Odszyfrowanie plików po ataku ransomware WannaCry jest możliwe, zobacz jak to zrobić

19 maja, 2017

Aby odszyfrować pliki po ataku ransomware WannaCry należy spełnić poniższe dwa warunki.

Pierwszy: Deszyfrowanie możliwe jest tylko dla systemów Windows XP, Windows Vista, Windows 7 oraz Windows Serwer 2003, 2008 i 2008 R2.

Drugi: System operacyjny po zaszyfrowaniu plików nie może zostać wyłączony. Dane potrzebne do dekryptażu przechowywane są w pamięci RAM, które po restarcie zostają bezpowrotnie utracone.  

Instrukcja krok po kroku

Jeżeli na swoim komputerze zobaczysz podobne obrazki, jakie zostały przedstawione w artykule szczegółowo opisującym ransomware WannaCry, jeszcze nie wpadaj w panikę – jest szansa na odszyfrowanie plików, jeżeli spełniasz powyższe dwa warunki. Przede wszystkim nie wyłączaj komputera!

1. Pobierz oprogramowanie WanaKiwi: https://github.com/gentilkiwi/wanakiwi/releases i wypakuj.

2. Skopiuj „wanakiwi.exe” do folderu z plikiem o rozszerzeniu .PKY, który powinien znajdować się w lokalizacji, z której uruchomiono ransomware. Jeśli masz problem z ustaleniem źródła uruchomienia wirusa, przeszukaj komputer pod kątem plików „*.pky”. Możesz to zrobić za pomocą funkcji szukania plików.

3. Uruchom interpreter CMD.exe (wiersz poleceń)

4. Przeciągnij i upuść plik „wanakiwi.exe” do okna CMD lub przejdź komendą „cd” do lokalizacji, w której znajduje się „wanakiwi.exe”. Na przykład: „cd c:usersnazwa_uzytkownikadesktop

5. Uruchom w wierszu poleceń dekryptor komendą „wanakiwi.exe

6. Czekaj cierpliwie…

Opublikowane inne narzędzie o nazwie WannaKey pozwoliło opracować z pozoru prosty program WanaKiwi i odzyskać z pamięci RAM dwie liczby pierwsze, które są dzielnikami klucza publicznego RSA. Bez znajomości tych liczb, rozszyfrowanie zakodowanych informacji nie jest możliwe. W tej metodzie nie wykorzystano faktoryzacji, czyli rozkładu ogromnie dużej liczby pierwszej na dwa iloczyny – zajęłoby to tysiące lat dla współczesnych komputerów przy długości klucza 2048 bitów (RSA-2048). Zamiast tego wykorzystano błąd w starszych wersjach systemów Windows – program przeszukuje proces wcry.exe w pamięci RAM pod kątem liczb pierwszych, z których powstaje nasz klucz publiczny. Informacje te w Windows XP, Windows Vista, Windows 7 oraz Windows Serwer 2003, 2008 i 2008 R2 nie są wymazywane z pamięci RAM. W Windows 8 i 10 już tak i dlatego metoda ta nie zadziała dla tych systemów.

7. Jeśli zobaczysz mniej więcej taki zapis, to wszystko poszło zgodnie z planem.

WannaCry decrypt
Autorem tego programu WanaKiwi jest Matt Suiche. Wielkie podziękowania należą się przede wszystkim Andrienowi Guinetowi za narzędzie wydobywające z RAM liczby pierwsze.

Nie pozostaje nic innego, jak cieszyć się odzyskanymi plikami. Więcej informacji technicznych o WannaCry oraz kilka praktycznych wskazówek, jak chronić się przed zagrożeniem WannaCry, podajemy w artykule pt. „Podpowiadamy jak zabezpieczyć komputery przed ransomware WannaCry

PODZIEL SIĘ:

Czy ten artykuł był pomocny?

Kliknij na gwiazdkę, aby zagłosować!

Średnia ocena: 0 / 5. Liczba głosów: 0

Jak na razie nikt nie podzielił się opinią.

guest
3 komentarzy
Inline Feedbacks
View all comments

Zapisz się na newsletter i odbierz unikatowy poradnik

„Jak bezpiecznie funkcjonować w cyfrowym świecie”

Wyrażam zgodę na przesłanie oferty drogą telefoniczną przez IT Partners security sp. z o.o. z siedzibą Katowicach ul.Padereskiego 35 na podany przeze mnie adres e-mail zgodnie z ustawą z dnia 10 maja 2018 roku o ochronie danych osobowych (Dz. Ustaw z 2018, poz. 1000) oraz zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (RODO).

Wyrażam zgodę na przesłanie oferty drogą mailową przez IT Partners security sp. z o.o. z siedzibą Katowicach ul.Padereskiego 35 na podany przeze mnie adres e-mail zgodnie z ustawą z dnia 10 maja 2018 roku o ochronie danych osobowych (Dz. Ustaw z 2018, poz. 1000) oraz zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (RODO).

[ninja_tables id=”27481″]