Προειδοποίηση! Ο Decryptor Ryuk δεν μπορεί να υποσχεθεί την πλήρη ανάκτηση
Το ransomware Ryuk έχει γίνει πασίγνωστο τα τελευταία χρόνια, κερδίζοντας εκατοντάδες εκατομμύρια σε πληρωμές λύτρων για τους δημιουργούς του. Το ransomware Ryuk έχει στοχεύσει τόσο στον ιδιωτικό όσο και στον δημόσιο τομέα, κρυπτογραφώντας αρχεία στο μολυσμένο δίκτυο με συνδυασμό AES και RSA.
Ένας από τους λόγους για την επίμονη επιτυχία του ρουμανικού λογισμικού Ryuk είναι ότι οι δημιουργοί του δεν έχουν σταματήσει τη βελτίωση και την εξέλιξή του καθ 'όλη τη διάρκεια των ετών. Μόλις τον περασμένο χρόνο, έχουμε δει πολλά νέα χαρακτηριστικά που προστίθενται στο ρουμανικό λογισμικό Ryuk, καθιστώντας το σε μια ακόμη μεγαλύτερη απειλή από ό, τι προηγουμένως.
Ένα από τα νέα χαρακτηριστικά που δεν έχουν τεκμηριωθεί τόσο καλά είναι η ικανότητα του Ryuk να κρυπτογραφεί αρχεία εν μέρει. Όποτε το ransomware Ryuk συναντά ένα αρχείο μεγαλύτερο από 54,4 megabyte, θα κρυπτογραφήσει μόνο ορισμένα μέρη του, σε μια προσπάθεια να εξοικονομήσει χρόνο και να παραμείνει απαρατήρητο πριν κρυπτογραφήσει όσο το δυνατόν περισσότερα δεδομένα. Τα αρχεία που είναι κρυπτογραφημένα με τέτοιο τρόπο θα έχουν ένα ελαφρώς διαφορετικό υποσέλιδο στο τέλος, όπου συνήθως αποθηκεύεται το κρυπτογραφημένο κλειδί AES που χρησιμοποιείται για την κρυπτογράφηση.
Υπήρξαν κάποιες αλλαγές που έγιναν στο πώς υπολογίζεται το μήκος του υποσέλιδο σε μια από τις πιο πρόσφατες εκδόσεις του ransomware Ryuk. Ως αποτέλεσμα αυτού, ο αποκρυπτογράφος που στέλνουν οι φορείς απειλής στα θύματα που έχουν πληρώσει τα λύτρα θα περικόψει τα αρχεία, κόβοντας ένα byte στη διαδικασία αποκρυπτογράφησης. Αυτό μπορεί να μην είναι ένα ζήτημα, ανάλογα με τον τύπο του τύπου αρχείου. Μερικές φορές, αυτά τα τελευταία byte είναι ακριβώς padding και δεν περιέχουν δεδομένα. Ωστόσο, τα αρχεία βάσης δεδομένων Oracle και ορισμένα αρχεία τύπου εικονικού δίσκου, όπως το VHD / VHDX, αποθηκεύουν βασικά δεδομένα σε αυτό το τελευταίο byte, καθιστώντας τα αρχεία ακατάλληλα, ακόμα και μετά την αποκρυπτογράφηση.
Αυτό που είναι ακόμη χειρότερο είναι ότι δεν μπορείτε ποτέ να ανακτήσετε ορισμένα αρχεία, ακόμη και αφού πληρώσετε τα λύτρα. Αυτό οφείλεται στο γεγονός ότι ο αποκρυπτογράφος που παρέχεται από τους παράγοντες απειλής πίσω από το ρουμανικό λύκο Ryuk διαγράφει τις κρυπτογραφημένες εκδόσεις των αρχείων μετά την αποκρυπτογράφηση τους, πράγμα που σημαίνει ότι μπορεί να κολλήσετε με ένα σπασμένο αρχείο και να μην τον ανακτήσετε. Ένας από τους τρόπους για να αποφύγετε αυτό είναι να μην διαπραγματευτείτε με απατεώνες του κυβερνοχώρου και να βρείτε έναν άλλο τρόπο για να αποκρυπτογραφήσετε τα αρχεία σας. Σε κάθε περίπτωση, πριν επιχειρήσετε οποιαδήποτε ανάκτηση, θα ήταν καλή ιδέα να δημιουργήσετε αντίγραφα ασφαλείας των κρυπτογραφημένων δεδομένων, σε περίπτωση που κάτι πάει στραβά κατά τη διαδικασία αποκρυπτογράφησης.