只要沒有重開機就有機會 WannaCry解密 工具 WannaKiki 釋出(支援Win7/XP/Vista/2008)

好的,稍早之前,我們曾經報導過「支援Windows XP的勒索病毒 Wannacry解密 工具 但是有使用條件限制」,裡面提到了,勒索病毒 WannaCry 在加密的過程中,會遺留加密金鑰在記憶體中,就有資安人員找到了從記憶體中挖掘金鑰的方式,進而找到製作 WannaCry解密 工具的方式,但是當時他推出的程式僅支援 Win XP,不過隨即就有其他高手以此為概念,製作了大多數 Windows 版本可用的WannaCry解密 工具- WannaKiki 。

WannaCry解密 WannaKiki

WannaCry解密 工具 WannaKiki 問世

法國廠商 Quarkslab 研究人員 Adrien Guinet 發現,Wannacry 使用 兩組質數來產生金鑰,接著讓Windows 的 API 此用金鑰來進行 RSA 加密,但是在產生金鑰的過程中,Wannacry 會將用來產生金鑰的「質數」留存在電腦的記憶體中,所以他透過從記憶體中挖掘這個金鑰的質數,進而反推取得解密用的金鑰。不過由於每個版本的作業系統對於記憶體的控管並不相同,所以他的方法僅限於在 Windows XP 上使用,而且你的電腦還不能重開機。

Wannacry解密

 

什麼是質數?其實就是我們以前數學學過的,它的特色就是不能被因式分解,而且產生是沒有一定的規則,現行通常都是把質數拿來當作產新金鑰的元素(或是拿質數直接當作金鑰,看作者高興。)如果我們把加密的方式當作是一種數學公式的話,當你的電腦在運算加密過程的時候,其實也就是把檔案/訊息丟入加密的公式中,搭配「質數」產生出來的金鑰,來計算出一個亂數的結果,接著要解密時,就是把這個亂數跟金鑰丟入加密的公式中,反推回尚未加密的檔案/訊息。

 

簡單來說,只要取得「質數」,知道產生金鑰的方式,還有加密的方式,就可以把被加密的東西還原。而當 Adrien Guinet 發現這個方法後,就有世界各地的高手們接手研究,把他提出來的概念做得更加完善,並且是用於許多版本的 Windows 作業系統中。目前的成果就是今天要介紹的 WannaKiki。

WannaKiki 的運作原理,就是找到勒索病毒 WannaCry 加密的過程中,遺留在電腦的記憶體中的「質數」,進而透過這個方式來產生解密金鑰。不過由於是要從電腦記憶體中撈取資料,所以要使用 WannaKiki 的話有以下兩個條件:

1.電腦不能重開機,因為重開機後,記憶體內所有的資料會被全部清除。

2.記憶體內的檔案不能被覆蓋,我們在電腦上每做一件事情,都會使用記憶體來進行資料的快取,所以記憶體內的資料很容易被新的檔案給覆蓋掉。

 

WannaKiki 目前已經確認在 Windows 7、Windows XP、Windows Vista,Windows Server 2003 和 2008 上可以正常使用。使用者要使用的話,可以從 Github 上下載他製作好的 WannaKiki 壓縮包,解壓縮後執行裡面的「wanakiwi.exe」,接著你會看到一個 DOS 視窗,它就會自動開使搜尋你記憶體內的質數。如果有找到的話,WannaKiki 就會幫你進行解密的動作。

2017-05-19 19_54_16-電影與電視
↑下載這兩個其中一個,然後解壓縮後執行裡面的執行檔。

 

 

以上,希望被加密的人都可以用此方式來還原自己的檔案,如果你擔心你的電腦中獎的話,請閱讀這篇「趨勢科技推出WannaCry檢查漏洞工具 還不放心的請快點下載檢查吧」,來幫你的電腦檢查吧。

 

相關連結

WannaKiki下載網頁

您也許會喜歡:

【隱藏好康】4G吃到飽只要$288 還可以自由配!?