Cómo recuperar ficheros afectados por WannaCry Telefónica WannaCry File Restorer
Si has sido afectado por el ransomware WannaCry y te ha cifrado documentos existen formas con las que puedes conseguir otra vez tus documentos sin cifrar. L�gicamente, lo ideal ser�a que tuvieras un backup desconectado o en la nube al que pudieras recurrir, as� como que los tuvieras protegidos por una soluci�n como Latch Antiransomware. Si no es as�, antes de seguir trabajando con tu equipo o formatear el disco, hay sitios en los que puedes buscar los ficheros.
Adem�s de los lugares donde se quedan copias autom�tica, como correos con adjuntos, Shadow Copies de Windows, pendrives en los que hubieras trabajado, recuperadores de ficheros eliminados al estilo Recuva o similares (no buscando solo los que hubiera borrado el malware sino tambi�n las copias borradas previamente no afectadas por el malware), existen algunos lugares menos conocidos que puedes mirar.
Las extensiones no cifradas de documentos ofim�ticos
Una de las cosas que m�s llama la atenci�n en WannaCry es la lista de extensiones que cifra. Bastante singular, como se puede ver:
Papeleras de reciclaje de carpetas sincronizadas en la nube
Es un comportamiento bastante peculiar, pero durante el fin de semana un compa�ero not� que los archivos de una carpeta cifrada estaban todos en la papelera de reciclaje de OneDrive. No es de extra�ar. Cuando se borra un fichero en local que est� cifrado, se elimina tambi�n en la nube, y all� muchos servicios tienen la papelera de reciclaje activada
Ficheros temporales de WannaCry
Las muestras del ransomware WannaCry que hemos analizado tienen dos formas identificadas de llevar a cabo el proceso de cifrado. En ambas formas utiliza una carpeta temporal para mover los archivos elegidos - por las extensiones - que el malware va a cifrar. Gracias a esto, se puede usar un peque�o truco para poder recuperar parte de los archivos afectados por el ransomware, usando sus archivos temporales. Hay un par de casos distintos, y tienes que ver cu�l es el tuyo.
En el primer caso, el malware identifica que el equipo tiene una partici�n de datos y utiliza la ruta %userprofile%appdatalocal emp para mover los archivos a cifrar. El primer archivo que se mueve, es renombrado como 0.WNCRYT, el segundo como 1.WNCRYT, y as� sucesivamente. Esos archivos, acabados en "WNCRYT" son los que va a cifrar, pero a�n no est�n cifrado. Es decir, son el fichero de extensi�n, por ejemplo, DOCX, que WannaCry selecciona para cifrar, copiado a esa carpeta pero a�n sin cifrar. Posteriormente, Wannacry ir� cifrando cada uno de esos archivos a [nombre].WNCRY e instantes despu�s, elimina el fichero *.WNCRYT correspondiente.
Como ya se ha dicho, el fichero almacenado en %userprofile%appdatalocal emp es un archivo temporal y no est� cifrado, solo se ha movido a esa ubicaci�n y renombrado, por lo que se puede recuperar su contenido. Hay que tener en cuenta, que el ransomware va intercalando mover archivos a la carpeta temporal y el cifrado de �stos. Por esta raz�n, es probable que no se pueda recuperar todos los archivos, pero s� un alto porcentaje de ellos.
En el segundo caso, WannaCry identifica que un equipo d�nde se est� ejecutando tiene dos particiones de datos, creando en la ra�z de la segunda partici�n una carpeta denominada $RECYCLE, que no se debe confundir con $RECYCLE.BIN. En esta carpeta $RECYCLE realiza el mismo proceso que en el caso anterior, en el que se van moviendo los archivos a dicha carpeta con el objeto de cifrarlos. Mientras el archivo se encuentre con la extensi�n WNCRYT no se ha perdido, por no estar cifrado. En el instante que WannaCry cifra el archivo WNCRYT y lo convierte en el archivo WNCRY ya est� cifrado.
Telef�nica WannaCry File Restorer
Estos archivos temporales con extensi�n WNCRYPT solo se pueden recuperar si el ransomware no ha terminado el proceso de cifrado de todos los archivos de ese lote. Es decir, si WannaCry no ha terminado el proceso de cifrado por un error, porque el equipo se ha hibernado o porque apagado o se ha detenido el proceso de WannaCry con alg�n antimalware en ese momento. Para poder saber qu� tipo de archivo es hay que ver los Magic Numbers y renombrar la extensi�n.
A continuaci�n, os mostramos un script llamado Telef�nica WannaCry File Restorer que hemos desarrollado en el laboratorio de ElevenPaths, en Telef�nica, con el objetivo de poder recuperar y restaurar los archivos y extensiones de los ficheros afectados.
En el siguiente v�deo puedes ver c�mo funciona este script PowerShell en acci�n, y para los que quieran algo m�s sencillo, vamos a sacar una aplicaci�n Windows para que sea mucho m�s sencillo para todo el mundo.
Saludos Malignos!
 |
| Figura 1: Telef�nica WannaCry File Restorer |
Adem�s de los lugares donde se quedan copias autom�tica, como correos con adjuntos, Shadow Copies de Windows, pendrives en los que hubieras trabajado, recuperadores de ficheros eliminados al estilo Recuva o similares (no buscando solo los que hubiera borrado el malware sino tambi�n las copias borradas previamente no afectadas por el malware), existen algunos lugares menos conocidos que puedes mirar.
