Achtung: Ransomware! IMG_7239 von Mauro De Nassau ([email protected]) verschlüsselt Dateien in *.lukitus
Am Donnerstag, den 17. August 2017 wurde durch unbekannte Dritte auch die folgende betrügerische E-Mail versendet. Öffnen Sie nicht die Anlage! Das beigefügte 7zip-Dokument enthält ein Script, welches die Ransomware „Locky“ (Verschlüsselungs- und Epressungstrojaner) nachlädt.
Betreff: IMG_7239
Absender: Mauro De Nassau ([email protected])
Achtung: Es handelt sich um eine betrügerische E-Mail! Öffnen Sie nicht die Anlage!
Die E-Mail bringt ein 7zip – Dokument (*.7z) mit, welches eine .vbs – Datei enthält:
IMG_7239.7z
PIC_0007.vbs
Das Script beginnt in etwa so:
Öffnen Sie nicht die 7zip-Datei und führen Sie das Script nicht aus! Von der Internetadresse
- almahaconsultants.com/86hHYU6?
wird eine ausführbare Datei nachgeladen:
QpqagpAN.exe
Virustotal zeigt eine Erkennungsrate von 20/64. Es handelt sich dabei um den Verschlüsselungs- und Erpressungstrojaner „Locky“ (Ransomware). Dieser beginnt u. U. noch nicht sofort mit der Verschlüsselung der Dateien, daher fällt die Infektion u. U. erst später auf.
Die aktuelle „Locky“-Version benennt alle Dateien in *.lukitus um:
Daneben produziert „Locky“ zwei Dateien, die auf die Verschlüsselung hinweisen:
lukitus.bmp
lukitus.htm
Nach Ende der Verschlüsselung werden beide Dateien automatisch geöffnet:
| *$.._.–*=|
$||=|=$ *+$
===| == $=_+
$| * = -e*a-*|+!!! IMPORTANT INFORMATION !!!!All of your files are encrypted with RSA-2048 and AES-128 ciphers.
More information about RSA and AES can be found here:
http://en.wikipedia.org/wiki/RSA_(cryptosystem)
http://en.wikipedia.org/wiki/Advanced_Encryption_StandardDecrypting of your files is only possible with the private key and decrypt program, which is on our secret server.
To receive your private key follow one of the links:If all of this addresses are not available, follow these steps:
1. Download and install Tor Browser: https://www.torproject.org/download/download-easy.html
2. After a successsful installation, run the browser and wait for initialization.
3. Type in the address bar: g46mbrrzpfszonuk.onion/*****
4. Follow the instructions on the site.!!! Your personal identification ID: ******* !!!
| -$* _*..+|
$||$$+$..$ e
$* -*.==b- -+
_.+*$a=_-+
Außerdem tauscht „Locky“ den Bildschirmhintergrund gegen die lukitus.bmp – Datei aus:
Die verlinkte Internetseite zeigt im TOR-Browser folgende Erpressung:
