Un investigador de seguridad ha desarrollado un descifrador para la variante Linux del ransomware Akira, que permite recuperar archivos cifrados mediante el uso de la potencia de las GPUs. El proyecto fue lanzado por Yohanes Nugroho y está disponible en GitHub.
Desarrollo tras solicitud de ayuda
Nugroho desarrolló el descifrador tras recibir una solicitud de ayuda de un amigo, quien consideraba que el sistema cifrado podría resolverse en una semana. La base del proyecto se fundamenta en cómo Akira genera claves de cifrado mediante marcas de tiempo.
Uso de GPU para forzar la clave
El descifrador no funciona como una herramienta tradicional, donde los usuarios proporcionan una clave. En su lugar, fuerza bruta las claves de cifrado únicas para cada archivo aprovechando que el cifrador genera sus claves basándose en la hora actual (en nanosegundos) como semilla.
Una semilla es un dato utilizado con funciones criptográficas para generar claves robustas e impredecibles. Mantenerla en secreto es fundamental para evitar que los atacantes recreen las claves mediante fuerza bruta u otros ataques.
Mecanismo de cifrado del ransomware Akira
Akira genera dinámicamente claves únicas para cada archivo utilizando cuatro semillas de marca de tiempo diferentes con precisión en nanosegundos y algoritmos hash con 1.500 rondas de SHA-256. Estas claves están cifradas con RSA-4096 y se añaden al final de cada archivo, lo que dificulta su descifrado sin la clave privada.
La precisión temporal de las marcas de tiempo crea más de mil millones de valores posibles por segundo, lo que dificulta la fuerza bruta. Además, Akira cifra varios archivos simultáneamente mediante multihilo, lo que complica determinar la marca de tiempo utilizada.
Optimización del descifrador
Nugroho redujo las posibles marcas de tiempo para la fuerza bruta examinando los archivos de registro compartidos por su amigo. Esto le permitió ver cuándo se ejecutó el ransomware, estimar los tiempos de finalización del cifrado y generar pruebas de rendimiento en diferentes hardware.
Los intentos iniciales con una RTX 3060 fueron lentos, con un límite de tan solo 60 millones de pruebas por segundo. Actualizar a una RTX 3090 tampoco fue suficiente. Finalmente, el investigador recurrió a servicios de GPU en la nube RunPod y Vast.ai.
Utilizó dieciséis GPUs RTX 4090 para forzar la clave de descifrado en aproximadamente 10 horas. Sin embargo, dependiendo del número de archivos cifrados, el proceso puede tardar varios días.
Potencial de mejora
El investigador señaló que los expertos en GPU aún podrían optimizar su código, lo que podría mejorar el rendimiento del descifrador.
Nugroho ha puesto el descifrador disponible en GitHub con instrucciones para recuperar archivos cifrados con Akira.