Locky este un vierme de rețea și un ransomware care atacă sistemele de operare Microsoft Windows și Mac OS . A devenit viral în 2016. Este distribuit prin e-mail (sub pretextul unei facturi care necesită plata) cu un document Microsoft Word atașat care conține macrocomenzi rău intenționate [1] . Este un troian de criptare care criptează fișierele de pe computerele infectate. Drept urmare, ransomware-ul încearcă să colecteze răscumpărare pentru decriptare de la utilizatorii computerelor infectate.
Mecanismul de infectare este primirea unui e-mail cu un document Microsoft Word atașat care conține cod rău intenționat. Când este deschis, fișierul solicită utilizatorului să activeze macrocomenzi pentru a vizualiza documentul. Activarea macrocomenzilor și deschiderea unui document lansează virusul Locky [2] . După ce virusul este lansat, acesta este încărcat în memoria de sistem a utilizatorului și criptează documentele sub formă de fișiere hash.locky. Inițial, numai extensia de fișier .locky a fost folosită pentru fișierele criptate. Ulterior, au fost utilizate alte extensii de fișiere, inclusiv .zepto, .odin, .aesir, .thor și .zzzzz. Odată criptat, un mesaj (afișat pe desktopul utilizatorului) îi cere să descarce browserul Tor și să viziteze un anumit site web criminal pentru mai multe informații. Site-ul web conține instrucțiuni care necesită o plată între 0,5 și 1 bitcoin (din noiembrie 2017, valoarea unui bitcoin variază de la 9.000 USD la 10.000 USD printr-un schimb de bitcoin). Deoarece criminalii au cheia privată și serverele la distanță sunt controlate de ei, victimele sunt motivate să plătească pentru a le decripta fișierele [2] [3] .
Pe 22 iunie 2016, Necurs a lansat o nouă versiune de Locky cu o nouă componentă bootloader care include mai multe metode pentru a evita detectarea, cum ar fi detectarea dacă rulează pe o mașină virtuală sau pe o mașină fizică și relocarea codului de instrucțiune [4] .
De la lansarea Locky, au fost lansate multe variante care folosesc diverse extensii pentru fișierele criptate. Multe dintre aceste extensii poartă numele zeilor din mitologia nordică și egipteană. La prima lansare, extensia folosită pentru fișierele criptate era .Locky. Alte versiuni foloseau extensiile .zepto, .odin, .shit, .thor, .aesir și .zzzzz pentru fișierele criptate. Versiunea actuală, lansată în decembrie 2016, folosește extensia .osiris pentru fișierele criptate [5] .
De la lansarea ransomware-ului, au fost folosite multe metode de distribuție diferite. Aceste metode de distribuție includ kituri de exploatare [6] , atașamente Word și Excel cu macrocomenzi rău intenționate [7] , atașamente DOCM [8] și atașamente JS [9] .
Locky folosește RSA-2048 + AES-128 cu modul ECB pentru criptarea fișierelor. Cheile sunt generate pe partea serverului, ceea ce face imposibilă decriptarea manuală, iar Locky Ransomware poate cripta fișierele de pe toate hard disk-urile, unitățile amovibile, unitățile de rețea și unitățile RAM [10] .
Începând cu 16 februarie 2016, Locky a fost trimis la aproximativ jumătate de milion de utilizatori și imediat după ce atacatorii și-au mărit distribuția către milioane de utilizatori. În ciuda versiunii mai noi, datele Google Trend arată că infecțiile s-au oprit în jurul lunii iunie 2016 [11] .
Pe 18 februarie 2016, Hollywood Presbyterian Medical Center a plătit o răscumpărare de 17.000 USD în bitcoin pentru o cheie de decriptare a datelor pacientului [12] .
În aprilie 2016, computerele de la Dartford College of Science and Technology au fost infectate cu un virus. Elevul a deschis e-mailul infectat, care s-a răspândit rapid și a criptat multe dintre fișierele școlii. Virusul a rămas pe computer câteva săptămâni. În cele din urmă, au reușit să elimine virusul utilizând System Restore pentru toate computerele.
Microsoft a reușit să capteze șase milioane de nume de domenii utilizate de botnetul Necurs [ 13] .
Dragă (nume aleatoriu):
Vă rugăm să găsiți în anexă factura noastră pentru serviciile prestate și plățile suplimentare în problema menționată mai sus.
Sperând ca cele de mai sus să vă satisfacă, rămânem
Cu sinceritate,
(nume aleatoriu)
(titlu aleatoriu)