Com desxifrar dades afectades per ransomware: guia pràctica i completa

El ransomware s'ha disparat en freqüència i sofisticació i ja no distingeix entre sectors ni mides d'empresa. Aquest tipus de codi maliciós xifra arxius crítics , bloqueja el seu accés i exigeix ​​un pagament per alliberar la clau de desxifrat. Més enllà de l'ensurt, les hores d'inactivitat, el cost i l'impacte de reputació poden ser considerables si no hi ha un pla.

La bona notícia és que, juntament amb el creixement de les amenaces, també han madurat la resposta i les eines. Hi ha iniciatives públiques i privades, desxifradors gratuïts per a famílies conegudes i bones pràctiques que poden marcar la diferència. En aquesta guia detallada veuràs com funciona el ransomware, com identificar-ne la variant, quines opcions reals tens per desxifrar o recuperar les dades i com reforçar la prevenció.

Com actua el ransomware i per què és tan difícil revertir-ne l'efecte

Un atac de ransomware es basa en introduir un programari maliciós que xifra els teus fitxers amb criptografia robusta i reté la clau de desxifrat. El vector d'entrada més habitual són els correus de phishing, les descàrregues de programes adulterats o l'explotació de vulnerabilitats sense pegats.

Un cop a dins, sol propagar-se per la xarxa i xifra també recursos compartits. Notaràs que els fitxers canvien d'extensió (per exemple, afegint sufixos com .encrypted, .locked o un de propi de la família), i el sistema mostra una nota de rescat amb instruccions de pagament. La clau privada s'envia a la infraestructura de l'atacant, cosa que impossibilita recuperar l'accés sense col·laboració del mateix o sense un desxifrador específic.

El xifratge es realitza a l'equip infectat i la clau s'exfiltra a un servidor remot. Sense aquesta clau, el desxifrat és inviable a la pràctica per a algorismes moderns. Encara que soni a pel·lícula, ni el millor heroi podria forçar una clau forta a força de força bruta; el que és realista és identificar la variant i buscar eines o acudir a còpies de seguretat.

Un cas recent: l?atac a Kawasaki Motors Europe

La magnitud d'aquests incidents queda clara amb l'assalt a Kawasaki Motors Europe , atribuït al grup RansomHub. Després del xantatge, els atacants van publicar el 5 de setembre de 2024 a la dark web uns 487 GB d'informació sensible, evidenciant el risc de la doble extorsió (xifrat i filtració).

Còpies de seguretat: imprescindibles, però no trivials

Els exemples anteriors subratllen la necessitat d‟un pla de còpies sòlid. Amb backups recents i aïllats, pots restaurar sistemes sense pagar . Ara bé, la recuperació a gran escala requereix pràctica: reconstruir servidors, validar integritat i reobrir serveis és un treball tècnic que consumeix temps i coordinació.

Com identificar la variant de ransomware i els seus símptomes

Reconéixer ràpid què t'ha colpejat accelera la resposta. Les pistes següents us ajudaran a fitar la família del ransomware i decidir el millor camí.

• Nota de rescat: sol aparèixer en format .txt, .html, imatge o finestra emergent. De vegades inclou nom de la variant, mètode de contacte, adreces de moneder i fins i tot l'algorisme emprat.
• Extensions alterades: terminacions genèriques (.encrypted, .locked) o específiques de la família. El patró de renom és una pista molt útil per a identificar el llinatge.
• Mètode de xifrat: algunes notes revelen si usen AES, RSA o un altre esquema. Un anàlisi forense també ho pot inferir; conèixer-lo ajuda a localitzar un desxifrador compatible.
• Comportament del sistema: caigudes, reinicis inesperats, lentitud, errors en obrir fitxers o executar aplicacions. Aquests símptomes, juntament amb pics de CPU i disc, delaten activitat de xifrat en segon pla.
• Trànsit de xarxa inusual: connexions sortints cap a IPs o dominis maliciosos. Un EDR ben desplegat permet aïllar equips sospitosos amb rapidesa i limitar-ne la propagació.
• Canvis en fitxers del sistema i registres: revisa mides, ubicacions i marques de temps. Dates impossibles (anys com 1980 o 1900) són un indicador clar de manipulació maliciosa.
• Alertes de seguretat: SIEM + EDR i el suport dun servei SOC proporcionen visibilitat unificada i resposta proactiva. No ignoreu avisos de l'antivirus o IDS/IPS; actuar a temps és clau.
• Avisos d'usuaris: el personal sol detectar primer comportaments anòmals. Eines DEX (experiència digital de l'empleat) correlacionen aquests avisos amb mètriques tècniques per accelerar el diagnòstic.

