Tin vui với những nạn nhân của WannaCry, Adrien Guinet - nhà nghiên cứu bảo mật tại Quarkslab - đã tìm ra cách để phục hồi các dữ liệu mã hoá bởi WannaCry. Công cụ này được đặt tên là WannaKey, chạy trên Windows XP. Tuy nhiên, điều kiện để công cụ này phát huy tác dụng là máy tính của nạn nhân chưa khởi động lại sau khi nhiễm WannaCry. Khi đó, công cụ này sẽ phục hồi những chuỗi số nguyên tố trong đoạn mã RSA được sử dụng bởi WannaCry.  Theo Adrien, khi mã độc WannaCry nhiễm vào máy tính, bên trong máy có tiến trình mang tên "wcry.exe". Tiến trình này tạo ra RSA private key. Mấu chốt của vấn đề nằm ở việc mã độc này không xoá những chuỗi số nguyên tố từ bộ nhớ trước khi giải phóng RAM. Do đó, nếu máy tính nạn nhân chưa khởi động lại, những chuỗi số này vẫn còn và được dùng để giải mã dữ liệu bị mã hoá. Hướng dẫn sử dụng công cụ WannaKiwi để giải mã độc WannaCry Công cụ mới có thể giải mã các dữ liệu trên máy tính nhiễm WannaCry với điều kiện máy chưa khởi động lại. Sau khi Adrien công bố WannaKey, một nhà nghiên cứu khác tên Benjamin Delpy đã dựa trên phát hiện của Adrien để phát hành công cụ mang tên WannaKiwi, đơn giản hoá quá trình giải mã và phục hồi. Quan trọng hơn, nó còn hoạt động trên cả Windows 7. WannaKiwi hiện được đăng tải trên GitHub để cộng đồng tải về sử dụng. Duy Tín công cụ giải mã thành công WannaCry công cụ giải mã WannaCry tải công cụ giải mã WannaCry tool giải mã WannaCry giải mã WannaCry mã độc WannaCry Như chúng ta đã biết, gần đây ransomware WannaCry đang là cơn ác mộng các hệ thống máy tính trên toàn thế giới. Mỗi máy tính muốn giải mã dữ liệu phải trả từ 300$ đến 600$. Không có công cụ nào có thể giải mã, nạn nhân phải trả tiền mới có thể khôi phục file. Tuy nhiên mới đây, Adrien Guinet công bố công cụ có thể giải mã được dữ liệu bị mã hóa bởi WannaCry. Công cụ có thể tìm được khóa private RSA. Công cụ này phát hiện ra một thiếu sót của hàm CryptDestroyKey và CryptReleaseContext trên WinXP. Hai hàm này thực hiện nhiệm vụ giải phóng bộ nhớ sau khi tạo key RSA, nhưng trên WinXP việc dọp dẹp không triệt để. Dẫn đến vẫn tồn tại dữ liệu key RSA trên memory. Tôi có làm video thử nghiệm với ba kịch bản để thử nghiệm công cụ giải mã Kịch bản thứ nhất, chạy mẫu WannaCry trên win xp và không có tiến trình nào chạy cùng (để vùng memory chứa RSA sau khi giải phóng có khả năng bị tiến trình khác dùng là thấp nhất). Quá trình mã hóa xong tôi chạy công cụ giải mã ngay lập tức. Thì quá trình giải mã thành công. Các bạn có thể xem chi tiết video dưới đây Kịch bản thứ hai, chạy Wanna cùng với một vài tiến trình đang chạy trên hệ thống. Khi Wanna chạy xong, chờ khoảng 5-10 phút tôi mới bắt đầu chạy công cụ giải mã. Kết quả không thể giải mã file. Kịch bản thứ ba, WannaCry mã hóa xong, khởi động lại mất. Kết quả là không thể giải mã file. Như vậy, việc giải mã này hoạt động được phải phụ thuộc vào hai điều kiện. Điều kiện thứ nhất, máy tính của bạn không được khởi động lại