Der Kern des Problems liegt in der Art, wie VECT 2.0 große Dateien blockweise verschlüsselt. Um die Verschlüsselung großer Dateien zu beschleunigen, nutzen alle Blockverschlüsselungen denselben Speicherpuffer für die Ausgabe der Nonce. Dadurch überschreibt jede neue Nonce die vorherige.
Nachdem alle Blöcke verarbeitet sind, bleibt nur die zuletzt erzeugte Nonce im Speicher, und ausschließlich diese wird auf die Festplatte geschrieben. In der Folge lässt sich nur das letzte Viertel einer Datei wiederherstellen; die übrigen drei Teile sind nicht zu entschlüsseln, weil die zugehörigen Nonces verloren gegangen sind.
Diese verlorenen Nonces werden auch nicht an die Angreifer übermittelt. Selbst wenn die VECT-Betreiber die Dateien zahlungswilliger Opfer entschlüsseln wollten, wären sie dazu nicht in der Lage.
Check Point weist darauf hin, dass die meisten wertvollen Unternehmensdateien — darunter VM-Festplatten, Datenbankdateien und Backups — größer als 128 KB sind, sodass die Wirkung von VECT als Daten-Wiper in den meisten Umgebungen verheerend sein kann. „Bei einer Schwelle von nur 128 KB, kleiner als ein typischer E-Mail-Anhang oder ein Office-Dokument, umfasst das, was der Code als große Datei einstuft, nicht nur VM-Festplatten, Datenbanken und Backups, sondern auch alltägliche Dokumente, Tabellen und Postfächer. In der Praxis fällt fast nichts, was ein Opfer wiederherstellen möchte, unter diese Grenze“, so Check Point.
Die Forscher stellten fest, dass derselbe Nonce-Fehler in allen Varianten von VECT 2.0 vorhanden ist — einschließlich der Versionen für Windows, Linux und ESXi. Das datenvernichtende Verhalten tritt damit in allen Fällen gleichermaßen auf.