Locky - nowy ransomware, który w ciągu godziny infekuje w Polsce ponad 1000 komputerów

Jakiś czas temu pisaliśmy o oprogramowaniu Loki - darmowym skanerze, który może wykryć nietypowe złośliwe oprogramowanie. Dzisiaj "bohaterem" naszego artykułu jest Locky, bardzo podobny w wymowie, niestety o zgoła odmiennym celu. Od kilku dni na zagranicznych portalach powiązanych z bezpieczeństwem komputerowym, można znaleźć ostrzeżenia o tym nowym złośliwym oprogramowaniu. Dwa dni temu zagrożenie Locky opisał nawet Microsoft na swojej witrynie. Locky rozprzestrzenia się za pomocą wiadomości e-mail poprzez plik Microsoft Word jako fałszywa faktura z rozszerzeniem .doc, a nazwa zainfekowanego pliku może być podobna do tego schematu: ATTN: Invoice J-98223146 (złośliwa wiadomość e-mail skierowana do polskich użytkowników może mieć inną nazwę, niewykluczone iż w języku polskim). Locky jest oprogramowaniem typu ransomware i służy do wyłudzania opłat od swoich ofiar, które tracą dostęp do swoich plików (Locky je szyfruje poprzez AES-128). Według statystyk, w ciągu godziny Locky infekuje w Polsce około 1000 komputerów. Locky na całym świecie notuje około 4000 infekcji w ciągu godziny i około 100 000 infekcji w ciągu dnia [źródło]. Locky został przetłumaczony na wiele języków, co może tłumaczyć dużą skalę infekcji.

Po otwarciu pliku Word, Locky uruchomia złośliwe makro a następnie infekuje komputer i tworzy w katalogu tymczasowym (%TEMP%) m.in zaszyfrowane pliki z rozszerzeniem .locky:

• _Locky_recover_instructions.txt;
  
• _Locky_recover_instructions.bmp;
• %temp%\svchost.exe - ransomware Locky;
• [ID][identifier].locky (zaszyfrowane pliki).
  

Przykład wiadomości e-mail w j. ang. zawierającej złośliwy plik ransomware Locky 
 (źródło: http://www.bleepingcomputer.com)

Locky po uruchomieniu modyfikuje rejestr, dodając wpisy w:

HKCU\Software\Locky
HKCU\Software\Locky\id
HKCU\Software\Locky\pubkey 
HKCU\Software\Locky\paytext
HKCU\Software\Locky\completed 1
HKCU\Control Panel\Desktop\Wallpaper "%UserProfile%\Desktop\_Locky_recover_instructions.bmp"

Złośliwy kod w pliku Word
  (źródło: http://www.bleepingcomputer.com)

Locky na komputerze ofiary oraz w zasobach sieciowych (nawet w tych niezmapowanych!) szyfruje następujące typy plików:

.mid, .wma, .flv, .mkv, .mov, .avi, .asf, .mpeg, .vob, .mpg, .wmv, .fla, .swf, .wav, .qcow2, .vdi, .vmdk, .vmx, .gpg, .aes, .ARC, .PAQ, .tar.bz2, .tbk, .bak, .tar, .tgz, .rar, .zip, .djv, .djvu, .svg, .bmp, .png, .gif, .raw, .cgm, .jpeg, .jpg, .tif, .tiff, .NEF, .psd, .cmd, .bat, .class, .jar, .java, .asp, .brd, .sch, .dch, .dip, .vbs, .asm, .pas, .cpp, .php, .ldf, .mdf, .ibd, .MYI, .MYD, .frm, .odb, .dbf, .mdb, .sql, .SQLITEDB, .SQLITE3, .asc, .lay6, .lay, .ms11 (Security copy), .sldm, .sldx, .ppsm, .ppsx, .ppam, .docb, .mml, .sxm, .otg, .odg, .uop, .potx, .potm, .pptx, .pptm, .std, .sxd, .pot, .pps, .sti, .sxi, .otp, .odp, .wks, .xltx, .xltm, .xlsx, .xlsm, .xlsb, .slk, .xlw, .xlt, .xlm, .xlc, .dif, .stc, .sxc, .ots, .ods, .hwp, .dotm, .dotx, .docm, .docx, .DOT, .max, .xml, .txt, .CSV, .uot, .RTF, .pdf, .XLS, .PPT, .stw, .sxw, .ott, .odt, .DOC, .pem, .csr, .crt, .key, wallet.dat

Mapa infekcji ransomware Locky w ciągu jednej godziny
  (źródło: https://medium.com)

Ofiara zainfekowana ransomware Locky może oczywiście odszyfrować swoje pliki poprzez specjalnie przygotowany portal w sieci dark web (za pomocą m.in. TOR) i dokonując wpłaty od 0.5 do 1 BTC (1 bitcoin to na dzień dzisiejszy około 1600 PLN):

Strona w sieci dark web umożliwiająca odzyskanie zaszyfrowanych plików
  (źródło: https://nakedsecurity.sophos.com)

Pomimo wiadomości wyglądającej na spam (m.in. nietypowy adres źródłowy e-mail) oraz podejrzanej treści, polscy użytkownicy dają się jednak nabrać i uruchamiają ten złośliwy plik Word. Jak się bronić przed Locky? Po pierwsze nie otwierać podejrzanych załączników oraz wyłączyć uruchamianie makr w oprogramowaniu Microsoft Word w Centrum zaufania (jeśli są włączone):

Analiza złośliwego pliku Locky na virustotal:

https://www.virustotal.com/en/file/97b13680d6c6e5d8fff655fe99700486cbdd097cfa9250a066d247609f85b9b9/analysis/ 

Więcej informacji o Locky znajdziecie pod tymi adresami:
https://medium.com/@networksecurity/you-your-endpoints-and-the-locky-virus-b49ef8241bea#.b82pwaai1 

https://www.microsoft.com/security/portal/threat/Encyclopedia/Entry.aspx?Name=Ransom:Win32/Locky.A

http://www.bleepingcomputer.com/news/security/the-locky-ransomware-encrypts-local-files-and-unmapped-network-shares/

https://nakedsecurity.sophos.com/2016/02/17/locky-ransomware-what-you-need-to-know/


Najnowsze sygnatury oprogramowania LOKI o którym pisaliśmy tutaj, zwierają już mechanizmy wykrywania ransomware Locky.  

Źródło:
https://www.microsoft.com
https://medium.com
http://www.bleepingcomputer.com
https://nakedsecurity.sophos.com