Locky Ransomware - UPDATE 2017.09.20
Angol cím: 
Locky Ransomware
CERT-Hungary ID: 
CH-13033
Felfedezés dátuma: 
2016-02-16
Összefoglaló: 

A Locky egy olyan Cryptolocker variáns (Cryptolocker.AF), amely a felhasználó egyes fájljait titkosítja, majd megpróbálja eladni a titkosítás feloldásához szükséges jelszót.

Leírás: 

UPDATE - 2017. 09. 26

Megjelent egy új „ykcol” nevű variáns, amit 18-án egy nagyobb malspam kampány keretében nagy mennyiségben terjesztettek (http://www.malware-traffic-analysis.net/2017/09/18/index2.html).

Az e-mail csatolmányában először .7z-be csomagolt VBScriptek voltak, azóta felbukkantak makrókkal ellátott Word dokumentumok is. A mellékletek a szokásos módon nem a zsarolóvírusokat, csak az azokat letöltő kódokat tartalmazzák.

Részletek az alábbi linken olvashatók:

https://www.bleepingcomputer.com/news/security/locky-ransomware-switches...

 

UPDATE - 2017.09.20

A Trend Micro legújabb jelentése szerint újabb spam kampányt indítottak a Locky terjesztői. Ebben a kampányban már több ransomware-t egyidejűleg alkalmaznak (Locky, FakeGlobal), ami azt jelenti, hogy a most terjedő emailekben lévő csatolmányból települő ransomware típusa folyamatosan változik. Ez azt eredményezheti, hogy egy informatikai rendszeren belül akár több különboző ransomware program is kódolhatja ugyan azokat a gépeket, ami akár azt is okozhatja, hogy még a megfelelő visszafejtő algoritmussal sem lehet visszafejteni a kódolt rendszereket. A kéretlen levél a szövegtörzsében szereplő gyanús hivatkozásról is felismerhető, a .7z vagy .7-zip végződésről.

Részletek az alábbi linken olvashatók:

http://blog.trendmicro.com/trendlabs-security-intelligence/locky-ransomw...

Ransomware elleni megelőzési technikák:

https://www.trendmicro.com/vinfo/us/security/news/cybercrime-and-digital...

Új IoC-k:

Domainek:

  • cabbiemail.com/JIKJHgft
  • geolearner.com/JIKJHgft
  • m-tensou.net/JIKJHgft?
  • naturofind.org/p66/JIKJHgft
  • newhostrcm.top/admin.php?f=1
  • newhostrcm.top/admin.php?f=2
  • qolseaboomdog.top/support.php?f=1
  • qolseaboomdog.top/support.php?f=2  

SHA256 hash:

  • 067eb2754a823953a6efa1dfe9353eeabf699f171d21ffbff8e2303f7f678139
  • 0f6ae637a9d15503a0af42be649388f01f8637ca16b15526e318a94b7f34bf6e
  • 12e75bdbc3f0b489a89104c646aee10a71277c22b6abbc6e346d1ba6f17edf6d
  • 39256f126bba17770310c2115586b9f22b858cf15c43ab36bd7cfb18ad63a0c2
  • 3cb4484976676ac043fae870addaa57e858c1286cdb17d01ef8c973c5ec5b015
  • 4d4a0e1d7218180452e22e6b52a7f9a0db1e0c0aa51a48f9a79c600b51030050
  • 6bdf46209fda582d7af5b74770b0eccf6abd3dbeabce3bdfb88db2f252ee778a
  • a299f3de0c9277c0ce7dd3f7dc9aee57a7abe78b155919b1ecced1896c69653b
  • bb1df4a93fc27c54c78f84323e0ea7bb2b54469893150e3ea991826c81b56f47
  • e75e5d374f20c386b1114252647cca7bd407190cafb26c6cfbd42c5f9223fe6c 
  • efb154bccff1e9a0f090a6afd7a08bf2c1fffea745b575a0bf31f22998688973  

 

UPDATE - 2017.09.08

A legújabb információk alapján a Locky Ransomware új módon próbálja a gyanútlan felhasználókat rávenni a kártékony tartalom megnyitására.

A korábbi módszer helyett, miszerint az e-mail mellékletében található csatolmány volt fertőzött, most egy olyan üzenetet küldenek, aminek nincs csatolmánya, viszont az e-mail törzsében egy olyan link megnyitására ösztönöznek, ami tartalmazza a vírust.

Az üzenetekben arra hivatkoznak, hogy a felhasználónak új fax- vagy hangüzenete illetve számlája érkezett, amit a megadott linkre kattintva tekinthet/hallgathat meg.
Ezeket a hivatkozásokat semmi esetre se nyissa meg!

