738
Помилки у WannaCry допоможуть повернути зашифровані файли
— Технології&Авто
Лабораторія Касперського провела глибокий аналіз небезпечного шифрувальника WannaCry і виявила в його архітектурі помилки, які допоможуть частково повернути закодовані файли.
Нагадаємо, що 12 травня користувачі й організації по всьому світу постраждали від масштабної атаки здирника. Шкідлива програма кодує файли розповсюджених форматів і вимагає викуп у розмірі 300-600 доларів США в біткоїнах. Програма використовує гібридний алгоритм шифрування RSA+AES, що робить відновлення зашифрованих файлів практично неможливим.
Перейменовані оригінальні файли, які можна відновити з директорії TEMP
Експерти «Лабораторії Касперського» з’ясували, що в процесі роботи він читає вміст оригінального файлу, шифрує його і зберігає у файл з розширенням «.WNCRYT». Після закінчення процесу шифрування WannaCry переміщує файл з розширенням «.WNCRYT» в файл «.WNCRY» і видаляє вихідний файл. При цьому логіка операцій видалення може змінюватися в залежності від розташування та властивостей оригінальних файлів.
Якщо файл знаходиться на робочому столі або в папці «Документи», то перед видаленням, поверх нього будуть записані випадкові дані. У цьому випадку способів відновити вміст вихідного файлу немає.
При кодуванні даних в інших папках оригінальні файли переміщуються в папку %TEMP%\%d.WNCRYT, де %d — це числове значення. Ці файли містять початкові дані, поверх яких нічого не пишеться, — вони просто видаляються з диска. Тому існує висока ймовірність, що оригінальні файли можна буде повернути за допомогою програм для відновлення даних. Важливо також зазначити, що вихідні файли видаляються небезпечно — це підвищує шанси на успішне відновлення.
Більш того, в WannaCry міститься помилка обробки файлів із захистом від запису. Якщо на зараженому комп’ютері є такі файли, вимагач їх не зашифрує взагалі: будуть створені зашифровані копії кожного такого файлу, а самі оригінали лише отримають атрибут «прихований». У такому разі їх відновлення не буде складним.
За матеріалами: 3dnews.ru
Поділитися новиною
