Phần mềm tống tiền đầu tiên trên Linux được bẻ khóa

Hiện nay đã có một công cụ miễn phí có thể giải mã các tập tin bị nắm giữ bởi Linux.Encoder.1 để đòi tiền chuộc.

Quản trị viên của những máy chủ Web bị nhiễm phần mềm tống tiền (ransomware) mới được phát tán trên Linux là những người may mắn: Vì hiện nay đã có một công cụ miễn phí có thể giải mã các tập tin của họ.
Công cụ này đã được xây dựng bởi các chuyên gia nghiên cứu phần mềm độc hại từ công ty phòng chống virus Bitdefender, những người đã tìm thấy một lỗ hổng lớn trong cách mã hóa của phần mềm tống tiền Linux.Encoder.1
Phần mềm ransomware này khiến các tập tin không thể đọc được bằng thuật toán AES (Advanced Encryption Standard), đây là thuật toán sử dụng cùng một khóa cho cả việc mã hóa và giải mã. Sau đó khoá AES cũng được mã hóa bằng thuật toán RSA, một thuật toán mã hóa bất đối xứng.
Thuật toán RSA sử dụng một cặp khóa công khai và khóa riêng tư thay vì một khóa đơn. Khóa công khai được sử dụng để mã hóa dữ liệu và khóa riêng tư được sử dụng để giải mã. Trong trường hợp của Linux.Encoder.1, cặp khóa RSA được tạo ra trên máy chủ của tin tặc, chỉ khóa công khai được gửi đến hệ thống bị lây nhiễm và được sử dụng để mã hóa khóa AES.
Nếu được thực hiện đúng cách, quy trình này sẽ khiến các tập tin không thể giải mã được nếu không có khóa riêng tư RSA được giữ lại bởi tin tặc. Tuy nhiên, các chuyên gia từ Bitdefender đã phát hiện ra rằng khi sinh ra khóa AES, phần mềm độc hại sử dụng một nguồn dữ liệu ngẫu nhiên nghèo nàn — tính theo thời gian và ngày tháng thực hiện việc mã hóa.
Dấu thời gian này dễ dàng được xác định bằng cách nhìn vào thời điểm các tập tin khoá AES được tạo ra trên ổ đĩa. Do đó, các chuyên gia có thể đảo ngược quy trình và phục hồi các khóa AES mà không cần giải mã chúng, khiến các khóa RSA trở nên vô nghĩa.
Công cụ được xây dựng và phát hành bởi Bitdefender là một script được viết bằng Python, nó xác định các vectơ khởi tạo và các khóa mã hóa AES bằng cách phân tích các tập tin bị mã hóa bởi phần mềm ransomware. Sau đó, công cụ này giải mã các tập tin và điều chỉnh quyền hạn của chúng trên hệ thống.
“Nếu bạn có thể khởi động hệ điều hành bị lây nhiễm, hãy tải về và thực thi script dưới quyền người dùng root,” các chuyên gia từ Bitdefender cho biết trong một bài đăng trên blog hướng dẫn chi tiết về cách sử dụng công cụ này.
Đây không phải là lần đầu tiên các tác giả phần mềm ransomware đã sai sót trong việc thực hiện các thuật toán mã hóa, cho phép các chuyên gia có thể phục hồi những tập tin bị ảnh hưởng. Tuy nhiên, dựa trên sự cố vừa qua, khi những lỗi này được biết đến nhiều hơn, các tác giả sẽ khắc phục trong các phiên bản mới của phần mềm độc hại.
Chúng ta sẽ sớm thấy một biến thể mới của Linux.Encoder mà không mắc phải sai lầm tương tự, hoặc những phần mềm ransomware hoàn toàn mới nhắm đến các hệ thống Linux. Mac OS X cũng sẽ không miễn dịch với mối đe dọa này, theo như một chuyên gia an ninh đã chứng minh được gần đây