A gyanús link felépítése:
http://[különböző domain nevek]/fax.html
http://[különböző domain nevek]/MS_INV_1046.7z

Részletek az alábbi linken olvashatók:
http://www.malware-traffic-analysis.net/2017/09/07/index2.html

 

UPDATE - 2017.09.02

Indiai hírforrások arra hivatkoznak, hogy a Locky zsarolóvírus több Delhi székhelyű vállalkozást megfertőzött:
http://www.moneycontrol.com/news/trends/it/locky-ransomware-several-delh...

Az előző támadáshoz képest az e-mail-ekben további tárgymezők jelentek meg: "photo", "pictures".
Az e-mail csatolmánya Visual Basic Script-et (VBS) tartalmaz, ami a greatesthits[.]mygoldmusic[.]com domain-re hivatkozik. (A weblap kártékony, ne nyissa meg!)
A vírus a ".lukitus" kiterjesztés mellett ".diablo6"-ot is használ.

Az indiai CERT (CERT-In) weboldalán bővebb technikai információ olvasható:
http://www.cert-in.org.in/

 

UPDATE - 2017.09.01: A Locky Ransomware új variánsa terjed az interneten. 

Legújabb észrevételek szerint az e-mail-ek formája és tárgya újabbakkal bővült:

Megjelentek a Dropbox témájú e-mail variációk: Hamisított feladóval valósnak tűnő e-mailek kezdtek el terjedni, melyek fertőzött csatolmányt nem, de kártákony oldalra mutató hivatkozásokat tartalmaznak. Feladóként használják például a no-reply [at] dropbox [dot] com.

A fertőző email nagy valószínűséggel felismerhető a tárgy mező szövegéből ami hasonlít ezekre: "Emailing: Payment_201708-6165", ”please print”, “documents”, “scans”, “images”, "New voice message xxxx from xxxx", illetve hogy csatolva van hozzá egy - jellemzően PDF, RAR, vagy ZIP/7zip - fájl. Észleltek már hamis, HoeflerText betűtípus telepítésére ösztönző üzenetet és látszólag a DropBox-tól érkezett e-mailt is, amelyben az account ellenőrzésére próbálják meg rávenni a felhasználót. A fájlok kampánytól függően változhatnak, az egyes kiterjesztések ismert előfordulását lentebb részletezzük.
A titkosítás során a vírus a fájlok kiterjesztését .lukitus-ra változtatja, lecseréli a háttérképet és elhelyezi az Asztalon a Lukitus.htm fájlt.

Új aktív kampányok:

  • Aug-09: MalSpam csatolmány .zip benne .vbs malware.
    VBS: 4c1975295603dbb3994627a499416b71
    Payload: 0d0823d9a5d000b80e27090754f59ee5
  • Aug-11: MalSpam csatolmány PDF benne beágyazott .DOCM fájl.
    PDF: 84fd7ba91a587cbf8e20d0f2d5fda285
    DOC: 97414e16331df438b2d7da0dad75a8d5
    Payload: 9dcdfbb3e8e4020e4cf2fc77e86daa76
  • Aug-14: MalSpam csatolmány RAR benne .JS malware.
    JS: badea58f10d5d2bb242962e3c47ff472
    Exe: 6b4221adf0ecb55cd1a4810330b4e1e4
  • Aug-15: MalSpam csatolmány ZIP benne .JS malware.
    JS: 5f1af4f2702a6bc7f5250c9879487f66
    Exe: 89ed8780cae257293f610817d6bf1a2e
  • Aug-16: MalSpam castolmány ZIP benne .JS malware.
    JS: f2c97bd1793ff93073bfde61d12f482b
    Exe: 4baa57a08c90b78d16c634c22385a748

 

Új IoC-k:

Word dokumentumok:

 

b613b1c80b27fb21cfc95fb9cd59b4bb64c9fda0651d5ca05b0b50f76b04c9f4

8ca111f79892cb445c44588f1ade817abcbb3f3e39971f0ef7891b90f09de1e9

23d51440e2325808add6a1e338c697adc10fc0fa6d2ae804cc94af3e725c34cf

 

Locky:

 

newhostrcm[.]top/admin.php?f=1

doctorfeelk[.]top/admin.php?f=1

47.89.250.152

7cdcb878bf9bf5bb48a0034b04969c74401b25a516078ffd7f721d8098b2a774

933bd8262a34770b06ebe64c800f98d68082c2929af69c3feae7dd4c2aa6a897

---

A kártevő spam e-mailek sgeítségével kerülhet a számítógépre, mely csatolmányának megnyitásával aktiválódik, továbbá fájlmegosztások, és közösségi oldalak segítségével is bekerülhet a rendszerbe, mely esetben tipikusan hasznos szoftvert kínál egy bejegyzés, majd ha a felhasználó rákattint a kártevő a számítógépre kerül.

