Ransomware files zelf decrypten

[Valkyre]

een aantal jaar geleden ben ik helaas het slachtoffer geworden van een ransomware aanval.
Achtergrond:
mijn ouders wonen 200km verderop en ik had een site-to-site vpn tussen onze huizen, en een domein draaien.
via de site-to-site verbinding werden er backups gemaakt van de synology nassen aan beide kanten.
Op dat moment had ik jonge kinderen en werden alle IT geralteerde zaken 'even' tussendoor gedaan.

wat er gebeurt is:
een combinatie van een nieuwe router aan mijn ouders hun kant en een zwak wachtwoord had ik tijdelijk RDP open gezet dat in het geval het nodig was ik via de buitenkant kon inloggen. (mega dom natuurlijk).
hackers zijn binnen gekomen hebben alles aan beide kanten geransomwared en de file systems van de nassen kapot gemaakt.

ik durf wel te zeggen dat ik inmiddels via het carven van disken 90% van de belangrijke fotos terug heb, maar de video bestanden zijn nooit meer hersteld.

en nu?
elke paar maanden check ik https://www.nomoreransom.org/en/index.html
en https://id-ransomware.malwarehunterteam.com/index.php

via de 2e link word er aangeven dat het om 'snatch' ransomware gaat.

nu heb ik totaal geen programeer kennis, maar zou ik niet een bepaalde tool kunnen laten draaien in de achtergrond over de ransomware bestanden heen om zo te proberen de key te achterhalen?
heeft iemand hier ervaring mee?


inmiddels heb ik mijn backup/ snapshot/ strategie beter op orden (en geen zwakke wachtwoorden en nat poorten meer openstaan naar buiten).
maar toch het zou mooi zijn als sommige video bestanden weer unlocked worden.

[Jazzy]

Als je de naam van de encryptiesoftware weet, had je zelf ook al wat onderzoek gedaan naar het ontsleutelen van deze bestanden?

[RobIII]

Beetje ransomware gebruikt een degelijke, bewezen, encryptie. Dat breek je niet "effe" op de achtergrond; dat kost je potentieel duizenden jaren tot het einde van het universum. Je moet het hebben van zwaktes of gelekte sleutels oid.

[Valkyre]

Jazzy schreef op zondag 16 juni 2024 @ 15:32:
Als je de naam van de encryptiesoftware weet, had je zelf ook al wat onderzoek gedaan naar het ontsleutelen van deze bestanden?

Volgens id ransomware gaat het om ‘snatch’ maar helaas nog geen decryptors beschikbaar helaas.

RobIII schreef op zondag 16 juni 2024 @ 15:40:
Beetje ransomware gebruikt een degelijke, bewezen, encryptie. Dat breek je niet "effe" op de achtergrond; dat kost je potentieel duizenden jaren tot het einde van het universum. Je moet het hebben van zwaktes of gelekte sleutels oid.

Nee das waar, dacht misschien met nieuwe videokaarten e.d. is het misschien weer iets beter te doen versus 5jaar geleden

[Oon]

Wat is de eis van de ransomware? Als dat om een paarhonderd euro gaat kun je nog overwegen om gewoon te betalen en het duur leergeld noemen.

Je zou ook eens kunnen kijken naar ransomware-proof back-up strategieën; alles naar cold storage, daar een uitgebreide versie historie bijhouden, zonder mogelijkheid (vanaf de NAS) om die versie historie aan te passen. Is duur en het lost de geavanceerdere ransomware die maanden inactief blijft niet op, maar het zou je in dit geval wel gered hebben plus het maakt het ontdekken ervan een stuk sneller; je kunt dan zien als er ineens bestanden worden aangepast in die cold storage die helemaal niet aangepast horen te worden.

[Kip]

In het verleden is wel gebleken dat de encryptors die gebruikt worden zwakheden hadden waardoor de encryptie makkelijker te breken was. Of er werden bepaalde sleutels vrijgegeven die voor meerdere slachtoffers werken.

De groep snatch is gelieerd aan een grotere groep genaamd TA505. Dit betekend dat er misschien tooling zoals encryptors misschien ook van deze groep is gebruikt.

Een idee. probeer de decryptors van de ransomware groepen dit gelieerd zijn aan TA505:
https://attack.mitre.org/groups/G0092/
Associated Groups: Hive0065, Spandex Tempest, CHIMBORAZO
https://malpedia.caad.fkie.fraunhofer.de/actor/ta505
ATK103, CHIMBORAZO, DEV-0950, Dudear, FIN11, G0092, GOLD TAHOE, GRACEFUL SPIDER, Hive0065, Lace Tempest, SectorJ04, SectorJ04 Group, Spandex Tempest