Depuis une petite semaine, le ransomware sévit principalement en Russie en Europe de l’Est. Il partage des portions de code avec Petya et NotPetya indique le CERT-FR dans son bulletin d’alerte.

Comme toujours, des experts se sont penchés sur son cas afin de trouver d’éventuelles failles dans son code. Deux sont remontées à la surface, comme l’explique Securelist (Kaspersky) dans une mise à jour de son billet de blog.

La première erreur du ransomware est de ne pas effacer les « shadow copy » des fichiers. Sous certaines conditions, vous avez donc la possibilité de récupérer certaines données sauvegardées automatiquement par Windows.

La seconde vulnérabilité concerne la clé de déchiffrement. Sur l’écran des ordinateurs infectés par Bad Rabit, s’affiche une « personal installation key » permettant en théorie de récupérer une clé de déchiffrement après le paiement d’une rançon.

Or, d’après les chercheurs, le ransomware n’effacerait pas toutes ses traces lors de la génération des clés, laissant entrevoir « une mince chance » de les récupérer, à condition de ne pas redémarrer son ordinateur.