好奇你们中毒时是不是没装杀毒软件?因为好几个来“求救”的压根就是裸奔的电脑中毒了然后来求解决

我也是muslat的受害者，我的id不在42个之中，我把源文件，被加密的文件和勒索信都打包了，烦请帮我看看吧，拜托拜托，联系QQ：316667782 ，万分期待，救我与水火之中。
链接: https://pan.baidu.com/s/1s1h8xySdSJbMcgVNcq1qyg 提取码: far4

附件: muslat.rar (2019-6-13 21:28:15, 1515.96 K)
该附件被下载次数 720

请问工程师解密还需要什么文件？

你好~
对于这个勒索软件，要想解密有以下两个必要条件：
1.勒索软件是在断网环境完成的加密（或者是联网获取密钥时失败转入断网模式），意味着勒索软件会使用自身内置的密钥（才会有破解的机会）
2.我们在制作了修改版后与解密工具的作者取得了联系，得知本帖中的例子是个非常罕见的情况（发帖者运气相当不错了），如果你的Personal ID不在已知的ID列表的话，那就只能等待作者从新的样本里提取出新的ID和密钥然后再看看能不能解了。如果你能提供相关的病毒样本的话（发帖者提供的疑似样本经分析后没有明显的勒索软件行为），那么希望更大一些（我们会尝试提取用于离线加密的密钥）

你好~
对于这个勒索软件，要想解密有以下两个必要条件：
1.勒索软件是在断网环境完成的加密（或者是联网获取密钥时失败转入断网模式），意味着勒索软件会使用自身内置的密钥（才会有破解的机会）
2.我们在制作了修改版后与解密工具的作者取得了联系，得知本帖中的例子是个非常罕见的情况（发帖者运气相当不错了），如果你的Personal ID不在已知的ID列表的话，那就只能等待作者从新的样本里提取出新的ID和密钥然后再看看能不能解了。如果你能提供相关的病毒样本的话（发帖者提供的疑似样本经分析后没有明显的勒索软件行为），那么希望更大一些（我们会尝试提取用于离线加密的密钥）

我在尝试解密数据的时候成功过一次，恢复了部分数据，但是再重新解密的时候又失败了，病毒已经用杀毒软件清理了，一下是我在使用工具时的一些提示，希望能有用：
----------------------------------------------------------------------------------------------------------------------
软件启动时的信息
[+] Loaded 43 offline keys
Please archive the following info in case of future decryption:
ID: p4MD9xffHT9DNtaOn69ftGhUalJnIj8Zi9XA30Ru
ID: dLoJuwk26P2wogGWZREN7JEyvljcvICqcYfwIft1
MACs: BE:E9:A3:E8:43:D7, 48:5B:39:AA:4A:6B
This info has also been logged to STOPDecrypter-log.txt
-----------------------------------------------------------------------------------------------------------------------------------------------
Unidentified ID: p4MD9xffHT9DNtaOn69ftGhUalJnIj8Zi9XA30Ru
Unidentified ID: dLoJuwk26P2wogGWZREN7JEyvljcvICqcYfwIft1
MACs: BE:E9:A3:E8:43:D7, 48:5B:39:AA:4A:6B
----------------------------------------
STOPDecrypter v2.1.0.10
OS Microsoft Windows NT 6.2.9200.0, .NET Framework Version 4.0.30319.42000
----------------------------------------

No key for ID: p4MD9xffHT9DNtaOn69ftGhUalJnIj8Zi9XA30Ru (.muslat )
Unidentified ID: p4MD9xffHT9DNtaOn69ftGhUalJnIj8Zi9XA30Ru
Unidentified ID: dLoJuwk26P2wogGWZREN7JEyvljcvICqcYfwIft1
MACs: BE:E9:A3:E8:43:D7, 48:5B:39:AA:4A:6B
-----------------------------------------------------------------------------------------------
STOPDecrypter-log文本中的信息：
STOPDecrypter v2.1.0.10
OS Microsoft Windows NT 6.2.9200.0, .NET Framework Version 4.0.30319.42000
----------------------------------------

No key for ID: p4MD9xffHT9DNtaOn69ftGhUalJnIj8Zi9XA30Ru (.muslat )
Unidentified ID: p4MD9xffHT9DNtaOn69ftGhUalJnIj8Zi9XA30Ru
Unidentified ID: dLoJuwk26P2wogGWZREN7JEyvljcvICqcYfwIft1
MACs: BE:E9:A3:E8:43:D7, 48:5B:39:AA:4A:6B
----------------------------------------
STOPDecrypter v2.1.0.10
OS Microsoft Windows NT 6.2.9200.0, .NET Framework Version 4.0.30319.42000
----------------------------------------