từ khi bị nhiễm Wanna Điều kiện thứ hai, cần đến sự may mắn của bạn, bộ nhớ chứa RSA không có tiến trình nào sử dụng. Trong thực tế, khi các máy bị nhiễm WannaCry thỏa mãn được hai điều kiện trên là không thể. Vì vậy việc giải mã WannaCry trên máy tính của người dùng bình thường vẫn là "bất khả thi". Cần áp dụng các phương pháp phòng ngừa để tránh các thiệt hại đáng tiếc có thể xảy ra: Cập nhật bản vá mới nhất của windows, thường xuyên backup dữ liệu lên các công cụ lưu trữ online, không nên click vào các đường link lạ trên internet, chạy các file tải từ internet trong môi trường SafeRun của các antivirus. Một chuyên gia bảo vừa mật tuyên bố đã tìm được cách giải mã các dữ liệu bị mã hóa bởi Ransomware WannaCry. Nhưng anh cũng cho biết phương pháp của mình chỉ thành công trong một số điều kiện và trường hợp nhất định và yếu tố quan trọng là máy tính đó phải chạy Windows XP. Thực Sự Đã Tìm Ra Cách Giải Mã WannaCry?Adrien Guinet cho biết anh đã giải mã thành công một chiếc laptop chạy Windows XP bị nhiễm WannaCry. Mặc dù theo báo cáo máy tính chạy Windows XP không bị ảnh hưởng bởi đợt tấn công của WannaCry từ ngày 12/5/2017, nhưng phương pháp này có thể giúp ngăn chặn các cuộc tấn công khác trong tương lai. Trên Github, Adrien Guinet đã chia sẽ: “Để phương pháp này có thể hoạt động, máy tính của bạn không được khởi động lại kể từ khi bị nhiễm ransomware. Bạn cũng cần một chút may mắn bởi nó không thực sự thành công trong tất cả các trường hợp”. Đã Tìm Ra Cách Giải Mã WannaCry Trên Win XPChuyên gia bảo mật này nhấn mạnh rằng phương pháp của anh chỉ thành công với Windows XP. Vì Windows XP có một lỗi trong hệ thống, có thể được coi là một lỗ hổng bảo mật. Mã độc WannaCry sẽ sử dụng Microsoft CryptoAPI trong hệ điều hành Windows để mã hóa dữ liệu. Sau đó, chiếc chìa khóa dùng để giải mã được sao lưu lại và gửi về địa chỉ của hacker. Sau đó, bộ nhớ hệ thống lưu trữ các thông tin liên quan đến việc mã hóa này sẽ bị xóa bỏ. Tuy nhiên trên Windows XP thì các dữ liệu này không bị xóa đi. Chính vì vậy mà bằng cách tìm lại các dữ liệu này mà chuyên gia bảo mật có thể lấy lại chiếc chìa khóa giải mã dữ liệu bị WannaCry tấn công. Với phương pháp này yêu cầu máy tính không được khởi động lại và phần bộ nhớ có liên quan không bị ghi đè bởi các dữ liệu khác. Nếu không phương pháp này sẽ không có tác dụng. Adrien Guinet đã chia sẻ công cụ tên là “Wannakey” trên diễn đàn Github. Tuy nhiên công cụ này chưa được thử nghiệm trên quy mô lớn nên không thể đánh giá tính hiệu quả thực tế của nó. Ngoại trừ trường hợp như trên thì mã độc WannaCry vẫn chưa có cách giải mã. Tag: Virus WannaCry Đã Quay Trở Lại | Ransomware Đã Mở Khóa Cho Nạn Nhân | Top 25 Laptop Có Thời Lượng Pin Tốt Nhất | HP Cập Nhật Driver Chứa Keylogger Với Nguy Cơ Bị Mất Thông Tin Mới đây trên các phương tiện truyền thông đã đăng tải thông tin về một chuyên gia an ninh mạng đã tìm ra cách giải mã WannaCry. Thực hư chuyện này như thế nào? |
