上個月，WannaCry（“想哭”）勒索軟件通過自傳播能力僅在72小時內就感染了全球超過30萬臺Windows計算機，尤其是感染了那些使用操作系統易受攻擊的計算機。
但這并不意味著WannaCry就是一款高質量的勒索軟件。
安全研究人員最近在WannaCry勒索軟件蠕蟲中發現了一些編程錯誤受害者在無需支付任何解密密鑰的情況下就能恢復被鎖文件。深入分析WannaCry代碼后，卡巴斯基研究員發現代碼中充滿了錯誤，一些受害者能夠利用公開可獲取的免費恢復工具甚至是一些簡單命令就可恢復文件。
卡巴斯基研究員Anton Ivanov以及同事Fedor Sinitsyn和Orkhan Mamedov詳細說明了WannaCry開發人員所犯的三個嚴重錯誤，系統管理員可借此恢復丟失文件。研究人員指出，問題在于WannaCry勒索軟件解密后刪除原始文件的方式。通常來講，它會首先重命名文件將擴展改為”.WNCRYT”、加密，然后刪除原始文件。
恢復只讀文件
由于惡意軟件不可能直接加密或修改只讀文件，WannaCry會復制這些文件并創建加密版本。雖然原始文件并沒有動，但被賦予一個”hidden”屬性，要恢復原始數據僅需受害者恢復其正常屬性即可。
這并非WannaCry源代碼中的唯一錯誤，在某些情況下，它在加密后并未刪除文件。
從系統盤（C盤）中恢復文件
研究人員表示，存儲在重要文件夾中的文件如桌面或文檔文件夾在沒有解密密鑰的情況下無法被恢復，因為WannaCry旨在在恢復原始文件前用隨機數據覆寫原始文件。
然而，研究人員注意到存儲在系統盤重要文件夾之外的其它文件能通過使用數據恢復軟件從臨時文件夾中恢復。研究人員指出，“原始文件會被遷移到%TEMP%\%d.WNCRYT（%d指的是數值）。這些文件包含原始數據且并未被覆寫”。
從非系統盤中恢復文件
研究人員還發現對于非系統盤來說，WannaCry勒索軟件創建了一個隱藏的’$RECYCLE’文件夾并將原始文件加密后遷移到這個目錄下。只要將這個文件夾顯示隱藏就能恢復文件。
另外，由于WannaCry代碼中存在“同步錯誤”，在很多情況下，原始文件還位于相同的目錄下，這樣受害者就能通過可用的數據恢復軟件恢復被不安全刪除的文件。
程序錯誤：受害者的新希望
這些編程錯誤為很多受害者帶來了希望。卡巴斯基指出，WannaCry勒索軟件的代碼質量很低。
此前法國研究員Adrien Guinet和Benjamin Delpy推出一款免費的WannaCry解密工具，在Windows XP、Windows 7、Windows Vista、Windows Server 2003和Server 2008上起作用。
雖然WannaCry肆虐全球已一月有余，但其幕后黑手尚未被識別出來。
| 
