Odzyskasz dane zaszyfrowane przez MarsJoke/Polyglot – twórcy ransomware byli słabi z kryptografii

MarsJoke/Polyglot rozpowszechniany był standardową drogą –przez spam mailowy, w załącznikach z archiwum RAR. Jeśli uda sięnakłonić użytkownika do uruchomienia zawartości archiwum, trojanrozpoczyna szyfrowanie, blokując dostęp do plików na zaszyfrowanejmaszynie. Po zakończeniu tego procesu, szkodnik podmienia tapetęWindowsa na żądanie okupu i łączy się z serwerem dowodzenia ikontroli w sieci Tor, by uzyskać kwotę okupu w bitcoinach i numerkonta, na który okup ma być przelany. Zapłacić trzeba wwyznaczonym terminie: jeśli ofiara nie zapłaci, na zawsze stracidostęp do swoich plików.

A może nie na zawsze? MarsJoke jest wizualnie bardzo podobny dosłynnego CTB-Lockera. Ma praktycznie taki sam interfejs, taką samątapetę z żądaniem okupu, taką samą stronę płatności – jakbybardzo chciał przekonać użytkowników, że jest poważnymransomware, którego zlekceważenie oznacza utratę wszystkiego.Specjaliści z Kaspersky Lab zbadaliszkodnika od środka, odkrywając, że nawet mechanizm szyfrowanianaśladuje słynne ransomware. Zawartość plików pakowana jestZIP-em, szyfrowana AES-256, a przy wymianie kluczy stosowany jestalgorytm Diffie-Hellmana na krzywych eliptycznych (z tą samą krzywącurve25519) i SHA256.

Sprawa byłaby beznadziejna, gdyby naśladowcy nie popełnilikilku poważnych błędów. Tworzone klucze pochodziły z losowowygenerowanej tablicy znaków. Po raz kolejny okazuje się, że(pseudo)losowość jest trudna – generator okazał się bardzosłaby, sam nie wykorzystując funkcji randomizującej, tak żeodtworzenie całej przestrzeni kluczy zajmuje na typowym pececiekilka minut. Po zdobyciu właściwego klucza AES pozostaje jedyniezłamać zaszyfrowane archiwum ZIP, ale i tu okazało się, że totrywialnie proste – hasłem były poszczególne cyfry z ciąguunikatowego identyfikatora MachineGuid, przyznawanego przez Windowskomputerowi.

W tej sytuacji nie było trudno napisać deszyfrator, którywygeneruje właściwy klucz AES i automatycznie odkoduje pobranepliki. Siłowy atak na efekt pracy MarsJoke zajmuje na typowympececie około minuty. Anton Iwanow z Kaspersky Lab skomentował tonastępująco:

Przypadek ten uczy nas, aby nigdy się nie poddawać:oprogramowanie ransomware stało się poważnym problemem dlawszystkich użytkowników, czasem jednak rozwiązanie istnieje. W tymprzypadku autorzy szkodliwego oprogramowania dopuścili się błędu,który umożliwił złamanie szyfrowania. Jednak jeśli chodzi oransomware, użytkownicy nie powinni polegać jedynie na szczęściu.Przypadek ten stanowi bardziej wyjątek niż regułę, dlategozalecamy wszystkim, aby chronili swoje urządzenia w sposóbproaktywny poprzez wykorzystywanie niezawodnego rozwiązaniabezpieczeństwa i dopilnowanie, aby wszystkie technologie ochronyprzed szyfrowaniem były włączone. Nie można także zapominać oregularnym wykonywaniu kopii zapasowej najważniejszych danych

Narzędzie deszyfrujące MarsJoke/Polyglot pobierzecie z naszejbazy oprogramowania. Warto też pamiętać o projekcie Kaspersky Labo nazwie No More Ransom,realizowanym we współpracy z holenderską policją, Europolem orazIntel Security. Ma on pomóc ofiarom ransomware w odzyskaniu swoichdanych bez konieczności płacenia okupu cyberprzestępcom.