A melhor maneira de combater os efeitos do WannaCry neste momento é restaurar os arquivos perdidos a partir de um backup. Até onde pudemos descobrir, o "cripto" desse ransomware não foi quebrado, o que mantém distante a possibilidade de uma reversão completa. No entanto, o WannaCry gera uma certa quantidade de arquivos temporários antes de sequestrar o conteúdo de um computador, e se esses temporários ficaram "órfãos" devido ao bloqueio de um anti-ransomware ou outro elemento externo, a ferramenta WannaCry File Restorer, da ElevenPaths e Telefónica, pode recuperá-los.
Já se passou uma semana desde que o WannaCry transformou a Web em seu parque de diversões particular, e os especialistas ao redor do globo ainda estão limpando o estrago. É bem provável que nas próximas horas o prazo do resgate expire em boa parte dos terminais afetados. A recomendação número um continua sendo não pagar, mas a verdade é que muitos usuários já pagaram. Na ausência de uma política de backup robusta e o desespero para recuperar dados, ceder à demanda se torna a solução mais rápida. Ainda assim, há outras opções. Um computador guarda cópias dos arquivos sem criptografia em pastas temporárias, lixeiras, ou com o sistema Shadow Copy integrado ao Windows. Se uma versão antiga desses arquivos foi apagada, talvez o Recuva ou outro programa similar possa tirar o usuário do sufoco. E finalmente, existem os próprios temporários gerados pelo WannaCry.
https://www.youtube.com/embed/c6z85-5hy5cComo funciona o WannaCry File Restorer
É aí que entra a ferramenta WannaCry File Restorer, da ElevenPaths e Telefónica. Em essência, temos um script PowerShell que localiza arquivos com extensão .WNCRYT, analisa o cabeçalho de cada um e os restaura ao estado anterior. A extensão .WNCRYT indica a presença de arquivos que foram selecionados como alvo pelo WannaCry e ficaram à espera de serem criptografados, sem completar o processo. Aqueles arquivos já criptografados possuem a extensão .WNCRY, mas o WannaCry File Restorer não pode fazer nada com eles. A estratégia aqui é tentar recuperar os arquivos .WNCRYT apagados pelo WannaCry após a criptografia, para depois restaurar seu formato original com a execução do script.
Limitações e considerações finais
Não, não é o ideal, somos os primeiros a reconhecer. O usuário médio certamente prefere um executável com capacidade de reverter os efeitos do WannaCry por completo, mas devemos ser realistas e considerar que uma ferramenta com essas características talvez não possa ser criada. O WannaCry File Restorer é o meio-termo, um recurso a mais para somar ao nosso arsenal e tentar minimizar o impacto desse nefasto ransomware. O script está na versão alfa e deve ser interpretado como uma prova de conceito, mas dentro das suas limitações, funciona muito bem.
