O ransomware Khonsari foi o primeiro grupo a explorar as vulnerabilidades conhecidas do Apache Log4j (CVE-2021-44228 e CVE-2021-45046), o grupo tem focado seus ataques a servidores Windows que não tiveram o Log4j atualizados.
O primeiro registro do grupo ocorreu em dezembro de 2021, o que tudo indica que o grupo foi criado para explorar diretamente as vulnerabilidades do Apache Log4j, mas isso pode ser apenas o começo, o grupo pode ampliar o seu campo de atuação.
Diferente dos grupos que utilizam a tática RaaS, o Khonsari é um grupo fechado e exclusivo, o que mostra que o seus ataques são direcionados a empresas específicas.
O malware é relativamente simples e pequeno, ele pesa apenas 12 KB, isso o torna praticamente imperceptível para antivírus, o grupo age apenas com a encriptação e não há roubo de arquivos.
O grupo utiliza a encriptação AES 128, e curiosamente a chave de descriptografia também é encriptada, mas é usada a encriptação RSA.
A chave fica na nota de resgate que é aberta automaticamente após a encriptação de arquivos, é adicionado a extensão .khonsari em todos os arquivos encriptados.
Caso a nota seja excluída, os arquivos não podem ser descriptografados, pois a chave foi excluída junto com a nota.
Caso a chave de descriptografia seja excluída, apenas uma empresa especializada em recuperação de arquivos encriptados por ransomware poderá recuperar os arquivos.
A melhor defesa contra o ransomware Khonsari é manter o Log4j atualizado.
Recuperar Arquivos Encriptados por Ransomware Khonsari
A recuperação dos arquivos encriptados pelo ransomware Khonsari é possível, mesmo sem a chave de descriptografia, a Digital Recovery é capaz disso.
Com mais de duas décadas de atuação no mercado de recuperação de dados, desenvolvemos a experiência necessária para atuar nos cenários mais drásticos de perda de dados, o que hoje se resume há perda de dados por ataque ransomware.
Podemos recuperar arquivos encriptados em HDs, SSDs, Banco de Dados, Storages (NAS, DAS, SAN), Sistemas RAID, Servidores, Máquinas Virtuais, entre outros.
Todos os nossos processos são exclusivos e personalizados para cada cliente, durante todo o processo o cliente estará em contato com um dos nossos especialistas.
Nossos processos foram desenvolvidos com base da LGPD (Lei Geral de Proteção de Dados) e disponibilizamos a todos os nossos clientes o acordo de confidencialidade (NDA).
Entre em contato conosco e inicie o processo de recuperação agora mesmo.
