‚Message from KM_C224e‘ von copier@Deine Domain bringt Locky Ransomware (Verschlüsselung in *.ykcol)
Am Montag, den 18. September 2017 wurde durch unbekannte Dritte die folgende betrügerische E-Mail in englischer Sprache versendet. Achtung: Die .7z-Datei enthält eine .vbs-Datei, welche die Ransomware „Locky“ (Verschlüsselungs- und Epressungstrojaner) ausführen würde! Klicken Sie deswegen nicht auf den Link!
Betreff: Message from KM_C224e
Absender: copier@Deine Domain
Achtung: Es handelt sich um eine betrügerische E-Mail! Die E-Mail stammt nicht von den genannten Absendern! Klicken Sie nicht auf den Link!
Die E-Mails bringen ein .7z – Archiv mit. Dieses kann unterschiedliche Namen haben:
20171809_10143076448.7z
20171809_26109365065.7z
20171809_34873448962.7z
20171809_82619048619.7z
Darin enthalten ist eine .vbs-Datei, ebenfalls mit unterschiedlichen Namen:
20170918_34705893708.vbs
20170918_69153999972.vbs
20170918_77548329794.vbs
Von den Adressen wie
- dmlex.adlino.be/DKndhFG72?
- autoecolekim95.com/DKndhFG72?
- eurecas.org/DKndhFG72?
würde das Script eine ausführbare Datei nachladen. Diese bekommt ebenfalls unterschiedliche Dateinamen:
iJPGkqYf.exe
LlnzqkPnMh.exe
LRRCfzfK.exe
Laut Virustotal liegt die Erkennungsrate für die ausführbaren Dateien bei 17/65! Hierbei handelt es sich um den Verschlüsselungs- und Erpressungstrojaner „Locky“. Öffnen Sie daher nicht das JavaScript!
Die aktuelle „Locky“-Version benennt seit heute alle Dateien in *.ykcol um:
Daneben produziert „Locky“ zwei Dateien, die auf die Verschlüsselung hinweisen:
ykcol.bmp
ykcol.htm
Nach Ende der Verschlüsselung werden beide Dateien automatisch geöffnet:
=$|$=-=.
!!! IMPORTANT INFORMATION !!!!
All of your files are encrypted with RSA-2048 and AES-128 ciphers.
More information about RSA and AES can be found here:
http://en.wikipedia.org/wiki/RSA_(cryptosystem)
http://en.wikipedia.org/wiki/Advanced_Encryption_StandardDecrypting of your files is only possible with the private key and decrypt program, which is on our secret server.
To receive your private key follow one of the links:If all of this addresses are not available, follow these steps:
1. Download and install Tor Browser: https://www.torproject.org/download/download-easy.html
2. After a successsful installation, run the browser and wait for initialization.
3. Type in the address bar: g46mbrrzpfszonuk.onion/*****
4. Follow the instructions on the site.!!! Your personal identification ID: ******* !!!
#__ -*+
.–=-*-$|—_-
Außerdem tauscht „Locky“ den Bildschirmhintergrund gegen die ykcol.bmp – Datei aus:
Die verlinkte Internetseite zeigt im TOR-Browser folgende Erpressung:
