Sviluppato strumento di decrittazione ransomware gratuito ma limitato per Windows XP

Un ricercatore di sicurezza ha trovato un modo per recuperare le chiavi di crittografia utilizzate dal ransomware Wannacrypt senza dover pagare il riscatto di $ 300.

La sua applicazione, WCry, estrae la chiave dalla memoria di un sistema interessato, ma la soluzione è disponibile solo su Windows XP e se il PC non è stato ancora riavviato o la memoria non è stata sovrascritta, ad es. in circostanze molto specifiche e alquanto improbabili.

WCry è stato sviluppato da Adrien Guinet, un ricercatore con Quarkslab, con sede in Francia, e pubblicato gratuitamente su GitHub.

"Questo software è stato testato e noto per funzionare solo con Windows XP", ha scritto in una nota readme che accompagna la sua app, che chiama Wannakey. “Per funzionare, il tuo computer non deve essere stato riavviato dopo essere stato infettato. Tieni anche presente che hai bisogno di un po' di fortuna per farlo funzionare (vedi sotto), e quindi potrebbe non funzionare in ogni caso!

WannaCry utilizza gli strumenti crittografici integrati di Microsoft per fare il suo lavoro sporco, e in Windows XP c'è un difetto che impedisce la cancellazione delle chiavi dalla memoria che non è presente sulle versioni più recenti del sistema operativo.

"Se sei fortunato (cioè la memoria associata non è stata riallocata e cancellata), questi numeri primi potrebbero essere ancora in memoria", ha scritto Guinet.

Fortunatamente o sfortunatamente per gli utenti, Windows XP non è stato in effetti ampiamente influenzato da WannaCrypt, poiché il malware non funzionava correttamente su quel sistema operativo. La tecnica potrebbe, tuttavia, essere applicabile ad altre infezioni da ransomware e sarebbe uno strumento utile nella borsa del familiare geek che tende a fornire supporto tecnico per l'intero clan.

Il codice può essere trovato su Github qui.