Las extensiones no cifradas de documentos ofim�ticos
Una de las cosas que m�s llama la atenci�n en WannaCry es la lista de extensiones que cifra. Bastante singular, como se puede ver:
�.lay6 �.sqlite3 �.sqlitedb �.accdb �.java �.class �.mpeg �.djvu �.tiff �.backup �.vmdk �.sldm �.sldx �.potm �.potx �.ppam �.ppsx �.ppsm �.pptm �.xltm �.xltx �.xlsb �.xlsm �.dotx �.dotm �.docm �.docb �.jpeg �.onetoc2 �.vsdx �.pptx �.xlsx �.docxExcluidas est�n una cantidad buena de ficheros que tal vez tengas en tu equipo y deber�as buscar, porque tal vez tengas tu documento guardado en alguno de esos formatos. Los m�s singulares que no cifra WannaCry son:
- .doc � Legacy Word document.
- .dot � Legacy Word templates.
- .wbk - Legacy Word document backup.
- .xls � Legacy Excel worksheets.
- .xlt � Legacy Excel templates.
- .xlm � Legacy Excel macro.
- .ppt � Legacy PowerPoint presentation.
- .pps - Legacy PowerPoint presentation.
- .pot � Legacy PowerPoint template.
- .pps � Legacy PowerPoint slideshow.
- .pdf - Portable Document Format.
- .odt - Open Document Text.
- .ods - Open Document Spreadsheet.
- .odp - Open Document Presentation.
- .odg - Open Document Graphic.
- .sxw - Open Office Binario.
- .rtf - Rich Text Format.
- .tmp - PowerPoint Temporary PPT.
- .xar - Excel Temporary XLS.
- .asd - Word Temporary DOC.
Papeleras de reciclaje de carpetas sincronizadas en la nube
Es un comportamiento bastante peculiar, pero durante el fin de semana un compa�ero not� que los archivos de una carpeta cifrada estaban todos en la papelera de reciclaje de OneDrive. No es de extra�ar. Cuando se borra un fichero en local que est� cifrado, se elimina tambi�n en la nube, y all� muchos servicios tienen la papelera de reciclaje activada
Ficheros temporales de WannaCry
Las muestras del ransomware WannaCry que hemos analizado tienen dos formas identificadas de llevar a cabo el proceso de cifrado. En ambas formas utiliza una carpeta temporal para mover los archivos elegidos - por las extensiones - que el malware va a cifrar. Gracias a esto, se puede usar un peque�o truco para poder recuperar parte de los archivos afectados por el ransomware, usando sus archivos temporales. Hay un par de casos distintos, y tienes que ver cu�l es el tuyo.
 |
| Figura 2: Carpeta con ficheros temporales de WannaCry |
En el primer caso, el malware identifica que el equipo tiene una partici�n de datos y utiliza la ruta %userprofile%appdatalocal emp para mover los archivos a cifrar. El primer archivo que se mueve, es renombrado como 0.WNCRYT, el segundo como 1.WNCRYT, y as� sucesivamente. Esos archivos, acabados en "WNCRYT" son los que va a cifrar, pero a�n no est�n cifrado. Es decir, son el fichero de extensi�n, por ejemplo, DOCX, que WannaCry selecciona para cifrar, copiado a esa carpeta pero a�n sin cifrar. Posteriormente, Wannacry ir� cifrando cada uno de esos archivos a [nombre].WNCRY e instantes despu�s, elimina el fichero *.WNCRYT correspondiente.
 |
| Figura 3: El fichero WNCRYPT no est� cifrado |
Como ya se ha dicho, el fichero almacenado en %userprofile%appdatalocal emp es un archivo temporal y no est� cifrado, solo se ha movido a esa ubicaci�n y renombrado, por lo que se puede recuperar su contenido. Hay que tener en cuenta, que el ransomware va intercalando mover archivos a la carpeta temporal y el cifrado de �stos. Por esta raz�n, es probable que no se pueda recuperar todos los archivos, pero s� un alto porcentaje de ellos.
 |
| Figura 4: El fichero PDF est� intacto |
En el segundo caso, WannaCry identifica que un equipo d�nde se est� ejecutando tiene dos particiones de datos, creando en la ra�z de la segunda partici�n una carpeta denominada $RECYCLE, que no se debe confundir con $RECYCLE.BIN. En esta carpeta $RECYCLE realiza el mismo proceso que en el caso anterior, en el que se van moviendo los archivos a dicha carpeta con el objeto de cifrarlos. Mientras el archivo se encuentre con la extensi�n WNCRYT no se ha perdido, por no estar cifrado. En el instante que WannaCry cifra el archivo WNCRYT y lo convierte en el archivo WNCRY ya est� cifrado.
Telef�nica WannaCry File Restorer
Estos archivos temporales con extensi�n WNCRYPT solo se pueden recuperar si el ransomware no ha terminado el proceso de cifrado de todos los archivos de ese lote. Es decir, si WannaCry no ha terminado el proceso de cifrado por un error, porque el equipo se ha hibernado o porque apagado o se ha detenido el proceso de WannaCry con alg�n antimalware en ese momento. Para poder saber qu� tipo de archivo es hay que ver los Magic Numbers y renombrar la extensi�n.
 |
| Figura 5: Magic Numbers para identificar formato de ficheros |
A continuaci�n, os mostramos un script llamado Telef�nica WannaCry File Restorer que hemos desarrollado en el laboratorio de ElevenPaths, en Telef�nica, con el objetivo de poder recuperar y restaurar los archivos y extensiones de los ficheros afectados.
 |
| Figura 6: Telefonica WannaCry File Restorer |
En el siguiente v�deo puedes ver c�mo funciona este script PowerShell en acci�n, y para los que quieran algo m�s sencillo, vamos a sacar una aplicaci�n Windows para que sea mucho m�s sencillo para todo el mundo.
Figura 7: V�deo de funcionamiento de Telefonica WannaCry File Restorer
Saludos Malignos!
Sigue Un inform�tico en el lado del mal - Google+ RSS 0xWord
download file now