Como parar o Locky Ransomware: prevenção, descriptografia e recuperação

Locky é o nome comum para uma variante de ransomware que apareceu pela primeira vez em 2016. A primeira versão do Locky foi distribuída pela botnet Necurs; versões subsequentes foram introduzidas pela Necurs e outros grupos de distribuição.

Normalmente, o ransomware é ativado quando uma vítima abre um documento do Microsoft Word que parece exibir algo sem sentido. O usuário é instruído a “habilitar macro se a codificação de dados estiver incorreta". Se o usuário habilitar macros, o ransomware é ativado e criptografa os arquivos no computador de destino, substituindo suas extensões de arquivo pela extensão inutilizável “.locky”.

A vítima não consegue acessar seus arquivos a menos que pague o resgate em bitcoin. Locky cria arquivos de texto e imagens com instruções para pagar o resgate.

Embora a versão original do Locky tenha sido desativada temporariamente por hackers de chapéu branco, grupos de malware rapidamente criaram variantes semelhantes, como o PowerLocky (discutido abaixo). Além da extensão de arquivo “.locky”, as variantes do Locky podem alterar as extensões dos arquivos direcionados para:

• .aesir
• .assassino
• .diablo6
• .Odin
• .thor
• .ykol
• .zepto
• .zzzzzz

Esta é uma lista parcial de possíveis extensões de arquivo .Locky. Para diagnosticar com precisão uma infecção por Locky, recomendamos entrar em contato com um profissional de recuperação de ransomware.

Para obter informações mais detalhadas sobre a versão original do Locky, leia: Locky Ransomware Infection And Decryption Services. A página vinculada foi escrita em maio de 2016 e algumas informações podem estar desatualizadas.

Como evito uma infecção por Locky Ransomware?

A maneira mais simples de evitar uma infecção por ransomware Locky é evitar abrir documentos do Microsoft Word de fontes não reconhecidas. No entanto, o Locky também pode “falsificar” contas de e-mail de usuários conhecidos – evite habilitar macros em qualquer documento do Microsoft Word, a menos que você possa verificar completamente o propósito das macros.

Algumas versões do Locky utilizam exploits conhecidos; essas variantes não dependem de macros do Microsoft Word para serem ativadas. Em outras palavras, quando o usuário baixa o arquivo e tenta abri-lo, o ransomware começará imediatamente a criptografar os dados direcionados.

Para empresas, o software está disponível para colocar em quarentena os arquivos do Locky e impedir que eles infectem as redes. No entanto, invasores maliciosos frequentemente atualizam seus vetores de ataque, portanto, mantenha um backup de sistemas importantes (de preferência um backup air-gapped que não esteja conectado à rede).

Existe uma ferramenta de descriptografia do Locky Ransomware?

Como várias variantes de ransomware compartilham as características do malware Locky original, não há uma resposta simples aqui. Uma versão, PowerLocky, possui um programa de descriptografia gratuito criado pelo programador Michael Gillespie. Saiba mais sobre o PowerLocky Decrypter aqui.

No entanto, algumas variantes que utilizam os mesmos vetores de ataque do PowerLocky usam métodos mais robustos. O ransomware Locky clássico (e muitas versões subsequentes) usava a geração de chaves do lado do servidor, o que tornava a descriptografia manual praticamente impossível. Além disso, alguns arquivos maiores, como bancos de dados, ainda podem ser inutilizáveis ​​após a descriptografia com ferramentas gratuitas devido à corrupção de arquivos que ocorre durante o processo de descriptografia.

Como muitas variantes de ransomware são projetadas para se espalhar rapidamente, a ação mais segura é desconectar o sistema infectado de qualquer rede o mais rápido possível. Se você tentar descriptografar usando ferramentas gratuitas, verifique se está acessando o dispositivo infectado com um computador que não contém outros dados confidenciais.

A recuperação de dados é possível para computadores infectados com Locky?

Na maioria dos casos, a recuperação de ransomware é possível para infecções Locky. Recomendamos entrar em contato com um provedor de recuperação de dados profissional como primeiro curso de ação – de preferência, antes de tentar descriptografia por conta própria, pois algumas ferramentas de descriptografia gratuitas podem causar corrupção em certos tipos de arquivos (como bancos de dados e arquivos de e-mail).