Lockergoga là ransomware gây tê liệt cho các công ty công nghiệp. Nạn nhân đầu tiên: Norsk Hydro (Thổ nhĩ Kỳ – sản xuất nhôm) – buộc chuyển nhiều hoạt động sang thủ công. Các nạn nhân khác: Altran (kỹ thuật Pháp), Hexion, Momentive (sản xuất).
Đặc điểm kỹ thuật
- Mục tiêu: gây hỗn loạn, phá hoại (sabotage) hơn là kiếm tiền.
- Không dùng kỹ thuật obfuscation/né tránh phổ biến – chỉ mã hóa khóa RSA ở giai đoạn cuối. Cho thấy hacker có kiến thức nội bộ (insider) về bảo mật nạn nhân.
- Sử dụng code được ký số (digitally-signed) bởi công ty bảo mật uy tín để lừa hệ thống cho phép chạy. Chứng chỉ đã bị thu hồi.
- Né sandbox/VM bằng cách ngủ dài (idle). Một số biến thể né phát hiện dựa trên machine learning.
Hành vi khi nhiễm
- Đổi mật khẩu, đăng xuất người dùng đang hoạt động.
- Di chuyển vào thư mục
temp, tự đổi tên qua command line. - Mã hóa file trên toàn mạng (bỏ qua file/thư mục của chính nó).
- Mỗi lần mã hóa file, sửa registry key:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\RestartManager\Session00{01-20}. - Thả ghi chú
README_LOCKED.txt: cảnh báo không tắt máy, không đổi tên/di chuyển file mã hóa. Không nêu số tiền cụ thể – chỉ nói "liên hệ sớm để có điều kiện tốt hơn".
Cách loại bỏ
- Kết thúc mọi tiến trình Lockergoga ngay khi phát hiện.
- Chạy anti-malware trên Safe Mode with Networking (bỏ qua cảnh báo ransom note).
- Dùng PC repair tool dọn file temp, download, lịch sử, registry (Lockergoga ẩn trong temp).
- Cập nhật Windows – nhiều tổ chức chặn Lockergoga chỉ bằng việc vá lỗ hổng.