Dzięki DecryptCryptoLocker odzyskamy pliki zaszyfrowane przez popularnego szkodnika

Na łamach portalu wiele razy poruszaliśmy temat bardzo niebezpiecznego zagrożenia, jakim jest CryptoLocker. Wygląda na to, że dzięki wysiłkowi firm FireEye i Fox-IT, które zajmują się bezpieczeństwem komputerowym, istnieje nadzieja dla osób, które padły jego ofiarą. Uruchomiony został bowiem serwis, który pozwala na odszyfrowanie danych wcześniej zaszyfrowanych właśnie przez CryptoLockera. Rozwiązanie nie jest idealne, nie pozwala nam odzyskać wszystkich plików, niemniej dzięki niemu uratujemy te najważniejsze z utraconych w wyniku infekcji.

Pierwszym krokiem jaki powinniśmy wykonać jest znalezienie na dysku zaszyfrowanego pliku, kolejnym wejście na specjalną stronę, jego wybór i wpisanie własnego adresu email. Autorzy usługi zaznaczają, że adres nie jest wykorzystywany do żadnych celów marketingowych, służy jedynie wysyłce klucza deszyfrującego i narzędzia, które pozwoli nam na odblokowanie pliku. Jako, że każdy komputer wymaga osobnego klucza, pliki z innych maszyn musimy wysyłać osobno (z jednej wystarczy tylko jeden plik). Tutaj zatkniemy się z największym ograniczeniem omawianego serwisu – maksymalna wielkość wysyłanego przez nas pliku to zaledwie 16 MB. Jeżeli szkodnik zaszyfrował nam jakiś ważny obraz płyty lub większe archiwum, pozostajemy bezsilni. Wystarczy to jednak do odzyskania niejednego dokumentu biurowego, nawet o pokaźnych rozmiarach. Firmy proszą, aby wysyłać tylko pliki, które nie zawierają żadnych prywatnych i wrażliwych danych.

Jak udało się stworzyć tego typu serwis, a dokładniej odszyfrować pliki? Nie wiadomo dokładnie, bo zaangażowane firmy tego nie zdradzają. Najprawdopodobniej ich pracownicy poszli na otwartą wojnę z autorami CryptoLockera i udało się im uzyskać kopię kluczy prywatnych osób, które go utworzyły. Jak można więc podejrzewać, tego typu rozwiązanie jest skuteczne tylko na jakiś czas: skoro klucze zostały przejęte, nie są już dla autorów szkodnika użyteczne. To tylko kwestia czasu, aż w sieci pojawi się nowa odmiana zagrożenia, która będzie korzystała z nowych kluczy, a tym samym DecryptCryptoLocker jako usługa przestanie działać dla nowych infekcji. Najprawdopodobniej wzmocniona zostanie również ochrona tak kodu malware jak i serwerów, przez co powtórzenie tego zabiegu będzie jeszcze trudniejsze.

O CryptoLokerze zrobiło się głośno w drugiej połowie ubiegłego roku. Szkodnik ten w ramach infekcji obchodzi zabezpieczenia systemu Windows, a następnie szyfruje dane użytkownika silnymi algorytmami (RSA 2048 bit i AES 256 bit). W celu odzyskania dostępu do nich konieczne jest zapłacenie okupu w wysokości 300 dolarów. Jeżeli nie zrobimy tego w czasie 72 godzin, serwer atakujących usunie klucze wykorzystywane do szyfrowania, pliki staną się nie do odzyskania. Choć wiele aplikacji antywirusowych szybko dodało to zagrożenie do swoich baz sygnatur, ilość ofiar rosła lawinowo, stali się nim również policjanci pewnego posterunku w Stanach Zjednoczonych, którym malware zablokowało dane operacyjne – nie pomogła nawet interwencja służb FBI, a tak ważne dane nie mogły zostać utracone, zdecydowano się więc na zapłacenie okupu.

Obecnie nie mniejszym zagrożeniem jest sukcesor CryptoLockera, szkodnik nazywany Critroni, który działa w podobny sposób, jednak dzięki wykorzystaniu anonimowej sieci Tor dodatkowo ukrywa serwery atakujących. Choć infekcje zaczęły się w Rosji, w ostatnim czasie nabierają na sile i przenosza się również na inne kraje i regiony świata. Pamiętajmy, że znacznie lepszym rozwiązaniem niż leczenie jest profilaktyka. Dlatego właśnie zachęcamy do korzystania nie tylko z tradycyjnych rozwiązań antywirusowych, ale również aplikacji bardziej zaawansowanych, które choć wymagają uwagi, pozwalają na wcześniejsze zareagowanie i niedopuszczenie do infekcji.