LockerGoga錯誤在加密文件之前崩潰勒索軟件

LockerGoga是過去一個月襲擊Norsk Hydro和兩家美國化學公司的勒索軟件，其代碼中包含一個錯誤，可能允許受害者在加密任何本地文件之前“接種”他們的PC并使勒索軟件崩潰。這個由Alert Logic的安全研究人員發(fā)現(xiàn)的錯誤位于LockerGoga子程序中，該子程序在加密過程開始之前執(zhí)行。

子例程是對受害者系統(tǒng)上所有文件的基本掃描，因此勒索軟件知道要加密的文件和要跳過的內(nèi)容。

Alert Logic研究人員表示，如果LockerGoga遇到包含無效路徑的LNK(快捷方式)文件，則勒索軟件的進程會崩潰而不執(zhí)行后續(xù)加密。

“我們已經(jīng)確定了'。lnk'文件的兩個條件，這將允許它停止其軌道中的勒索軟件，”Alert Logic團隊說。“'。lnk'文件經(jīng)過精心設計，包含無效的網(wǎng)絡路徑。'。lnk'文件沒有關聯(lián)的RPC端點。”

這個技巧可能允許防病毒供應商創(chuàng)建他們稱之為“疫苗”的應用程序 - 在用戶計算機上創(chuàng)建格式錯誤的LNK文件以阻止LockerGoga運行的應用程序。

但是，這個bug只能提供暫時的緩解。LockerGoga勒索軟件組也必定會發(fā)現(xiàn)它并在未來的版本中修補它。LockerGoga是當今最危險的勒索軟件之一。在過去三個月中，勒索軟件已被部署為針對高調(diào)目標的高度針對性攻擊的一部分。

黑客攻擊大公司，在他們獲得對內(nèi)部網(wǎng)絡的訪問權(quán)限之后，他們將LockerGoga部署到盡可能多的工作站以造成最大的損害。

法國工程公司Altran，挪威鋁業(yè)供應商Norsk Hydro以及兩家美國化學公司Hexion和Momentive迄今已報告感染 - 有消息稱最近兩家公司在周末遭遇重創(chuàng)。

雖然Norsk Hydro表示不會支付贖金，而是將受感染的計算機從舊備份恢復，但Momentive的情況并不樂觀。

據(jù)一位名為一名員工的主板報道稱，該公司已經(jīng)訂購了新的計算機來取代LockerGoga加密的計算機。