ในเดือนพฤษภาคม ปี 2017 มัลแวร์เรียกค่าไถ่ WannaCryอาจสร้างความเสียหายไปทั่วโลก โดยโจมตีพีซีเกือบ 300,000 เครื่องใน 150 ประเทศภายในเวลาเพียง 72 ชั่วโมง แต่นั่นไม่ได้หมายความว่ามันเป็นมัลแวร์เรียกค่าไถ่คุณภาพสูง ใช่แล้ว นักวิจัยด้านความปลอดภัยจากKaspersky Labsเพิ่งค้นพบข้อผิดพลาดในการเขียนโปรแกรมในโค้ดของเวิร์มมัลแวร์เรียกค่าไถ่ WannaCrypt
ข้อผิดพลาดในการเขียนโปรแกรมของมัลแวร์เรียกค่าไถ่ WannaCrypt อาจทำให้เหยื่อบางรายสามารถกู้คืนไฟล์ที่ถูกล็อกได้ด้วยเครื่องมือการกู้คืนฟรีที่มีให้ใช้งานทั่วไป หรือแม้แต่ด้วยคำสั่งง่ายๆ โดยไม่ต้องจ่ายเงินเพื่อซื้อรหัสถอดรหัส
Anton Ivanov นักวิเคราะห์มัลแวร์อาวุโสที่ Kaspersky Lab พร้อมด้วยเพื่อนร่วมงาน Fedor Sinitsyn และ Orkhan Mamedov หลังจากการค้นคว้าเกี่ยวกับมัลแวร์อย่างลึกซึ้ง ได้ให้รายละเอียดข้อผิดพลาดที่สำคัญสามประการจากนักพัฒนาซอฟต์แวร์ WannaCry ซึ่งอาจทำให้ผู้ดูแลระบบสามารถกู้คืนไฟล์ที่อาจสูญหายได้
นักวิจัยกล่าวว่าปัญหาอยู่ที่วิธีการเข้ารหัสของมัลแวร์
“เมื่อ Wannacry เข้ารหัสไฟล์ของเหยื่อ มันจะอ่านจากไฟล์ต้นฉบับ เข้ารหัสเนื้อหา และบันทึกลงในไฟล์ที่มีนามสกุล “.WNCRYT” หลังจากการเข้ารหัสจะย้าย ".WNCRYT" เป็น ".WNCRY" และลบไฟล์ต้นฉบับ ตรรกะการลบนี้อาจแตกต่างกันไปขึ้นอยู่กับตำแหน่งและคุณสมบัติของไฟล์ของเหยื่อ”
WannaCry คัดลอกไฟล์และสร้างสำเนาที่เข้ารหัส เนื่องจากซอฟต์แวร์ที่เป็นอันตรายไม่สามารถเข้ารหัสหรือแก้ไขไฟล์แบบอ่านอย่างเดียวได้โดยตรง ในขณะที่ไฟล์ต้นฉบับยังคงไม่ถูกแตะต้อง แต่ได้รับแอตทริบิวต์ 'ซ่อน' การรับข้อมูลต้นฉบับกลับเพียงต้องการให้ผู้ที่ตกเป็นเหยื่อสามารถกู้คืนแอตทริบิวต์ปกติได้
https://www.alltechbuzz.net/fix-wannacrypt-ransomware-backdoor/
การกู้คืนไฟล์จากไดรฟ์ระบบ (เช่น ไดรฟ์ C)
นักวิจัยระบุว่า ไฟล์ที่เก็บไว้ใน 'โฟลเดอร์สำคัญ' เช่น โฟลเดอร์เดสก์ท็อปหรือเอกสาร ไม่สามารถกู้คืนได้หากไม่มีคีย์ถอดรหัส เนื่องจาก WannaCry ได้รับการออกแบบมาเพื่อเขียนทับไฟล์ต้นฉบับด้วยข้อมูลแบบสุ่มก่อนลบ
