Как оказалось, Linux-версия RansomExx может испортить файлы в процессе шифрования, и вернуть все данные после уплаты выкупа не всегда удается. Специалисты ИБ-компании Profero создали собственный декриптор, способный решить проблему в паре с ключом, купленным у операторов зловреда.
Реверс-инжиниринг шифратора RansomExx, которым тот оперирует в атаках на VMWare ESXi, показал, что зловред не блокирует доступ пользователей к файлам перед шифрованием. Попытка преобразования содержимого, которые законный владелец собрался изменить, может привести к добавлению в файл нешифрованных данных.
Поскольку RansomExx помещает в конец файла ключ для расшифровки (AES, и RSA поверх для надежности), новая запись пользователя может помешать корректному извлечению этого ключа. Отказ оплаченного дешифратора может вызвать у жертвы опасения, что продавец решил надуть его и наградить дополнительным зловредом.
Выяснить, так это или нет, помогает разбор кода ключа, но такие возможности есть далеко не у всех. К счастью, исследование Profero показало, что опасаться в данном случае нечего: причина отказа — элементарная ошибка вирусописателей.
В помощь жертвам RansomExx ИБ-эксперты создали инструмент, корректирующий работу платного декриптора. Эта утилита с открытым исходным кодом выложена в общий доступ в репозитории Profero на GitHub; инструкции по ее использованию опубликованы в блоге компании на Medium.com.