Què fer només detectar un incident

La prioritat és contenir i avaluar. El següent us ajudarà a tallar la cadena de contagi i preservar evidències.

Aïlla l'equip : desconnecta Wi‑Fi, cable de xarxa i qualsevol emmagatzematge extern. Si cal, apagueu el dispositiu després de capturar la informació essencial per a l'anàlisi; evita reinicis en famílies on hi hagi desxifradors que depenen d'artefactes en memòria (per exemple, WanaKiwi a WannaCry).

Investiga : executa una anàlisi amb la teva suite de seguretat, elimina/quarantena ho trobat i documenta troballes. Si no tens experiència, prioritza la remediació automatitzada i busca suport expert per preservar proves.

Valora el pagament del rescat : no es recomana. No hi ha garanties de recuperació i perpetua el delicte. Si, malgrat tot, contemples pagar, no eliminis el ransomware fins a aplicar i verificar el suposat codi de desxifrat ; després, neteja el sistema a fons.

Serveis i eines per identificar i desxifrar

Abans de provar desxifradors, convé identificar-ne la variant amb precisió. Aquestes opcions són de referència en la indústria i et poden estalviar molt de temps.

• ID Ransomware: puja un fitxer xifrat i/o la nota de rescat; reconeix centenars de famílies.
• Crypto Sheriff (No More Ransom): servei similar d'identificació i porta d'entrada a desxifradors.
• CryptoSearch: ajuda local a detectar i catalogar fitxers xifrats al sistema.
• Bitdefender Ransomware Recognition Tool: analitza la nota i un directori amb mostres per proposar la variant.
• Trend Micro Screen Unlocker: especialitzat en ransomware que bloqueja la pantalla.

Un cop identificada la família, revisa si hi ha desxifrador. Hi ha repositoris i fabricants amb col · leccions àmplies que actualitzen amb freqüència.

• No més ressentiment: iniciativa conjunta policial i d'empreses de ciberseguretat amb desenes de desxifradors gratuïts.
• Emsisoft: catàleg molt ampli amb més de 80 desxifradors (per exemple, Babuk, Cerber, CryptXXX, Globe, Jigsaw, REvil, Xorist o fins i tot WannaCry).
• Avast: unes 30 eines per a variants com AES_NI, Alcatraz Locker, Babuk, CrySiS, CryptoMix offline, GandCrab, Globe, Jigsaw o Shade.
• AVG: al voltant de 7 desxifradors per a Apocalypse, BadBlock, Bart, Crypt888, Legion, SZFLocker i TeslaCrypt.
• Kaspersky: desxifradors com Shade, Rakhni (cobreix diverses famílies com Dharma o Fonix), Rannoh, CoinVault, Wildfire i Xorist.
• McAfee Ransomware Recover (Mr2): marc que integra claus i lògiques de desxifrat que comparteix la comunitat.
• Curació ràpida: eines per a Troldesh, Crysis, CryptXXX, Ninja, Apocalypse, STOP Djvu, entre d'altres.
• Trend Micro: més de 25 eines, incloent Globe/Purge, Xorist, CryptXXX (v1–v5), Jigsaw, Crysis o WannaCry.
• WanaDecrypt i WanaKiwi: utilitats específiques per a WannaCry; WanaKiwi pot funcionar fins a Windows XP, però només si l'equip no s'ha reiniciat des de la infecció.

Guia pas a pas: desinfecció a Windows i preparació del terreny

Abans d'intentar recuperar fitxers, elimina el codi maliciós (malware). L'ideal és treballar en Mode segur amb funcions de xarxa i utilitzar diverses capes d'escaneig.

