‘Door NotPetya versleutelde data kan in sommige gevallen worden ontsleuteld’
Het blijkt in sommige gevallen mogelijk te zijn data die is versleuteld door Petya/NotPetya te ontsleutelen. Dit kan echter alleen als de malware op het getroffen systeem beheerdersrechten had.
Dit meldt Positive Technologies in een blogpost. Het bedrijf meldt dat NotPetya zonder beheerdersrechten data van slachtoffers versleuteld met AES-encryptie, terwijl het besturingssysteem niet wordt aangetast. In dit geval is het alleen mogelijk de data te ontsleutelen met behulp van de private RSA-sleutel, die vooralsnog niet beschikbaar is.
Salsa20-algoritme
Indien NotPetya echter beheerdersrechten heeft weten te verkrijgen is het Salsa20-algoritme gebruikt om de volledige harde schijf van slachtoffers te versleutelen. De makers van NotPetya hebben volgens Positive Technologies echter fouten gemaakt bij de implementatie van dit algoritme. Door deze fouten is de harde schijf versleuteld met een 128-bit sleutel, in plaats van een 256-bit variant. Het kraken van een 128-bit sleutel is echter nog steeds zeer tijdrovend.
Door de wijze waarop het Salsa20-algoritme is geïmplementeerd is het echter mogelijk de harde schijf van getroffen systemen zonder sleutel te ontsleutelen. Salsa20 is een 'synchronous stream cipher' die voor het versleutelen van bestanden gebruik maakt van keystream. NotPetya blijkt bestanden die groter zijn dan 4MB in veel gevallen met dezelfde keystream-fragmenten te hebben versleuteld.
Keystream achterhalen
Deze keystream kan worden achterhaald aan de hand van bekende bestanden waarvan zeker is dat die kunnen worden teruggevonden op de versleutelde harde schijf. Zo wijst Positive Technologies erop dat een schone installatie van Windows 8.1 uit meer dan 200.000 bestanden bestaat, waarvan een flink deel terug te vinden zijn op de versleutelde harde schijf van slachtoffers. Aan de hand van deze Windows-bestanden is het volgens het bedrijf mogelijk de keystream te achterhalen, waardoor vervolgens de bestanden kunnen worden ontsleuteld.
Momenteel is er nog geen tool beschikbaar waarmee die proces kan worden geautomatiseerd. Positive Technologies verwacht dat datarecovery specialisten echter hiervoor tools zullen ontwikkelen.
Dossiers
Meer over
Lees ook
Geen backdoors aangetroffen in TrueCrypt tijdens audit
De encryptiesoftware TrueCrypt bevat geen achterdeuren, ook wel backdoors genoemd. De software is door het Open Crypto Audit Project voor de tweede maal onder de loep genomen. Ook tijdens deze tweede auditronde zijn geen backdoors aangetroffen. Wel zijn een aantal fouten gevonden die de veiligheid van de tool kunnen beïnvloeden. TrueCrypt is softw1
Check Point neemt Advanced Threat Protection-specialist Lacoon Mobile Security over
Check Point maakt bekend het beveiligingsbedrijf Lacoon Mobile Security over te nemen. Lacoon richt zich op Advanced Threat Protection. Een officieel overnamebedrag is door de partijen niet bekend gemaakt. Eerder gingen echter geruchten dat Check Point 80 miljoen dollar zou over hebben voor Lacoon. Door de overname krijgt Check Point een oplossing1
BIOS-malware kan 80% van alle PC’s besmetten
Nagenoeg alle PC’s blijken vatbaar te zijn voor malware door kwetsbaarheden in het BIOS. Beveiligingsonderzoekers hebben een proof-of-concept ontwikkeld van malware waarmee zij claimen 80% van alle PC’s wereldwijd te kunnen infecteren. De malware is actief op BIOS-niveau. De software kan daardoor iedere machine besmette, ongeacht het besturingssys1