Locky Ransomware – UPDATE 2017.09.20 | Nemzeti Kibervédelmi Intézet

Locky Ransomware – UPDATE 2017.09.20

2017. szeptember 20. 15:53

CH azonosító

CH-13033

Angol cím

Locky Ransomware

Felfedezés dátuma

2016.02.15.

Súlyosság

Közepes

Érintett rendszerek

Microsoft
Windows

Érintett verziók

Microsoft Windows

Összefoglaló

A Locky egy olyan Cryptolocker variáns (Cryptolocker.AF), amely a felhasználó egyes fájljait titkosítja, majd megpróbálja eladni a titkosítás feloldásához szükséges jelszót.

Leírás

UPDATE – 2017. 09. 26

Megjelent egy új „ykcol” nevű variáns, amit 18-án egy nagyobb malspam kampány keretében nagy mennyiségben terjesztettek (http://www.malware-traffic-analysis.net/2017/09/18/index2.html).

Az e-mail csatolmányában először .7z-be csomagolt VBScriptek voltak, azóta felbukkantak makrókkal ellátott Word dokumentumok is. A mellékletek a szokásos módon nem a zsarolóvírusokat, csak az azokat letöltő kódokat tartalmazzák.

Részletek az alábbi linken olvashatók:

https://www.bleepingcomputer.com/news/security/locky-ransomware-switches-to-the-ykcol-extension-for-encrypted-files/

UPDATE – 2017.09.20

A Trend Micro legújabb jelentése szerint újabb spam kampányt indítottak a Locky terjesztői. Ebben a kampányban már több ransomware-t egyidejűleg alkalmaznak (Locky, FakeGlobal), ami azt jelenti, hogy a most terjedő emailekben lévő csatolmányból települő ransomware típusa folyamatosan változik. Ez azt eredményezheti, hogy egy informatikai rendszeren belül akár több különboző ransomware program is kódolhatja ugyan azokat a gépeket, ami akár azt is okozhatja, hogy még a megfelelő visszafejtő algoritmussal sem lehet visszafejteni a kódolt rendszereket. A kéretlen levél a szövegtörzsében szereplő gyanús hivatkozásról is felismerhető, a .7z vagy .7-zip végződésről.

Részletek az alábbi linken olvashatók:

http://blog.trendmicro.com/trendlabs-security-intelligence/locky-ransomware-pushed-alongside-fakeglobe-upgraded-spam-campaigns/

Ransomware elleni megelőzési technikák:

https://www.trendmicro.com/vinfo/us/security/news/cybercrime-and-digital-threats/best-practices-ransomware

Új IoC-k:

Domainek:

cabbiemail.com/JIKJHgft
geolearner.com/JIKJHgft
m-tensou.net/JIKJHgft?
naturofind.org/p66/JIKJHgft
newhostrcm.top/admin.php?f=1
newhostrcm.top/admin.php?f=2
qolseaboomdog.top/support.php?f=1
qolseaboomdog.top/support.php?f=2

SHA256 hash:
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UPDATE – 2017.09.08

A legújabb információk alapján a Locky Ransomware új módon próbálja a gyanútlan felhasználókat rávenni a kártékony tartalom megnyitására.

A korábbi módszer helyett, miszerint az e-mail mellékletében található csatolmány volt fertőzött, most egy olyan üzenetet küldenek, aminek nincs csatolmánya, viszont az e-mail törzsében egy olyan link megnyitására ösztönöznek, ami tartalmazza a vírust.

Az üzenetekben arra hivatkoznak, hogy a felhasználónak új fax- vagy hangüzenete illetve számlája érkezett, amit a megadott linkre kattintva tekinthet/hallgathat meg.
Ezeket a hivatkozásokat semmi esetre se nyissa meg!

A gyanús link felépítése:
http://[különböző domain nevek]/fax.html
http://[különböző domain nevek]/MS_INV_1046.7z

Részletek az alábbi linken olvashatók:
http://www.malware-traffic-analysis.net/2017/09/07/index2.html

UPDATE – 2017.09.02

Indiai hírforrások arra hivatkoznak, hogy a Locky zsarolóvírus több Delhi székhelyű vállalkozást megfertőzött:
http://www.moneycontrol.com/news/trends/it/locky-ransomware-several-delhi-based-firms-systems-locked-2378993.html

Az előző támadáshoz képest az e-mail-ekben további tárgymezők jelentek meg: “photo”, “pictures”.
Az e-mail csatolmánya Visual Basic Script-et (VBS) tartalmaz, ami a greatesthits[.]mygoldmusic[.]com domain-re hivatkozik. (A weblap kártékony, ne nyissa meg!)
A vírus a “.lukitus” kiterjesztés mellett “.diablo6”-ot is használ.

Az indiai CERT (CERT-In) weboldalán bővebb technikai információ olvasható:
http://www.cert-in.org.in/

UPDATE – 2017.09.01: A Locky Ransomware új variánsa terjed az interneten.

