Locky Ransomware – UPDATE 2017.09.20

CH azonosító

Angol cím

Felfedezés dátuma

Súlyosság

Érintett rendszerek

Érintett verziók

Microsoft Windows

Összefoglaló

A Locky egy olyan Cryptolocker variáns (Cryptolocker.AF), amely a felhasználó egyes fájljait titkosítja, majd megpróbálja eladni a titkosítás feloldásához szükséges jelszót.

Leírás

UPDATE – 2017. 09. 26

Megjelent egy új „ykcol” nevű variáns, amit 18-án egy nagyobb malspam kampány keretében nagy mennyiségben terjesztettek (http://www.malware-traffic-analysis.net/2017/09/18/index2.html).

Az e-mail csatolmányában először .7z-be csomagolt VBScriptek voltak, azóta felbukkantak makrókkal ellátott Word dokumentumok is. A mellékletek a szokásos módon nem a zsarolóvírusokat, csak az azokat letöltő kódokat tartalmazzák.

Részletek az alábbi linken olvashatók:

https://www.bleepingcomputer.com/news/security/locky-ransomware-switches-to-the-ykcol-extension-for-encrypted-files/ 

UPDATE – 2017.09.20

A Trend Micro legújabb jelentése szerint újabb spam kampányt indítottak a Locky terjesztői. Ebben a kampányban már több ransomware-t egyidejűleg alkalmaznak (Locky, FakeGlobal), ami azt jelenti, hogy a most terjedő emailekben lévő csatolmányból települő ransomware típusa folyamatosan változik. Ez azt eredményezheti, hogy egy informatikai rendszeren belül akár több különboző ransomware program is kódolhatja ugyan azokat a gépeket, ami akár azt is okozhatja, hogy még a megfelelő visszafejtő algoritmussal sem lehet visszafejteni a kódolt rendszereket. A kéretlen levél a szövegtörzsében szereplő gyanús hivatkozásról is felismerhető, a .7z vagy .7-zip végződésről.

Részletek az alábbi linken olvashatók:

http://blog.trendmicro.com/trendlabs-security-intelligence/locky-ransomware-pushed-alongside-fakeglobe-upgraded-spam-campaigns/

Ransomware elleni megelőzési technikák:

https://www.trendmicro.com/vinfo/us/security/news/cybercrime-and-digital-threats/best-practices-ransomware

Új IoC-k:

Domainek:

• cabbiemail.com/JIKJHgft
• geolearner.com/JIKJHgft
• m-tensou.net/JIKJHgft?
• naturofind.org/p66/JIKJHgft
• newhostrcm.top/admin.php?f=1
• newhostrcm.top/admin.php?f=2
• qolseaboomdog.top/support.php?f=1
• qolseaboomdog.top/support.php?f=2  

SHA256 hash:

• 067eb2754a823953a6efa1dfe9353eeabf699f171d21ffbff8e2303f7f678139
• 0f6ae637a9d15503a0af42be649388f01f8637ca16b15526e318a94b7f34bf6e
• 12e75bdbc3f0b489a89104c646aee10a71277c22b6abbc6e346d1ba6f17edf6d
• 39256f126bba17770310c2115586b9f22b858cf15c43ab36bd7cfb18ad63a0c2
• 3cb4484976676ac043fae870addaa57e858c1286cdb17d01ef8c973c5ec5b015
• 4d4a0e1d7218180452e22e6b52a7f9a0db1e0c0aa51a48f9a79c600b51030050
• 6bdf46209fda582d7af5b74770b0eccf6abd3dbeabce3bdfb88db2f252ee778a
• a299f3de0c9277c0ce7dd3f7dc9aee57a7abe78b155919b1ecced1896c69653b
• bb1df4a93fc27c54c78f84323e0ea7bb2b54469893150e3ea991826c81b56f47
• e75e5d374f20c386b1114252647cca7bd407190cafb26c6cfbd42c5f9223fe6c 
• efb154bccff1e9a0f090a6afd7a08bf2c1fffea745b575a0bf31f22998688973  

UPDATE – 2017.09.08

A legújabb információk alapján a Locky Ransomware új módon próbálja a gyanútlan felhasználókat rávenni a kártékony tartalom megnyitására.

A korábbi módszer helyett, miszerint az e-mail mellékletében található csatolmány volt fertőzött, most egy olyan üzenetet küldenek, aminek nincs csatolmánya, viszont az e-mail törzsében egy olyan link megnyitására ösztönöznek, ami tartalmazza a vírust.

Az üzenetekben arra hivatkoznak, hogy a felhasználónak új fax- vagy hangüzenete illetve számlája érkezett, amit a megadott linkre kattintva tekinthet/hallgathat meg.
Ezeket a hivatkozásokat semmi esetre se nyissa meg!

