Antivirusbedrijf Avast heeft een beveiligingslek in de Rhysida-ransomware maandenlang stilletjes gebruikt om slachtoffers te helpen bij het terugkrijgen van hun bestanden. Nu onderzoekers vorige week een rapport over de kwetsbaarheid publiceerden (pdf) heeft de virusbestrijder de gebruikte decryptietool openbaar gemaakt.

Rhysida wordt aangeboden als een Ransomware-as-a-Service (RaaS). Via RaaS kunnen criminelen op eenvoudige wijze over ransomware beschikken, waarbij er een deel van de inkomsten naar de ontwikkelaar van de ransomware gaat. Criminelen moeten in dit geval de ransomware nog wel zelf verspreiden. Voor de verspreiding wordt gebruikgemaakt van phishingmails.

Vorig jaar waarschuwde het Amerikaanse ministerie van Volksgezondheid zorginstellingen in de VS voor aanvallen met de Rhysida-ransomware. De ransomware maakt gebruik van een secure random number generator om de encryptiesleutel te genereren en daarmee data op besmette systemen te versleutelen. Een implementatiefout in de ransomware maakt het mogelijk om de gebruikte encryptiesleutel opnieuw te genereren en zo de versleutelde data te ontsleutelen.

Zuid-Koreaanse onderzoekers publiceerden vorige week hun onderzoek waarin ze de implementatiefout beschrijven. Antivirusbedrijf Avast was naar eigen zeggen al veel langer van de kwetsbaarheid op de hoogte en heeft slachtoffers sinds augustus vorig jaar stilletjes voorzien van een decryptietool voor het ontsleutelen van data. Dankzij samenwerking met opsporingsdiensten konden zo meerdere getroffen organisaties worden geholpen. Nu de implementatiefout bekend is gemaakt, heeft Avast dit ook gedaan voor de decryptietool, die via de website van het antivirusbedrijf is te downloaden.