Po niedawnym aresztowaniu Tomasza T., podejrzanego o ponad 180 przestępstw związanych z rozsyłaniem złośliwego oprogramowania, i przy okazji konfiskatą sprzętu komputerowego wykorzystywanego przez „Thomasa” (Thomas, Armaged0n, The.xAx, 2Pac Team), pojawiła się nadzieja, że przynajmniej w niektórych przypadków (tm.in. am gdzie „magik” nie dał ciała, i przez błędy w konfiguracji wykorzystywanych „gotowców” sam nie pozbawił się takich możliwości – kluczy deszyfrujących) uda się przygotować narzędzia, pozwalające odszyfrować dane. I tak faktycznie się dzieje…

Narzędzie do odzyskiwania klucza szyfrującego ransomwar’e Vortex

We wspomnianym oświadczeniu prokuratury, dotyczącym zatrzymania Tomasza T. znajdziemy m.in. informację, że poszkodowani mogą zgłaszać się do prokuratury, w celu uzyskania kluczy pozwalających na odszyfrowanie plików:

Jednocześnie Prokuratura Okręgowa w Warszawie informuje, iż osoby pokrzywdzone we wskazanych kampaniach powinny się zgłaszać do właściwych, z uwagi na miejsce zamieszkania jednostek policji i składać zawiadomienia o przestępstwie, podając dane kampanii, adres IP oraz ID komputera oraz zaszyfrowanych plików. Powyższe umożliwi przekazanie pokrzywdzonym kluczy do zaszyfrowanych plików.

I tak na stronie CERT pojawił się artykuł o tym, że zostało przygotowane narzędzie, pozwalające odszyfrować dane zaszyfrowane przez ransomware Vortex (Flotera, Polski Ramsomware):

Pod adresem https://nomoreransom.cert.pl/vortex udostępniamy Państwu narzędzie, które może pomóc odzyskać klucz szyfrujący ransomware’u Vortex (znanego także jako Flotera lub Polski Ransomware). Narzędzie jest skuteczne w odniesieniu do części kampanii obserwowanych w 2017 i 2018 roku.

(…)

Stworzenie narzędzia było możliwe dzięki działaniom Biura do Walki z Cyberprzestępczością Komendy Głównej Policji oraz Prokuratury Okręgowej w Warszawie, która doprowadziła do skutecznego zatrzymania aktora posługującego się w swoich kampaniach spamowych ransomwarem Vortex. W toku trwających jeszcze czynności zabezpieczających udało ustalić się zestaw kluczy, które użyte były do zaszyfrowania plików ofiar.

(…)

Zaznaczamy, że na tę chwilę narzędzie nie posiada pełnego zestawu kluczy użytych przy każdej z kampanii. Dlatego też, jeżeli nie jesteśmy w stanie pomóc na tę chwilę, prosimy o sprawdzanie swoich plików co pewien czas, ponieważ wraz z postępem w śledztwie będziemy uzupełniać narzędzie o nowe klucze.

Mam nadzieję, że dzięki temu przynajmniej część poszkodowanych odzyska swoje pliki. I, że na przyszłość będą trochę bardziej roztropni w swoich „internetowych działaniach” (warto też robić kopie zapasowe, najlepiej na zewnętrznych nośnikach, niepodpiętych na stałe do komputera ;-)).