El autor del ransomware Petya revela la clave maestra de descifrado.

El autor original del ransomware Petya, el cual se desconoce si es una persona o grupo conocido, únicamente que se oculta bajo el nombre de Janus Cibercrime Solutions, ha publicado la clave maestra que permitirá descifrar cualquier fichero que haya sido infectado por todas las versiones de este malware.

Este miércoles ha sido el día elegido para publicarla en un tweet junto con un enlace a un cifrado y archivo protegido con contraseña en Mega.nz.

"They're right in front of you and can open very large doors" https://t.co/kuCUMZ5ZWP @hasherezade @MalwareTechBlog 😉

- JANUS (@JanusSecretary) July 5, 2017

El investigador de seguridad de Malwarebytes, Hasherezade, rompió el archivo ayer y compartió su contenido:

Congratulations!
Here is our secp192k1 privkey:
38dd46801ce61883433048d6d8c6ab8be18654a2695b4723
We used ECIES (with AES-256-ECB) Scheme to encrypt the decryption password into the "Personal Code" which is BASE58 encoded.

Por su parte, Anton Ivanov, investigador de seguridad de Kaspersky Lab, probó y confirmó la validez de la clave maestra.

The published #Petya master key works for all versions including #GoldenEye pic.twitter.com/tTRLZ9kMnb

- Anton Ivanov (@antonivanovm) July 6, 2017

La clave puede descifrar todos los ransomware que sean parte de la familia Petya, excepto el NotPetya. La siguiente lista incluye las versiones que permiten su descifrado:

• La primera versión de ransomware Petya (flashes de una calavera verde sobre fondo negro durante la pantalla de arranque)
• La segunda versión la cual incluye el ransomware Mischa (flashes de una calavera blanca sobre fondo rojo durante la pantalla de arranque)
• La tercera versión de Petya, también conocida como GoldenEye ransomware (flashes de una calavera amarilla sobre fondo rojo durante la pantalla de arranque)

Aunque desafortunadamente, esta clave de descifrado no va a tener tanta utilidad como gran parte de la gente piensa ya que la mayoría de las campañas de Petya tuvieron lugar en 2016, y algunas han sido activadas este año.

Por tanto, la mayoría de los afectados ya han limpiado sus ordenadores o pagado su rescate -muy mal hecho- y la clave únicamente ayudará a las víctimas que clonaron su unidad de disco y guardaron una copia de los archivos cifrados.

Más información | CCN-CERT