De beste manier om op dit moment de effecten van WannaCry te bestrijden is door de verloren bestanden te herstellen vanaf een back-up. Voor zover wij hebben kunnen achterhalen, is de crypto van deze ransomware niet gekraakt, waardoor een volledige terugdraaiing niet mogelijk is. WannaCry genereert echter een aantal tijdelijke bestanden voordat het de inhoud van een computer gijzelt, en als die tijdelijke bestanden wees zijn geworden door het blokkeren van een anti-ransomware of een ander extern element, kan het hulpprogramma WannaCry File Restorer van ElevenPaths en Telefónica ze herstellen.
Er is inmiddels een week verstreken sinds WannaCry het web in zijn privé-speeltuin veranderde, en experts over de hele wereld zijn nog steeds bezig met het opruimen van de puinhoop. Naar alle waarschijnlijkheid verloopt binnen de komende uren de deadline van de ransomware voor het losgeld op een groot deel van de getroffen apparaten. De belangrijkste aanbeveling blijft om niet te betalen, maar de waarheid is dat veel gebruikers dit al hebben gedaan. Bij gebrek aan een robuust back-upbeleid en de wanhoop om gegevens terug te krijgen, wordt toegeven aan de eis de snelste oplossing. Toch zijn er andere opties. Een computer bewaart kopieën van niet-versleutelde bestanden in tijdelijke mappen, prullenbakken, of via het in Windows geïntegreerde Shadow Copy-systeem. Als een oude versie van die bestanden is verwijderd, kan Recuva of een soortgelijk programma de gebruiker misschien uit de brand helpen. En tot slot zijn er de tijdelijke bestanden die WannaCry zelf genereert.
https://www.youtube.com/embed/c6z85-5hy5cHoe werkt WannaCry File Restorer?
Op dat moment komt de tool WannaCry File Restorer van ElevenPaths en Telefónica in beeld. In wezen hebben we te maken met een PowerShell-script dat bestanden met de extensie .WNCRYT lokaliseert, de header van elk bestand analyseert en ze in hun oorspronkelijke staat herstelt. De extensie .WNCRYT geeft aan dat bestanden door WannaCry als doelwit zijn gekozen en in afwachting waren van versleuteling, zonder dat het proces is voltooid. Bestanden die al versleuteld zijn, hebben de extensie .WNCRY, maar WannaCry File Restorer kan er niets mee doen. De strategie hier is om de .WNCRYT-bestanden te herstellen die door WannaCry na de versleuteling zijn verwijderd, om vervolgens hun oorspronkelijke formaat te herstellen door het script uit te voeren.
Nee, het is niet ideaal, dat erkennen we als eerste. De gemiddelde gebruiker zou waarschijnlijk de voorkeur geven aan een uitvoerbaar bestand dat de effecten van WannaCry volledig kan terugdraaien, maar we moeten realistisch zijn en bedenken dat een tool met die kenmerken misschien niet gemaakt kan worden. WannaCry File Restorer is het middenweg, een extra middel om in ons arsenaal op te nemen en de impact van deze vervelende ransomware te minimaliseren. Het script bevindt zich in een alfaversie en moet worden beschouwd als een proof of concept, maar binnen de beperkingen werkt het behoorlijk goed.