อย่างไรก็ตาม นักวิจัยสังเกตเห็นว่าไฟล์อื่นๆ ที่เก็บไว้นอก 'โฟลเดอร์สำคัญ' บนไดรฟ์ระบบสามารถกู้คืนได้จากโฟลเดอร์ชั่วคราวโดยใช้ซอฟต์แวร์กู้คืนข้อมูล
“หากไฟล์ถูกเก็บไว้นอกโฟลเดอร์ 'สำคัญ' ไฟล์ต้นฉบับจะถูกย้ายไปที่ %TEMP%\%d.WNCRYT (โดยที่ %d หมายถึงค่าตัวเลข) ไฟล์เหล่านี้มีข้อมูลดั้งเดิมและไม่ถูกเขียนทับ พวกมันจะถูกลบออกจากดิสก์ ซึ่งหมายความว่ามีโอกาสสูงที่จะกู้คืนได้โดยใช้ซอฟต์แวร์กู้คืนข้อมูล”
การกู้คืนไฟล์จากไดรฟ์ที่ไม่ใช่ระบบ
ตามที่นักวิจัยกล่าวว่าสำหรับไดรฟ์ที่ไม่ใช่ระบบ WannaCry Ransomware จะสร้างโฟลเดอร์ '$RECYCLE' ที่ซ่อนอยู่ ซึ่งไม่สามารถมองเห็นได้ใน Windows File Explorer หากมีการกำหนดค่าเริ่มต้น มัลแวร์จะย้ายไฟล์ต้นฉบับไปยังไดเร็กทอรีนี้หลังจากการเข้ารหัส อย่างไรก็ตาม คุณสามารถกู้คืนไฟล์เหล่านั้นได้โดยยกเลิกการซ่อนโฟลเดอร์ '$RECYCLE'
นอกจากนี้ เนื่องจาก "ข้อผิดพลาดในการซิงโครไนซ์" ในโค้ดแรนซัมแวร์ ในหลายกรณี ไฟล์ต้นฉบับจะอยู่ในไดเร็กทอรีเดียวกันและไม่ถูกย้ายไปยัง $RECYCLE ทำให้ผู้ที่ตกเป็นเหยื่อสามารถกู้คืนไฟล์ที่ถูกลบอย่างไม่ปลอดภัยโดยใช้ซอฟต์แวร์กู้คืนข้อมูลที่มีอยู่
ข้อผิดพลาดในการเขียนโปรแกรม WannaCry Ransomware:
นักวิจัยจาก Kaspersky Lab ค้นพบว่าแรนซัมแวร์ตัวนี้มีบั๊กในกระบวนการประมวลผลไฟล์แบบอ่านอย่างเดียว หากมีไฟล์ประเภทนี้อยู่ในเครื่องที่ติดไวรัส แรนซัมแวร์จะไม่เข้ารหัสไฟล์เหล่านั้นเลย มันจะสร้างเพียงสำเนาที่เข้ารหัสของไฟล์ต้นฉบับเท่านั้น ในขณะที่ไฟล์ต้นฉบับจะได้รับคุณสมบัติ " ซ่อน " เท่านั้น เมื่อเกิดเหตุการณ์เช่นนี้ การค้นหาไฟล์เหล่านั้นและกู้คืนคุณสมบัติปกติจึงทำได้ง่าย
- นักพัฒนา ransomware ทำผิดพลาดมากมายและคุณภาพของโค้ดต่ำมาก
- หากคุณติดมัลแวร์เรียกค่าไถ่ WannaCry มีความเป็นไปได้ดีที่คุณจะสามารถกู้คืนไฟล์จำนวนมากในคอมพิวเตอร์ที่ได้รับผลกระทบได้
- ในการกู้คืนไฟล์ คุณสามารถใช้ยูทิลิตีฟรีสำหรับการกู้คืนไฟล์ได้
แหล่งที่มาดั้งเดิมของบทความ