Arrencada en Mode segur amb funcions de xarxa

Al Windows 10/8, primer entra a l'Entorn de Recuperació de Windows (Windows RE) i, des d'allà, accedeix al Mode segur amb funcions de xarxa. La idea és iniciar amb controladors mínims per evitar que es carregui el ransomware.

1. Obre Configuració > Actualització i seguretat > Recuperació i prem a Reiniciar ara (Inici avançat).
2. Seleccioneu Solucionar problemes > Opcions avançades > Configuració d'inici i premeu Reiniciar.
3. Trieu l'opció 5 o premeu F5 per entrar a Mode segur amb funcions de xarxa.

Al Windows 7 , l' arrencada es realitza des de les opcions avançades amb la tecla F8. L'objectiu és impedir la càrrega de controladors i serveis maliciosos a l'inici.

1. Reinicieu l'ordinador i premeu F8 repetidament abans que carregueu Windows.
2. Seleccioneu Mode segur amb funcions de xarxa i premeu Enter.

Pas 1: escaneig amb Malwarebytes

Amb el sistema aïllat, descarrega Malwarebytes, instal·la i executa un escaneig complet. La versió gratuïta serveix per netejar lequip de malware i PUPs.

1. Descarrega l'instal·lador i executa'l (accepta els avisos de Control de comptes quan corresponguin).
2. Completa l'assistent i, en obrir, escull Scan per iniciar l'anàlisi amb firmes actualitzades.
3. Envia a quarantena tot allò detectat i reinicia si ho sol·licita. Repeteix l'anàlisi de manera normal per confirmar la neteja.

Pas 2: segona opinió amb HitmanPro

HitmanPro ofereix un enfocament al núvol i sol detectar romanents. Per eliminar amenaces detectades hauràs d'activar la prova temporal.

1. Descarrega la versió adequada (32/64 bits) i executa-la.
2. Inicia una anàlisi única o conserva una còpia per a escanejats futurs.
3. Revisa resultats, elimina allò maliciós i activa la llicència de prova si cal.

Pas 3: verificació amb Emsisoft Emergency Kit

Emsisoft Emergency Kit no requereix instal·lació tradicional: és ideal com a tercera capa per caçar residuals que s'hagin escapat.

1. Descarrega'l, extreu el paquet i executa Start Emsisoft Emergency Kit.
2. Seleccioneu Analitzar i netejar, i trieu Anàlisi de programes maliciosos.
3. Posa en quarantena allò detectat i reinicia si t'ho demana.

Recuperació de fitxers quan no hi ha desxifrador disponible

Si no hi ha un desxifrador per a la teva variant, toca explorar vies de recuperació. Important: no treballis sobre l'original ; si pots, clona el disc o crea una imatge per preservar evidències i evitar danys addicionals.

Mètode 1: cerca un desxifrador específic

Revisa periòdicament No More Ransom i les pàgines dels fabricants per si publiquen suport per a la teva família. De vegades, errors al ransomware permeten crear desxifradors amb el temps.

Mètode 2: recuperació amb programari de data recovery

Si el ransomware ha xifrat una còpia i esborra l'original, encara podria ser possible recuperar restes no sobreescrites. Recuva és una opció gratuïta i fàcil d'usar.

1. Instal·la Recuva i executa l'assistent (Run Recuva).
2. Trieu All Files i, si no esteu segurs de la ubicació, seleccioneu I'm not sure.
3. Inicieu l'escaneig (Start) i reviseu els resultats: l'indicador verd/taronja/vermell estima les probabilitats.
4. Selecciona els fitxers i prem Recover, guardant en una unitat diferent per a evitar sobreescriptures.

Mètode 3: còpies ombra i versions anteriors

Molts ceps intenten esborrar Shadow Copies , però no sempre ho aconsegueixen. Amb ShadowExplorer pots navegar punts de restauració i exportar fitxers.

1. Instal·leu ShadowExplorer i escolliu la unitat i la data prèvia a la infecció.
2. Localitzeu la carpeta o fitxer, clic dret i Exporta a una ubicació segura.

