בחודש מאי 2017, תוכנת הכופר WannaCry אולי גרמה להרס בכל רחבי העולם כאשר פגעה בכמעט 300,000 מחשבים ב-150 מדינות תוך 72 שעות בלבד, אך אין זה אומר שמדובר בתוכנת כופר באיכות גבוהה. כן, חוקרי אבטחה במעבדות קספרסקי גילו לאחרונה כמה שגיאות תכנות בקוד של תולעת הכופר WannaCrypt.
שגיאות תכנות אלו בקוד של תוכנת הכופר WannaCrypt עלולות לאפשר לחלק מקורבנותיה לשחזר את הקבצים הנעולים שלהם באמצעות כלי שחזור חינמיים הזמינים לציבור או אפילו באמצעות פקודות פשוטות, מבלי לשלם עבור מפתח פענוח כלשהו.
אנטון איבנוב, אנליסט תוכנה זדונית בכיר במעבדת קספרסקי, יחד עם עמיתיו פדור סיניצין ואורחן ממדוב, לאחר שחקרו לעומק את התוכנה הזדונית, פירטו שלוש שגיאות קריטיות שביצעו מפתחי WannaCry שעשויים לאפשר לסיסאדמינים לשחזר קבצים שעלולים לאבד.
לדברי החוקרים, הנושא טמון באופן בו התוכנה הזדונית מבצעת את ההצפנה.
"כאשר Wannacry מצפין את קבצי הקורבן שלו, הוא קורא מהקובץ המקורי, מצפין את התוכן ושומר אותו בקובץ עם סיומת" .WNCRYT ". לאחר ההצפנה הוא מעביר ".WNCRYT" ל" .WNCRY "ומוחק את הקובץ המקורי. לוגיקת המחיקה הזו עשויה להשתנות בהתאם למיקום ולמאפיינים של קבצי הקורבן. "
WannaCry מעתיק את הקבצים ויוצר את העותקים המוצפנים שלהם מכיוון שלא ניתן לתוכנה זדונית להצפין או לשנות קבצים לקריאה בלבד ישירות. אמנם הקבצים המקוריים נותרים ללא פגע אך מקבלים תכונה 'נסתרת', אך החזרת הנתונים המקוריים מחייבת פשוט קורבנות לשחזר את התכונות הרגילות שלהם.
https://www.alltechbuzz.net/fix-wannacrypt-ransomware-backdoor/
שחזור קבצים מכונן המערכת (כלומר כונן C)
לדברי החוקרים, לא ניתן לשחזר קבצים המאוחסנים ב'תיקיות החשובות ', כמו תיקיית שולחן העבודה או המסמכים, ללא מפתח הפענוח מכיוון ש- WannaCry תוכנן להחליף קבצים מקוריים עם נתונים אקראיים לפני הסרתם.
עם זאת, החוקרים הבחינו כי ניתן לשחזר קבצים אחרים המאוחסנים מחוץ ל'תיקיות חשובות 'בכונן המערכת מהתיקייה הזמנית באמצעות תוכנת שחזור נתונים.
"אם הקובץ נשמר מחוץ לתיקיות 'חשובות', הקובץ המקורי יועבר ל-% TEMP% \% d.WNCRYT (כאשר% d מציין ערך מספרי). קבצים אלה מכילים את הנתונים המקוריים ולא מוחלפים, הם פשוט נמחקים מהדיסק, מה שאומר שיש סיכוי גבוה שניתן יהיה לשחזר אותם באמצעות תוכנת שחזור נתונים. "
שחזור קבצים מהכוננים הלא-מערכתיים
לדברי החוקרים, עבור כוננים שאינם מערכתיים, תוכנת הכופר WannaCry יוצרת תיקיית '$ RECYCLE' נסתרת, שאינה נראית בסייר הקבצים של Windows אם יש לה תצורת ברירת מחדל. לאחר מכן התוכנה הזדונית מעבירה קבצים מקוריים לספרייה זו לאחר ההצפנה. עם זאת, באפשרותך לשחזר קבצים אלה רק על ידי ביטול הסתרת התיקיה '$ RECYCLE'.
כמו כן, עקב "שגיאות סנכרון" בקוד תוכנת הכופר, במקרים רבים הקבצים המקוריים נשארים באותה ספריה ואינם מועברים ל- $ RECYCLE, מה שמאפשר לקורבנות לשחזר קבצים שנמחקו בצורה לא בטוחה באמצעות תוכנת שחזור נתונים זמינה.
שגיאות תכנות כופר של WannaCry:
חוקרי מעבדת קספרסקי גילו כי לתוכנת הכופר הזו יש באג בעיבוד הקבצים לקריאה בלבד. אם ישנם קבצים כאלה במחשב הנגוע, אזי תוכנת הכופר לא תצפין אותם כלל. היא תיצור רק עותק מוצפן של כל קובץ מקורי, בעוד שהקבצים המקוריים עצמם מקבלים רק את המאפיין " מוסתר ". כאשר זה קורה, קל למצוא אותם ולשחזר את התכונות הרגילות שלהם.
- מפתחי תוכנות הכופר עשו הרבה טעויות ואיכות הקוד נמוכה מאוד.
- אם נדבקת בתוכנת כופר WannaCry, קיימת אפשרות טובה שתוכל לשחזר הרבה מהקבצים במחשב המושפע.
- כדי לשחזר קבצים, אתה יכול להשתמש בכלים החינמיים הזמינים לשחזור קבצים.
מקור המאמר
