‘Door NotPetya gegijzelde data kan worden ontsleuteld’
Het blijkt in sommige gevallen mogelijk te zijn data die is versleuteld door Petya/NotPetya te ontsleutelen. Dit kan echter alleen als de malware op het getroffen systeem beheerdersrechten had.
Dit meldt Positive Technologies in een blogpost. Het bedrijf meldt dat NotPetya zonder beheerdersrechten data van slachtoffers versleuteld met AES-encryptie, terwijl het besturingssysteem niet wordt aangetast. In dit geval is het alleen mogelijk de data te ontsleutelen met behulp van de private RSA-sleutel, die vooralsnog niet beschikbaar is.
Salsa20-algoritme
Indien NotPetya echter beheerdersrechten heeft weten te verkrijgen is het Salsa20-algoritme gebruikt om de volledige harde schijf van slachtoffers te versleutelen. De makers van NotPetya hebben volgens Positive Technologies echter fouten gemaakt bij de implementatie van dit algoritme. Door deze fouten is de harde schijf versleuteld met een 128-bit sleutel, in plaats van een 256-bit variant. Het kraken van een 128-bit sleutel is echter nog steeds zeer tijdrovend.
Door de wijze waarop het Salsa20-algoritme is geïmplementeerd is het echter mogelijk de harde schijf van getroffen systemen zonder sleutel te ontsleutelen. Salsa20 is een 'synchronous stream cipher' die voor het versleutelen van bestanden gebruik maakt van keystream. NotPetya blijkt bestanden die groter zijn dan 4MB in veel gevallen met dezelfde keystream-fragmenten te hebben versleuteld.
Keystream achterhalen
Deze keystream kan worden achterhaald aan de hand van bekende bestanden waarvan zeker is dat die kunnen worden teruggevonden op de versleutelde harde schijf. Zo wijst Positive Technologies erop dat een schone installatie van Windows 8.1 uit meer dan 200.000 bestanden bestaat, waarvan een flink deel terug te vinden zijn op de versleutelde harde schijf van slachtoffers. Aan de hand van deze Windows-bestanden is het volgens het bedrijf mogelijk de keystream te achterhalen, waardoor vervolgens de bestanden kunnen worden ontsleuteld.
Momenteel is er nog geen tool beschikbaar waarmee die proces kan worden geautomatiseerd. Positive Technologies verwacht dat datarecovery specialisten echter hiervoor tools zullen ontwikkelen.
Meer over
Lees ook
Chrome waarschuwt gebruikers voor ongemerkte gewijzigde instellingen
Google voegt een nieuwe functie toe aan de webbrowser Google Chrome. De functie waarschuwt gebruikers automatisch zodra de instellingen van hun webbrowser zijn gewijzigd. Dit moet voorkomen dat cybercriminelen ongemerkt de browser kunnen aanpassen. Malware is in staat allerlei instellingen op een computer te waarschuwen, waaronder instellingen va1
Nieuwe malware slaat swipes op smartphones en tablets op
Het is mogelijk de swipes en bewegingen op het scherm van een smartphone op te slaan. Hierdoor is het bijvoorbeeld mogelijk te achterhalen welke activiteiten een gebruiker op zijn smartphone uitvoert, maar met welk patroon gebruikers hun Android-smartphone ontgrendelen. Neal Hindocha, een beveiligingsonderzoeker van Trustwave, heeft proof-of-conc1
NSA kon telefoons van Nederlandse leger en diplomaten afluisteren
De NSA is lange tijd in staat geweest NAVO-landen waaronder Nederland en ambassadeurs af te luisteren. Onder andere de Nederlandse overheid heeft namelijk gebruik gemaakt van Philips-telefoons die voorzien zijn van een encryptie. Deze encryptie is echter verzorgt door de Amerikaanse inlichtingendienst NSA en Britse geheime dienst GCHQ. Dit meldt1