Ein neuer Verschlüsselungs-Trojaner macht die Runde und das anscheinend höchst erfolgreich:
"....verbreitet sich insbesondere in Deutschland rasend schnell: Über 5000 Neuinfektionen pro Stunde..."
Fleißig, fleißig, der kleine Racker.
"Locky wird aktuell vor allem per Mail verbreitet"
Irgendwie überrascht das schon fast nicht mehr. Also Augen auf bei komischen Mails!
lexlegis 
mi~we „Locky spricht jetzt Deutsch“
Locky verbreitet sich über Makros in Word-Dateien, aber auch JS-Dateien sind gefährlich.
In meinem eMail-Postfach hatte ich in letzter Zeit drei JS-Dateien bekommen. Es wurde großer Aufwand betrieben, um den Ablauf des Scripts so undurchsichtig wie möglich zu machen. Willkürliche Variablennamen und Codierungs- und Decodierungsfunktionen führten dazu, dass auch nach vier Wochen mein Avast Antivirus nichts gemeldet hat.
Ich hab mich dann mal drangesetzt und versucht herauszufinden, was das Script im Endeffekt macht. Den größten Teil nehmen wie oben gesagt die (De)codierungsfunktionen ein, die Strings wie "fgds+5dsaH" oder "jnN89sad+a2w" in lesbare Zeichenfolgen wie "AdoDB" oder "%TEMP%\" entschlüsseln. Das geschieht mit verrückten Zahlenspielereien in Unicode. Den genauen Decodierungsalgorithmus habe ich nicht herausgefunden; ich habe einfach auf w3schools.com den Code reinkopiert und mir die entschlüsselten Strings anzeigen lassen.
Diese Teil-Strings werden dann zusammengesetzt, um daraus Befehle zu formen, die lediglich zwei URLs mit Verweisen auf exe-Dateien prüfen. Bei mir hieß sie 93.exe. Falls die Datei gefunden wird (HTTP-Status 200), wird sie (die eigentliche Malware) ins Temp-Verzeichnis heruntergeladen und ausgeführt.
Was sagt uns das?
