WannaKey: WannaCry Ransomware Decryption Tool

Pesquisador francês cria o WannaKey , ferramenta capaz de recuperar chaves secretas de criptografia usadas pelo WannaCry.

Se o seu PC foi infectado pelo ransomware WannaCry, que prejudicou milhares de usuários em todo o mundo na sexta-feira passada, você pode ter a sorte de obter seus arquivos bloqueados de volta sem necessidade de pagar para os cibercriminosos o resgate de US$ 300 – US$ 600.

I got to finish the full decryption process, but I confirm that, in this case, the private key can recovered on an XP system #wannacry!! pic.twitter.com/QiB3Q1NYpS

— Adrien Guinet (@adriengnt) May 18, 2017

Adrien Guinet, um pesquisador francês de segurança da Quarkslab, descobriu uma maneira de recuperar as chaves secretas de criptografia usadas pelo WannnaCry em sistemas operacionais Windows XP.¹

The worm doesn't infect WinXP – but the ransomware works on WinXP just fine. Yes, you'd have to manually copy and run it there.

— Vess (@VessOnSecurity) May 18, 2017

De fato, a ferramenta de decodificação é de valor limitado, porque o Windows XP não foi afetado pelo worm da semana passada.  Apesar do worm não infectar o WinXP, o ransomware funciona neste sistema, mas desde que lá tenha sido copiado manualmente e executado.²

Chaves de descriptografia do Ransomware WannaCry

O esquema de criptografia do WannaCry funciona gerando um par de chaves no computador da vítima que dependem um par de números, uma chave “pública” e uma chave “privada” para criptografar e descriptografar os arquivos do sistema, respectivamente.

Para evitar que a vítima acesse a chave privada e decifre os arquivos bloqueados, o WannaCry apaga a chave do sistema, não deixando escolha para as vítimas para recuperação da chave de descriptografia, a não ser o pagamento do resgate ao atacante.

O WannaCry, diz Guinet “não apaga par de números  da memória antes de liberar a memória associada”.

Com base nessa descoberta, Guinet lançou uma ferramenta de decifração chamada WannaKey, que basicamente tenta recuperar os par de números usados ​​na fórmula para gerar chaves de criptografia de memória.

Ele realiza a tarefa procurando por eles no processo wcry.exe. Este é o processo que gera a chave privada RSA. O principal problema é que o CryptDestroyKey e CryptReleaseContext não apaga os números primos da memória antes de liberar a memória associada.”

Assim, isso significa que este método funcionará somente se:

• O computador afetado não foi reiniciado após ser infectado;
• A memória associada não foi alocada e apagada por algum outro processo.

“Para funcionar, o computador não deve ter sido reiniciado depois de ter sido infectado. Por favor, note que você precisa ter sorte para que isso funcione (veja abaixo), e assim pode não funcionar em todos os casos!”.

“Não se trata de  um erro dos autores do ransomware, pois eles usam corretamente a API de criptografia do Windows.”

Como o WannaKey só tem acesso aos números primos da memória do computador afetado, a ferramenta só tem uso para aqueles que podem usar esses números primos para gerar a chave de descriptografia manualmente para descriptografar os arquivos do PC infectado pelo WannaCry.

Proteção efetiva contra RANSOMWARE:
Digite o seu e-mail abaixo para fazer o DOWNLOAD GRATUITO do Kaspersky Anti-Ransomware Tool for Business:

Seu e-mail

Referências