Locky Ransomware é mortal! Aqui está tudo o que você deve saber sobre este vírus.

Locky é o nome de um Ransomware que está evoluindo tarde, graças à atualização constante do algoritmo pelos seus autores. Locky, como sugerido por seu nome, renomeia todos os arquivos importantes no PC infectado, dando-lhes uma extensão.locky e exige resgate pelas chaves de decodificação.

Locky ransomware - Evolution

Ransomware cresceu em um ritmo alarmante em 2016. Ele usa o Email & Social Engineering para inserir seus sistemas de computador. A maioria dos e-mails com documentos maliciosos anexados apresentava a popular cepa de ransomware Locky. Entre os bilhões de mensagens que usavam anexos de documentos maliciosos, cerca de 97% apresentavam o Locky ransomware, que é um alarmante aumento de 64% em relação ao primeiro trimestre de 2016.

O Locky ransomware foi detectado pela primeira vez em Fevereiro de 2016 e foi supostamente enviado para meio milhão de usuários. Locky entrou em destaque quando, em fevereiro deste ano, o Centro Médico Presbiteriano de Hollywood pagou um resgate de US $ 17 mil em Bitcoins pela chave de descriptografia dos dados dos pacientes. Locky infectou os dados do Hospital através de um anexo de email disfarçado como uma fatura do Microsoft Word.

Desde fevereiro, Locky vem encadeando suas extensões em uma tentativa de enganar as vítimas de que elas foram infectadas por um Ransomware diferente. Locky começou a renomear originalmente os arquivos criptografados para .locky e no momento em que o verão chegou, evoluiu para a extensão .zepto , que foi usada em várias campanhas desde.

Locky agora está criptografando arquivos com extensão .ODIN , tentando confundir os usuários que na verdade é o ransomware Odin.

Locky Ransomware

O ransomware Locky se espalha principalmente através de campanhas de e-mails de spam executados pelos invasores. Esses e-mails de spam têm principalmente arquivos .doc como anexos que contêm texto embaralhado que parece ser uma macro.

Um e-mail típico usado na distribuição de ransomware do Locky pode ser de uma fatura que chame a atenção do usuário, por exemplo.

O assunto do email pode ser - “ATTN: Invoice P-12345678”, anexo infectado - “ invoice_P-12345678.doc ” (contém macros que baixam e instalam o Locky ransomware em computadores): ”

E o corpo do e-mail -“ Caro alguém, Por favor, consulte a fatura em anexo (documento do Microsoft Word) e remeta o pagamento de acordo com os termos listados na parte inferior da fatura. Deixe-nos saber se você tiver alguma dúvida. Nós apreciamos muito o seu negócio! ”

Quando o usuário habilita as configurações de macro no programa Word, um arquivo executável que é, na verdade, o ransomware é baixado no PC. Posteriormente, vários arquivos no PC da vítima são criptografados pelo ransomware, fornecendo-lhes nomes de combinação de 16 letras e dígitos exclusivos com .shit , .thor , .locky , .zepto ou .odin extensões de arquivo. Todos os arquivos são criptografados usando os algoritmos RSA-2048 e AES-1024 e exigem uma chave privada armazenada nos servidores remotos controlados pelos cibercriminosos para descriptografia.

Uma vez que os arquivos são criptografados, Locky gera um arquivo adicional .txt e _HELP_instructions.html em cada pasta que contém os arquivos criptografados. Este arquivo de texto contém uma mensagem (como mostrada abaixo) que informa os usuários da criptografia.

Afirma ainda que os arquivos só podem ser descriptografados usando um decodificador desenvolvido por criminosos cibernéticos e custando 0,5 BitCoin. Assim, para recuperar os arquivos, a vítima é solicitada a instalar o navegador Tor e seguir um link fornecido nos arquivos de texto / papel de parede. O site contém instruções para efetuar o pagamento.