A gyanús link felépítése:
http://[különböző domain nevek]/fax.html
http://[különböző domain nevek]/MS_INV_1046.7z

Részletek az alábbi linken olvashatók:
http://www.malware-traffic-analysis.net/2017/09/07/index2.html

UPDATE – 2017.09.02

Indiai hírforrások arra hivatkoznak, hogy a Locky zsarolóvírus több Delhi székhelyű vállalkozást megfertőzött:
http://www.moneycontrol.com/news/trends/it/locky-ransomware-several-delhi-based-firms-systems-locked-2378993.html

Az előző támadáshoz képest az e-mail-ekben további tárgymezők jelentek meg: “photo”, “pictures”.
Az e-mail csatolmánya Visual Basic Script-et (VBS) tartalmaz, ami a greatesthits[.]mygoldmusic[.]com domain-re hivatkozik. (A weblap kártékony, ne nyissa meg!)
A vírus a “.lukitus” kiterjesztés mellett “.diablo6”-ot is használ.

Az indiai CERT (CERT-In) weboldalán bővebb technikai információ olvasható:
http://www.cert-in.org.in/

UPDATE – 2017.09.01: A Locky Ransomware új variánsa terjed az interneten. 

Legújabb észrevételek szerint az e-mail-ek formája és tárgya újabbakkal bővült:

Megjelentek a Dropbox témájú e-mail variációk: Hamisított feladóval valósnak tűnő e-mailek kezdtek el terjedni, melyek fertőzött csatolmányt nem, de kártákony oldalra mutató hivatkozásokat tartalmaznak. Feladóként használják például a no-reply@dropbox.com.

A fertőző email nagy valószínűséggel felismerhető a tárgy mező szövegéből ami hasonlít ezekre: “Emailing: Payment_201708-6165”, ”please print”, “documents”, “scans”, “images”, “New voice message xxxx from xxxx”, illetve hogy csatolva van hozzá egy – jellemzően PDF, RAR, vagy ZIP/7zip – fájl. Észleltek már hamis, HoeflerText betűtípus telepítésére ösztönző üzenetet és látszólag a DropBox-tól érkezett e-mailt is, amelyben az account ellenőrzésére próbálják meg rávenni a felhasználót. A fájlok kampánytól függően változhatnak, az egyes kiterjesztések ismert előfordulását lentebb részletezzük.
A titkosítás során a vírus a fájlok kiterjesztését .lukitus-ra változtatja, lecseréli a háttérképet és elhelyezi az Asztalon a Lukitus.htm fájlt.

Új aktív kampányok:

• Aug-09: MalSpam csatolmány .zip benne .vbs malware.

   
  VBS: 4c1975295603dbb3994627a499416b71
  Payload: 0d0823d9a5d000b80e27090754f59ee5

• Aug-11: MalSpam csatolmány PDF benne beágyazott .DOCM fájl.

  
  PDF: 84fd7ba91a587cbf8e20d0f2d5fda285
  
  DOC: 97414e16331df438b2d7da0dad75a8d5
  
  Payload: 9dcdfbb3e8e4020e4cf2fc77e86daa76
  

• Aug-14: MalSpam csatolmány RAR benne .JS malware.

  
  JS: badea58f10d5d2bb242962e3c47ff472
  
  Exe: 6b4221adf0ecb55cd1a4810330b4e1e4

• Aug-15: MalSpam csatolmány ZIP benne .JS malware.

  
  JS: 5f1af4f2702a6bc7f5250c9879487f66
  
  Exe: 89ed8780cae257293f610817d6bf1a2e

• Aug-16: MalSpam castolmány ZIP benne .JS malware.

  
  JS: f2c97bd1793ff93073bfde61d12f482b
  
  Exe: 4baa57a08c90b78d16c634c22385a748

Új IoC-k:

Word dokumentumok:

b613b1c80b27fb21cfc95fb9cd59b4bb64c9fda0651d5ca05b0b50f76b04c9f4

8ca111f79892cb445c44588f1ade817abcbb3f3e39971f0ef7891b90f09de1e9

23d51440e2325808add6a1e338c697adc10fc0fa6d2ae804cc94af3e725c34cf

Locky:

newhostrcm[.]top/admin.php?f=1

doctorfeelk[.]top/admin.php?f=1

47.89.250.152

7cdcb878bf9bf5bb48a0034b04969c74401b25a516078ffd7f721d8098b2a774

933bd8262a34770b06ebe64c800f98d68082c2929af69c3feae7dd4c2aa6a897

—

A kártevő spam e-mailek sgeítségével kerülhet a számítógépre, mely csatolmányának megnyitásával aktiválódik, továbbá fájlmegosztások, és közösségi oldalak segítségével is bekerülhet a rendszerbe, mely esetben tipikusan hasznos szoftvert kínál egy bejegyzés, majd ha a felhasználó rákattint a kártevő a számítógépre kerül.

