Nenavaden ransomware TeleCrypt, znan po tem, da je ugrabil sporočilno aplikacijo Telegram za komunikacijo z napadalci in ne preprostim protokolom, ki temeljijo na HTTP, za uporabnike ni več grožnja. Zahvaljujoč analitiku zlonamerne programske opreme za Malwarebytes Nathanu Scottu skupaj s svojo ekipo v laboratoriju Kaspersky je sev odkupne programske opreme počil že nekaj tednov po izdaji.

Uspeli so odkriti večjo napako v izsiljevalni opremi, tako da so razkrili šibkost šifrirnega algoritma, ki ga uporablja okuženi TeleCrypt. Datoteke je šifriral tako, da je v njih brskal po en sam bajt in nato dodal bajt iz ključa. Ta preprosta metoda šifriranja je raziskovalcem varnosti omogočila, da se prebijejo zlonamerno kodo.

To odkritje programske opreme je postalo neobičajno komunikacijski kanal strežnika odjemalcev in strežnikov (C&C), zato so se operaterji odločili za izbiro protokola Telegram namesto HTTP / HTTPS, kot to počne večina oddajnikov - čeprav je bil vektor opazno nizki in ciljno usmerjeni ruski uporabniki s svojo prvo različico. Poročila kažejo, da so ruski uporabniki, ki so nenamerno prenesli okužene datoteke in jih namestili po padcu plena z lažnimi napadi, prikazali opozorilno stran, ki izsiljeva uporabnika, da plača odkupnino za pridobivanje svojih datotek. V tem primeru se od žrtev zahteva plačilo 5000 rubljev (77 USD) za tako imenovani "sklad mladih programerjev."

Programska programska oprema cilja več kot sto različnih vrst datotek, vključno z jpg, xlsx, docx, mp3, 7z, torrent ali ppt.

Orodje za dešifriranje, Malwarebytes, omogoča žrtvam, da si povrnejo svoje datoteke brez plačila. Vendar pa potrebujete šifrirano različico zaklenjene datoteke, da deluje kot vzorec za ustvarjanje delujočega ključa za dešifriranje. To lahko storite tako, da se prijavite v svoje e-poštne račune, storitve sinhronizacije datotek (Dropbox, Box) ali iz starejših varnostnih kopij sistema, če ste jih naredili.

Ko dešifrator najde šifrirni ključ, uporabniku nato ponudi možnost, da dešifrira seznam vseh šifriranih datotek ali iz ene posebne mape.

Postopek deluje kot tak: Program za dešifriranje preveri datoteke, ki jih vnesete . Če se datoteke ujemajo in jih šifrira shema šifriranja, ki jih uporablja Telecrypt, se nato pomaknete na drugo stran programskega vmesnika. Telecrypt hrani seznam vseh šifriranih datotek na "% USERPROFILE% \ Desktop \ Baza zašifr datotekelov.txt"

Dekriptor za odkupno programsko opremo Telecrypt, ki ga je ustvaril Malwarebytes, lahko dobite s te povezave v polju.