Monday, September 4, 2017
Errores de Wannacry que pueden ayudar a recuperar archivos después de la infección
Errores de Wannacry que pueden ayudar a recuperar archivos después de la infección
A veces los desarrolladores de ransomware cometen errores de programaci�n. Estos errores pueden ayudar a las v�ctimas a recuperar el acceso a sus archivos originales despu�s de una infecci�n (por supuesto, nos referimos sin necesidad de pagar). Uno de los mejores ejemplos, lo ten�is en un art�culo de Kapersky del pasado 1 de junio en el que publicaban una breve descripci�n de varios errores en el desarrollo de, casi con total seguridad, el ransomware m�s famoso hasta la fecha: Wannacry.
Errores en la l�gica del borrado de archivos
Cuando Wannacry cifra los archivos de su v�ctima, lee desde el archivo original, cifra el contenido y lo guarda en el archivo con la extensi�n ".WNCRYT". Despu�s del cidfrado mueve ".WNCRYT" a ".WNCRY" y elimina el archivo original. Esta l�gica de borrado puede variar dependiendo de la ubicaci�n y las propiedades de los archivos de la v�ctima.
Archivos que se encuentran en la unidad del sistema:
Si el archivo se encuentra en una carpeta "importante" (desde el punto de vista de los desarrolladores de programas maliciosos, por ejemplo, Escritorio y Documentos), el archivo original se sobrescribir� con datos aleatorios antes de su eliminaci�n. En este caso, por desgracia, no hay forma de restaurar el contenido del archivo original.
Si el archivo se almacena fuera de carpetas "importantes", el archivo original se mover� a %TEMP%%d.WNCRYT (donde %d es un valor num�rico). Estos archivos contienen los datos originales y no se sobrescriben, simplemente se eliminan del disco, lo que significa que existen muchas posibilidades de que se puedan restaurar con alg�n software de recuperaci�n de datos. En el ej. Recuva:
Archivos que se encuentran en otras unidades (que no son del sistema):
El ransomware crea la carpeta "$RECYCLE" y establece los atributos oculto y de sistema en esa carpeta. Esto hace que esta carpeta sea invisible para el Explorador de archivos de Windows si tiene la configuraci�n predeterminada. El malware mueve los archivos originales a este directorio despu�s del cifrado.
Sin embargo, debido a errores de sincronizaci�n en el c�digo del ransomware, en muchos casos los archivos originales permanecen en el mismo directorio y no se mueven a $RECYCLE.
Los archivos originales se eliminan de forma no segura, por lo que vuelve a ser posible restaurar los archivos eliminados utilizando software de recuperaci�n de datos.
Error de procesamiento de archivos de s�lo lectura
Al analizar WannaCry, tambi�n descubrieron que este ransomware tiene un error en su procesamiento de archivos de s�lo lectura. Si hay archivos de este tipo en la m�quina infectada, el ransomware no los cifrar�. S�lo crear� una copia cifrada de cada archivo original, mientras que los archivos originales s�lo obtendr�n el atributo "oculto". Cuando esto sucede, es f�cil encontrarlos y restaurar sus atributos normales.
Conclusiones
Seg�n Kapersky, est� claro que los desarrolladores de este ransomware han cometido muchos errores y, como se�alan, la calidad del c�digo es muy baja.
La conclusi�n es que si has sido infectado con WanaCry hay muchas posibilidades de restaurar una gran cantidad de los archivos en el ordenador afectado. Para ello, se pueden utilizar utilidades gratuitas disponibles para la recuperaci�n de archivos.
Errores en la l�gica del borrado de archivos
Cuando Wannacry cifra los archivos de su v�ctima, lee desde el archivo original, cifra el contenido y lo guarda en el archivo con la extensi�n ".WNCRYT". Despu�s del cidfrado mueve ".WNCRYT" a ".WNCRY" y elimina el archivo original. Esta l�gica de borrado puede variar dependiendo de la ubicaci�n y las propiedades de los archivos de la v�ctima.
Archivos que se encuentran en la unidad del sistema:
Si el archivo se encuentra en una carpeta "importante" (desde el punto de vista de los desarrolladores de programas maliciosos, por ejemplo, Escritorio y Documentos), el archivo original se sobrescribir� con datos aleatorios antes de su eliminaci�n. En este caso, por desgracia, no hay forma de restaurar el contenido del archivo original.
Si el archivo se almacena fuera de carpetas "importantes", el archivo original se mover� a %TEMP%%d.WNCRYT (donde %d es un valor num�rico). Estos archivos contienen los datos originales y no se sobrescriben, simplemente se eliminan del disco, lo que significa que existen muchas posibilidades de que se puedan restaurar con alg�n software de recuperaci�n de datos. En el ej. Recuva:
Archivos que se encuentran en otras unidades (que no son del sistema):
El ransomware crea la carpeta "$RECYCLE" y establece los atributos oculto y de sistema en esa carpeta. Esto hace que esta carpeta sea invisible para el Explorador de archivos de Windows si tiene la configuraci�n predeterminada. El malware mueve los archivos originales a este directorio despu�s del cifrado.
Sin embargo, debido a errores de sincronizaci�n en el c�digo del ransomware, en muchos casos los archivos originales permanecen en el mismo directorio y no se mueven a $RECYCLE.
Los archivos originales se eliminan de forma no segura, por lo que vuelve a ser posible restaurar los archivos eliminados utilizando software de recuperaci�n de datos.
Error de procesamiento de archivos de s�lo lectura
Al analizar WannaCry, tambi�n descubrieron que este ransomware tiene un error en su procesamiento de archivos de s�lo lectura. Si hay archivos de este tipo en la m�quina infectada, el ransomware no los cifrar�. S�lo crear� una copia cifrada de cada archivo original, mientras que los archivos originales s�lo obtendr�n el atributo "oculto". Cuando esto sucede, es f�cil encontrarlos y restaurar sus atributos normales.
Conclusiones
Seg�n Kapersky, est� claro que los desarrolladores de este ransomware han cometido muchos errores y, como se�alan, la calidad del c�digo es muy baja.
La conclusi�n es que si has sido infectado con WanaCry hay muchas posibilidades de restaurar una gran cantidad de los archivos en el ordenador afectado. Para ello, se pueden utilizar utilidades gratuitas disponibles para la recuperaci�n de archivos.
download file now
