2017. aasta mais võis lunavara WannaCry põhjustada kaost kogu maailmas, rünnates kõigest 72 tunniga ligi 300 000 arvutit 150 riigis, kuid see ei tähenda, et tegemist oli kvaliteetse lunavaraga. Jah, Kaspersky Labsi turvaeksperdid avastasid hiljuti WannaCrypt lunavaraussi koodis programmeerimisvigu.
Need WannaCrypt lunavara koodi programmeerimisvead võivad lubada mõnel selle ohvril taastada oma lukustatud failid avalikult saadaolevate tasuta taastetööriistade või isegi lihtsate käskudega, ilma dekrüpteerimisvõtme eest maksmata.
Kaspersky Labi vanem pahavara analüütik Anton Ivanov koos kolleegide Fedor Sinitsyni ja Orkhan Mamedoviga on pärast pahavara põhjalikku uurimist üksikasjalikult kirjeldanud WannaCry arendajate tehtud kolme kriitilist viga, mis võiksid lubada sysadminidel taastada potentsiaalselt kaotatud failid.
Teadlaste sõnul on küsimus selles, kuidas pahavara krüpteerib.
"Kui Wannacry krüpteerib oma ohvri failid, loeb see algfailist, krüpteerib sisu ja salvestab selle laiendiga" .WNCRYT "faili. Pärast krüptimist teisaldatakse see .WNCRYT kausta .WNCRY ja kustutatakse algne fail. See kustutusloogika võib varieeruda sõltuvalt ohvri failide asukohast ja omadustest. ”
WannaCry kopeerib failid ja loob nende krüpteeritud koopiad, kuna pahatahtlikul tarkvaral pole võimalik kirjutuskaitstud faile otse krüptida ega muuta. Ehkki algsed failid jäävad puutumata, kuid neile antakse „varjatud” atribuut, nõuab algandmete tagastamine ohvritelt lihtsalt nende tavapäraste atribuutide taastamist.
https://www.alltechbuzz.net/fix-wannacrypt-ransomware-backdoor/
Failide taastamine süsteemidraivilt (st C-draivilt)
Teadlaste sõnul ei saa „olulistesse kaustadesse” salvestatud faile, näiteks kausta Töölaud või Dokumendid, ilma dekrüpteerimisvõtmena taastada, kuna WannaCry on loodud enne originaalfailide eemaldamist juhuslike andmetega üle kirjutama.
Kuid teadlased märkasid, et muid süsteemidraivi väljaspool olulisi kaustu salvestatud faile saab ajutisest kaustast andmete taastamise tarkvara abil taastada.
"Kui fail on salvestatud väljaspool" olulisi "kaustu, siis teisaldatakse algne fail kausta% TEMP% \% d.WNCRYT (kus% d tähistab arvväärtust). Need failid sisaldavad algandmeid ja neid ei kirjutata üle, need lihtsalt kustutatakse kettalt, mis tähendab, et on suur tõenäosus, et neid saab andmete taastamise tarkvara abil taastada. "
Failide taastamine süsteemivälistest draividest
Teadlaste sõnul loob WannaCry lunavara süsteemiväliste draivide jaoks peidetud kausta $ RECYCLE, mis on vaikekonfiguratsiooni korral Windows File Exploreris nähtamatu. Seejärel teisaldab pahavara originaalfailid pärast krüpteerimist sellesse kataloogi. Kuid saate need failid taastada, lihtsalt kuvades kausta '$ RECYCLE'.
Samuti jäävad lunavara koodi sünkroniseerimisvigade tõttu paljudel juhtudel algsed failid samasse kataloogi ja neid ei liigutata kausta $ RECYCLE, mis võimaldab ohvritel saadaolevate andmete taastamise tarkvara abil ebaturvaliselt kustutatud faile taastada.
WannaCry lunavara programmeerimise vead:
Kaspersky Labi teadlased on avastanud, et sellel lunavaral on viga kirjutuskaitstud failide töötlemises. Kui nakatunud masinas on selliseid faile, siis lunavara ei krüpteeri neid üldse. See loob igast originaalfailist ainult krüpteeritud koopia, samas kui originaalfailid ise saavad ainult atribuudi „ peidetud “. Sellisel juhul on neid lihtne leida ja nende tavapärased atribuudid taastada.
- Lunavaraarendajad on teinud palju vigu ja koodi kvaliteet on väga madal.
- Kui olete nakatunud lunavara WannaCry, on suur võimalus, et saate taastada palju mõjutatud arvutis olevaid faile.
- Failide taastamiseks võite kasutada failide taastamiseks saadaolevaid tasuta utiliite.
Artikli algne allikas
