Криптовымогатель Petya денег не получит: генерируем ключ разлочки жесткого диска сами

Криптовымогатель Petya денег не получит: генерируем ключ разлочки жесткого диска сами Криптовымогатели, Petya, Ransomware, Помогаем себе сами, Видео, Длиннопост, 2016

3 апреля на Habrahabr появилась информация по обнаружению нового криптовымогателя, который шифрует не отдельные файлы, а весь раздел диска (том). Программа получила название Petya, а ее целью является таблица размещения файлов NTFS. Ransomware работает с диском на низком уровне, с полной потерей доступа к файлам тома для пользователя.


У Petya обнаружена также специальная схема маскировки для скрытия активности. Изначально криптовымогатель запрашивает у пользователя активацию UAC, маскируясь под легальные приложения. Как только расширенные привилегии получены, зловредное ПО начинает действовать. Как только том зашифрован, криптовымогатель начинает требовать у пользователя деньги, причем на выплату «выкупа» дается определенный срок. Если пользователь не выплачивает средства за это время, сумма удваивается. «Поле чудес», да и только.

Но криптовымогатель оказался сам по себе не слишком хорошо защищен. Пользователь Твиттера с ником leostone разработал генератор ключей для Petya, который позволяет снять шифрование дисков. Ключ индивидуален, и на подбор уходит примерно 7 секунд.


Этот же пользователь создал сайт, который генерирует ключи для пользователей, чьи ПК пострадали из-за Petya. Для получения ключа нужно предоставить информацию с зараженного диска.


Что нужно делать?


Зараженный носитель нужно вставить в другой ПК и извлечь определенные данные из определенных секторов зараженного жесткого диска. Эти данные затем нужно прогнать через Base64 декодер и отправить на сайт для обработки.


Конечно, это не самый простой способ, и для многих пользователей он может быть вообще невыполнимым. Но выход есть. Другой пользователь, Fabian Wosar, создал специальный инструмент, который делает все самостоятельно. Для его работы нужно переставить зараженный диск в другой ПК с Windows OS. Как только это сделано, качаем Petya Sector Extractor и сохраняем на рабочий стол. Затем выполняем PetyaExtractor.exe. Этот софт сканирует все диски для поиска Petya. Как только обнаруживается зараженный диск, программа начинает второй этап работы.

Криптовымогатель Petya денег не получит: генерируем ключ разлочки жесткого диска сами Криптовымогатели, Petya, Ransomware, Помогаем себе сами, Видео, Длиннопост, 2016

Извлеченную информацию нужно загрузить на сайт, указанный выше. Там будет два текстовых поля, озаглавленных, как Base64 encoded 512 bytes verification data и Base64 encoded 8 bytes nonce. Для того, чтобы получить ключ, нужно ввести данные, извлеченные программой, в эти два поля.


Для этого в программе нажимаем кнопку Copy Sector, и вставляем скопированные в буфер данные в поле сайта Base64 encoded 512 bytes verification data.


Потом в программе выбираем кнопку Copy Nonce, и вставляем скопированные данные в Base64 encoded 8 bytes nonce на сайте.


Если все сделано правильно, должно появиться вот такое окно: Для получения пароля расшифровки нажимаем кнопку Submit. Пароль будет генерироваться около минуты.

Криптовымогатель Petya денег не получит: генерируем ключ разлочки жесткого диска сами Криптовымогатели, Petya, Ransomware, Помогаем себе сами, Видео, Длиннопост, 2016

Для получения пароля расшифровки нажимаем кнопку Submit. Пароль будет генерироваться около минуты.

Криптовымогатель Petya денег не получит: генерируем ключ разлочки жесткого диска сами Криптовымогатели, Petya, Ransomware, Помогаем себе сами, Видео, Длиннопост, 2016

Записываем пароль, и подключаем зараженный диск обратно. Как только появится окно вируса, вводим свой пароль.

Криптовымогатель Petya денег не получит: генерируем ключ разлочки жесткого диска сами Криптовымогатели, Petya, Ransomware, Помогаем себе сами, Видео, Длиннопост, 2016
Petya начинает дешифровку тома, и все начинает работать по завершению процесса.


Взято с geektimes

UPD

Информация устарела

Вы смотрите срез комментариев. Показать все
8
DELETED
Автор поста оценил этот комментарий

Так, а как на линуксе его запустить?

раскрыть ветку (4)
2
Автор поста оценил этот комментарий

WannaCry я запускал на виртуалке ради интереса, через wine можно попробовать. Пиво и рыба есть на вечер?

раскрыть ветку (3)
3
DELETED
Автор поста оценил этот комментарий

я безработный сейчас :(

так что да, есть :)

3
Автор поста оценил этот комментарий
#linux-help

xxx: Народ! Подскажите какой-нить антивирус на debian?
yyy: Рабочих вирусов на линукс в данный момент нет. Нафиг тебе антивирус?
xxx: Это их раньше не было, я один нашел... и наконец-то пересобрал в работающем состоянии...
раскрыть ветку (1)
Автор поста оценил этот комментарий
Иллюстрация к комментарию
Вы смотрите срез комментариев. Чтобы написать комментарий, перейдите к общему списку