باج‌افزار Locky

این باج افزار ابتدا فایل ها را بررسی نموده و پس از رمزکردن فایل ها، پسوند .locky را به آن ها اضافه می کند. کلید رمزگشایی فقط در اختیار تولیدکنندگان باج افزار قرار دارد و برای به‌دست آوردن آن باید مبلغی معادل ۰٫۵ بیت کوین تا حدود ۱ بیت کوین پرداخت شود.
در شکل زیر صفحه ای که باج افزار Locky پس از رمزکردن فایل ها به کاربر نمایش می دهد، نشان داده است. در این شکل درخواست های متفاوت باج افزار در زمان های مختلف نشان داده شده است.

معمول ترین روشی که باج افزار Locky برای ورود به سیستم قربانی از آن استفاده می کند، به ترتیب زیر است:   باج افزار یک ایمیل که حاوی یک فایل ضمیمه می باشد، برای فرد قربانی ارسال می کند (Troj/DocDL-BCF). فرد قربانی پس از باز کردن فایل ضمیمه که یک فایل متنی است، با عباراتی نامفهوم روبرو می شود. باج افزار در ابتدای این فایل به قربانی پیشنهاد می دهد که اگر با عباراتی نادرست روبرو شده است، تنظیمات مربوط به macro را فعال کند.

 
اگر کاربر تنظیمات مربوط به macro را فعال کند، عبارات موجود در سند تصحیح نمی شوند و با این کار کد موجود در سند اجرا می شود که یک فایل را درون سیستم ذخیره و اجرا می کند. فایل ذخیره شده (Troj/Ransom-CGX) به عنوان یک downloader عمل می کند و payload نهایی بدافزار را از سرورهای مورد نظر دریافت می کند. این payload می تواند هرچیزی باشد ولی در این مورد معمولاً باج افزار Locky می باشد.
باج افزار Locky فایل های سیستم را با لیستی از پسوندها بررسی می کند. این لیست شامل پسوندهای مربوط به فایل های ویدئو، تصاویر، کدهای برنامه نویسی به زبان های مختلف و فایل های آفیس می باشد. باج افزار Locky حتی فایل wallet.dat که مربوط به حساب کاربری بیت کوین است را در صورت وجود، بررسی می‌کند.
به عبارت دیگر، اگر در حساب بیت کوین کاربر مبلغی بیش از آن چه که باج افزار درخواست کرده است، وجود داشته باشد، کاربر مجبور است تا مجدداً بیت کوین جدید خریداری کرده و مبلغ مورد درخواست باج افزار را پرداخت کند.
نکته قابل توجه این است که باج افزار Locky فایل‌های VSS (Volume Snapshot Service) که به عنوان فایل های shadow copies نیز معروف هستند را به طور کامل حذف می کند. Shadow copies روشی است که ویندوز به صورت live و بدون اینکه برای فعالیت های کاربر مزاحمتی ایجاد شود، از درایوهای مشخص شده snapshot تهیه می کند.
پس از آنکه باج افزار Locky فایل های مورد نظر را انتخاب و اقدام به رمزنگاری آن ها کرد، این اتفاق را با تغییر تصویر پس زمینه به شکل زیر به کاربر گزارش می دهد.

 

در پیغام فوق، کلیه دستوراتی که بایستی فرد قربانی برای پرداخت باج انجام دهد تشریح شده است. متأسفانه در حال حاضر به غیر از داشتن نسخه پشتیبان از اطلاعات، هیچ راهی برای بازگرداندن اطلاعات وجود ندارد. همچنین بایستی توجه داشت که باج افزار Locky همانند دیگر باج افزارها تنها درایو C: را بررسی نمی کند. این باج افزار هر فایلی که در هر مسیری بر روی هر درایوی قابل دسترس باشد (شامل درایوهای usb متصل شده به سیستم و یا مکان های به اشتراک گذاشته شده مانند سرورها و یا دیگر سیستم های کاربران با سیستم عاملهای مختلف (Windows, OS X, Linux)) را می تواند بررسی می کند.
اگر کاربری با سطح دسترسی مدیر وارد سیستم شده باشد و توسط باج افزار مورد حمله قرار گیرد، این حمله می تواند اثرات بسیار گسترده ای در پی داشته باشد. به همین دلیل پیشنهاد می گردد که کاربران با سطح دسترسی محدود به سیستم وارد شده و در صورت نیاز برنامه های دلخواه را با سطح دسترسی مدیر اجرا کنند.
برای جلوگیری از آلوده شدن به این باج افزار نیز انجام اقدامات زیر توصیه می شود:
•    به طور متناوب از اطلاعات نسخه پشتیبان تهیه شود و این نسخه در یک مکان مجزا از سیستم ذخیره شود.
•    تنظیمات مربوط به macro در فایل های ضمیمه ای که از ایمیل های ناشناس دریافت می گردند، نباید فعال گردد.
•    در مورد فایل های ضمیمه ناخواسته باید بیشتر احتیاط کرد.
•    هنگام ورود به سیستم نبایستی با سطح دسترسی مدیر و یا سطح دسترسی بیشتر از آنچه که مورد نیاز است، وارد شد.
•    از نرم افزارهای Microsoft Office viewers برای دیدن فایل های مربوط به آفیس استفاده شود. این نرم افزارها به کاربر اجازه می دهد تا بدون بازکردن فایل های آفیس در برنامه های word و یا دیگر برنامه های آفیس، بتوان محتوای آن ها را مشاهده کرد. ضمن اینکه این نرم افزارها از ویژگی macro پشتیبانی نمی کنند.
•    یکی دیگر از راه های ورود بدافزارها به سیستم، سوء استفاده آن ها از آسیب پذیری های موجود درون نرم افزارهاست. توصیه می شود به طور متناوب نرم افزارهای موجود بر روی سیستم به روز رسانی شوند و وصله های امنیتی ارائه شده برای آن ها در اسرع وقت اعمال شود.