Médii proběhla zpráva o novém „superviru“, který už pronikl na území České republiky a zaviroval první desítky počítačů. Co se týká množství zavirovaných počítačů, to sedí, určitě se ale nejedná o žádný supervirus. Podobných je tu spousta a téma, jak odšifrovat soubory či zda zaplatit/nezaplatit útočníkům, se stalo každodenní náplní servisů, diskuzních fór, či technických podpor antivirových společností.Locky je další přírůstek do rodiny, která se často označuje jako Filecoder. Princip fungování varianty Locky je jednoduchý. Dorazí e-mailem, který se tváří jako faktura a text nabádá uživatele ke spuštění přílohy. Pokud uživatel přílohu spustí, zahájí tím sled událostí, které vedou až k zašifrování souborů a zobrazení „závěrečné“ zprávy. Tam je uživatel informován o tom, že pokud chce ještě někdy vidět svoje fotky z dovolených, dokumenty, atd., musí útočníkům zaplatit. Takhle nějak funguje všechen dnešní ransomware.
Za úspěchem Locky stojí patrně celkem atypická příloha, ve které se tato havěť šíří. Pokud dorazí e-mail s EXE souborem v příloze, většina uživatelů už tak nějak tuší, že to asi nebude zcela v pořádku. Pokud ale dorazí dokument, tedy soubor s příponou DOC/DOCX a text o něm informuje jako o faktuře, pak to docela dává smysl a určitě se najde spousta uživatelů, kteří přílohu otevřou. Navíc, koho by napadlo, že v dokumentu hrozí nějaké nebezpečí. Pokud uživatel přílohu spustí / otevře, DOC/DOCX se jako dokument otevře v aplikaci Microsoft Word. Následuje žluté upozornění Wordu, že máte být opatrní, že soubory z internetu mohou obsahovat viry. Pokud chcete pokračovat, je nutné stisknout „umožnit editaci“. Žluté upozornění se nicméně v praxi zobrazuje velice často (s různým textem), a tak časem řada z nás „otupí“ a rovnou tyto zprávy automaticky odklikává. Stejně tak i druhé upozornění, které vizuálně vypadá téměř shodně jako to první. Zde se ale láme chleba. Odkliknutím druhé zprávy povolíte makra a průšvich je na světě! V tu chvíli se spustí makro AutoOpen, to stáhne z internetu EXE soubor s havětí a tento EXE spustí. Zbytek už znáte.
Jinak díky makrům ve Wordu / Excelu tu již v minulosti řádily tzv. makroviry (od roku 1995) a používaly právě speciální makra AutoOpen a další. Tehdy to taktéž pomohlo masivnímu šíření, protože se vždycky říkalo, že textový dokument přece nemůže obsahovat žádné viry. Makroviry to změnily. Jenže pak vymřely, doba pokročila, trochu se na to zapomnělo a dnes, v roce 2016, opět slaví úspěch…
Odkliknutím této žluté hlášky se ještě nic neděje…
…ale tady se už láme chleba!
Pěkný článek. Je nějaká možnost, jak se viru jednoduše zbavit a nepřijít tak o data?
Děkuji
Jsou ty maily psané česky nebo v cizím jazyce (anglicky, německy)? Anglické maily s fakturami k nám do práce chodí už delší dobu, objevily se i německé. Proto na antispamovém/antivirovém serveru zachytáváme všechny maily, co mají přílohu DOC nebo XLS a v názvu souboru invoice nebo rechnung. Normálně nám takto nazvané přílohy nechodí, tak si to můžeme dovolit.
Locky se nemusí nutně maskovat jako faktura a ani nemusí obsahovat v těle jakýkoli text..
Email přijde jako z vlastní adresy a předmět je Document1.
Tělo emailu je prázdné a příloha je Dokument1.zip.
tak dnes se moji polovicce podarilo ho stahnout …. vschny soubory jsou v tahu … David Ritka
Dobrý večer, mně se to povedlo dnes. Co s tím, jak ten vir mám prosím odstranit? Děkuji za odpověď.
Dobrý den, podle popisu viru v databázi Esetu se virus sám po zašifrování všech souborů sám odstraní. Každopádně doporučuji zkontrolovat PC ještě antivirovým skenem,. Obnova souborů je možná jedině ze zálohy nebo po zaplacení výkupného…
http://www.virusradar.com/en/Win32_Filecoder.Locky.A/description
Jak je možné, když je aktivní antivirový program, tak při stahování z internetu EXE souboru s havětí a následném spuštění, tak antivirový program mlčí a tento EXE neodstraní…
Dnes ráno jeden uživatel neodolal a spustil jej. Mail se tvářil, že si ho poslal sám sobě.
NOD nezareagoval, a jeho data + síťový disk na který měl přístup zašifrované. Ještě že jsou zálohy…
Jen hňup hňupatý spustí mail „sám od sebe“ – každému, kdo umí víc než zapnout PC a kliknout na „modré éčko“ musí dojít, že tady něco smrdí a jeho nohy to nejsou…
I find that I have to plan my meals and enjoy what I eat if I am going to eat right. I have lost 45 pounds in the last year and attribute a good deal of that success to eating smoothies for breakfast most days. You can engineer them to have whatever mix of fat, carbohydrates, and protein you want.
Tzv. „zranitelnost nultého dne“. Když je virus tak nový, že ještě není v databázi antiviru…
Rozumím, že tu samou hodinu, co se vir objeví nemůže antivirový program reagovat, ale proč tedy již 21.3.2016 jak psal eM mu NOD nezareagoval?? Tento vir šifroval naše data 18.3.2016 a vše bylo obnoveno ze zálohy, tak proč nereaguje NOD32??
bylo více variant tohoto viru: Locky.A, Locky.B, tak je možné že to byla novější varianta, proto ještě nebyla v databázi. Je také důležité mít v NODu zapnutý LiveGrid.
