ransomware

Jaff har været spredt på nettet siden maj måned. Det er ransomware, der krypterer offerets data og kræver en løsesum for at udlevere nøglen, der kan dekryptere data.

Sikkerhedsforskere fra Kaspersky har fundet en fejl i Jaffs programkode. Den gør det muligt at dekryptere data uden at betale løsesummen.

Krypterede filer kan kendes på, at deres filnavn ender på .jaff, .wlu eller .sVn.

Filerne kan gendannes med værktøjet Rakhni Decryptor, der også håndterer en række andre ransomwareformater.

Anbefaling

Ofre for Jaff bør afprøve det gratis værktøj.

Sikkerhedsfirmaet Kaspersky har fundet flere fejl i programkoden til WannaCry. Fejlene medfører, at filer ikke altid slettes fuldstændig.

I nogle tilfælde markeres filerne kun som slettede. Derfor er det muligt at gendanne dem med et værktøj til gendannelse af slettede filer.

Det gælder blandt andet, når filerne ikke ligger i en mappe, som WannaCry opfatter som vigtig. Vigtige mapper er fx Dokumenter og Skrivebord.

Anbefaling

Afprøv værktøjer til gendannelse af slettede filer, hvis I er ramt af WannaCry.

Sikkerhedsfirmaet Avast har udsendt værktøjet. AES_NI har været kendt siden december 2016.

Hvis man er ramt, er ens filer omdøbt til at ende på aes_ni, aes256 eller .aes_ni_0day.

Værktøjet kan hentes hos Avast.

Anbefaling

Ofre for AES_NI bør afprøve værktøjet.

Programmet, der kaldes XData, spredte sig i fredag tre gange hurtigere end WannaCry i Ukraine. Det vides ikke, hvordan programmet spredes.

XData bruger AES-kryptering (Advanced Encryption Standard) til at kode data på computeren, så man skal bruge en nøgle for at kunne læse dem. Filer omdøbes til at slutte på ~xdata~.

Anbefaling

Brug sikkerhedssoftware til at beskytte mod angreb fra skadelige programmer.

Flere sikkerhedsforskere står bag Wanakiwi. Det kan dekryptere filer, som WannaCry (WanaCrypt0r) har kodet.

Metoden kræver imidlertid, at krypteringsnøglerne befinder sig arbejdslageret. Det gør de typisk, indtil systemet genstartes.

Wanakiwi ser ud til at virke på Windows XP, Windows Server 2003, Windows Vista, Windows Server 2008 og 2008 R2, samt Windows 7.

Anbefaling

Ofre for WannaCry bør afprøve Wannakiwi, hvis de ikke har genstartet det ramte system.

Sikkerhedsfirmaet Rendition Infosec oplyser, at de har observeret WanaCrypt0r-varianten. I den del af koden, hvor der tidligere stod et domæne, som ormen skulle forsøge at forbinde sig til, står der nu kun nuller.

Den oprindelige udgave af WanaCrypt0r brugte domænet som nødstop: Hvis domænet blev oprettet, så opkald til det blev besvaret, holdt ormen op med at køre.

Da nødstoppet nu er fjernet, er det ikke muligt at standse den nye version ved at oprette domænet.

WanaCrypt0r, der også er kendt som Wannacry, spredte sig aggressivt i bededagsferien. Ormen udnytter en sårbarhed i SMB (Server Message Block) i Windows til at inficere ofrene med ransomware.

Den første version blev standset, fordi en sikkerhedsforsker registrerede et domæne, som ormen prøver at forbinde sig til. Det viste sig at fungere som en nødstopfunktion, der standsede ormeprogrammet.

Ifølge sikkerhedsfirmaet Avast har WanaCrypt0r ramt over 75.000 computere i 99 lande. Programmet krypterer filer på computeren og kræver løsesum for den nøgle, der kan dekryptere dem.

WanaCrypt0r spreder sig ved at udnytte et sikkerhedshul i Windows' behandling af SMB-protokollen (Server Message Block), der bruges til fil- og printerdeling. Microsoft lukkede hullet i marts for de versioner af Windows, firmaet fortsat understøtter.

Cerber havde en markedsandel på 70 procent i januar. Den steg til 87 procent i marts.

Tallene bygger på statistikker over de trusler, firmaets produkter har blokeret hos kunderne.

Locky, der tidligere var et meget udbredt ransomwareprogram, gik fra januar til marts fra 13 procent til under to procent.

Tallene tyder på en konsolidering, hvor Cerber er næsten enerådende blandt ransomware-programmer.

Sikkerhedsfirmaet Kaspersky har opdateret værktøjet RakhniDecryptor, så det kan fjerne den kryptering, som Dharma anvender. Det blev muligt, efter at en ukendt person offentliggjorde de nøgler, programmet bruger til sin kryptering.

Ofre for Dharma kan genkende truslen på, at deres filer omdøbes til at ende på ".dharma".

Truslen har været kendt siden november. Dharma menes at bygge på samme kode som Crysis.

Anbefaling

Ofre for ransomware kan afprøve værktøjerne på NoMoreRansom.org.