1. 前言

  NMoreira勒索软件首次出现于2016年底，主要针对葡萄牙语国家的用户，尤其是在巴西和葡萄牙。NMoreira使用了一种混合的加密方法，包括AES-256和RSA加密来加密受害者的文件。其目的是通过加密受害者的重要文件来勒索赎金，通常要求以比特币支付。在感染后，NMoreira会创建一个包含解密说明的文本文件，并要求受害者支付赎金来获取解密密钥

2. 特征

  一旦感染了NMoreira勒索软件，受害者的文件会被加密，并附加“.maktub”或“.NMoreira”的扩展名。此外，NMoreira会在每个受影响的文件夹中生成一个名为“README.txt”的赎金说明文件。这个说明文件通常包含支付赎金的指示，要求受害者在限定的时间内支付一笔比特币赎金，否则赎金金额可能会翻倍。NMoreira还可能会删除系统的影子副本，以防止通过传统的数据恢复方法找回文件。

  需要注意的是，虽然支付赎金可能会恢复数据，但安全专家通常不建议这么做，因为这并不能保证攻击者会提供解密密钥。相反，建议使用专门的解密工具来尝试恢复数据。

3. 工具使用说明

   重要提示： 确保首先从系统中删除恶意软件。否则，它将反复锁定您的系统或加密文件。任何可靠的防病毒解决方案都可以为您做到这一点。如果您的系统通过 Windows 远程桌面功能遭到入侵，我们还建议更改允许远程登录的所有用户的所有密码，并检查本地用户帐户中是否有攻击者可能已添加的其他帐户。

  文件解密步骤：

  1. 从提供此“操作方法”文档的同一站点下载解密器。

  2. 下载后，双击解密器文件以运行它。

  3. 显示许可条款后，单击“是”按钮同意。

  4. 一旦接受许可条款，主解密器用户界面将打开：

  5. 默认情况下，解密器将在解密的位置预填充当前连接的驱动器和网络驱动器。可以使用“添加”按钮添加其他位置。此外，对象列表接受通过拖放添加的文件和位置。

  6. 解密器通常根据特定的恶意软件系列提供各种选项。可用选项位于“选项”选项卡中，可以在那里启用或禁用。您可以在下面找到可用选项的详细列表。

  7. 将要解密的所有位置添加到列表中后，单击“解密”按钮开始解密过程。屏幕将切换到状态视图，通知您文件的当前进程和解密状态：

  8. 解密器将在解密过程完成后通知您：

  如果您需要报告作为个人记录，可以点击“保存日志”按钮进行保存。如果需要，您也可以将其直接复制到剪贴板，以粘贴到电子邮件或论坛帖子中。

  可用的解密器选项：

  - 保留加密文件：由于勒索软件不会保存有关未加密文件的信息，解密器无法保证解密的数据与之前加密的数据相同。因此，默认情况下，解密器将保留加密文件。如果您希望在解密后删除加密文件，则可以禁用此选项。如果磁盘空间有限，则可能需要考虑这一点。