برنامج Locky Ransomware "العودة من الموت"

لقد عادت برامج الفدية المروعة بنوعين جديدين هما "Diablo" و"Lukitus".

 

اكتشف الباحثون الأمنيون مؤخرًا سلالتين جديدتين من برامج Locky Ransomware Diablo وLukitus. مثل الأنواع الأخرى من برامج الفدية التي تعمل على تأمين التشفير، فهي مصممة أيضًا لتشفير الملفات الموجودة على جهاز الكمبيوتر والمطالبة بفدية مقابل مفتاح فك التشفير. تم الإبلاغ عن هذه المتغيرات الجديدة من قبل الباحثين في 16 أغسطس 2017.

"إن برامج الفدية تهدف إلى التلاعب بنقاط الضعف في علم النفس البشري أكثر من التركيز على التطور التكنولوجي للخصم".

؟ جيمس سكوت

 

يعد Locky أحد الأشكال الرئيسية لبرامج الفدية التي أصبحت ناجحة عالميًا. ظهرت لأول مرة في عام 2016، وبحلول نهاية العام اختفت. ولكن إذا كنت تعتقد أنه لم يعد يشكل تهديدا فأنت مخطئ. بعد أن أصبح مظلمًا، عادت Locky مع شبكة Necurs botnet التي تعد واحدة من أكبر شبكات الروبوت المستخدمة في الهجمات.

منذ 9 أغسطس فصاعدًا، عادت Locky للظهور مرة أخرى باستخدام امتداد ملف جديد ".diablo6" لتشفير الملفات باستخدام مذكرة الإنقاذ: "diablo- .htm". يتصل Diablo مرة أخرى بخادم قيادة وتحكم مختلف. بالإضافة إلى ذلك، هناك متغير جديد آخر يضيف الامتداد '.Lukitus' إلى الملفات المشفرة.

ومن المثير للاهتمام أن Lukitus تعني القفل باللغة الفنلندية.

ترسل الحملة الجديدة رسائل بريد إلكتروني غير مرغوب فيها في شكل مرفقات PDF مع ملفات DOCM مضمنة. إذا قام المستخدم بتنزيل المرفق وتمكين وحدات الماكرو كما هو مطلوب، فسوف يفقد الوصول إلى الملفات الموجودة على جهاز الكمبيوتر الخاص به.

بمجرد تشفير جميع البيانات، يطلب فدية إذا رغب المالكون في الحصول على المفتاح الخاص لفك تشفير البيانات. يعتبر Locky أقل انتشارًا ولكنه لا يزال يمثل تهديدًا خطيرًا نظرًا لتشفيره القوي.

هذه الحملة فتحت أعيننا جميعًا، الذين افترضنا أن Locky قد اختفى ببساطة لأنه لم يعد نشطًا لفترة محددة. . ليست هذه هي المرة الأولى التي يظهر فيها Locky مرة أخرى، فهو يظل محاطًا بالغموض لبعض الوقت ثم يظهر بعدوى جديدة.

يمكن أن يكون الظهور المفاجئ لـ Locky مرتبطًا بأدوات فك تشفير برنامج الفدية Jaff الذي تم إنشاؤه متاح في يونيو. ظهر Jaff في شهر مايو وتم نشره بواسطة نفس شبكة الروبوت Necrus المستخدمة لتوزيع Locky.

وهذا يثبت أن برامج الفدية لن تتركنا قريبًا، لذلك نحن بحاجة إلى مواصلة تطوير استراتيجيات وتقنيات جديدة لمكافحتها .

المتغيرات المقفلة، رد الاتصال بخادم أوامر وتحكم مختلف (C2) واستخدام معرف التابع: AffilID3 وAffilID5

_{قراءة: 0}