how to repair.txt, ficheros cifrados con RSA y extension .done, imposibles de descrifrar
Me llega el siguiente email solicitando ayuda sobre un tema ya tratado en el blog:
Buenos días,
He visto tu blog en el que ofreces una solución para ficheros infectados con virus de la policía ransonware con locked y me ha parecido muy interesante.
Tengo recuperar unos ficheros infectados (pfd, doc, jpg, xls) encriptados y con la extensión .done, como el adjunto.
Me ha llegado también el adjunto «how to repair» en el que el hacker ofrece sus servicios.
Espero puedas decirme si la solución que ofreces en tu blog es valida para este caso o si tienes alguna otra.Gracias.
Un cordial saludo.
El compañero se refiere a esta entrada en donde se indica como desencriptar los ficheros con -locked
El txt adjunto contiene el siguiente texto:
If you reading this,it means your`s important files(photos,videos, documents,archives,bases, backups, etc.) are locked with military cifer.
Nobody can help you restore files without our decoder.
If you want recover files,
send e-mail to the repairmyfile@tormail.org WITH «how to repair.txt» and 1-2 encrypted files less than 1MB . After checking you will receive the decrypted files and our conditions how you’ll get the decoder . Follow the instructions to transfer payment.====================
1C20864DF3054BD59ADB52DE831873CEF3177C59C83E5CDB97962F5FA178E88A
953715B24C388916C42D7975C40A45B4AE78FA685EAFE1D201F9A6DF9F0A3331
B0A1352CC555D3DD06FC4B99E980507E7396040A1AA864486BB8DCB6B0F3CDB6
3FB11886D24FED7B88D1F530275123259A4BAEDFC23B0C3A49E4B33E32C80A1E
15757E7F749030D83800F0E058C85050D830D8D8906010387028C0201838F838
====================
Bueno, interesante, el fichero adjunto.xls.done, que me envian en el correo, se puede eliminar la extension .done, y te queda un .xls a medias de cifrar, veamos que sacamos en claro.
Empiezo la busqueda por Google, en principio es una variante del famoso RANSONWARE (virus de la policia), que nos deja algunos ficheros, no todos, encriptados con la extension .done al final, en cada carpeta donde exista un fichero .done, tenemos el how to repair.txt, tambien ha aparecido en escritorio, con las instrucciones para desencriptar los ficheros.
Lo primero que me encuentro son malas noticias, en forospyware me encuentro con la siguiente nota de los administradores sobre el tema a fecha 22.02.2013 ->
Originalmente publicado por ElPiedra
Hola a todos,
Es muy importante que consideren que el pago del rescate no garantiza que obtendrá nada a cambio, nadie le dará la seguridad de que una vez pagado, los archivos se descifran, aunque son varios los que reportaron que pagaron para obtener nuevamente sus archivos con éxito.
Lamentablemente todas las muestras que analizamos de este Ransom.DONE, se encripta los archivos con RSA, un algoritmo prácticamente imposible de crakear…
Debido a la forma en que los archivos están cifrados, la decodificación de los archivos sin contar con la clave de descifrado no es posible, la clave de descifrado se almacena en un servidor remoto, no en el equipo infectado.
En otras palabras, a diferencia de otras variantes similares como el Ransom.Block la cual si se pueden desencriptar los archivos si se cuenta con los archivos clave…
En este caso al ser con RSA y tener la clave en un servidor remoto de los ciberdelincuentes, es imposible recuperar los archivos .done
La recomendación como siempre es la prevención y tal vez dentro de lo más importante de esta es realizar copias de seguridad (backups) de forma periódica y en unidades externas para que no se vean afectadas en caso de una infección y de donde se pueda volver a disponer de toda la data nuevamente.
Parece que el asunto no es ninguna broma, y si leemos por foros especializados sobre el tema, vemos que hay gente que ha pagado la cantidad indicada para que se le enviara la herramienta para desencriptar los ficheros.
Hasta el momento, no existe herramienta, ni software, ni metodo para recuperar archivos encriptados con la extension *.done.
