Для WannaCry найден WannaKey

02.07.2017 5:21

Способ борьбы с вирусом WannaCry найден. Французский эксперт Адриен Гинье (Adrien Guinet) из компании Quarkslab нашел новый способ для получения ключей расшифровки WannaCry абсолютно бесплатно. Способ работает только в операционной системе Windows XP.

В процессе шифрования зловред WannaCry генерирует на компьютере жертвы открытый и закрытый ключи, которые служат для шифрования и расшифровки пользовательских файлов.

Чтобы предотвратить возможность получения доступа к закрытому ключу для дешифрования файлов, WannaCry стирает этот ключ из системы, поэтому у жертвы остаётся единственный выход – заплатить выкуп.

Тем не менее, была обнаружена закономерность: WannaCry не стирает простые номера ключей из памяти до момента очистки ассоциативной памяти.

Эта особенность и была использована для создания инструмента дешифрования под названием WannaKey, который пытается обнаружить две числовые комбинации, которые используются для генерации ключей шифрования из памяти.Гинье отмечает: “Приложение выполняет поиск ключей дешифрования в процессе wcry.exe, который генерирует закрытые RSA ключи. Особенность заключается в том, что CryptDestroyKey и CryptReleaseContext не стирают простые числа из памяти до освобождения ассоциативной памяти”.

Это означает, что метод будет работать, только если:

Заражённый компьютер не был перезагружен после заражения.
Ассоциативная память не была выделена и стерта каким-либо другим процессом.

Эксперт предупреждает, что инструмент поможет, только если компьютер не перезагружался после заражения и даже в этом случае не всегда получится успешно дешифровать файлы.

Ошибка не была допущена киберпреступниками, они просто использовали Windows Crypto API.

Еще один исследователь безопасности Бенжамин Делфи (Benjamin Delpy) разработал простую в использовании программу под названием WanaKiwi. Она использует открытие Гинье, которое упрощает процесс дешифрования заблокированных WannaCry файлов.

Всем жертвам рекомендуется скачать WanaKiwi с сервиса Github и запустить на зараженных системах с помощью командной строки.

Мэтт Cebi (Matt Suche) из компании Comae Technologies уже протестировал приложение и продемонстрировал, как можно использовать WanaKiwi для дешифрования файлов. WanaKiwi работает в операционных системах Windows XP, Windows 7, Windows Vista, Windows Server 2003 и Windows Server 2008.

Хотя из-за определённых зависимостей, инструмент заработает не в каждой системе, он все же дает некоторым жертвам надежду восстановить доступ к файлам без финансовых затрат.

Источник