We współpracy z Cisco Talos i holenderską policją Avast zaktualizował swój deszyfrator ransomware Babuk, dodając pełne wsparcie dla wariantu Tortilla. Narzędzie jest dostępne bezpłatnie i pozwala ofiarom odzyskać zaszyfrowane pliki dzięki prywatnemu kluczowi uzyskanemu po aresztowaniu operatora ataków.
Historia ransomware Babuk – od debiutu do wycieku kodu źródłowego
Babuk (Babuk Locker) pojawił się na początku 2021 roku. Szybko zyskał rozgłos dzięki agresywnym technikom, takim jak usuwanie kopii zapasowych (Volume Shadow Copies) i przerywanie procesów backupu, co znacząco utrudniało odzyskanie danych. Od 2021 roku Avast zablokował ponad 5600 ataków opartych na tym malware.
We wrześniu 2021 roku na rosyjskojęzycznym forum hakerskim opublikowano kod źródłowy Babuk w pliku ZIP, który zawierał 14 prywatnych kluczy ECDH-25519 niezbędnych do deszyfrowania plików ofiar. Wyciek umożliwił specjalistom z Avast stworzenie w październiku 2021 roku pierwszego deszyfratora – de facto standardu branżowego.
Po wycieku kodu zaczęły powstawać liczne warianty Babuk – różne grupy modyfikowały oryginał, tworząc nowe mutacje, w tym kontrowersyjny wariant Tortilla.
Wariant Tortilla – ataki przez luki ProxyShell i aresztowanie operatora
Tortilla, po raz pierwszy opisany przez Cisco Talos w listopadzie 2021 roku, był wykorzystywany do infekowania serwerów Microsoft Exchange przez luki ProxyShell, co pozwalało na zdalne wdrożenie ransomware w środowiskach firmowych.
Schemat szyfrowania Tortilla jest zgodny z oryginalnym Babuk: AES-256-CTR wraz z ChaCha8, a na końcu każdego pliku dołączany jest klucz symetryczny zaszyfrowany kluczem publicznym. Rozpoznanie infekcji jest proste: pliki zyskują rozszerzenie .babyk, a w każdym folderze pojawia się notatka How To Restore Your Files.txt.
Przełom nastąpił po aresztowaniu operatora kampanii Tortilla w Amsterdamie. Dzięki informacjom Cisco Talos i działaniom holenderskiej policji pozyskano deszyfrator używany przez przestępcę, z którego wyekstrahowano pojedynczy prywatny klucz wspólny dla wszystkich ofiar kampanii. Klucz przekazano Avast, co pozwoliło błyskawicznie zaktualizować narzędzie.
Jak działa deszyfrator Avast – aktualizacja i jej znaczenie
Avast Threat Labs zaktualizował generyczny deszyfrator Babuk, dodając klucz z wariantu Tortilla. Narzędzie jest zoptymalizowane pod kątem wydajności i pozwala szybko odzyskać pliki, jeśli wariant używa znanego klucza prywatnego. Deszyfrator obsługuje obecnie wszystkie znane warianty Babuk, w tym oryginalne z 2021 roku oraz Tortilla.
Aby ułatwić szybkie porównanie kluczowych cech rozwiązania, zwróć uwagę na najważniejsze atuty deszyfratora Avast:
- obsługa wszystkich znanych wariantów Babuk,
- szybkie działanie dzięki optymalizacjom,
- uniwersalność wobec kampanii Tortilla używającej jednego klucza,
- darmowa dostępność poprzez oficjalne kanały (m.in. NoMoreRansom).
Dlaczego to przełom? Tortilla używało jednego klucza dla wszystkich ofiar, przez co deszyfrator staje się uniwersalny i skuteczny na dużą skalę. Jak podkreślił Vanja Svajcer z Cisco Talos:
To narzędzie zawiera wszystkie znane klucze Babuk, eliminując potrzebę wyboru między konkurencyjnymi deszyfratorami.
Współpraca Avast, Cisco Talos i holenderskiej policji podkreśla siłę partnerstw między branżą cyberbezpieczeństwa a organami ścigania. Deszyfrator jest darmowy i dostępny także przez inicjatywę NoMoreRansom.
Krok po kroku – jak użyć deszyfratora Avast Babuk/Tortilla
Uwaga – przed startem wykonaj kopię zaszyfrowanych plików na zewnętrzny nośnik. Narzędzie nie modyfikuje plików, dopóki nie zatwierdzisz procesu.
