Tweet

Wanakiwi – Descriptografando arquivos bloqueados pelo ransomware WannaCry

De acordo com uma notícia publicada no site Ars Technica, uma nova esperança surgiu na sexta-feira para as pessoas que foram atingidas pelo vírus da semana passada – o ransomware WannaCry – depois que pesquisadores mostraram que uma gama mais ampla de PCs infectados podem ser desbloqueados sem que os proprietários efetuem o pagamento do resgate, que varia de US$ 300 a US$ 600.

Uma nova ferramenta disponibilizada publicamente é capaz de descriptografar arquivos de PCs infectados pelo ransomware WannaCry, que estejam executando as versões do Windows XP, 7 e 2003, e um dos pesquisadores por trás dessa ferramenta disse que provavelmente também funcionará para outras versões do Windows, incluindo o Windows Vista, Server 2008 e o 2008 R2.

A ferramenta, conhecida como wanakiwi, foi construída baseada em uma outra ferramenta que foi lançada na quinta-feira. Chamada de “Wannakey”, a ferramenta anterior fornece os meios para extrair material-chave de PCs infectados que estavam rodando o Windows XP, porém exige um aplicativo separado para transformar esses bits extraídos na chave secreta, necessária para descriptografar os arquivos.

Matt Suiche, co-fundador da empresa de segurança Comae Technologies, ajudou a desenvolver e testar a ferramenta wanakiwi, e confirma que ela realmente funciona. A Europol, agência policial da União Europeia, também validou a ferramenta. 

A imagem a seguir mostra o aplicativo em uso, descriptografando arquivos em uma máquina infectada pelo WannaCry:

Assim como acontece com o Wannakey, o wanakiwi tira proveito das deficiências na Interface de Aplicações Criptográficas da Microsoft, que o ransomware WannaCry e outros aplicativos do Windows usam para gerar chaves para criptografar e descriptografar arquivos.

O Wanakiwi é capaz de varrer com êxito a memória de infectados XP e 7 máquinas, extrair informações necessárias para recuperar a chave secreta de criptografia, e remontar a chave. A ferramenta então usa essa chave para decriptar todos os arquivos que foram criptografados pelo ransomware WannaCry.

Limitações do wanakiwi

Porém, nem sempre é possível recuperar os arquivos que foram criptografados. Assim como ocorre com o Wannakey, a recuperação não irá funcionar se o computador que foi infectado for reiniciado. E, mesmo quando o computador contaminado permanece ligado, o decodificador pode não funcionar caso o local da memória que armazenou o material da chave criptográfica tiver sido sobrescrito. O Wanakiwi ainda não foi extensivamente testado em computadores com CPUs x64, por isso é possível que a ferramenta não funcione de forma confiável nessa plataforma.

O wanakiwi pode ser baixado a partir desta página do GitHub.

Traduzido e adaptado de Ars Technica