Atenção! Decriptor Ryuk não pode prometer recuperação completa

O ransomware Ryuk tornou-se notório nos últimos anos, arrecadando centenas de milhões em pagamentos de resgate para seus criadores. O Ryuk ransomware tem como alvo os setores público e privado, criptografando arquivos na rede infectada com uma combinação de AES e RSA.

Uma das razões para o sucesso persistente do ransomware Ryuk é que seus criadores não pararam de melhorar e evoluí-lo ao longo dos anos. No ano passado, vimos vários novos recursos sendo adicionados ao ransomware Ryuk, tornando-o uma ameaça ainda maior do que anteriormente.

Um dos novos recursos que não foram tão bem documentados é a capacidade do Ryuk de criptografar arquivos parcialmente. Sempre que o ransomware Ryuk encontrar um arquivo com mais de 54,4 megabytes, ele criptografará apenas algumas partes dele, na tentativa de economizar tempo e permanecer despercebido antes de criptografar o máximo de dados possível. Os arquivos criptografados dessa maneira terão um rodapé um pouco diferente no final, onde a chave AES criptografada pelo RSA usada para a criptografia geralmente é armazenada.

Foram feitas algumas alterações na forma como o comprimento do rodapé é calculado em uma das versões mais recentes do Ryuk ransomware. Como resultado disso, o decodificador que os atores de ameaças enviam às vítimas que pagaram o resgate truncará arquivos, cortando um byte no processo de descriptografia. Isso pode não ser um problema, dependendo do tipo do tipo de arquivo. Às vezes, esses últimos bytes são apenas preenchidos e não contêm dados. No entanto, os arquivos de banco de dados Oracle e certos arquivos do tipo disco virtual, como VHD / VHDX, armazenam dados essenciais nesse último byte, tornando os arquivos inutilizáveis, mesmo após a descriptografia.

O pior é que você nunca poderá recuperar determinados arquivos, mesmo depois de pagar o resgate. Isso ocorre porque o decodificador fornecido pelos agentes de ameaças por trás do Ryuk ransomware exclui as versões criptografadas dos arquivos depois que elas foram "decodificadas", o que significa que você pode ficar com um arquivo quebrado e não tem como recuperá-lo. Uma das maneiras de evitar isso é não negociar com criminosos cibernéticos e encontrar outra maneira de descriptografar seus arquivos. De qualquer forma, antes de tentar qualquer recuperação, seria uma boa ideia fazer backups dos dados criptografados, caso algo dê errado durante o processo de descriptografia.