Také v naší firmě se kolegovi přejmenovat všechny soubory s příponou *.doc na *.locky.
Táži se, zda hrozí riziko „rozlezení“ tohoto ransomware po síti na server a ostatní PC?
Kolegu jsem samozřejmě od sítě odpojil. Snad včas 🙁
Hrozí. Vir kryptuje všechny soubory co jsou přístupné z napadeného PC. Pokud je možnost se z napadeného PC dostávat na server, budou i tam soubory kryptované. V tom je právě problém a nevýhoda zálohování na server. Asi nejlepší záloha je na odpojitelný disk.
Dobrý den,
tak my tento problém řešíme také ve dvou firmách a jedná se celkem o velký zásah :(. Potřebovali by jsme zašivrované soubory dešifrovat, od pátečního hledání jsem na bodu nula. Neví někdo jestli už se podařilo někomu soubory přes něco dešifrovat?
Děkuji moc za odpověď.
AES šifru nedešifrujete bez znalosti klíče. Je možné se se soubory rozloučit. Taky nás to napadlo, ale postižené složky jsem obnovil z pravidelné zálohy.
Jedině zkusit ten postup od útočníka, zaplatit mu v bitcoinech a pak nám tu dát zprávu, jestli nějaká dešifrovací utilita došla a jestli to pomohlo.
Tím martýriem se sháněním bitcoinů a následným zaplacením jsem právě prošel. Dešifrovací klíč po zaplacení poskytli ke stažení. Kdo nemá zálohy a data byla velmi cenná …
Opravdu po zaplacení klic dodali? Všichni mě od zaplacení odrazují. Přišla jsem o velmi cenná data…
Jo, jakmile jsem poslal bitcoiny, tak asi po hodině se na té stránce objevil odkaz na stažení decryptoru.
Taky jsem přišel o cenná data, můžu se zeptat, kolik jste zaplatil ? A kde se dají bitcoiny sehnat ?
Zaplaceny 3 BTC. Dají se sehnat např. http://www.simplecoin.cz/. Musí se naistalovat peněženka. Platí se převodem, nezapomenout na poplatek při platbě těm rošťákům (cca 0,1 mBtc)
jo, podporujte je,platte jim to, aspon mají na další vývoj
Dobrý den, můžete mi poradit jak jste přešel přes hlášku:
Tor Browser cannot display this file. You will need to open it with another application. Some types of files can cause applications to connect to the Internet without using Tor. To be safe, you should only open downloaded files while offline, or use a Tor Live CD such as Tails.
Díky
Dobrý den,
někomu prý zafungoval níže uvedený postup přes Panda Ransomware Decrypt. Mě bohužel ne. Ale za zkoušku nic nedáte:-)
http://malwarefixes.com/remove-locky-ransomware-and-decrypt-files/
Dobrý den,
řeším podobný problém v jedné škole. Z ničeho nic se u všech souborů přepíše datum a čas a nejdou otevřít. MS Security Essential, ESET Security pro Server a Kaspersky Endpoint Security nic nenašli a nedokázaly pomoct. V každé složce se v ten moment objevily tři soubory: RECOVERfgkbk.html, RECOVERfgkbk.png a RECOVERfgkbk.txt.
Průser ale je, když data smažu a obnovím ze zálohy, tak je to za pár minut až hodin stejné. A navíc mi pomalu přibývají i další uživatelé….
Máte někdo nějaké nápady jak najít příčinu nebo co to mohlo způsobit?
Děkuji za info.
Používejte linux. Není tak náchylný k těmto virům.
Na blbou odpověď mám ještě blbější – používejte LIVE CD a tam je jistota, že to nic nepřepíše (ovšem nedoporučuji použít CD-RW :)).
tak to je opravdu dobře blbá odpověď 😀 ( i když do jisté míry funkční :D)
Osobně používám OS X a OS X Server, ale někteří zákazníci si nemohou takový luxus dovolit, protože aplikace, které potřebují jsou jen pro Windows….
Musíš najít nakažené PC či NB a od sítě odstavit a zlikvidovat vira.
Jinak to budeš dělat pořád dokola 🙂
To, že se Locky po vykonání práce smaže nemůžu potvrdit – vždy jsem ho tam ještě dohledal.
A jak najít na síti nakažené PC ???? Hledat ve vlastnostech textového souboru co zanechá vir (_locky_recover_instructions.txt, _HELP_instructions.txt, RECOVERfgkbk.txt atd…) vlastníka souboru a tak se nakažené PC či uživatel celkem snadno pozná.
Děkuji, vyzkouším.
Pokud se virus šíří, je potřeba zkontrolovat všechny stanice a nastavit zálohování, případně vytváření bodu obnovy. Pak jdou soubory zachrániit. Jarfa
Uz jste nekdo zkouseli?
https://decrypter.emsisoft.com/autolocky
A co udělat kompletní zálohu hdd pomocí nějakého programu.Naklonovat celý disk včetně dat a uložit někde mimo.při napadení zformátovat disk a pomocí tohoprogramuto obnovit?
Soubory jsou zašifrovány lotsky nyní mohou být obnoveny. Zkuste použít jeden z programů ze seznamu https://malwareless.com/10-free-tools-to-defeat-ransomware-in-2017/. Nejúčinnější – Emsisoft a Kaspersky