Użytkownicy komputerów zainfekowanych ransomware BTCWare nie muszą płacić okupu hakerom. Firma Bitdefender udostępniła darmowe narzędzie pozwalające szybko odzyskać dostęp do zaszyfrowanych danych.
Rozwiązanie dostępne jest jako samodzielnie narzędzie lub element darmowego pakietu Bitdefender Ransomware Recognition. W przypadku, kiedy użytkownik jest przekonany, że komputer stał się ofiarą BTCWare, powinien pobrać plik ze wskazanej lokalizacji i zainstalować na zainfekowanym urządzeniu.
Należy zaznaczyć, że producent sugeruje, żeby odszyfrowywać dane za pomocą narzędzia Bitdefender Ransomware Recognition, ponieważ najpierw wykrywa ono typ ransomware, a w dalszej kolejności sugeruje użycie najnowszego narzędzia przeznaczonego do deszyfrowania.
Jak posługiwać się narzędziem do deszyfrowania:
– Pobierz narzędzie do szyfrowania BTCWare z repozytorium
- Uruchom pobraną aplikację, kiedy pojawi się monit User Account Control
- Zaakceptuj warunki umowy licencyjnej (upewnij się, że został wykonany backup)
- Wskaż folder zawierający zaszyfrowane pliki. Jeśli są one rozproszone po całym dysku, zaznacz opcję „skanuj cały system”
Narzędzie do szyfrowania nie będzie działać w następujących przypadkach:
- Nie można znaleźć noty dotyczącej ransomware
- Nie można znaleźć zaszyfrowanych plików
- Nie jest w stanie przejść przez proces rozszyfrowania pięciu losowych plików znajdujących się w folderze.
Informacje o narzędziu
Ta odmiana ransomware została wykryta w marcu 2017 roku. Cechuje się tym, że szyfruje pliki użytkowników trzema różnymi kodami (AES192, RC4 i AES256), zaś wszystkie klucze są zaszyfrowane w nocie okupu w tak zwanym pliku User ID. Pole User ID to klucz szyfrowania w formacie Base64.
Przykłady zaszyfrowanego user-IDs przy wykorzystaniu różnych wersji malwaru:
- [.cryptobyte] – [SSLL-A332m8UneXS4oom962a4dTTzo-2017-07-31]
- [.onyon] – [DN-19701465958ig2oO1PxH3f32A971dTHXLM7NB0KIjRKV854E197013966619947408188ig2o76E55C60-2017-07-31]
- [.cryptowin] – [ADM-gZ5Lw14Im6qGM9tcv8kfA4sR5-2017-07-31]
- [.theva] -[OBAMA-7P5Yc37RuTFyxwtBVuvIq69SyFj7c728e1TQ3QY1ipWA1gQg4cmu83bGTsX6YwoUqYAGh1i7P92EQ38bMe2008-2017-07-31]
- [.master] – [3-76F93D951D611E203B45894ED48856B2532691C756DF21276E554528B664B5176E55C60-2017-07-31]
Ta rodzina ransomware wykorzystuje dziewięć różnych rozszerzeń, zgrupowanych w trzech algorytmach szyfrowania opisanych powyżej. Bitfender kwalifikuje je do 4 różnych wersji, co obrazuje poniższa tabela.
| Ver | Extension used | Encryption type | Ransom-note name | Decrypted |
| 1 | .btcware | RC4 <1KB chunked | #_HOW_TO_FIX.inf | YES |
| 1 | .cryptobyte | RC4 <1KB chunked | #_HOW_TO_FIX.inf | YES |
| 2 | .onyon | RC4 first 10MB only | !#_DECRYPT_#!.inf | YES |
| 2 | .xfile | RC4 first 10MB only | !#_DECRYPT_#!.inf | YES |
| 3 | .cryptowin | AES192 <1KB chunked | #_HOW_TO_FIX.inf | YES |
| 3 | .theva | AES192 <1KB chunked | #_README_#.inf | YES |
| 4 | .master | AES256 first 10MB only | !#_RESTORE_FILES_#!.inf | YES |
| 4 | .aleta | AES256 first 10MB only | !#_READ_ME_#!.inf | NO |
| 4 | .blocking | AES256 first 10MB only | !#_READ_ME_#!.hta | NO |
Niektóre noty ransomware mogą się pokrywać.
Bitdefender podczas tworzenia narzędzia wykorzystał ujawnione klucze prywatne, które pozwalają odszyfrować niemal wszystkie wersje oprogramowania (v1, v2 i v3), a także rozszerzenie .master w wersji 4. Firma planuje także wzbogacić narzędzie o technologię „brute-force”, nieodzowną w przypadkach, kiedy nie zadziałają klucze.
Wraz z narzędziem do odszyfrowywania Bitdefender udostępnia dodatkowe mechanizmy zabezpieczające przed uszkodzeniem plików. Proces całkowitego deszyfrowania jest uruchamiany tylko wtedy, gdy narzędzie rozszyfrowuje 5 losowych plików oraz notę okupu. Pliki wybierane są z wskazanego folderu lub z całej puli plików, jeśli użytkownik nie wskazał konkretnej lokalizacji.
Generowanie logów
Podczas deszyfrowania logi są generowane i zapisywane w folderze % temp%. Wprawdzie istnieją dwa typy logów, ale bardziej istotny dla operacji jest plik BitdefenderLog.txt, w którym przechowywane są wyniki deszyfrowania. Jeśli użytkownik będzie miał problemy z narzędziem, firma prosi o kontakt i udostępnienie logu dziennika:
Plik dziennika przechowuje również tabele z plikami, które nie mogły zostać odszyfrowane. Bitfender zachęca przesyłanie ich w celach analitycznych i udoskonalenia procesu tworzenia narzędzi deszyfrujących.
Deszyfrowanie może się zakończyć fiaskiem
W niektórych sytuacjach, na które dostawca narzędzia nie ma wpływu, proces odszyfrowywania plików może się nie powieść. Dzieje się tak, kiedy złośliwe oprogramowanie próbuje zaszyfrować pliki używane przez system operacyjny, ale nie potrafi usunąć ani zastąpić oryginału. Pliki takie będą wyświetlane w rejestrze zdarzeń z dodatkowym objaśnieniem zaistniałej sytuacji – plik nie był zainfekowany i nie wymagał deszyfrowania. Inny wariant obejmuje przypadek, kiedy oryginalny plik został zaszyfrowany, a kopia przemianowana na rozszerzenie sugerujące, że jest szyfrowane, choć tak się w rzeczywistości nie stało.