Von Black Basta verschlüsselte Dateien wiederherstellen
Zusammenfassung
Tobias Mueller analysiert den Black-Basta-Verschlüsseler und nutzt eine fehlerhafte Wiederverwendung des Schlüsselstroms, um Dateien per Known-Plaintext-Angriff wiederherzustellen. Ransomware kann starke Primitive durch fehlerhafte Anwendung selbst entwerten.
Ideen
- Der Verschlüsseler verwendete seinen Schlüsselstrom auf kryptografisch unsichere Weise wieder.
- Bekannte Klartextbereiche liefern Informationen zur Rekonstruktion anderer Dateibereiche.
- Dateiformate und vorhandene Originalfragmente schaffen verwertbare Klartextannahmen.
- Veröffentlichte Werkzeuge automatisieren die Wiederherstellung ohne Erpresserschlüssel.
Einsichten
- Datenrettung profitiert von Dateiformatwissen, Reverse Engineering und Kryptografie gemeinsam.
Empfehlungen
- Arbeite ausschließlich auf Kopien verschlüsselter Datenträger.
- Bewahre verschlüsselte Dateien auch dann auf, wenn zunächst kein Werkzeug verfügbar ist.
Referenzen
Links zur Originalquelle und zum Webarchiv öffnen einen neuen Tab.