Найден способ восстановления поврежденных вирусом Petya дисков

Эксперт Positive Technologies Дмитрий Скляров представил метод восстановления данных, зашифрованных вирусом Petya (Petya.A, ExPetr, NotPetya), от которого в конце июня пострадали компьютеры более 100 компаний России, Украины и других стран, в том числе Беларуси. Этот метод применим, если вирус имел административные привилегии и зашифровал диск целиком.

Возможность восстановления данных связана с ошибками в реализации алгоритма шифрования Salsa20, допущенными самими злоумышленниками. Сообщается, что работоспособность метода проверена как на тестовом носителе, так и на одном из зашифрованых жестких дисков крупной компании, оказавшейся в числе жертв эпидемии.

Компании и независимые разработчики, специализирующиеся на восстановлении данных, могут свободно использовать и автоматизировать представленный сценарий расшифровки, подробно описанный на habrahabr.

«Восстановление данных с жесткого диска по этой методике требует применения эвристик и может занимать несколько часов, — рассказывает Дмитрий Скляров, руководитель отдела анализа приложений Positive Technologies. — Степень восстановления зависит от многих факторов (от размера диска, степени его заполнения и фрагментации) и может достигать 100% для дисков большого объема, содержащих много «публичных» файлов (компонентов операционной системы и программных продуктов, одинаковых на многих машинах)».