捷克反病毒软件开发商AVAST利用漏洞破解DoNex勒索软件获得解密密钥
内容提要
捷克反病毒软件开发商AVAST成功破解DoNex/DarkRace勒索软件，找出加密密钥并解密文件。用户可从Avast下载破解器找出恢复密钥。
延伸解读
解密器为何现在才公开
Avast自2024年3月起就秘密向受害用户提供解密器，但直到DoNex暗网站点关闭后才公开。这是因为如果过早公布，勒索软件团伙可能修复漏洞，导致解密器失效。这种策略平衡了即时救助与长期效果，也提醒我们，安全厂商在披露漏洞时需权衡攻击者的反应。
加密机制中的性能取舍
DoNex对小于1MB的文件直接加密，大文件则分割成小块间歇加密。这种设计可能是为了提升加密速度，减少对系统性能的影响。但这也意味着大文件的加密模式可能存在规律，为破解提供了线索。Avast正是利用漏洞成功破解，说明加密方案的设计缺陷可能成为致命弱点。
俄罗斯成重灾区背后的线索
多数勒索软件避免攻击俄罗斯，但DoNex却将俄罗斯列为重灾区之一。这暗示其开发者可能并非俄罗斯黑客，因为通常不会针对本国。这一现象有助于安全研究人员分析攻击者的背景和动机，但也需谨慎，避免简单归因。
使用解密器的实际考量
用户可从Avast下载解密器寻找恢复密钥，但过程非常耗费内存。内存较大的设备可能1秒内找到密钥，而恢复文件可能耗时数小时甚至数天。因此，受害者需确保设备有足够内存，并做好长时间恢复的准备。尽早尝试解密可减少数据损失风险。
Q&A
AVAST是如何破解DoNex勒索软件的？
AVAST利用漏洞成功破解DoNex勒索软件，找出加密密钥并解密文件。
用户如何获取DoNex的解密器？
用户可以从Avast下载DoNex的破解器来找出恢复密钥。
DoNex勒索软件的加密机制是怎样的？
DoNex通过CryptGemRandom()函数生成加密密钥，并使用ChaCha20对称密钥加密文件，文件小于1MB时直接加密，大文件则分割加密。
为什么AVAST选择悄悄提供解密器而不是公开？
AVAST担心如果一开始公布解密器，勒索软件团伙可能会修复漏洞，导致无法再进行破解，因此选择悄悄提供解密器。
DoNex勒索软件的目标市场主要是哪里？
俄罗斯是DoNex勒索软件的重灾区之一，这表明其开发者可能不是俄罗斯黑客。
破解DoNex的过程对计算机性能有什么要求？
破解过程非常耗费内存，内存较大的用户可能在1秒内找到恢复密钥，但恢复所有文件可能需要几个小时甚至几天。
