsbeskeden og en krypteret eksempelfil, hvorefter tjenesten forsøger at genkende familien og fortæller, om der findes et gratis værktøj.

Bør jeg betale løsesummen, hvis der ikke findes et værktøj?

Både politi og sikkerhedsbranchen fraråder det. Der er ingen garanti for, at du får en fungerende nøgle, betalingen finansierer mere kriminalitet, og den kan gøre dig til et nyt mål. Isolér i stedet maskinen, gem filerne, og tjek jævnligt, om der udgives et værktøj.

Kan jeg forhindre, at det sker igen?

Du kan reducere risikoen betydeligt med regelmæssige offline-backups, opdateret software, et aktivt antivirusprogram og sund skepsis over for mails og vedhæftede filer. Backup er især vigtigt, fordi det lader dig gendanne dine data, uanset om der findes et dekrypteringsværktøj.