Não há garantia de que, mesmo depois de efetuar o pagamento, os arquivos da vítima serão descriptografados. Mas, geralmente, para proteger seus autores de ransomware de `reputação`, geralmente cumprem sua parte na barganha.

Locky Ransomware mudando de.wsf para extensão.LNK

Afixe sua evolução este ano em fevereiro; Infecções por ransomware Locky diminuíram gradualmente com menores detecções de Nemucod , que Locky usa para infectar computadores. (Nemucod é um arquivo.wsf contido em anexos.zip no email de spam). No entanto, como relatórios da Microsoft, autores de Locky alteraram o anexo de arquivos.wsf para arquivos de atalho (extensão.LNK) que contêm comandos do PowerShell para baixar e executar o Locky.

O exemplo do e-mail de spam abaixo mostra que foi feito para atrair a atenção imediata dos usuários. É enviado com alta importância e com caracteres aleatórios na linha de assunto. O corpo do email está vazio.

O email de spam geralmente é chamado de Bill com um anexo.zip, que contém os arquivos.LNK. Ao abrir o anexo.zip, os usuários acionam a cadeia de infecção. Essa ameaça é detectada como TrojanDownloader: PowerShell / Ploprolo.A . Quando o script do PowerShell é executado com êxito, ele baixa e executa o Locky em uma pasta temporária que completa a cadeia de infecção.

Tipos de arquivos segmentados pelo Locky Ransomware

Abaixo estão os tipos de arquivos segmentados pelo Locky ransomware.

.yuv,. ycbcra,.xis,.wpd,.tex,.sxg,.stx,.srw,.srf,.sqlitedb,.sqlite3,.sqlite,.sdf,.sda,.s3db,.rwz,.rwl,.rdb,.at,.qby,.qbx,.qbw,.qbr,.qba,.psafe3,.plc,.plus_muhd,.pdd,.oth,.orf,.odm,.odf,.nyf,.nxl,.nwb,.nrw,.nop,.nef,.ndd,.myd,.mrw,.moneywell,.mny,.mmw,.mfw,.mef,.mdc,.lua,.kpdx,.kdc,. kdbx,.jpe,.incpas,.iiq,.ibz,.ibank,.hbk,.gry,.grey,.gray,.fhd,.ffd,.exf,.erf,.erbsql,.eml,.dxg,.drf,.dng,.dgc,.des,.der,.ddrw,.ddoc,.dcs,.db_journal,.csl,.csh,.crw,.craw,.cib,.cdrw,.cdr6,.cdr5,.cdr4,.cdr3,.bpw,.bgt,.bdb,.bay,.bank,.backupdb,.backup,.back,.awg,.apj,.ait,.agdl,.ads,.adb,. acr,.ach,.accdt,.accdr,.accde,.vmxf,.vmsd,.vhdx,.vhd,.vbox,.stm,.rvt,.q vaca,.qed,.pif,.pdb,.pab,.ost,.ogg,.nvram,.ndf,.m2ts,.log,.hpp,.hdd,.groups,.flvv,.edb,.dit,.dat,.cmt,.bin,.aiff,.xlk,.wad,.tlg,.say,.sas7bdat,.qbm,.qbb,.ptx,.pfx,.pef,.pat,.oil,.odc,.ns, msg,.nsg,.nsd,.nsd,.mos,.indd,.iif,.fpx,.fff,.fdb,.dtd,.design,.ddd,.dcr,.dac,.cdx,. cdf,.blend,.bkp,.adp,.act,.xlr,.xlam,.xla,.wps,.tga,.pspimage,.pct,.pcd,.fxg,.flac,.eps,.dxb,.drw,.dot,.cpi,.cls,.cdr,.arw,.aac,.thm,.srt,.save,.safe,.pwm,.pages,.obj,.mlb,.mbx,.lit,.laccdb,.kwm,.idx,.html,.flf,.dxf,.dwg,.dds,.csv,.css,.config,.cfg,.cer,.asx,.aspx,.aoi,. accdb,.7zip,.xls,.wab, ​​.rtf,.prf,.ppt,.oab,.msg,.mapimail,.jnt,.doc,.dbx,.contact,.mid,.wma,.flv,.mkv,.mov,.avi,.asf,.mpeg,.vob,.mpg,.wmv,.fla,.swf,.wav,.qcow2,.vdi,.vmdk,.vmx,.wallet,.upk,.lav,.ltx,.litesql,.litemod,.lbf,.iwi,.forge,.das,.d3dbsp,.bsa,.bik,.asset,.apk,.gpg,.aes,.ARC,. PAQ,.tar.bz2,.tbk,.bak,. tar,.tgz,.rar,.zip,.djv,.djvu,.svg,.bmp,.png,.gif,.raw,.cgm,.jpeg,.jpg,.tif,.tiff,.NEF,.psd,.cmd,.bat,.class,.jar,.java,.asp,.brd,.sch,.dch,.dip,.vbs,.asm,.pas,.cpp,.php,.ldf,.mdf,.ibd,.MYI,.MYD,.frm,.odb,.dbf,.mdb,.sql,.SQLITEDB,.SQLITE3,.pst,.onetoc2,.asc,.lay6,.lay,. ms11 (Cópia de segurança),.sldm,.sldx,.ppsm,.ppsx,.ppam,.docb,.mml,.sxm,.otg,.odg,.op,.potx,.potm,.pptx,.pptm,.std,.sxd,.pot,.pps,.sti,.sxi,.otp,.odp,.wks,.xltx,.xltm,.xlsx,.xlsm,.xlsb,.slk,.xlw,. xlt,.xlm,.xlc,.dif,.stc,.sxc,.ots,.ods,.hwp,.dotm,.dotx,.docm,.docx,.DOT,.max,.xml,.txt,.CSV,.uot,.RTF,.pdf,.XLS,.PPT,.stw,.sxw,.ot,.odt,.DOC,.pem,.csr,.crt,.ke.

