Come fermare Locky Ransomware: prevenzione, decrittografia e ripristino

Locky è il nome comune di una variante di ransomware apparsa per la prima volta nel 2016. La prima versione di Locky è stata distribuita dalla botnet Necurs; versioni successive sono state introdotte da Necurs e altri gruppi di distribuzione.

In genere, il ransomware viene attivato quando una vittima apre un documento di Microsoft Word che sembra essere senza senso. All’utente viene richiesto di "abilitare la macro se la codifica dei dati non è corretta". Se l’utente abilita le macro, il ransomware viene attivato e crittografa i file sul computer di destinazione, sostituendo le estensioni dei file con l’estensione ".locky" inutilizzabile.

La vittima non è in grado di accedere ai propri file a meno che non paghi il riscatto in bitcoin. Locky crea file di testo e immagini con le istruzioni per pagare il riscatto.

Mentre la versione originale di Locky è stata temporaneamente disabilitata da hacker white-hat, i gruppi di malware hanno creato rapidamente varianti simili come PowerLocky (discusso di seguito). Oltre all’estensione del file ".locky", le varianti di Locky possono modificare le estensioni dei file di destinazione in:

• .esir
• .assassino
• .diablo6
• .odino
• .torre
• .ykol
• .zepto
• .zzzzzz

Questo è un elenco parziale di possibili estensioni di file .Locky. Per diagnosticare con precisione un’infezione Locky, ti consigliamo di contattare un professionista del recupero di ransomware.

Per informazioni più dettagliate sulla versione originale di Locky, leggi: Locky Ransomware Infection and Decryption Services. La pagina collegata è stata scritta a maggio 2016 e alcune informazioni potrebbero non essere aggiornate.

Come posso prevenire un’infezione da Locky Ransomware?

Il modo più semplice per prevenire un’infezione da Locky ransomware è evitare di aprire documenti di Microsoft Word da fonti non riconosciute. Tuttavia, Locky può anche "spoofing" account di posta elettronica di utenti noti: evita di abilitare le macro su qualsiasi documento di Microsoft Word a meno che tu non sia in grado di verificare completamente lo scopo delle macro.

Alcune versioni di Locky utilizzano exploit noti; queste varianti non si basano sulle macro di Microsoft Word per l’attivazione. In altre parole, quando l’utente scarica il file e tenta di aprirlo, il ransomware inizierà immediatamente a crittografare i dati mirati.

Per le aziende, è disponibile un software per mettere in quarantena i file Locky e impedire che infettino le reti. Tuttavia, gli aggressori malintenzionati aggiornano spesso i loro vettori di attacco, quindi conserva un backup dei sistemi importanti (preferibilmente un backup air gap che non è connesso alla rete).

Esiste uno strumento di decrittazione di Locky Ransomware?

Poiché diverse varianti di ransomware condividono le caratteristiche del malware Locky originale, non c’è una risposta semplice qui. Una versione, PowerLocky, ha un programma di decrittazione gratuito creato dal programmatore Michael Gillespie. Scopri di più su PowerLocky Decrypter qui.

Tuttavia, alcune varianti che utilizzano gli stessi vettori di attacco di PowerLocky utilizzano metodi più robusti. Il classico ransomware Locky (e molte versioni successive) utilizzava la generazione di chiavi lato server, il che rendeva praticamente impossibile la decrittazione manuale. Inoltre, alcuni file più grandi come i database potrebbero essere ancora inutilizzabili dopo la decrittografia con strumenti gratuiti a causa del danneggiamento dei file che si verifica durante il processo di decrittografia.

Poiché molte varianti di ransomware sono progettate per diffondersi rapidamente, la linea d’azione più sicura è disconnettere il sistema infetto da qualsiasi rete il più rapidamente possibile. Se tenti di decifrare utilizzando strumenti gratuiti, assicurati di accedere al dispositivo infetto con un computer che non contiene altri dati sensibili.

Il recupero dei dati è possibile per i computer infettati da Locky?

Nella maggior parte dei casi, il ripristino del ransomware è possibile per le infezioni Locky. Ti consigliamo di contattare un fornitore professionista di recupero dati come prima linea d’azione, preferibilmente prima di tentare la decrittazione da solo, poiché alcuni strumenti di decrittografia gratuiti possono causare il danneggiamento di determinati tipi di file (come database e archivi di posta elettronica).