Ransomware Locky schreibt seinen Namen spiegelverkehrt und verschlüsselt somit in *.ykcol: Your Invoice # 88808 von Ross ([email protected])
Am Freitag, den 22. September 2017 wurde durch unbekannte Dritte die folgende betrügerische E-Mail in englischer Sprache versendet. Achtung: Das .7z-Archiv enthält ein Script, welches die Ransomware „Locky“ (Verschlüsselungs- und Epressungstrojaner) nachlädt! Diese benennt alle Dateien in *.ykcol um (spiegelverkehrte Schreibweise von „Locky“)! Klicken Sie deswegen nicht auf den Link!
Betreff: Your Invoice # 88808
Absender: Ross ([email protected])Your Invoice is attached.
If you feel you have received this email in error, please reply to this email to inform us of any necessary corrections.
Achtung: Es handelt sich um eine betrügerische E-Mail! Die E-Mail stammt nicht von den genannten Absendern! Klicken Sie nicht auf den Link!
Die E-Mail bringt ein .7z – Archiv mit:
Invoice_file_024550.7z
Invoice_file_180111.7z
Invoice_file_479629.7z
Darin enthalten ist eine .vbs-Datei:
Invoice_file_38938.vbs
Invoice_file_61121.vbs
Invoice_file_82466.vbs
Das Script würde etwa so beginnen.
Von den Adressen wie
- ar-inversiones.com/jhdsgvc74?
- ideathlike.net/p66/jhdsgvc74
- allesandradesigns.com/jhdsgvc74?
- andresarlemijn.nl/jhdsgvc74?
- aerotransfer.cl/jhdsgvc74?
- aldridgestudios.com/jhdsgvc74?
würde das Script eine ausführbare Datei nachladen:
utVicAzEU.exe
XvpohOpkfmu.exe
Laut Virustotal liegt die Erkennungsrate für die ausführbaren Dateien bei 26/64! Hierbei handelt es sich um den Verschlüsselungs- und Erpressungstrojaner „Locky“ (Ransomware). Öffnen Sie daher nicht das Script!
Die aktuelle „Locky“-Version benennt seit heute alle Dateien in *.ykcol um (spiegelverkehrte Schreibweise von „Locky“):
Daneben produziert „Locky“ zwei Dateien, die auf die Verschlüsselung hinweisen:
ykcol.bmp
ykcol.htm
Nach Ende der Verschlüsselung werden beide Dateien automatisch geöffnet:
=$|$=-=.
!!! IMPORTANT INFORMATION !!!!
All of your files are encrypted with RSA-2048 and AES-128 ciphers.
More information about RSA and AES can be found here:
http://en.wikipedia.org/wiki/RSA_(cryptosystem)
http://en.wikipedia.org/wiki/Advanced_Encryption_StandardDecrypting of your files is only possible with the private key and decrypt program, which is on our secret server.
To receive your private key follow one of the links:If all of this addresses are not available, follow these steps:
1. Download and install Tor Browser: https://www.torproject.org/download/download-easy.html
2. After a successsful installation, run the browser and wait for initialization.
3. Type in the address bar: g46mbrrzpfszonuk.onion/*****
4. Follow the instructions on the site.!!! Your personal identification ID: ******* !!!
#__ -*+
.–=-*-$|—_-
Außerdem tauscht „Locky“ den Bildschirmhintergrund gegen die ykcol.bmp – Datei aus:
Die verlinkte Internetseite zeigt im TOR-Browser folgende Erpressung:
