Авторы вымогателя отказались от вредоносной деятельности и опубликовали мастер-ключ. А мы сделали из него дешифратор.
Авторы шифровальщика Fonix внезапно объявили о прекращении своей деятельности и опубликовали мастер-ключ, которым можно декодировать пострадавшие файлы. Наши эксперты незамедлительно обновили утилиту Rakhni Decryptor для автоматизации этого процесса. Она доступна, например, вот здесь.
Пример Fonix лишний раз подтверждает, что даже если вы не планируете платить вымогателям, имеет смысл сохранить зашифрованные данные до лучших времен. Да, далеко не все злоумышленники раскаиваются и публикуют ключи, но и такое случается — и в этом случае зашифрованные файлы можно будет вернуть. К тому же не стоит забывать, что иногда правоохранительным органам удается добыть ключи непосредственно с серверов киберпреступников.
Чем был опасен Fonix
Fonix также известен под именем Xinof — по крайней мере сами злоумышленники называли себя и так, и эдак, да и зашифрованные файлы получали расширения и .fonix и .xinof. Аналитики описывали этот шифровальщик-вымогатель как достаточно агрессивный. Как минимум потому, что он занимался не только непосредственно шифрованием, но и вносил в конфигурацию операционной системы ряд изменений, чтобы его было сложнее удалить. Кроме того, он шифровал практически все файлы на компьютере, исключая критически важные для работы операционной системы.
Создатели Fonix предоставляли доступ к нему по схеме Ransomware-as-a-Service (RaaS), так что непосредственно атаками занимались уже покупатели. Начиная примерно с лета 2020 года, Fonix активно рекламировался на хакерских форумах. В качестве «конкурентного преимущества» этого шифровальщика авторы делали ставку на его изначальную бесплатность — они не требовали ничего за использование и брали только процент с заплаченных выкупов.
В результате вредонос распространялся различными группами, как правило, через спам-рассылки. Поэтому среди жертв Fonix были и частные лица, и организации. К счастью, массовой популярности этот шифровальщик не набрал и жертв было относительно немного.
Киберпреступление внутри киберпреступления
В том же заявлении авторов Fonix о прекращении работы сказано, что не все участники группы согласны с решением завязать с преступной деятельностью. В частности, администратор их Telegram-канала пытается продать исходный код шифровальщика и какие-то данные. Впрочем, код ненастоящий, так что это, по сути, мошенничество под видом продажи вредоносного ПО (по крайней мере так утверждается в твиттере группы). Понятно, что жертвами тут могли стать только другие киберпреступники, однако мошенничество от этого мошенничеством быть не перестает.
Мотивация авторов
Администратор FonixCrypter Project признался, что не планировал заниматься преступной деятельностью, а на создание шифровальщика его толкнула «сложная экономическая ситуация«. Но его замучила совесть, в результате чего он удалил исходный код, принес извинения жертвам и опубликовал мастер-ключ. В дальнейшем он планирует использовать накопленный опыт в сфере анализа зловредов и надеется, что остальные «коллеги» присоединятся к нему в этом начинании.