Wcry is een gratis decoderingstool voor ransomware voor Windows XP

Een beveiligingsonderzoeker heeft een manier gevonden om de coderingssleutels te achterhalen die worden gebruikt door de WannaCrypt (AKA WannaCry) ransomware zonder het losgeld van $300 te betalen. Dit is belangrijk omdat WannaCry de ingebouwde cryptografische tools van Microsoft gebruikt om te doen wat het moet doen. Terwijl Windows XP

niet op grote schaal werd getroffen door de cyberaanval, kan de volgende techniek worden toegepast in het geval van andere ransomware-infecties.

Wcry, nu beschikbaar op Windows XP

Het gereedschap heet Wcry en het plukt de sleutel rechtstreeks uit het geheugen van het getroffen systeem. Deze oplossing is momenteel beschikbaar voor Windows XP en alleen wanneer de betreffende pc niet opnieuw is opgestart of het geheugen niet is overschreven.

Wcry is ontwikkeld door Adrien Guinet, een Franse onderzoeker, die de oplossing heeft gepost gratis op GitHub.

Hoe het werkt

Volgens Guinet is de software alleen onder Windows XP getest en werkt het perfect. De notitie naast de app leest ook dat "om te kunnen werken, mag uw computer niet opnieuw zijn opgestart nadat hij is geïnfecteerd. Houd er ook rekening mee dat je wat geluk nodig hebt om dit te laten werken (zie hieronder), en dus werkt het misschien niet in alle gevallen!”

In Windows XP is er een fout die het wissen van de sleutels uit het geheugen verhindert en deze fout ontbreekt bij nieuwere besturingssystemen. Het is belangrijk dat de priemgetallen nog in het geheugen staan.

Guinet zegt dat:

Met deze software kunnen de priemgetallen van de RSA-privésleutel die door Wanacry worden gebruikt, worden hersteld. Het doet dit door ernaar te zoeken in het wcry.exe-proces. Dit is het proces dat de RSA-privésleutel genereert. Het belangrijkste probleem is dat de CryptDestroyKey en CryptReleaseContext de priemgetallen niet uit het geheugen wissen voordat het bijbehorende geheugen wordt vrijgemaakt.

Aangezien u de tool voor meer ransomware-infecties kunt gebruiken, zal het zeer nuttig blijken te zijn voor het bieden van technische ondersteuning.

VERWANTE VERHALEN OM TE BEKIJKEN:

• De makers van WannaCry dreigen met het vrijgeven van meer malware voor Windows 10
• Adylkuzz, een andere grootschalige Windows-cyberaanval, is naar verluidt onderweg
• Hoe u online veilig blijft na de WannaCrypt-aanvallen