El inusual ransomware TeleCrypt, conocido por secuestrar la aplicación de mensajería Telegram para comunicarse con atacantes en lugar de simples protocolos basados en HTTP, ya no es una amenaza para los usuarios. Gracias al analista de malware por Malwarebytes Nathan Scott, junto con su equipo en Kaspersky Lab, la cepa de ransomware se ha descifrado apenas unas semanas después de su lanzamiento.
Pudieron descubrir una falla importante en el ransomware al revelar la debilidad del algoritmo de cifrado utilizado por TeleCrypt infectado. Encriptaba archivos recorriéndolos un solo byte a la vez y luego agregando un byte de la clave en orden. Este sencillo método de cifrado permitió a los investigadores de seguridad una forma de descifrar el código malicioso.
Lo que hizo que este ransomware fuera poco común fue su canal de comunicaciones cliente-servidor de comando y control (C&C), razón por la cual los operadores optaron por cooptar al Protocolo de Telegram en lugar de HTTP / HTTPS como lo hacen la mayoría de ransomware en estos días, a pesar de que el vector era notablemente bajo y se dirigió a los usuarios rusos con su primer versión. Los informes sugieren que los usuarios rusos que accidentalmente descargaron archivos infectados y los instalaron después de caer presas de ataques de phishing se les mostró una página de advertencia que chantajeaba al usuario para que pagara un rescate para recuperar su archivos. En este caso, se exige a las víctimas que paguen 5.000 rublos (77 dólares) por el llamado "Fondo de Jóvenes Programadores".
El ransomware se dirige a más de cien tipos de archivos diferentes, incluidos jpg, xlsx, docx, mp3, 7z, torrent o ppt.
La herramienta de descifrado, Malwarebytes, permite a las víctimas recuperar sus archivos sin pagar. Sin embargo, necesita una versión no cifrada de un archivo bloqueado para que actúe como muestra para generar una clave de descifrado que funcione. Puede hacerlo iniciando sesión en sus cuentas de correo electrónico, servicios de sincronización de archivos (Dropbox, Box) o desde copias de seguridad del sistema más antiguas, si ha realizado alguna.
Una vez que el descifrador encuentra la clave de cifrado, le presentará al usuario la opción de descifrar una lista de todos los archivos cifrados o de una carpeta específica.
El proceso funciona como tal: el programa de descifrado verifica los archivos que proporcionas. Si los archivos coinciden y están encriptados por el esquema de encriptación que utiliza Telecrypt, luego se le dirigirá a la segunda página de la interfaz del programa. Telecrypt mantiene una lista de todos los archivos cifrados en "% USERPROFILE% \ Desktop \ База зашифр файлов.txt"
Puede obtener el descifrador de ransomware Telecrypt creado por Malwarebytes desde este enlace de caja.
