Petya kann entschlüsselt werden

Daten, die bei dem Hackerangriffen mit der Malware Petya/NotPetya verschlüsselt wurden, können sich unter Umständen wieder entschlüsseln lassen. Das Sicherheitsunternehmen Positive Technologies meldet,  dass in einigen Fällen Dateien fehlerhaft verschlüsselt wurden. Dadurch ist eine Entschlüsselung ohne einen von den Angreifern bereitgestellten Schlüssel möglich.

Der Schädling Petya/NotPetya verwendet zwei Verschlüsselungsverfahren. Wenn die Malware nicht in der Lage ist, Administratorrechte zu bekommen, dann wurden die Dateien mit dem Salsa20-Algorithmus verschlüsselt. Ein Fehler bei der Implementierung führte jedoch dazu, dass nur die Hälfte der Verschlüsselungsbytes benutzt wurde. Dadurch wird das Knacken der Verschlüsselung vereinfacht.

Die Hacker haben weitere Fehler gemacht, weshalb schließlich der Schlüssel gefunden werden kann, wie der Sicherheitsanbieter Check Point bereits vor etwa einem Jahr feststellte. “Viele verschiedene Teile von Daten sind mit demselben Schlüsselfragmenten verschlüsselt”, kommentiert Dmitry Sklyarov, Head of Reverse Engineering bei Positive Technologies in einem Blog. “Diese Tatsache erlaubt die Implementierung eines einfachen Angriffs basierend auf bekanntem Klartext.”

Entschlüsselungsmethode nur für versierte Nutzer geeignet

Diese Methode sollte jedoch nur von technisch versierten Nutzern angewendet werden. Es sollte jedoch möglich sein, Tools zu entwickeln, die das Verfahren automatisierten glaubt der Sicherheitsexperte. “Wir können davon ausgehen, dass professionelle Anbieter in der Lage sein werden, mehr Daten wiederzustellen, als das bisher der Fall war.” Bei wie vielen Betroffenen der Salsa20-Algorithmus zum Einsatz gekommen sei, lasse sich nicht einschätzen, so Sklyarov weiter.

Petya/NotPetya ist je nach Sichtweise eine Variante der schon länger bekannten Ransomware Petya. Für sie sowie die Erpressersoftware GoldenEye und Mischa ist seit rund einer Woche ein Master-Schlüssel verfügbar. Er lässt sich jedoch nicht für Dateien benutzen, die mit Petya/NotPetya verschlüsselt wurden.

Der Nutzer “Janus”, der per Twitter die Master-Schlüssel veröffentlicht hat, behauptet zudem, dass die Verwendung eines nur 128 Bit langen Schlüssels für den Salsa20-Algorithmus kein Fehler sei. Unklar ist, in welcher Verbindung er zu den Hintermännern der Petya/NotPetya-Kampagne steht. Ältere Tweets von ihm legen die Vermutung nahe, dass er zumindest die Aktivitäten der ursprünglichen Petya-Ransomware seit rund einem Jahr verfolgt.

[mit Material von Stefan Beiersmann, ZDNet.de]

Tipp: Kennen Sie die berühmtesten Hacker? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.