Создана утилита от Cisco для извлечения конфигурации вымогателя Locky
Разработчики из компании Cisco создали новый инструмент, предоставляющий возможность пользователям извлекать конфигурацию вымогателей Locky.
Утилита с открытым исходным кодом LockyDump поставляется с поддержкой всех известных вариантов Locky (с расширениями .locky, .zepto и .odin). С ее помощью можно запустить образцы Locky в виртуализованных средах и сбросить его параметры конфигурации, в том числе AffilID.
Впервые обнаруженный в феврале, Locky стал одним из самых активных вымогателей, в основном, благодаря тому, что постоянно менял типы вредоносных вложений в письмах. Злоумышленники, распространяющие этого вредоноса использовали в качестве вложений документы Office с вредоносными макросами, JavaScript, Windows Script Files (WSF) и даже библиотеки DLL.
Утилита LockyDump также может извлечь URL–путь, используемый для отправки запросов на сервер командного центра, жестко закодированные IP–адреса командного центра и ключ RSA, используемый для шифрования.
«Информация, которую можно получить с помощью нашей утилиты позволяет отследить интересные тенденции в развитии этого вымогателя. Например, предпочитаемые способы распространения и тому подобное» – эксперты Talos.
Поскольку Locky распространяется как в виде исполняемого файла, так и в виде DLL–библиотеки, LockyDump использует два отдельных методов анализа. Для успешного извлечения конфигурации, вредоносная программа должна быть запущена, объясняют эксперты.
Исследователи Cisco настоятельно рекомендуют использовать виртуальную среду при работе с Locky и LockyDump. Экстрактор, который доступен через , выполняется с помощью командной строки.