.THDA勒索病毒的新型Matrix勒索病毒，参考文章可以帮助您完成系统上运行的所有恶意文件的删除过程。由于您的数据至关重要，因此我们提供了可能会恢复.THDA的替代恢复方法文件的。被称为.THDA勒索病毒的加密病毒属于Matrix家族。如果感染此威胁，它将困扰预定义的系统设置，以达到数据加密阶段并破坏有价值的文件。然后，黑客会试图欺骗你为他们支付赎金以获得一份据说可行的解密密钥。全球用户可能会受到此.THDA勒索软件病毒的影响。

.THDA勒索病毒 - 分发

.THDA勒索病毒由目标系统的有效负载触发。对于该文件的分发，黑客可以利用各种阴暗技术。所有技术都旨在诱骗您在PC上启动有效负载，而不会怀疑它会用勒索软件感染它。

主要传播技术被认为是malwspam。它使不良行为者能够发送假装由互联网提供商，银行机构，热门网站，交付公司甚至政府机构等合法来源发送的电子邮件。

这些电子邮件的发件人可能构成上述服务的代表，试图使您更容易遵循文本消息提供的说明。短信通常包含强烈的号召性用语，促使您尽快查看附件或提供的链接的内容。如果您成为他们的骗局的受害者，您会毫无疑问地授予勒索软件访问您的系统的权限。

.THDA文件病毒 - 感染阶段

所谓的.THDA文件病毒属于Matrix勒索软件家族。

在感染过程开始时.THDA Matrix勒索软件在受影响的系统上建立所有需要的恶意文件。为此，它可以直接在系统上创建一些文件，也可以从联系的命令和控制服务器中删除它们。有几个文件夹可能存储这些文件：

1.%AppData%

2.%Local%

3.%LocalLow%

4.%Roaming%

5.%Temp%

6.%Windows%

之后，初始有效负载的代码可以触发按预定顺序执行恶意文件的预定义命令。恶意行为的序列使勒索软件能够困扰基本的系统组件并完成其攻击。它的一些相关文件可能被配置为操纵合法进程的功能，以防止勒索软件被主动安全措施检测到。

在勒索软件完成系统和数据修改后不久，它会在一个或多个文件夹中留下一个名为!README_THDA!.rtf的赎金记录文件。

.THDA勒索病毒 - 加密过程

该.THDA加密的病毒被鉴定为属于基质勒索家人。作为这个家族的压力，它可能会应用两种复杂的密码算法（AES-128 + RSA-2048）的组合来加密目标类型的文件。

在此过程中，勒索软件会转换目标文件原始代码的一部分，以限制对它们存储的数据的访问。不幸的是，感染此加密病毒可能会导致有价值的文件损坏，包括但不限于您：

1.音频文件

2.视频文件

3.文档文件

4.图像文件

5.备份文件

6.银行凭证等

加密后，所有损坏的文件都会以扩展名.THDA显示。加密过程与唯一解密密钥的生成相关联，该唯一解密密钥据称能够恢复加密文件。但是，你不应该相信黑客，因为他们可以通过向你发送一个不会解密你的.THDA文件的破解密码来再次欺骗你。

删除.THDA文件病毒和还原数据

1.以安全模式启动PC以隔离和删除.THDA勒索病毒文件和对象

第1步:删​​除所有CD和DVD，然后从“ 开始 ”菜单重新启动PC 

第2步:

- 对于具有单个操作系统的PC：在计算机重新启动期间出现第一个引导屏幕后，反复按“ F8 ”。如果Windows徽标出现在屏幕上，则必须再次重复相同的任务。

- 对于具有多个操作系统的PC：箭头键可帮助您选择您希望以安全模式启动的操作系统。按照单个操作系统所述，按“ F8 ”。

第3步:出现“ 高级启动选项 ”屏幕时，使用箭头键选择所需的安全模式选项。在进行选择时，按“ Enter ”。

第4步:使用管理员帐户登录计算机

第5步:修复PC上恶意软件和PUP创建的注册表项。

某些恶意脚本可能会修改计算机上的注册表项以更改不同的设置。这就是建议清理Windows注册表数据库的原因。由于有关如何执行此操作的教程有点长，如果操作不当，篡改注册表可能会损坏您的计算。如果您在该领域缺乏经验，可以 参照修复由恶意病毒软件引起的Windows注册表错误

2.在PC上查找.THDA Files Virus创建的文件

第1步:在键盘上按Win + R并在“ 运行”文本框中编写explorer.exe，然后单击“ 确定”按钮。

第2步:从快速访问栏中单击您的PC。这通常是带有显示器的图标，其名称可以是“我的电脑”，“我的电脑”或“此电脑”或您命名的任何名称。

第3步:导航到PC屏幕右上角的搜索框，然后键入“fileextension：”，然后键入文件扩展名。如果您正在寻找恶意可执行文件，例如可能是“fileextension：exe”。完成此操作后，请留出空格并键入您认为恶意软件已创建的文件名。以下是找到您的文件时的显示方式：

3.使用高级防恶意杀毒软件工具扫描恶意软件和恶意程序

4.尝试还原.THDA Files Virus加密的文件

勒索软件感染和.THDA文件病毒旨在使用加密算法加密您的文件，这可能很难解密。这就是为什么我们建议了几种可以帮助您绕过直接解密并尝试恢复文件的替代方法。请记住，这些方法可能不是100％有效，但也可能在不同情况下帮助您一点或多少。

方法1：使用数据恢复软件扫描驱动器的扇区。

方法2：尝试杀毒软件的解密器。

方法3：在密码病毒通过网络通过嗅探工具发送解密密钥时查找解密密钥。

解密文件的另一种方法是使用网络嗅探器获取加密密钥，同时在系统上加密文件。网络嗅探器是监视通过网络传输的数据的程序和/或设备，例如其互联网流量和互联网数据包。如果在攻击发生之前设置了嗅探器，则可能会获得有关解密密钥的信息。

GANDCRAB v5.0.1 勒索病毒删除，数据恢复。参照链接

GANDCRAB v5.0.2 勒索病毒删除，数据恢复。参照链接

GANDCRAB v5.0.3 勒索病毒删除，数据恢复。参照链接

GANDCRAB v5.0.4 勒索病毒删除，数据恢复。参照链接

关注服务号，交流更多解密文件方案和恢复方案：