Rompe el cifrado del ransomware Akira en 10 horas usando 16 GPU en la nube

Sin una clave es prácticamente imposible romper el cifrado de los 'ransomware' en los equipos infectados, pero un programador ha conseguido tumbar Akira en unas diez horas utilizando tiempo de GPU en la nube.

Akira es un 'ramsonware', un tipo de 'malware' que encripta el equipo infectado para exigir un pago a cambio de liberarlo. Lleva activo al menos desde 2023, tiempo en el que han aparecido distintas variantes, y suele estar disponible bajo una modalidad de 'ramsonware' como servicio.

Recientemente, un programador ha conseguido recuperar los datos encriptados sin tener que pagar un rescate, recurriendo al uso de GPU den la nube, como él mismo explica en su blog personal, y recoge TechSpot.

Yohanes Nugroho, que es como se llama el programador, creó una herramienta para desencriptar Akira. No es el primero en hacerlo, ya que como explica, Avast creó un desencriptador hace dos años, que obligó a los desarrolladores de Akira a actualizar su encriptación.

Durante el análisis de los archivos de Akira, Nugroho descubrió que este 'ransonmware' utilizaba la hora actual (en nanosegundos) como semilla para generar claves de cifrado y desarrolló un ataque de fuerza bruta usando la potencia de GPU.

Lo que inicialmente pareció una tarea fácil, se complicó al ver que Akira "no se basa en un único instante, sino en cuatro, cada uno con una resolución de nanosegundos" y que "la generación de claves es compleja e implica 1.500 rondas de SHA-256 para cada marca de tiempo", conteniendo cada archivo una clave única.

En su intento, Nugroho ejecutó un ataque de fuerza bruta con una GPU GeForce RTX 3060, que no fue suficiente y obligó a comparar una RTX 3090. "El rendimiento fue decepcionante, alcanzando solo unos 60 millones de cifrados por segundo", un ritmo con el que, asegura, "el proceso completo tardaría unos 10 años".

Con una optimización, logró alrededor de 1.500 millones de cifrados por segundo para KCipher2 en RTX 3090, pero seguía siendo insuficiente. Por ello, decidió dar el salto a RTX 4090, en servicios de alquiler de tiempo de GPU en la nube.

Nugroho alquiló 16 GPU RTX 4090, que le permitió lanzar su ataque de fuerza bruta y desencriptar Akira en unas diez horas.

"Probablemente, el 99,9% de las veces, cuando te ataca un ransomware, no podrás recuperarlo sin la clave. Pero con suerte, a veces es posible encontrar una solución", afirma el programador, que ha decidido compartir su investigación y publicarla en código abierto.