Amint aktiválódik létrehoz egy regisztrációs bejegzést hogy automatikusan indulhasson:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\"Locky" = "%Temp%\[RANDOM FILE NAME].exe"

Létrehozza az alábbi regisztrációs bejegyzéseket:

  • HKEY_USERS\Software\Locky\"completed" = "1"
  • HKEY_USERS\Software\Locky\"completed" = "1"
  • HKEY_USERS\Software\Locky\"paytext" = "[HEXADECIMAL VALUE]"
  • HKEY_USERS\Software\Locky\"id" = "[UNIQUE HEXADECIMAL ID]"
  • HKEY_USERS\Software\Locky\"pubkey" = "[PUBLIC KEY]"

Létrehozza az alábbi állományt melyben a fizetéshez szükséges információk találhatóak: _Locky_recover_instructions.txt,

Az állományban található linkre kattintva egy kép jelenik meg, melyben további instrukciók találhatóak. A képben többek között kiderül hogy a fájl visszafejtéshez 1 bitcoin megvásárlása szükséges.

A kártevő az alábbi kiterjesztésű állományokat, titkosítja, és tipikusan azokban a mappákban keres melyek dokumentumokat tartalmaznak:

  • .123
  • .3dm
  • .3ds
  • .3g2
  • .3gp
  • .602
  • .7z
  • .aes
  • .ARC
  • .asc
  • .asf
  • .asm
  • .asp
  • .avi
  • .bak
  • .bat
  • .bmp
  • .brd
  • .cgm
  • .class
  • .cmd
  • .cpp
  • .crt
  • .cs
  • .csr
  • .CSV
  • .db
  • .dbf
  • .dch
  • .dif
  • .dip
  • .djv
  • .djvu
  • .DOC
  • .docb
  • .docm
  • .docx
  • .DOT
  • .dotm
  • .dotx
  • .fla
  • .flv
  • .frm
  • .gif
  • .gpg
  • .gz
  • .hwp
  • .ibd
  • .jar
  • .java
  • .jpeg
  • .jpg
  • .js
  • .key
  • .lay
  • .lay6
  • .ldf
  • .m3u
  • .m4u
  • .max
  • .mdb
  • .mdf
  • .mid
  • .mkv
  • .mml
  • .mov
  • .mp3
  • .mp4
  • .mpeg
  • .mpg
  • .ms11
  • .MYD
  • .MYI
  • .NEF
  • .odb
  • .odg
  • .odp
  • .ods
  • .odt
  • .otg
  • .otp
  • .ots
  • .ott
  • .p12
  • .PAQ
  • .pas
  • .pdf
  • .pem
  • .php
  • .pl
  • .png
  • .pot
  • .potm
  • .potx
  • .ppam
  • .pps
  • .ppsm
  • .ppsx
  • .PPT
  • .pptm
  • .pptx
  • .psd
  • .qcow2
  • .rar
  • .raw
  • .rb
  • .RTF
  • .sch
  • .sh
  • .sldm
  • .sldx
  • .slk
  • .sql
  • .SQLITE3
  • .SQLITEDB
  • .stc
  • .std
  • .sti
  • .stw
  • .svg
  • .swf
  • .sxc
  • .sxd
  • .sxi
  • .sxm
  • .sxw
  • .tar
  • .tar.bz2
  • .tbk
  • .tgz
  • .tif
  • .tiff
  • .txt
  • .uop
  • .uot
  • .vb
  • .vbs
  • .vdi
  • .vmdk
  • .vmx
  • .vob
  • .wav
  • .wb2
  • .wk1
  • .wks
  • .wma
  • .wmv
  • .xlc
  • .xlm
  • .XLS
  • .xlsb
  • .xlsm
  • .xlsx
  • .xlt
  • .xltm
  • .xltx
  • .xlw
  • .xml
  • .zip

A titkosított állományok a .locky kiterjesztést kapják. 

A kártevő törli az árnyékmásolatokat. 

Az alábbi távoli kiszolgálókhoz kapcsolódik: 

  • 195.154.241.208
  • qheksr.de
  • dkoipg.pw
  • kpybuhnosdrm.in
  • fnarsipfqe.pw
  • sdwempsovemtr.yt
  • drhxvktlaprrhl.be
  • xfyubqmldwvuyar.yt
  • luvenxj.uk
  • cscrrxyiyc.be
  • jbdog.it
Megoldás: 
Ne látogasson nem megbízható weboldalakat és ne kövessen ilyen hivatkozásokat (linkeket) se
Megoldás: 

Használjon offline biztonsági mentést.

Érintett verziók: 
Microsoft Windows
Érintett rendszerek
Hatás
Súlyosság
Szükséges hozzáférés
Támadás típusa