Las víctimas del reciente grupo de ransomware Lorenz podrán recuperar ficheros cifrados gracias a un bug (error) en la implementación del cifrado por parte de los criminales, lo cual ha permitido crear una herramienta que los descifra de forma gratuita.

Una nueva operación de ransomware conocida como Lorenz se dirige a organizaciones de todo el mundo con ataques personalizados que exigen cientos de miles de dólares en rescate.

La banda de ransomware Lorenz comenzó a operar el mes pasado y desde entonces ha acumulado una lista cada vez mayor de víctimas cuyos datos robados se han publicado en un sitio de filtración de datos de ransomware.

La empresa holandesa de ciberseguridad Tesorion ha lanzado un descifrador gratuito para el ransomware Lorenz, que permite a las víctimas recuperar algunos de sus archivos de forma gratuita sin pagar un rescate.

• El código del ransomware parece haber evolucionado a partir de las antiguas familias ThunderCrypt y SZ40 La investigación también menciona que el ransomware podrí estar escrito en C++ empleando Microsoft Virtual Studio.

Las notas de rescate de Lorenz oscilan entre $ 500,000 y $ 700,000. Las versiones anteriores del ransomware incluían demandas de rescate de un millón de dólares, pero no está claro si estaban afiliadas a la misma operación.

Proyecto NoMoreRansom

La herramienta de descifrado de ransomware Lorenz puede descargado de NoMoreRansom y permitirá a las víctimas recuperar algunos de sus archivos cifrados.

• Herramienta Descifrado: Lorenz Decryptor

El investigador de Tesorion, Gijs Rijnders, dijo  que solo se pueden descifrar archivos con estructuras de archivo conocidas, como documentos de Office, archivos PDF, algunos tipos de imágenes y archivos de películas.

Como puede ver a continuación, el descifrador puede descifrar tipos de archivos conocidos, como archivos XLS y XLSX, sin ningún problema. Sin embargo, no descifrará tipos de archivos desconocidos o aquellos con estructuras de archivos poco comunes.

Tesorion ha proporcionado información sobre la técnica de cifrado utilizada por el ransomware Lorenz.

en un entrada en el blog, Rijnders explica que un error en la forma en que implementan su cifrado puede provocar la pérdida de datos, lo que evitaría que un archivo se descifre incluso si se ha pagado un rescate.

Durante el cifrado de archivos, el ransomware utiliza el cifrado AES y una clave RSA incorporada para cifrar la clave de cifrado. Para cada archivo cifrado, el .Lorenz.sz40 la extensión se agregará al nombre del archivo.

Tras el análisis del malware, los investigadores de la empresa holandesa de ciberseguridad Tesorion descubrieron que pudieron diseñar una herramienta de descifrado para el ransomware Lorenz, y ahora está disponible de forma gratuita a través de No More Ransom.

No More Ransom es un proyecto conjunto de los organismos encargados de hacer cumplir la ley, incluido el Centro Europeo de Ciberdelincuencia de Europol, junto con socios de toda Europa en ciberseguridad y académicos, que tiene como objetivo interrumpir el negocio de las bandas de ransomware al proporcionar claves de descifrado que permiten a las víctimas recuperar sus archivos sin pagar una rescate.

La clave de descifrado para Lorenz ransomware es el descifrador número 120 que estará disponible en No More Ransom desde que comenzó el proyecto en 2016.