a ver a ver que pelea jajaja... Ahora mi teoría

1.- ¿Quien cifró los archivos?
R: El malware

2.- ¿Donde se encuentra el malware?
R: En un ejecutable que en su momento estuvo en memoria.

3.- ¿Cómo cifró el archivo?
R: Con una llave

4.- ¿Donde está la llave?
R: En el ejecuatble

Se podría analizar el malware para detectar la clave que buscas
¿Funcionaría?

Con la llave pública no harás nada. lo que quiere conseguir es la llave privada, pero eso no es posible.

CryptoWall y CryptoLocker no son ninguna tontería de ransomware....

Por ejemplo las primeras versiones de   CryptoLocker y CryptoWall  los ficheros primero fueron cifrados con  AES-256 con CTR (Counter) que consiguió ser descifrado y ahora son cifrados con AES-256-CBC (Cipher-block chaining).

Si tienes suerte y es de las primeras verssiones se puede con TorentUnlocker:

http://download.bleepingcomputer.com/Nathan/TorrentUnlocker.exe

Explicación:
http://www.bleepingcomputer.com/forums/t/547708/torrentlocker-ransomware-cracked-and-decrypter-has-been-made/



¿Cómo restaurar archivos cifrados por CTB-Locker?


El primer método es el obvio: pagar el rescate, esperar que los desarrolladores del malware envíen la contraseña de cifrado (leer el punto anterior) y tener mucha fe.

Ahora, si se ha decidido no pagar el rescate hay algunos  métodos que se puede seguir para tratar de restaurar los archivos cifrados.

Método 1: copias de seguridad

El primer y mejor método para restaurar los datos es una copia de seguridad reciente. Si no tienes backup ¿qué estas esperando para hacerlo?

Método 2: Software de recuperación de archivos

Parece que cuando CTB-Locker cifra un archivo, primero hace una copia del mismo, codifica la copia y luego elimina el original. Debido a este procedimiento se puede usar un software de recuperación de archivos como R-Studio o Photorec para intentar recuperar algunos de los archivos originales. Es importante tener en cuenta que cuanto más se utilice la computadora, más difícil será recuperar los archivos eliminados sin cifrar.

Método 3: Instantáneas de volumen de Windows (Shadow Volume Copies)

Como último recurso, puede tratar de restaurar los archivos a través de las instantáneas de volumen automática de Windows, siempre y cuando las mismas se encuentren activadas en el sistema operativo. Desafortunadamente, el malware intentará eliminar las instantáneas, pero a veces no logra hacerlo y esta copia puede utilizarse para restaurar los archivos.


Fuente:
http://blog.segu-info.com.ar/2015/01/guia-sobre-ctb-locker-y-ii.html

Referencias:

CryptoWall 3.0
http://malware.dontneedcoffee.com/2015/01/guess-whos-back-again-cryptowall-30.html

CryptoLocker nuevas variantes CTB-Locker aka Citroni,
http://blog.elhacker.net/2015/01/nuevas-variantes-del-ransomware-cryptolocker-descubiertas.html

TorrentLocker
http://blog.elhacker.net/2014/12/analisis-del-ransomware-torrentlocker.html

No es la misma clave vk496... ni pública, ni la privada. Se generan pares de llaves diferentes para cada host.

Bueno, coincide entonces lo que planteaba de como funcionaba el ransom, el-brujo...
lo malo es que superó mis expectativas de nivel de maldad XD (lo de borrar los puntos anteriores, eso si que es de malévolo... con respecto a la imágenes, bueno pensaba con alguna aplicación de forensis hacer una imagen del disco, y buscar el estado anterior... como se ha cifrado, hay una escritura, por ende se podría buscar los bloques borrados por el indexado anterior. Aunque bueno sería sobre recuperar la información y no encontrarle la vuelta al malware como quería SOFTEL)

KPA... Pero no estoy seguro que se podía hacer con AES

Salu2

Como medida anti-cryptolock: ¿no se podría escribir un driver que falsee las modificaciones de los archivos, e instalarlo en los ordenadores con información sensible?

Así, cuando se quiera modificar algo (de verdad), se usa una contraseña (o una confirmación del usuario bajo ring0), y listo.

Todo lo demás queda guardado en un array guardado sólo en la RAM (para deshacer los cambios al reiniciar), y se devuelven resultados falsos al intentar acceder a un archivo 'borrado'.