CryptoLocker е рансъмуер, това е зловреден софтуер, който е насочен към компютри работещи под Microsoft Windows. Обикновено се предава като прикачен файл в привидно безвредно мейл съобщение. В прикачения файл се съдържа замаскиран изпълним файл който обикновено прилича на pdf. При първото му стартиране той се копира в директорията на потребителския профил, както и записва ключ в регистрите за да може да се стартира сам при стартиране на системата. След което той се свързва към един от зададените му контролни сървъри. Обикновено контролните сървъри стоят зад няколко прокси сървъри и биват често местени за да не могат да бъдат проследени. След като е осъществена връзката, на контролния сървър се генерира 2048 битов RSA ключ и изпраща публичния ключ обратно до заразения компютър а частният се съхранява само на контролният сървър. Следващата фаза е същинската на CryptoLocker, започва процес на криптиране с публичния ключ на определен тип файлове обикновено документи, снимки, бази данни и други. Криптират се локалните и достъпните по мрежата файлове и всеки файл се описва в системните регистри. След това се показва съобщение, което информира жертвата, че файловете са криптирани и предлага да бъде направено плащане вид откуп за да може потребителя да свали приложение за декриптиране на файловете. Обикновено плащането трябва да бъде направено в биткойни за да не може да бъде проследено. След плащането се предоставя приложение за декриптиране с вграден частния ключ с който са криптирани файловете. Има срок от 24 часа в който трябва да бъде направено плащането. Ако не се направи плащане в срок цената се увеличава и жертвата е заплашена от изтриване на частния ключ и тогава възстановяването на файловете става невъзможно. Плащането не гарантира на сто процента възстановяване на файловете.
Как да се предпазим?
Внимавайте какви имейли отваряте. Не отваряйте имейли от непознати податели. Обикновено са с много оскъдна информация и са маскирани че идват от някоя държавна институция или частна компания и съдържат прикачен файл zip, doc, pdf и други.
Ако усетите, че нещо не е наред или имате някакви съмнения. Например отворите файл и нищо не се стартира, забележите странен процес или компютъра работи необичайно бавно. Най – добре е незабавно да изключите компютъра за да спрете процеса на криптиране на файловете. После в изолирана среда трябва да се отстрани нежеланото приложение.
Ако имате ценна информация, правете си бекъп (резервно копие) на външен носител.
Използвайте добра антивирусна и малуер програма. Това не ни дава, гаранция дори в много от случаите не помагат понеже този вид приложения са модифицирани.
Използвайте софтуер CryptoPrivent или политики за сигурност за да бъде блокирано стартирането на рансъмуер софтуера. Рансъмуер приложенията се записват и стартират обикновено от AppData/LocalAppData. Може да се създадат правила за стартиране на приложенията в тази директория.
