NotPetya-bagmænd havde aldrig en chance for at dekryptere data: ID-kode er helt tilfældig
Som ransomware var NotPetya helt fra fødslen ubrugeligt. Bagmændene havde aldrig mulighed for at genskabe ofrenes data, selvom ofrene betalte. Det er både sikkerhedseksperter fra Kaspersky og Comae nået frem til i deres analyser af den malware, som ramte blandt andet den danske shipping-gigant Mærsk.
Princippet i ransomware er, at brugerens filer bliver krypteret, og derefter får brugeren tilbudt at kunne betale op til et par tusinde kroner, typisk via en bitcoin-overførsel, for at få udleveret en krypteringsnøgle, som kan dekryptere filerne.
Motivet for bagmændene er, at løsesummen ofte er lav nok til, at ofrene hellere vil betale frem for at miste deres data.
Men i det seneste opsigtsvækkende angreb var det aldrig muligt for bagmændene at genskabe brugernes data. Dermed var der reelt ikke tale om ransomware, men snarere om et stykke malware, som brugte kryptering til at destruere data.
Ifølge Kaspersky var der nemlig ingen sammenhæng mellem selve krypteringen og den besked, der blev vist på offerets skærm. Efter krypteringen blev den inficerede Windows-pc genstartet, og der blev vist en besked, hvor der blandt andet var et identifikationsnummer, som skulle oplyses for at få udleveret nøglen. Dette ID skulle sendes til en e-mailadresse.
Bagmænd forhindret i nøgleudlevering
Mailadressen hos mailtjenesten Posteo blev lukket ned, og dermed var kommunikationen mellem ofre og bagmænd afbrudt, men selv hvis det ikke var sket, så var det ikke muligt for bagmændene at udlevere den korrekte nøgle.
Det ID, som vises på skærmen, er nemlig blot en tilfældig tekststreng, som genereres uafhængigt af krypteringsnøglen. Og da den er helt tilfældig, indeholder den ingen information, som gør bagmændene i stand til at udlevere en nøgle, der kan dekryptere lige netop det pågældende system.
Selve krypteringen foregår ved, at der først genereres en unik AES-128 nøgle, som bruges til at kryptere filerne. Denne nøgle krypteres derefter med en offentlig RSA-2048-nøgle, hvor bagmændene har den tilhørende private nøgle. Den krypterede nøgle gemmes i en README-fil på pc'en.
Men denne del af processen bruges ikke, når der bliver genereret et ID, som offeret skal sende til bagmændene. Derfor vil bagmændene ikke kunne bruge det ID, som offeret sender, til at returnere en dekrypteret nøgle.
Når filerne krypteres, så er det også den originale udgave af hver fil, som krypteres direkte via file mapping i stedet for at læse og skrive til filen. I eksempelvis WannaCry blev filen først kopieret, så krypteret og gemt med en ny filendelse, og derefter blev den originale slettet.
Ifølge Comea er der også et problem i den måde, hvorpå malwaren ændrer i bootsektoren (master boot record). De første bytes bliver blot overskrevet med NotPetyas egen bootloader. Den oprindelige bootsektor bliver aldrig læst af malwaren, og den bliver heller ikke gemt nogen steder.
Så selv hvis man skulle få udleveret en nøgle til dekryptering, så kan NotPetya alligevel ikke gendanne Windows-systemet. Man vil være nødt til at geninstallere Windows.
Reelt et cybervåben
Det interessante er her, at malwaren på disse to punkter adskiller sig fra den oprindelige Petya-ransomware. I den oprindelige version foregik betaling og udlevering af krypteringsnøgler via Tor i stedet for e-mail, og den oprindelige Petya læste og gemte pc'ens bootsektor, så systemet kunne gendannes.
Derfor er konklusionen fra både Comea og Kaspersky, at malwaren, som de fleste kalder NotPetya, reelt er et cybervåben, som er skabt til at destruere data og sabotere systemer, men forklædt som ransomware.
Det er dog en konklusion, som forudsætter, at der er tale om en bevidst hensigt bag begge ændringer i forhold til den oprindelige ransomware, og ikke blot manglende kompetencer.
Der har tidligere været eksempler på ransomware, hvor nøglerne har været nemme at finde, fordi de lå gemt i programkoden, eller hvor nøglerne aldrig er blevet gemt korrekt, så det har været umuligt at gendanne de krypterede filer.
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