-
Sprawdź infekcję – upewnij się, że pliki mają rozszerzenie .babyk, a notatka to How To Restore Your Files.txt (wariant Babuk/Tortilla).
-
Pobierz narzędzie – wykonaj następujące czynności:
- wejdź na oficjalną stronę deszyfratorów Avast: https://www.avast.com/ransomware-decryption-tools,
- lub skorzystaj z NoMoreRansom: wyszukaj „Babuk Decryptor”,
- pobierz plik Avast Babuk Decryptor (wersja z aktualizacją Tortilla).
-
Przygotuj system – wykonaj następujące czynności:
- uruchom komputer w trybie awaryjnym, aby zminimalizować ryzyko reinfekcji,
- wyłącz tymczasowo program antywirusowy (deszyfrator może być błędnie wykryty),
- podłącz wszystkie zaszyfrowane dyski/zasoby.
-
Uruchom deszyfrator – wykonaj następujące czynności:
- rozpakuj pobrany plik ZIP i uruchom plik .exe jako administrator,
- poczekaj, aż narzędzie wykryje pliki z rozszerzeniem .babyk,
- wskaż folder lub dysk do deszyfrowania,
- potwierdź proces – deszyfrator odczyta klucz symetryczny z końca pliku i zastosuje klucz prywatny.
-
Sprawdź wyniki – po deszyfrowaniu usuń pozostałości ransomware (np. Avast, Malwarebytes), wykonaj pełny skan i przywróć kopie zapasowe.
-
Jeśli nie działa – w rzadkich przypadkach klucz może nie pasować; narzędzie poinformuje o błędzie. Skontaktuj się z NoMoreRansom lub wsparciem technicznym Avast.
Czas deszyfrowania zależy od rozmiaru danych, ale narzędzie jest szybkie dzięki optymalizacjom.
Opinie ekspertów i recenzje – co mówią inne źródła?
W branży cyberbezpieczeństwa deszyfrator Avast jest oceniany bardzo pozytywnie. Oto, co podkreślają kluczowe źródła:
- Security Affairs – współpraca Talos i Avast określona jako „modelowa”, ze szczególnym naciskiem na darmowy dostęp i uniwersalność;
- SC Media – cytuje Vanję Svajcera z Talos, podkreślając bezpieczeństwo użycia przez ofiary;
- The Hacker News – nazywa narzędzie „życiową linią ratunkową” dla ofiar Tortilla;
- SOS Ransomware – opisuje rozwiązanie jako „potężne”, z dopracowanymi instrukcjami i łatwą dostępnością w NoMoreRansom;
- Linux Security oraz INCIBE-CERT – akcentują rolę współpracy z policją jako dowodu skuteczności wymiany informacji.
Nasza ekspertyza gwarantuje bezpieczne użycie przez ofiary.
Życiowa linia ratunkowa dla ofiar Tortilla.
W porównaniu do innych deszyfratorów (np. Emsisoft), Avast wyróżnia się uniwersalnością – obejmuje wszystkie znane warianty Babuk i eliminuje potrzebę sięgania po wiele narzędzi.
Znaczenie dla bezpieczeństwa IT i zapobieganie przyszłym atakom
Aktualizacja deszyfratora to realne zwycięstwo nad ransomware – aresztowania i analiza kodu bezpośrednio pomagają ofiarom. Kampanie Babuk/Tortilla wykorzystywały luki takie jak ProxyShell, co przypomina o konieczności regularnego i szybkiego łatania podatności w Microsoft Exchange.
Zalecenia dla firm i użytkowników
Aby zmniejszyć ryzyko podobnych incydentów, zastosuj poniższe praktyki:
- regularnie aktualizuj systemy i oprogramowanie,
- włącz wieloskładnikowe uwierzytelnianie (MFA),
- twórz backupy 3-2-1 (3 kopie, 2 media, 1 offsite),
- używaj EDR (Endpoint Detection and Response), np. Avast Business.
Dzięki takim inicjatywom jak NoMoreRansom ofiary mają realną szansę odzyskać dane bez płacenia okupu, co osłabia model biznesowy cyberprzestępców.
Ten deszyfrator to nie tylko narzędzie techniczne, ale także konkretna nadzieja dla zaatakowanych – pobierz go i odzyskaj swoje pliki już dziś.
Jestem całkowitym, technologicznym freakiem! Założyłem MartwePiksele.pl, aby dzielić się z wami moją wiedzą i testować każdy możliwy sprzęt. Dołączcie do mojej przygody! 🙂
