Il modo migliore per contrastare gli effetti di WannaCry è ripristinare i file persi da un backup. Per quanto siamo riusciti a scoprire, il «crypto» di questo ransomware non è stato decifrato, il che allontana la possibilità di una reversione completa. Tuttavia, WannaCry genera una certa quantità di file temporanei prima di sequestrare il contenuto di un computer, e se questi temporanei sono rimasti «orfani» a causa del blocco di un anti-ransomware o di un altro elemento esterno, lo strumento WannaCry File Restorer di ElevenPaths e Telefónica può recuperarli.
È già passata una settimana da quando WannaCry ha trasformato il Web nel suo parco giochi privato, e gli esperti di tutto il globo stanno ancora ripulendo il disastro. È molto probabile che nelle prossime ore la scadenza del riscatto scada su gran parte dei terminali colpiti. La raccomandazione numero uno rimane quella di non pagare, ma la verità è che molti utenti lo hanno già fatto. In assenza di una politica di backup robusta e con la disperazione di recuperare i dati, cedere alla richiesta diventa la soluzione più rapida. Ci sono però altre opzioni. Un computer conserva copie dei file non cifrati in cartelle temporanee, nel cestino, o tramite il sistema Shadow Copy integrato in Windows. Se una vecchia versione di questi file è stata cancellata, magari Recuva o un altro programma simile può tirare fuori l'utente dai guai. E infine ci sono gli stessi temporanei generati da WannaCry.
https://www.youtube.com/embed/c6z85-5hy5cCome funziona WannaCry File Restorer
È qui che entra in gioco lo strumento WannaCry File Restorer di ElevenPaths e Telefónica. In sostanza si tratta di uno script PowerShell che individua i file con estensione .WNCRYT, analizza l'header di ciascuno e li ripristina alla condizione precedente. L'estensione .WNCRYT indica la presenza di file che sono stati scelti come bersaglio da WannaCry e sono rimasti in attesa di essere cifrati, senza completare il processo. I file già cifrati hanno l'estensione .WNCRY, ma WannaCry File Restorer non può fare nulla con essi. La strategia qui è cercare di recuperare i file .WNCRYT cancellati da WannaCry dopo la cifratura, per poi ripristinarne il formato originale con l'esecuzione dello script.
Una soluzione limitata ma concreta
No, non è l'ideale, siamo i primi a riconoscerlo. L'utente medio preferirebbe sicuramente un eseguibile in grado di annullare gli effetti di WannaCry nella sua interezza, ma dobbiamo essere realistici e considerare che uno strumento del genere forse non potrà mai essere creato. WannaCry File Restorer è una via di mezzo, una risorsa in più da aggiungere al nostro arsenale per cercare di minimizzare l'impatto di questo nefasto ransomware. Lo script è in versione alfa e va interpretato come una proof of concept, ma, nei suoi limiti, funziona piuttosto bene.
