Ya es posible descifrar los discos secuestrados por PETYA

Los ransomware son un tipo de software malicioso que en cripta nuestras discos duros y nos obliga a pagar un rescate si queremos recuperarlos.

Cada cierto tiempo salen nuevas variantes de ransomwares conocidos, con características únicas a los demás. Uno de los últimos ransomware, PETYA, del que ya he hablado en otra entrada, en vez de cifrar el disco duro al completo se centra en cifrar el MBR del disco, bloqueando por completo el acceso al disco hasta que paguemos por su rescate.

Por suerte, ninguno de los virus que existen actualmente son perfectos y siempre se encuentran fallos de seguridad. Un grupo de investigadores de seguridad ha descubierto un fallo en PETYA que nos permite recuperar los archivos bloqueados sin tener que pagar un rescate por ellos.

Lo primero que debemos hacer es coger el disco infectado y conectarlo a otro pc para poder trabajar sobre el. Una vez echo esto deberemos extraer del disco dos archivos:

• 512 bytes de verificación de datos del sector 55 (0x37) offset 0(0x0), convertido en base64.
• 8 bytes del sector 54 (0x36) offset 33(0x21) del disco, también convertido a base 64.

Podemos extraer estos archivos fácilmente con la herramienta "Petya Sector Extractor", la cual nos hará el trabajo de extraer esos ficheros codificados en base64, ideal para los mas novatos.

Una vez tengamos los archivos, deberemos acceder a la siguiente pagina web y pegamos el contenido de los datos previamente extraídos (para ver el contenido simplemente debemos abrirlos con un editor de texto como el Bloc de notas o Sublime Text) y pulsamos sobre el botón “submit”.

La web tardara menos de  un minuto en mostrarnos la clave necesaria para desbloquear nuestro disco, como se muestra en la imagen de abajo.

Ahora lo único que nos queda en volver a conectar el disco al ordenador de origen y cuando nos muestra la pantalla del ransomware, solamente introduciremos la clave generada antes para que comience a descifrarse el disco sin haber pagado un duro.

Petya Sector Extractor Descarga

Pagina web generadora de clave

 NOTA: Parece que ahora mismo la pagina no funciona, seguramente mas trade vuleva a funcionar.