A més, a Windows pots recuperar versions anteriors des de Propietats del fitxer o fins i tot realitzar una Restauració del sistema a un punt anterior, si està disponible. Si comptes amb Historial de fitxers o còpies de seguretat al núvol/externs, aquesta és la via més fiable per restablir dades sense risc.

Criptografia bàsica per entendre què és possible i què no

Els xifrats moderns impedeixen que un atacant recuperi dades sense la clau. Conèixer allò essencial t'ajudarà a evitar falses expectatives.

• Clau simètrica: la mateixa clau xifra i desxifra (per exemple, AES). És ràpida i molt utilitzada pel ransomware per al xifratge massiu darxius.
• Criptografia asimètrica: utilitza un parell de claus (pública/privada). És típic que el ransomware xifra una clau simètrica local amb la clau pública de l'atacant, impedint desxifrar sense la seva privada.
• PSK o clau precompartida: es recorda per un canal segur abans de xifrar. No és usual en ransomware, però convé entendre el terme en llegir documentació tècnica.
• Xifratge de contrasenyes: en molts sistemes no es guarden contrasenyes en clar, sinó hashes. No confondre amb xifratge de fitxers: trencar un hash feble és diferent de desxifrar un document amb criptografia forta.
• AES‑256: estàndard de xifrat per blocs (bloc de 128 bits) amb clau de 256 bits. Amb implementacions correctes i claus aleatòries, és computacionalment inviable trencar-ho per força bruta; per això, si no tens la clau o una vulnerabilitat coneguda, no hi ha drecera màgica.
• IV/nonze: valors d'inicialització que eviten patrons repetits. En modes com CBC o GCM, un bon maneig de l'IV és clau per a no afebliu l'esquema.
• Força bruta i atacs de diccionari: útils per a contrasenyes febles d'arxius concrets (segons format i eina), però no per derrotar el xifratge sòlid emprat pel ransomware modern. Utilitza programari de recuperació de contrasenya només quan apliqui al tipus exacte d'arxiu i entén els seus límits.

Panorama d'amenaça, terminis i costos

Els operadors de RaaS exploten vulnerabilitats i credencials per entrar, moure's lateralment, robar dades i xifrar. Sectors com ara salut i finances són objectius freqüents pel seu alt valor de PII. La doble extorsió afegeix pressió amb amenaça de filtració.

Recuperar-se pot fer una o dues setmanes en escenaris típics, variant per abast i preparació. Diversos informes estimen costos mitjans multimilionaris quan sumes inactivitat, resposta, pèrdues de negoci i sancions. Per això és important una estratègia 3‑2‑1 de còpies i invertir en detecció i resposta.

Prevenció i preparació: la teva millor pòlissa

La millor jugada és la proactivitat. Reforça l'entorn per dificultar intrusions i escurça la finestra de detecció.

• Còpies de seguretat: 3 còpies, en 2 mitjans diferents i 1 offline/immutable, i xifrat amb BitLocker. Prova restauracions periòdicament.
• EDR + SIEM i, si és possible, SOC: visibilitat, correlació i resposta ràpida davant de comportaments anòmals.
• Pegat i enduriment: corregeix vulnerabilitats i aplica mínims privilegis i segmentació de xarxa.
• conscienciació: entrenar el personal redueix el risc de pesca i macros malicioses.
• Pla de resposta: runbooks clars per aïllament, comunicació, forense, notificació a autoritats i recuperació.

Si decideixes recolzar-te en proveïdors externs, hi ha fabricants que aporten desxifradors, EDR i guies , i empreses especialitzades en recuperació que operen laboratoris amb àmplia experiència. Valora la cadena completa: eliminació, desxifrat quan sigui possible, reconstrucció segura i mesures per evitar reinfeccions.

Amb tot això, estaràs en millor posició per afrontar un incident: identifica ràpidament la variant, elimina el codi maliciós amb diverses capes d'escaneig, explora desxifradors i mètodes de recuperació (còpies ombra, versions anteriors i data recovery) i, quan hi hagi còpies de seguretat sanes, restaura sense dubtar . La preparació prèvia, les còpies ben fetes i una seguretat operativa vigilant són, a la llarga, el que redueix més impacte, temps i costos.