Amint aktiválódik létrehoz egy regisztrációs bejegzést hogy automatikusan indulhasson:

HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun”Locky” = “%Temp%[RANDOM FILE NAME].exe”

Létrehozza az alábbi regisztrációs bejegyzéseket:

• HKEY_USERSSoftwareLocky”completed” = “1”
• HKEY_USERSSoftwareLocky”completed” = “1”
• HKEY_USERSSoftwareLocky”paytext” = “[HEXADECIMAL VALUE]”
• HKEY_USERSSoftwareLocky”id” = “[UNIQUE HEXADECIMAL ID]”
• HKEY_USERSSoftwareLocky”pubkey” = “[PUBLIC KEY]”

Létrehozza az alábbi állományt melyben a fizetéshez szükséges információk találhatóak: _Locky_recover_instructions.txt,

Az állományban található linkre kattintva egy kép jelenik meg, melyben további instrukciók találhatóak. A képben többek között kiderül hogy a fájl visszafejtéshez 1 bitcoin megvásárlása szükséges.

A kártevő az alábbi kiterjesztésű állományokat, titkosítja, és tipikusan azokban a mappákban keres melyek dokumentumokat tartalmaznak:

• .123
• .3dm
• .3ds
• .3g2
• .3gp
• .602
• .7z
• .aes
• .ARC
• .asc
• .asf
• .asm
• .asp
• .avi
• .bak
• .bat
• .bmp
• .brd
• .cgm
• .class
• .cmd
• .cpp
• .crt
• .cs
• .csr
• .CSV
• .db
• .dbf
• .dch
• .dif
• .dip
• .djv
• .djvu
• .DOC
• .docb
• .docm
• .docx
• .DOT
• .dotm
• .dotx
• .fla
• .flv
• .frm
• .gif
• .gpg
• .gz
• .hwp
• .ibd
• .jar
• .java
• .jpeg
• .jpg
• .js
• .key
• .lay
• .lay6
• .ldf
• .m3u
• .m4u
• .max
• .mdb
• .mdf
• .mid
• .mkv
• .mml
• .mov
• .mp3
• .mp4
• .mpeg
• .mpg
• .ms11
• .MYD
• .MYI
• .NEF
• .odb
• .odg
• .odp
• .ods
• .odt
• .otg
• .otp
• .ots
• .ott
• .p12
• .PAQ
• .pas
• .pdf
• .pem
• .php
• .pl
• .png
• .pot
• .potm
• .potx
• .ppam
• .pps
• .ppsm
• .ppsx
• .PPT
• .pptm
• .pptx
• .psd
• .qcow2
• .rar
• .raw
• .rb
• .RTF
• .sch
• .sh
• .sldm
• .sldx
• .slk
• .sql
• .SQLITE3
• .SQLITEDB
• .stc
• .std
• .sti
• .stw
• .svg
• .swf
• .sxc
• .sxd
• .sxi
• .sxm
• .sxw
• .tar
• .tar.bz2
• .tbk
• .tgz
• .tif
• .tiff
• .txt
• .uop
• .uot
• .vb
• .vbs
• .vdi
• .vmdk
• .vmx
• .vob
• .wav
• .wb2
• .wk1
• .wks
• .wma
• .wmv
• .xlc
• .xlm
• .XLS
• .xlsb
• .xlsm
• .xlsx
• .xlt
• .xltm
• .xltx
• .xlw
• .xml
• .zip

A titkosított állományok a .locky kiterjesztést kapják. 

A kártevő törli az árnyékmásolatokat. 

Az alábbi távoli kiszolgálókhoz kapcsolódik: 

• 195.154.241.208
• qheksr.de
• dkoipg.pw
• kpybuhnosdrm.in
• fnarsipfqe.pw
• sdwempsovemtr.yt
• drhxvktlaprrhl.be
• xfyubqmldwvuyar.yt
• luvenxj.uk
• cscrrxyiyc.be
• jbdog.it

Megoldás

Megoldás

Használjon offline biztonsági mentést.

Támadás típusa

Hatás

Szükséges hozzáférés

Hivatkozások

Egyéb referencia: www.symantec.com
Egyéb referencia: www.reddit.com
Egyéb referencia: sensorstechforum.com
Egyéb referencia: www.eziwireless.net.au
Egyéb referencia: www.heise.de
Egyéb referencia: www.virustotal.com
Egyéb referencia: www.virustotal.com
Egyéb referencia: www.hybrid-analysis.com
Egyéb referencia: kc.mcafee.com
Egyéb referencia: www.virustotal.com

Egyéb referencia: blog.malwarebytes.com
Egyéb referencia: blog.malwarebytes.com
Egyéb referencia: www.infosecurity-magazine.com
Egyéb referencia: www.bankinfosecurity.com
Egyéb referencia: blog.trendmicro.com