Разработчики из компании Cisco создали новый инструмент, предоставляющий возможность пользователям извлекать конфигурацию вымогателей Locky. 

Утилита с открытым исходным кодом LockyDump поставляется с поддержкой всех известных вариантов Locky (с расширениями .locky, .zepto и .odin). С ее помощью можно запустить образцы Locky в виртуализованных средах и сбросить его параметры конфигурации, в том числе AffilID.

Впервые обнаруженный в феврале, Locky стал одним из самых активных вымогателей, в основном, благодаря тому, что постоянно менял типы вредоносных вложений в письмах. Злоумышленники, распространяющие этого вредоноса использовали в качестве вложений документы Office с вредоносными макросами, JavaScript, Windows Script Files (WSF) и даже библиотеки DLL.

Утилита LockyDump также может извлечь URL–путь, используемый для отправки запросов на сервер командного центра, жестко закодированные IP–адреса командного центра и ключ RSA, используемый для шифрования.

«Информация, которую можно получить с помощью нашей утилиты позволяет отследить интересные тенденции в развитии этого вымогателя. Например, предпочитаемые способы распространения и тому подобное» – пояяснили эксперты Talos.

Поскольку Locky распространяется как в виде исполняемого файла, так и в виде DLL–библиотеки, LockyDump использует два отдельных методов анализа. Для успешного извлечения конфигурации, вредоносная программа должна быть запущена, объясняют эксперты.

Исследователи Cisco настоятельно рекомендуют использовать виртуальную среду при работе с Locky и LockyDump. Экстрактор, который доступен через GitHub, выполняется с помощью командной строки.