Cómo detener el ransomware Locky: prevención, descifrado y recuperación

Locky es el nombre común de una variante de ransomware que apareció por primera vez en 2016. La primera versión de Locky fue distribuida por la botnet Necurs; Necurs y otros grupos de distribución han introducido versiones posteriores.

Por lo general, el ransomware se activa cuando una víctima abre un documento de Microsoft Word que parece mostrar un galimatías. Se indica al usuario que "habilite la macro si la codificación de datos es incorrecta". Si el usuario habilita las macros, el ransomware se activa y cifra los archivos en la computadora de destino, reemplazando sus extensiones de archivo con la extensión inutilizable ".locky".

La víctima no puede acceder a sus archivos a menos que pague el rescate en bitcoins. Locky crea archivos de texto e imágenes con instrucciones para pagar el rescate.

Si bien la versión original de Locky fue desactivada temporalmente por piratas informáticos de sombrero blanco, los grupos de malware crearon rápidamente variantes similares, como PowerLocky (discutido a continuación). Además de la extensión de archivo ".locky", las variantes de Locky pueden cambiar las extensiones de archivo de los archivos específicos a:

• .aesir
• .asesino
• .diablo6
• .odin
• .thor
• .ykol
• .zepto
• .zzzzzz

Esta es una lista parcial de posibles extensiones de archivo .Locky. Para diagnosticar con precisión una infección de Locky, recomendamos ponerse en contacto con un profesional de recuperación de ransomware.

Para obtener información más detallada sobre la versión original de Locky, lea: Servicios de infección y descifrado de Locky Ransomware. La página vinculada se escribió en mayo de 2016 y es posible que parte de la información esté desactualizada.

¿Cómo evito una infección de Locky Ransomware?

La forma más sencilla de prevenir una infección por el ransomware Locky es evitar abrir documentos de Microsoft Word de fuentes no reconocidas. Sin embargo, Locky también puede "falsificar" cuentas de correo electrónico de usuarios conocidos: evite habilitar macros en cualquier documento de Microsoft Word a menos que pueda verificar completamente el propósito de las macros.

Algunas versiones de Locky utilizan exploits conocidos; estas variantes no dependen de las macros de Microsoft Word para activarse. En otras palabras, cuando el usuario descarga el archivo e intenta abrirlo, el ransomware comenzará inmediatamente a cifrar los datos específicos.

Para las empresas, hay software disponible para poner en cuarentena los archivos de Locky y evitar que infecten las redes. Sin embargo, los atacantes maliciosos actualizan con frecuencia sus vectores de ataque, por lo tanto, mantenga una copia de seguridad de los sistemas importantes (preferiblemente una copia de seguridad con espacio de aire que no esté conectada a la red).

¿Existe una herramienta de descifrado de Locky Ransomware?

Debido a que varias variantes de ransomware comparten las características del malware Locky original, aquí no hay una respuesta simple. Una versión, PowerLocky, tiene un programa de descifrado gratuito creado por el programador Michael Gillespie. Obtenga más información sobre PowerLocky Decrypter aquí.

Sin embargo, algunas variantes que utilizan los mismos vectores de ataque que PowerLocky utilizan métodos más robustos. El clásico ransomware Locky (y muchas versiones posteriores) utilizaba la generación de claves del lado del servidor, lo que hacía prácticamente imposible el descifrado manual. Además, algunos archivos más grandes, como las bases de datos, aún pueden quedar inutilizables después del descifrado con herramientas gratuitas debido a la corrupción de archivos que se produce durante el proceso de descifrado.

Debido a que muchas variantes de ransomware están diseñadas para propagarse rápidamente, el curso de acción más seguro es desconectar el sistema infectado de cualquier red lo más rápido posible. Si intenta descifrar con herramientas gratuitas, asegúrese de acceder al dispositivo infectado con una computadora que no contenga otros datos confidenciales.

¿Es posible la recuperación de datos para computadoras infectadas con Locky?

En la mayoría de los casos, la recuperación de ransomware es posible para las infecciones de Locky. Recomendamos ponerse en contacto con un proveedor profesional de recuperación de datos como primer paso, preferiblemente antes de intentar descifrar por su cuenta, ya que algunas herramientas de descifrado gratuitas pueden dañar ciertos tipos de archivos (como bases de datos y archivos de correo electrónico).