Что такое формат файла ODIN?
Файл .odin - это личный файл, зашифрованный программой-вымогателем Locky. Locky - это семейство вредоносных программ для Windows, которое впервые появилось в начале 2016 года; оно блокирует документы, фотографии, базы данных и архивы, а затем требует выкуп за их возврат. Примерно в сентябре 2016 года операторы сменили расширение с .zepto на .odin, назвав вариант в честь скандинавского бога. Исследователи из Fortinet обнаружили, что код .odin на 98-99% идентичен более ранней сборке .zepto, так что это то же самое вредоносное ПО под новым ярлыком.
При запуске Locky сканирует систему на наличие примерно 400 типов файлов, шифрует каждый из них с помощью AES-128 и блокирует ключ AES внутри шифрования RSA-2048. Затем он переименовывает каждый файл в шестнадцатеричный идентификатор, например 5FBZ55IG-S575-7GEF-2C7B-5B22862C2225.odin, отбрасывая исходное имя. Он также удаляет теневые копии томов Windows (Shadow Volume Copies) и оставляет записки о выкупе с именами _HOWDO_text.html и _HOWDO_text.bmp. Обнаружение файлов .odin означает, что компьютер был заражен, а не то, что вы владеете необычным форматом.
Безопасность и защита
РИСК: HIGHThe presence of .odin files means the computer was hit by active ransomware. The .odin files themselves are inert encrypted data and cannot execute, but they signal that Locky ran on the system, deleted shadow copies and may still be present. Never pay the ransom without expert advice, and treat the machine as compromised until it is fully cleaned and, ideally, wiped and rebuilt from a trusted backup.
Детали формата
в двух словах- Samsung Odin firmware package - The Odin flashing tool for Samsung Galaxy devices uses firmware files, but those are typically .tar or .tar.md5 archives rather than a .odin extension. Unrelated to the ransomware.
- ODIN application data - A handful of niche applications have used .odin for internal data or backup files. These are legitimate and unrelated to Locky.
Программы, открывающие файлы ODIN
Windows4 apps
Malwarebytes
Freemium Run a full scan to detect and remove the Locky infection before attempting any recovery, since the encrypted .odin files themselves cannot be opened.
Emsisoft Anti-Malware
Платно Scan the machine to clean out the ransomware, then check Emsisoft's decryptor catalog to confirm whether any tool covers your variant (none exists for Locky .odin).
Windows File Recovery / Shadow Explorer
Бесплатно Browse Volume Shadow Copies to restore earlier unencrypted versions of the files, though Locky usually deletes these.
ID Ransomware
Бесплатно Upload a ransom note and an .odin sample to confirm the exact ransomware family and whether any decryption is currently possible. Технические подробности
глубокая спецификация| Encoding | AES-128 (ECB mode) file encryption with the AES key protected by RSA-2048 |
| Byte order | N/A (encrypted ciphertext) |
| Container | None; the original file is overwritten in place as raw ciphertext with a renamed filename |
| Encryption | RSA-2048 + AES-128. The AES session keys are generated server-side by the attacker's command-and-control infrastructure, so the private key needed for decryption never stays on the victim machine. |
| Typical size | Roughly the same size as the original encrypted file |
| Structure | The plaintext of a targeted document, image, database or archive is replaced by AES-128 ciphertext. The file is then renamed to a hexadecimal identifier of the form [8]-[4]-[4]-[4]-[12] followed by the .odin extension (for example 5FBZ55IG-S575-7GEF-2C7B-5B22862C2225.odin). The original name and extension are not preserved on disk. |
| Platforms | Windows |
| Notes | Locky's .odin variant targets roughly 400 to 460 file types across documents, databases, images and archives. It deletes Windows Shadow Volume Copies to block local recovery and drops ransom notes named _HOWDO_text.html, _HOWDO_text.bmp and _[2-digit-number]_HOWDO_text.html. It is delivered by spam email carrying WSF/JS script attachments or macro-laden Office documents that download an encrypted DLL and run it via rundll32.exe. Despite the name, victims are infected by Locky using the .odin extension, not a separate 'Odin' malware family; code comparison shows a 98-99% match with the earlier .zepto variant. |
| Выпущен | September 2016 |
Конвертации ODIN
Вопросы и ответы сообщества
спрошено пользователямиВопросов пока нет - станьте первым, кто спросит о файлах ODIN.
