Як зупинити Locky Ransomware: запобігання, розшифровка та відновлення

Locky — це загальна назва для варіанту програми-вимагача, яка вперше з’явилася в 2016 році. Перша версія Locky була розповсюджена через ботнет Necurs; наступні версії були представлені Necurs та іншими групами розповсюдження.

Як правило, програма-вимагач активується, коли жертва відкриває документ Microsoft Word, який, здається, містить тарабарщину. Користувачеві пропонується «ввімкнути макрос, якщо кодування даних неправильне». Якщо користувач вмикає макроси, програма-вимагач активується та шифрує файли на цільовому комп’ютері, замінюючи їх розширення на непридатне розширення «.locky».

Жертва не може отримати доступ до своїх файлів, якщо не заплатить викуп у біткойнах. Локі створює текстові файли та зображення з інструкціями щодо сплати викупу.

У той час як оригінальна версія Locky була тимчасово вимкнена зловмисниками, групи зловмисного програмного забезпечення швидко створили подібні варіанти, такі як PowerLocky (обговорюється нижче). Окрім розширення файлу «.locky», варіанти Locky можуть змінювати розширення цільових файлів на:

• .aesir
• .вбивця
• .diablo6
• .odin
• .тор
• .ykol
• .zepto
• .zzzzzz

Це неповний список можливих розширень файлів .Locky. Щоб точно діагностувати зараження Locky, рекомендуємо звернутися до спеціаліста з відновлення програм-вимагачів.

Щоб отримати докладнішу інформацію про оригінальну версію Locky, прочитайте: Locky Ransomware Infection and Decryption Services. Пов’язана сторінка була створена в травні 2016 року, і певна інформація може бути застарілою.

Як запобігти зараженню програмою-вимагачем?

Найпростіший спосіб запобігти зараженню програмою-вимагачем Locky — уникати відкриття документів Microsoft Word із нерозпізнаних джерел. Однак Locky також може «підробити» облікові записи електронної пошти відомих користувачів — уникайте вмикання макросів у будь-якому документі Microsoft Word, якщо ви не можете повністю перевірити призначення макросів.

Деякі версії Locky використовують відомі експлойти; активація цих варіантів не залежить від макросів Microsoft Word. Іншими словами, коли користувач завантажує файл і намагається його відкрити, програма-вимагач негайно починає шифрувати цільові дані.

Для підприємств доступне програмне забезпечення для розміщення файлів Locky на карантині та запобігання їх зараженню мереж. Однак зловмисники часто оновлюють вектори своїх атак, тому зберігайте резервні копії важливих систем (бажано резервну копію без підключення до мережі).

Чи існує інструмент розшифровки програми-вимагача Locky?

Оскільки кілька варіантів програм-вимагачів мають спільні характеристики оригінальної шкідливої ​​програми Locky, простої відповіді тут немає. Одна версія, PowerLocky, має безкоштовну програму дешифрування, створену програмістом Майклом Гіллеспі. Дізнайтеся більше про PowerLocky Decrypter тут.

Однак деякі варіанти, які використовують ті самі вектори атак, що й PowerLocky, використовують більш надійні методи. Класичне програмне забезпечення-вимагач Locky (і багато наступних версій) використовувало генерацію ключів на сервері, що робило ручне дешифрування практично неможливим. Крім того, деякі великі файли, такі як бази даних, можуть бути непридатними для використання після розшифровки за допомогою безкоштовних інструментів через пошкодження файлу, яке відбувається під час процесу розшифровки.

Оскільки багато варіантів програм-вимагачів призначені для швидкого поширення, найбезпечнішим способом дій є якомога швидше відключити заражену систему від будь-яких мереж. Якщо ви намагаєтеся розшифрувати за допомогою безкоштовних інструментів, переконайтеся, що ви отримуєте доступ до зараженого пристрою за допомогою комп’ютера, який не містить інших конфіденційних даних.

Чи можливе відновлення даних для комп’ютерів, інфікованих Locky?

У більшості випадків можливе відновлення програм-вимагачів, заражених Locky. Ми рекомендуємо спочатку звернутися до професійного постачальника послуг відновлення даних — бажано, перш ніж намагатися самостійно розшифрувати, оскільки деякі безкоштовні засоби розшифровки можуть спричинити пошкодження певних типів файлів (таких як бази даних і архіви електронної пошти).