Demo-Video: So arbeitet Locky

Am 16. Februar sind die Forscher des IT-Security-Experten Proofpoint zum ersten Mal auf einen Anhang gestoßen, in dem sich die Ransomware Locky verbarg. Das Botnet, das den Spam verschickt, ist dasselbe, das den Banking-Trojaner Dridex in Umlauf brachte. Im Video zeigt Proofpoint, was passiert, wenn der Anhang geöffnet wird.

Forscher von Proofpoint haben den Erpressungstrojaner „Locky“ bereits am 16. Februar entdeckt, der durch seine Anhänge Rechner verseucht und Nutzer erpresst. Locky verschlüsselt die Dateien auf dem Rechner und im Netz und nutzt Notepad, um als Desktop-Hintergrund eine Erpressungsnachricht anzuzeigen. Diese verlangt vom Benutzer, Bitcoins zu kaufen, damit er seine Daten wieder entschlüsseln kann. Zurzeit ist kein Fall bekannt, in dem nach Zahlung tatsächlich der Schlüssel geliefert wurde.

Locky wird über Spam mit angehängten Dokumenten in Umlauf gebracht, was bei den Malware-Kampagnen des letzten Jahres die gängigste Methode war. Das Botnet – eine Gruppe infizierter Rechner, auf denen ein Spambot läuft -, das den Spam verschickt, sei dasselbe, das den Großteil der Nachrichten verschickt, die den Banking-Trojaner Dridex im Schlepptau haben.