Error on file 'D:\周欢\2015年8月.doc.muslat': System.IO.IOException: 文件“D:\周欢\2015年8月.doc”正由另一进程使用，因此该进程无法访问此文件。
  在 System.IO.__Error.WinIOError(Int32 errorCode, String maybeFullPath)
  在 System.IO.FileStream.Init(String path, FileMode mode, FileAccess access, Int32 rights, Boolean useRights, FileShare share, Int32 bufferSize, FileOptions options, SECURITY_ATTRIBUTES secAttrs, String msgPath, Boolean bFromProxy, Boolean useLongPath, Boolean checkHost)
  在 System.IO.FileStream..ctor(String path, FileMode mode, FileAccess access)
  在 STOPDecrypter.Decrypter.DecryptFile(String filepath, Variant variant, Byte[] keystream, List`1 keys, List`1 keyStreams)
  在 STOPDecrypter.MainForm.DecryptDirectory(String location, Boolean delete)
No key for ID: p4MD9xffHT9DNtaOn69ftGhUalJnIj8Zi9XA30Ru (.muslat )
No key for ID: p4MD9xffHT9DNtaOn69ftGhUalJnIj8Zi9XA30Ru (.jpg )
Unidentified ID: p4MD9xffHT9DNtaOn69ftGhUalJnIj8Zi9XA30Ru (.muslat )
Unidentified ID: p4MD9xffHT9DNtaOn69ftGhUalJnIj8Zi9XA30Ru (.jpg )
MACs: BE:E9:A3:E8:43:D7, 48:5B:39:AA:4A:6B
Decrypted 0 files, skipped 1077
Unidentified ID: p4MD9xffHT9DNtaOn69ftGhUalJnIj8Zi9XA30Ru
Unidentified ID: dLoJuwk26P2wogGWZREN7JEyvljcvICqcYfwIft1
MACs: BE:E9:A3:E8:43:D7, 48:5B:39:AA:4A:6B
----------------------------------------
STOPDecrypter v2.1.0.10
OS Microsoft Windows NT 6.2.9200.0, .NET Framework Version 4.0.30319.42000
----------------------------------------

Unidentified ID: p4MD9xffHT9DNtaOn69ftGhUalJnIj8Zi9XA30Ru
Unidentified ID: dLoJuwk26P2wogGWZREN7JEyvljcvICqcYfwIft1
MACs: BE:E9:A3:E8:43:D7, 48:5B:39:AA:4A:6B
----------------------------------------
STOPDecrypter v2.1.0.10
OS Microsoft Windows NT 6.2.9200.0, .NET Framework Version 4.0.30319.42000
----------------------------------------

No key for ID: p4MD9xffHT9DNtaOn69ftGhUalJnIj8Zi9XA30Ru (.muslat )
No key for ID: p4MD9xffHT9DNtaOn69ftGhUalJnIj8Zi9XA30Ru (.JPG )
No key for ID: p4MD9xffHT9DNtaOn69ftGhUalJnIj8Zi9XA30Ru (.jpg )
No key for ID: dLoJuwk26P2wogGWZREN7JEyvljcvICqcYfwIft1 (.JPG )
---------------------------------------------------------------------------------------------------------------------------------
我收到的勒索信：
ATTENTION!

Don't worry, you can return all your files!
All your files like photos, databases, documents and other important are encrypted with strongest encryption and unique key.
The only method of recovering files is to purchase decrypt tool and unique key for you.
This software will decrypt all your encrypted files.
What guarantees you have?
You can send one of your encrypted file from your PC and we decrypt it for free.
But we can decrypt only 1 file for free. File must not contain valuable information.
You can get and look video overview decrypt tool:
https://we.tl/t-BTtULebL7F
Price of private key and decrypt software is $980.
Discount 50% available if you contact us first 72 hours, that's price for you is $490.
Please note that you'll never restore your data without payment.
Check your e-mail "Spam" or "Junk" folder if you don't get answer more than 6 hours.


To get this software you need write on our e-mail:
gorentos@bitmessage.ch

Reserve e-mail address to contact us:
gorentos@firemail.cc

Our Telegram account:
@datarestore

Your personal ID:
100bgdfFy6dusp4MD9xffHT9DNtaOn69ftGhUalJnIj8Zi9XA30Ru





最后是我的源文件、加密文件及勒索信
链接: https://pan.baidu.com/s/1DaRBr7HSR243vVKkmk2oFw 提取码: v9i4

非常感谢您的回复，勒索的样本我也不知道是哪个，在浏览器上网的时候中的毒。

瑞星杀毒软件不是有隔离区么？恢复一下不就行了。

Hello，根据你提供的信息，解密工具并没有成功解密相关文件（只是有一个报错提示文件被占用）
解密工具原作者在前天已经更新了解密工具，将我们这边提到的后缀还是和旧密钥关联了起来，另外加入了两个新后缀对应的ID及离线密钥，很遗憾你提供的勒索信内提到的Personal ID并不在已知的离线加密密钥对应的ID范围内