Como Impede o ataque Locky Ransomware

O Locky é um vírus perigoso, que possui uma grave ameaça para o seu PC. É recomendado que você siga estas instruções para evitar o ransomware e evitar ser infectado.

1. Tenha sempre um software anti-malware e um software anti-ransomware protegendo seu PC e atualizando-o regularmente.
2. Atualize seu sistema operacional Windows e o restante de seu software para mitigar possíveis explorações de software.
3. Faça backup de seus arquivos importantes regularmente. É uma boa opção mantê-los salvos off-line do que em um armazenamento em nuvem, já que o vírus pode chegar lá
4. Desativar o carregamento de macros em programas do Office. Abrir um arquivo de documento infectado do Word pode ser arriscado!
5. Não abra cegamente os e-mails nas seções de e-mail `spam` ou `Junk`. Isso poderia levá-lo a abrir um email contendo o malware. Pense antes de clicar em links da Web em sites ou e-mails ou fazer o download de anexos de e-mail de remetentes que você não conhece. Não clique ou abra esses anexos:
1. Arquivos com extensão.LNK
2. Arquivos com extensão.wsf
3. Arquivos com extensão de ponto duplo (por exemplo, perfil-p29d… wsf).

Ler : O que fazer após um ataque Ransomware no seu computador Windows?

Como descriptografar o Locky Ransomware

A partir de agora, não há decodificadores disponíveis para o ransomware Locky. No entanto, um Decryptor do Emsisoft pode ser usado para descriptografar arquivos criptografados pelo AutoLocky , outro ransomware que também renomeia os arquivos para a extensão.locky. O AutoLocky usa a linguagem de script AutoI e tenta imitar o complexo e sofisticado ransomware Locky. Você pode ver a lista completa de ferramentas de descriptografia de ransomware disponíveis aqui

Fontes e Créditos : Microsoft | BleepingComputer | PCRisk.