So stoppen Sie Locky Ransomware: Prävention, Entschlüsselung und Wiederherstellung

Locky ist der gebräuchliche Name für eine Ransomware-Variante, die erstmals 2016 auftauchte. Die erste Version von Locky wurde vom Necurs-Botnet verbreitet; nachfolgende Versionen wurden von Necurs und anderen Verteilergruppen eingeführt.

Typischerweise wird die Ransomware aktiviert, wenn ein Opfer ein Microsoft Word-Dokument öffnet, das scheinbar Kauderwelsch anzeigt. Der Benutzer wird angewiesen, „Makro zu aktivieren, wenn die Datencodierung falsch ist”. Wenn der Benutzer Makros aktiviert, wird die Ransomware aktiviert und verschlüsselt Dateien auf dem Zielcomputer, wobei ihre Dateierweiterungen durch die unbrauchbare Erweiterung „.locky” ersetzt werden.

Das Opfer kann nicht auf seine Dateien zugreifen, es sei denn, es zahlt das Lösegeld in Bitcoin. Locky erstellt Textdateien und Bilder mit Anweisungen zur Zahlung des Lösegelds.

Während die ursprüngliche Version von Locky vorübergehend von White-Hat-Hackern deaktiviert wurde, erstellten Malware-Gruppen schnell ähnliche Varianten wie PowerLocky (siehe unten). Zusätzlich zur Dateierweiterung „.locky” können Locky-Varianten die Dateierweiterungen der Zieldateien ändern in:

• .Asen
• .Attentäter
• .diablo6
• .odin
• .thor
• .ykol
• .zepto
• .zzzzzz

Dies ist eine unvollständige Liste möglicher .Locky-Dateierweiterungen. Um eine Locky-Infektion genau zu diagnostizieren, empfehlen wir, sich an einen Ransomware-Recovery-Experten zu wenden.

Ausführlichere Informationen zur Originalversion von Locky finden Sie unter: Locky Ransomware Infection And Decryption Services. Die verlinkte Seite wurde im Mai 2016 erstellt, und einige Informationen können veraltet sein.

Wie verhindere ich eine Locky-Ransomware-Infektion?

Der einfachste Weg, eine Locky-Ransomware-Infektion zu verhindern, besteht darin, das Öffnen von Microsoft Word-Dokumenten aus unbekannten Quellen zu vermeiden. Locky kann jedoch auch E-Mail-Konten von bekannten Benutzern „fälschen” – vermeiden Sie die Aktivierung von Makros in Microsoft Word-Dokumenten, es sei denn, Sie können den Zweck der Makros vollständig überprüfen.

Einige Versionen von Locky nutzen bekannte Exploits; Diese Varianten sind nicht auf Microsoft Word-Makros angewiesen, um aktiviert zu werden. Mit anderen Worten, wenn der Benutzer die Datei herunterlädt und versucht, sie zu öffnen, beginnt die Ransomware sofort mit der Verschlüsselung der Zieldaten.

Für Unternehmen ist Software verfügbar, um Locky-Dateien unter Quarantäne zu stellen und zu verhindern, dass sie Netzwerke infizieren. Allerdings aktualisieren böswillige Angreifer häufig ihre Angriffsvektoren, bewahren Sie daher ein Backup wichtiger Systeme auf (vorzugsweise ein Air-Gap-Backup, das nicht mit dem Netzwerk verbunden ist).

Gibt es ein Locky Ransomware-Entschlüsselungstool?

Da mehrere Ransomware-Varianten die Eigenschaften der ursprünglichen Locky-Malware teilen, gibt es hier keine einfache Antwort. Eine Version, PowerLocky, verfügt über ein kostenloses Entschlüsselungsprogramm, das vom Programmierer Michael Gillespie erstellt wurde. Erfahren Sie hier mehr über PowerLocky Decrypter.

Einige Varianten, die dieselben Angriffsvektoren wie PowerLocky verwenden, verwenden jedoch robustere Methoden. Die klassische Locky-Ransomware (und viele Folgeversionen) verwendeten serverseitige Schlüsselgenerierung, was eine manuelle Entschlüsselung praktisch unmöglich machte. Darüber hinaus können einige größere Dateien wie Datenbanken nach der Entschlüsselung mit kostenlosen Tools aufgrund von Dateibeschädigungen, die während des Entschlüsselungsprozesses auftreten, immer noch unbrauchbar sein.

Da viele Ransomware-Varianten darauf ausgelegt sind, sich schnell zu verbreiten, ist es am sichersten, das infizierte System so schnell wie möglich von allen Netzwerken zu trennen. Wenn Sie die Entschlüsselung mit kostenlosen Tools versuchen, stellen Sie sicher, dass Sie mit einem Computer auf das infizierte Gerät zugreifen, der keine anderen sensiblen Daten enthält.

Ist eine Datenwiederherstellung für mit Locky infizierte Computer möglich?

In den meisten Fällen ist eine Ransomware-Wiederherstellung für Locky-Infektionen möglich. Wir empfehlen, sich als erste Maßnahme an einen professionellen Datenwiederherstellungsanbieter zu wenden – vorzugsweise, bevor Sie selbst versuchen, eine Entschlüsselung durchzuführen, da einige kostenlose Entschlüsselungstools bei bestimmten Dateitypen (z. B. Datenbanken und E-Mail-Archiven) eine Beschädigung verursachen können.