Une clé de déchiffrement disponible pour le ransomware Akira.
Une clé de déchiffrement disponible pour le ransomware Akira.
Avast a publié deux versions de son logiciel de déchiffrement appelé Akira. Une version est destinée aux architectures Windows 64 bits, tandis que l'autre est conçue pour les systèmes Windows 32 bits. Cette initiative vise à aider les victimes du ransomware Akira, qui a récemment fait des ravages dans différents secteurs tels que l'enseignement, la finance et l'immobilier. Ce ransomware, qui partage quelques similitudes avec le ransomware Conti v2, a entraîné des vols de données et des demandes de rançon allant de 200 000 $ à plusieurs millions de dollars.Selon Avast, le ransomware Akira se présente sous la forme d'un fichier binaire Windows 64 bits, écrit en langage de programmation C++ et utilisant principalement des bibliothèques C++. Il utilise également la bibliothèque Boost pour mettre en œuvre le code de cryptage asynchrone. Pendant son exécution, le ransomware génère une clé de chiffrement symétrique à l'aide de CryptGenRandom, qui est le générateur de nombres aléatoires fourni par Windows CryptoAPI. Les fichiers sont ensuite chiffrés à l'aide de l'algorithme Chacha 2008, qui est une implémentation de D. J. Bernstein. La clé symétrique est elle-même chiffrée par le code RSA-4096 et ajoutée à la fin du fichier chiffré. La clé publique utilisée pour le chiffrement est intégrée dans le binaire du ransomware et peut varier d'un échantillon à un autre. Heureusement, Avast a annoncé la disponibilité d'une clé de déchiffrement pour les victimes d'Akira, leur permettant ainsi de récupérer leurs données sans payer de rançon. Deux versions du logiciel de déchiffrement ont été fournies, l'une pour les systèmes Windows 64 bits et l'autre pour les systèmes Windows 32 bits. Avast recommande d'utiliser la version 64 bits car le processus de craquage du mot de passe nécessite une quantité importante de mémoire système. Il est également conseillé de choisir des fichiers de grande taille pour obtenir de meilleurs résultats, car Akira peut avoir des limites de taille variables pour les blocs de chiffrement, même pour des fichiers ne différant que d'un octet. En ce qui concerne la version Linux du ransomware Akira, elle fonctionne de manière similaire à la version Windows. Les fichiers chiffrés ont la même extension et le même schéma de chiffrement. Cependant, la CryptoAPI de Windows n'étant pas disponible sous Linux, les auteurs du ransomware ont utilisé la bibliothèque Crypto++ pour gérer les parties du code initialement gérées par la CryptoAPI de Windows. Avast travaille actuellement sur une version Linux de son logiciel de déchiffrement, mais en attendant, il est possible d'utiliser la version Windows avec l'aide de la couche de compatibilité WINE pour décrypter les fichiers chiffrés par la version Linux d'Akira.