Legújabb észrevételek szerint az e-mail-ek formája és tárgya újabbakkal bővült:

Megjelentek a Dropbox témájú e-mail variációk: Hamisított feladóval valósnak tűnő e-mailek kezdtek el terjedni, melyek fertőzött csatolmányt nem, de kártákony oldalra mutató hivatkozásokat tartalmaznak. Feladóként használják például a no-reply@dropbox.com.

A fertőző email nagy valószínűséggel felismerhető a tárgy mező szövegéből ami hasonlít ezekre: “Emailing: Payment_201708-6165”, ”please print”, “documents”, “scans”, “images”, “New voice message xxxx from xxxx”, illetve hogy csatolva van hozzá egy – jellemzően PDF, RAR, vagy ZIP/7zip – fájl. Észleltek már hamis, HoeflerText betűtípus telepítésére ösztönző üzenetet és látszólag a DropBox-tól érkezett e-mailt is, amelyben az account ellenőrzésére próbálják meg rávenni a felhasználót. A fájlok kampánytól függően változhatnak, az egyes kiterjesztések ismert előfordulását lentebb részletezzük.
A titkosítás során a vírus a fájlok kiterjesztését .lukitus-ra változtatja, lecseréli a háttérképet és elhelyezi az Asztalon a Lukitus.htm fájlt.

Új aktív kampányok:

Aug-09: MalSpam csatolmány .zip benne .vbs malware.

 
VBS: 4c1975295603dbb3994627a499416b71
Payload: 0d0823d9a5d000b80e27090754f59ee5

Aug-11: MalSpam csatolmány PDF benne beágyazott .DOCM fájl.


PDF: 84fd7ba91a587cbf8e20d0f2d5fda285

DOC: 97414e16331df438b2d7da0dad75a8d5

Payload: 9dcdfbb3e8e4020e4cf2fc77e86daa76

Aug-14: MalSpam csatolmány RAR benne .JS malware.


JS: badea58f10d5d2bb242962e3c47ff472

Exe: 6b4221adf0ecb55cd1a4810330b4e1e4

Aug-15: MalSpam csatolmány ZIP benne .JS malware.


JS: 5f1af4f2702a6bc7f5250c9879487f66

Exe: 89ed8780cae257293f610817d6bf1a2e

Aug-16: MalSpam castolmány ZIP benne .JS malware.


JS: f2c97bd1793ff93073bfde61d12f482b

Exe: 4baa57a08c90b78d16c634c22385a748

Új IoC-k:

Word dokumentumok:

b613b1c80b27fb21cfc95fb9cd59b4bb64c9fda0651d5ca05b0b50f76b04c9f4

8ca111f79892cb445c44588f1ade817abcbb3f3e39971f0ef7891b90f09de1e9

23d51440e2325808add6a1e338c697adc10fc0fa6d2ae804cc94af3e725c34cf

Locky:

newhostrcm[.]top/admin.php?f=1

doctorfeelk[.]top/admin.php?f=1

47.89.250.152

7cdcb878bf9bf5bb48a0034b04969c74401b25a516078ffd7f721d8098b2a774

933bd8262a34770b06ebe64c800f98d68082c2929af69c3feae7dd4c2aa6a897

—

A kártevő spam e-mailek sgeítségével kerülhet a számítógépre, mely csatolmányának megnyitásával aktiválódik, továbbá fájlmegosztások, és közösségi oldalak segítségével is bekerülhet a rendszerbe, mely esetben tipikusan hasznos szoftvert kínál egy bejegyzés, majd ha a felhasználó rákattint a kártevő a számítógépre kerül.

Amint aktiválódik létrehoz egy regisztrációs bejegzést hogy automatikusan indulhasson:

HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun”Locky” = “%Temp%[RANDOM FILE NAME].exe”

Létrehozza az alábbi regisztrációs bejegyzéseket:

HKEY_USERSSoftwareLocky”completed” = “1”
HKEY_USERSSoftwareLocky”completed” = “1”
HKEY_USERSSoftwareLocky”paytext” = “[HEXADECIMAL VALUE]”
HKEY_USERSSoftwareLocky”id” = “[UNIQUE HEXADECIMAL ID]”
HKEY_USERSSoftwareLocky”pubkey” = “[PUBLIC KEY]”

Létrehozza az alábbi állományt melyben a fizetéshez szükséges információk találhatóak: _Locky_recover_instructions.txt,

Az állományban található linkre kattintva egy kép jelenik meg, melyben további instrukciók találhatóak. A képben többek között kiderül hogy a fájl visszafejtéshez 1 bitcoin megvásárlása szükséges.

A kártevő az alábbi kiterjesztésű állományokat, titkosítja, és tipikusan azokban a mappákban keres melyek dokumentumokat tartalmaznak: