Locky är en nätverksmask och ransomware som attackerar Microsoft Windows och Mac OS operativsystem . Det blev viralt 2016. Den distribueras via e-post (under sken av en faktura som kräver betalning) med ett bifogat Microsoft Word-dokument som innehåller skadliga makron [1] . Det är en krypteringstrojan som krypterar filer på infekterade datorer. Som ett resultat försöker ransomware att samla in lösen för dekryptering från användare av infekterade datorer.
Infektionsmekanismen är att få ett e-postmeddelande med ett bifogat Microsoft Word-dokument som innehåller skadlig kod. När filen öppnas uppmanas användaren att aktivera makron för att visa dokumentet. Genom att aktivera makron och öppna ett dokument startas Locky-viruset [2] . Efter att viruset har lanserats laddas det in i användarens systemminne och krypterar dokument i form av hash.locky-filer. Från början användes endast filtillägget .locky för krypterade filer. Därefter har andra filtillägg använts, inklusive .zepto, .odin, .aesir, .thor och .zzzzz. När det väl är krypterat instrueras ett meddelande (visas på användarens skrivbord) att ladda ner Tor-webbläsaren och besöka en specifik brottslig webbplats för mer information. Webbplatsen innehåller instruktioner som kräver en utbetalning mellan 0,5 och 1 bitcoin (från och med november 2017 varierar värdet på en bitcoin från $9 000 till $10 000 genom ett bitcoinutbyte). Eftersom brottslingarna har den privata nyckeln och fjärrservrar kontrolleras av dem, motiveras offren att betala för att få sina filer dekrypterade [2] [3] .
Den 22 juni 2016 släppte Necurs en ny version av Locky med en ny bootloader-komponent som innehåller flera metoder för att undvika upptäckt, som att upptäcka om den körs på en virtuell maskin eller på en fysisk maskin och flytta instruktionskoden [4] .
Sedan Locky släpptes har många varianter släppts som använder olika tillägg för krypterade filer. Många av dessa förlängningar är uppkallade efter gudar från nordisk och egyptisk mytologi. När det först släpptes var tillägget som användes för krypterade filer .Locky. Andra versioner använde tilläggen .zepto, .odin, .shit, .thor, .aesir och .zzzzz för krypterade filer. Den nuvarande versionen, som släpptes i december 2016, använder tillägget .osiris för krypterade filer [5] .
Sedan släppet av ransomware har många olika distributionsmetoder använts. Dessa distributionsmetoder inkluderar exploateringssatser [6] , Word- och Excel-bilagor med skadliga makron [7] , DOCM-bilagor [8] och JS-bilagor [9] .
Locky använder RSA-2048 + AES-128 med ECB-läge för filkryptering. Nycklar genereras på serversidan, vilket gör manuell dekryptering omöjlig, och Locky Ransomware kan kryptera filer på alla hårddiskar, flyttbara enheter, nätverksenheter och RAM-enheter [10] .
Från och med den 16 februari 2016 sändes Locky ut till cirka en halv miljon användare, och direkt efter ökade angriparna sin distribution till miljontals användare. Trots den nyare versionen visar Google Trend-data att infektionerna upphörde runt juni 2016 [11] .
Den 18 februari 2016 betalade Hollywood Presbyterian Medical Center en lösensumma på 17 000 dollar i bitcoin för en patientdatadekrypteringsnyckel [12] .
I april 2016 infekterades datorer vid Dartford College of Science and Technology med ett virus. Eleven öppnade det infekterade mejlet, som snabbt spred sig och krypterade många av skolans filer. Viruset låg kvar på datorn i flera veckor. De lyckades så småningom ta bort viruset med systemåterställning för alla datorer.
Microsoft lyckades fånga sex miljoner domännamn som används av Necurs botnät [ 13] .
Kära (slumpmässigt namn):
Vänligen se vår bifogade faktura för utförda tjänster och ytterligare utbetalningar i ovan nämnda ärende.
Hoppas att ovanstående är tillfredsställande, vi finns kvar
vänliga hälsningar,
(slumpmässigt namn)
(slumpmässig titel)