La meilleure façon de contrer les effets de WannaCry est, à l’heure actuelle, de restaurer les fichiers perdus à partir d’une sauvegarde. Autant que nous ayons pu le vérifier, le « crypto » de ce ransomware n’a pas été cassé, ce qui écarte toute possibilité de réversion complète. En revanche, WannaCry génère un certain nombre de fichiers temporaires avant de prendre en otage le contenu d’un ordinateur ; si ces fichiers temporaires sont restés « orphelins » à cause du blocage d’un anti-ransomware ou d’un autre élément externe, l’outil WannaCry File Restorer d’ElevenPaths et de Telefónica peut les récupérer.
Une semaine a déjà passé depuis que WannaCry a transformé le Web en son parc d’attractions privé, et les experts du monde entier nettoient encore le désastre. Il est très probable que, dans les prochaines heures, la date limite de rançon du ransomware expire sur une bonne partie des terminaux infectés. La recommandation numéro un reste de ne pas payer, mais la vérité est que de nombreux utilisateurs l’ont déjà fait. En l’absence d’une politique de sauvegarde robuste et face au désespoir de récupérer des données, céder à la demande devient la solution la plus rapide. Il existe pourtant d’autres options. Un ordinateur conserve des copies de fichiers non chiffrés dans des dossiers temporaires, des corbeilles de recyclage ou grâce au système Shadow Copy intégré à Windows. Si une ancienne version de ces fichiers a été supprimée, Recuva ou un autre programme similaire peut peut-être tirer l’utilisateur d’affaire. Enfin, il y a les fichiers temporaires eux-mêmes générés par WannaCry.
https://www.youtube.com/embed/c6z85-5hy5cC’est là qu’intervient l’outil WannaCry File Restorer d’ElevenPaths et de Telefónica. Il s’agit essentiellement d’un script PowerShell qui localise les fichiers portant l’extension .WNCRYT, analyse l’en-tête de chacun et les restaure dans leur état antérieur. L’extension .WNCRYT indique la présence de fichiers que WannaCry a choisis comme cible et qui restent en attente d’être chiffrés, sans que le processus soit terminé. Les fichiers déjà chiffrés portent l’extension .WNCRY, mais WannaCry File Restorer ne peut rien faire pour eux. La stratégie consiste ici à tenter de récupérer les fichiers .WNCRYT supprimés par WannaCry après le chiffrement, puis à restaurer leur format d’origine en exécutant le script.
Non, ce n’est pas l’idéal, nous sommes les premiers à le reconnaître. L’utilisateur moyen préférerait certainement un exécutable capable d’inverser totalement les effets de WannaCry, mais il faut être réaliste et considérer qu’un outil de ce genre ne pourra peut-être pas être créé. WannaCry File Restorer est le juste milieu, une ressource supplémentaire à ajouter à notre arsenal pour tenter de minimiser l’impact de ce ransomware funeste. Le script est en version alpha et doit être interprété comme une preuve de concept, mais dans ses limites, il fonctionne plutôt bien.
