Cybercriminelen gebruiken verschillende manieren om ransomware te verspreiden, een soort kwaadaardige code die je bestanden gijzelt door ze te versleutelen. Sommige codes arriveren met behulp van exploit kits, waarvan de effectiviteit afhankelijk is van de aanwezigheid van kwetsbaarheden op de computer die het doelwit is. Echter, de meeste incidenten omvatten spam-mails die bijlages in verschillende formaten bevatten. Docm omvat een van de gebruikelijke formaten die worden ingezet in zulke situaties.
Zepto ransomware, waarvan wordt gedacht dat deze de volgende in de rij is in de nich van Locky hoax, heeft tal cyberafpersingsmogelijkheden in zijn mars. Het maakt gebruik van een onkraakbare mix van cryptosystemen om ervoor te zorgen dat de geïnfecteerde persoon geen persoonlijke bestanden meer kan openen. Het maakt ook gebruik van een robuust commando- en controle-infrastructuur, waarbij koppelingen tussen componenten worden vastgesteld op een zeer veilige manier dankzij The Onion Route-technologie. Ondertussen is het mechanisme dat wordt gebruikt om de schadelijke lader te leveren niet verspreid, tot nu toe. De criminelen voeren hun phishing-praktijken uit op grote schaal, waarbij nietsvermoedende gebruikers berichten ontvangen die interessant genoeg lijken om te openenen om te kijken wat erin staat.
.docm bestand
Een voorbeeld hiervan is een e-mail dat naar verluidt wordt verzonden door iemand die beweert een verkoopvertegenwoordiger te zijn, die zegt, “Bijgevoegd vind je de opgevraagde documenten”, of “Beeldgegevens zijn bijgevoegd aan deze e-mail”. De bijlage blijkt een .docm-bestand te zijn. Dit is een soort Microsoft Word-document dat versluierde scripts kan bevatten in de programmeertaal Visual Basic for Applications. Deze VBA-componenten kunnen worden gebruikt om achter de schermen kwaadaardige codes uit te voeren op de pc.
.zepto bestandsextensie
Vreemd genoeg geven de willekeurig-genaamde docm-objecten een blanco MS Word-document op. Soortgelijke campagnes in het verleden maakten gebruik van bestanden waarbij de gebruiker ook daadwerkelijk onleesbare inhoud kon zien. Hoe dan ook, het document zal een waarschuwing tonen:
“Veiligheidswaarschuwing, macro’s zijn uitgeschakeld” en maakt dat het slachtoffer deze beveiligingsinstellingen wijzigt in Opties.
Zodra de onoplettende gebruiker deze aanbeveling volgt en macro’s toestaat in het docm-bestand, zal het effect van Zepto direct intreden en de ransomware op de achtergrond installeren. Zodra het zich op de computer heeft genesteld zal het virus de harde schijf, verwijderbare schijven en netwerken scannen op populaire bestandscategorieën. De infectie codeert alles dat het op zijn pad tegenkomt met AES-128 en versleutelt daarna de AES-sleutel met RSA crypto. Dit zal ervoor zorgen dat het slachtoffer het bestand niet kan openen. De Trojan wijzigt ook het uiterlijk vn de getroffen bestanden en geeft ze een .zepto-extensie en verandert de bestandsnamen in 32-tekenreeksen die niets gemeen hebben met de oorspronkelijke namen.
_HELP_instructions.html
Voor de besmette gebruiker om erachter te komen wat de volgende stap is, verandert de Zepto-ransomware het bureaubladachtergrond in _HELP_instructions.bmp en laat hij een _HELP_instructions.html-bestand achter in elke map met versleutelde gegevens. Deze aanwijzingen laten de gebruiker navigeren naar de Locky Decryptor-pagina met een speciale TOR-link, en hij zal 0,5 Bitcoin moeten betalen voor de privé-RSA-sleutel en de downloadbare decodeertool. Dit is natuurlijk een trieste situatie, maar sommige gebruikers hebben toegegeven en de som ter waarde van 300 USD te overhandigen om hun waardevolle bestanden te redden. Niet alle gevallen zijn positief geeindigd – sommige mensen hebben hebben nooit de decryptor ontvangen. Daarom is het een slecht idee om ransomware-makers die de computer hebben besmet, te vertrouwen. Er zijn veel meer oordeelkundige opties.
Het uitroeien van deze ransomware kan effectief worden bereikt door middel van betrouware beveiligingssoftware. Door je aan het automatische opschoonproces te houden zorg je ervoor dat alle onderdelen van de besmetting grondig van je systeem worden gehaald.
Mogelijkheid 1: Gebruik bestandherstelsoftware
Het is belangrijk om te weten dat Locky Virus kopieën maakt van je bestanden en deze versleutelt. In the meanwhile, the original files get deleted. Er bestaan applicaties die verwijderde gegevens kunnen terughalen. Je kunt hulpmiddelen zoals Data Recovery Pro hiervoor gebruiken. De nieuwste versie van de ransomware in kwestie blijkt vellige verwijdering toe te passen met meerdere overschrijvingen, maar het is in elk geval de moeite waard om deze methode te proberen.
Mogelijkheid 2: Maak gebruik van back-ups
Ten eerste is dit een geweldige manier om je bestanden te herstellen. Het is echter alleen van toepassing als je back-ups hebt gemaakt van de informatie op je apparaat. In dat geval moet je zeker profiteren van je voorbedachtheid.
Mogelijkheid 3: Gebruik Schaduwvolumekopieën
Als je het nog niet wist, het besturingssysteem creëert zogenaamde Schaduwkopieën van alle bestanden, zolang Systeemherstel is geactiveerd op de computer. Omdat herstelpunten worden gecreëerd op bepaalde tijdstippen, worden ook momentopnamen van bestanden zoals ze er op dat moment uitzien gegenereerd. Weet wel dat deze methode niet garandeert dat de laatste versie van jouw bestanden wordt teruggezet. Het is echter zeker een poging waard. De methode is uit te voeren op twee manieren: handmatig en met het gebruik van een automatische oplossing. Laten we eerst eens kijken naar het handmatige proces.
Het dialoogvenster Eigenschappen voor willekeurige bestanden bevat een tabblad genaamd Vorige versies. Dat is waar de back-up-versies worden weergegeven en kunnen worden verhaald. Selecteer het laatste item en klik op Kopiëren als je wenst om het object te herstellen naar een nieuwe locatie die je kunt opgeven. Als je op de Terugzetten knop drukt zal het item worden hersteld naar de oorspronkelijke locatie.
Het bovenstaande proces kan worden geautomatiseerd met een tool genaamd ShadowExplorer. Het doet in principe hetzelfde (ophalen kopieën schaduwvolume), maar dan op een gemakkelijke manier. Download en installeer de applicatie dus, start het op en blader naar bestanden en mappen van vorige versies die u wilt herstellen. Om de klus af te maken, klik met de rechtermuisknop op één van de vermeldingen en selecteer de functie Export.
Nogmaals, het verwijderen van alleen de Locky ransomware leidt niet tot het ontcijferen van je persoonlijke bestanden. De gegevensherstelmethoden zoals hierboven beschreven kunnen wel of niet werken, maar de ransomware zelf behoort niet op je computer. Overigens wordt deze vaak meegegeven met andere malware, wat de reden is waarom het zeker zin heeft om je systeem regelmatig te scannen met automatische beveiligingssoftware om ervoor te zorgen dat er geen schadelijke overblijfselen van het virus op jouw system zijn achtergebleven, evenals bijbehorende bedreigingen binnen het Windows-register en andere locaties.
