Обнародован способ восстановления данных, зашифрованных Petya

Компания Positive Technologies представила метод восстановления данных, зашифрованных вирусом NotPetya (также известный как Petya, Petya.A, ExPetr и др.). Он применим, если вирус имел административные привилегии и зашифровал диск целиком. Компании и независимые разработчики, специализирующиеся на восстановлении данных, могут свободно использовать и автоматизировать представленный сценарий расшифровки.

Возможность восстановления данных связана с ошибками в реализации алгоритма шифрования Salsa20, допущенными самими злоумышленниками. Работоспособность метода проверена как на тестовом носителе, так и на зашифрованом жестком диске одной из жертв эпидемии.

«Восстановление данных с жесткого диска по этой методике требует применения эвристики и может занимать несколько часов, – рассказывает Дмитрий Скляров, руководитель отдела анализа приложений Positive Technologies. – Степень восстановления зависит от многих факторов (от размера диска, степени его заполнения и фрагментации) и может достигать 100% для дисков большого объема, содержащих много «публичных» файлов (компонентов операционной системы и программных продуктов, одинаковых на многих машинах)».