{
  "timestamp": "2025-02-05T23:27:03.021011",
  "model": "deepseek/deepseek-r1-distill-llama-70b",
  "request": {
    "messages": [
      {
        "role": "system",
        "content": "You are a cybersecurity expert specializing in company websites and product documentation.\n        Analyze the content and classify it into the given categories.\n        Return only the applicable categories as a comma-separated list, nothing else."
      },
      {
        "role": "user",
        "content": "\n        Categories to choose from:\n        product_security_features, end_user_security, compliance_certifications, security_best_practices, data_protection, access_management, threat_prevention, incident_response, privacy_policy, technical_documentation\n        \n        Content to classify:\n        Search Free Trial Get Demo Locky wiederbelebt  eine Zusammenfassung der neuen Varianten October 31, 2017 Locky, die Ransomware, welche 2016 dominiert hat und dann in der ersten Jahresh\u00e4lfte von 2017 verschwunden ist, wurde mit einer Reihe neuer Varianten in den vergangenen drei Monaten zu neuem Leben erweckt und fordert jetzt das Dreifache des L\u00f6segelds. Ein m\u00f6glicher Grund f\u00fcr sein Verschwinden und Wiederauftreten wurde im aktuellen SecurityWeek-Blog von Cyrens VP des Threat Research, Siggi Stefnisson, untersucht. 15.000 einzigartige Versionen pro Tag Das Necurs-Botnet, welches f\u00fcr die Distribution von Locky verantwortlich ist, schien Anfang 2017 offline zu gehen. Als dann die Command- und Control-Server im M\u00e4rz wieder online gingen, lag der Fokus auf Kampagnen mit anderer sch\u00e4dlicher Malware, einschlie\u00dflich der Distribution des Banking-Trojaners Dridex im M\u00e4rz und April sowie  von April bis Juni  der Jaff-Ransomware. Im August startete die Locky-Distribution erneut mit den Lukitus- Finnisch f\u00fcr Verriegelung Locking und diablo6- Varianten, und das mit enormen Ausbr\u00fcchen. Danach wurde es einige Zeit still um Lukitus, bevor die neuen Varianten Ykcol Locky, r\u00fcckw\u00e4rts buchstabiert und Asasin herauskamen. Um eine Vorstellung von der Schwere und Raffinesse dieser neuen Kampagnen zu vermitteln Am 28. August entdeckte die Security-Cloud von Cyren \u00fcber 130 Millionen Locky-Lukitus- E-Mails. Und in diesen 130 Millionen E-Mails tauchten \u00fcber 15.000 einzigartige Versionen des VBS auf, das die Locky-Nutzlast herunterl\u00e4dt  ein Versuch, die Entdeckung durch Sicherheitssysteme zu umgehen. Nachdem wir hier im Cyren Security Lab alle neuen Varianten untersucht haben, konnten wir feststellen, dass die tats\u00e4chliche Bin\u00e4rdatei, welche Dateien verschl\u00fcsselt, seit 2016 im Gro\u00dfen und Ganzen unver\u00e4ndert geblieben ist  mit Ausnahme von Verbesserungen, um Sandboxes und Antivirus-Anbieter zu vermeiden. Weiter unten zeigen wir Ihnen Screenshots und Taktiken auf, die bei jeder der neuen Varianten eingef\u00fchrt wurden in umgekehrter chronologischer Reihenfolge des Erscheinens. Abbildung 1  Angriffskampagnen-Muster von April bis Juli f\u00fcr Jaff und die Reihenfolge der Distribution der diversen Locky-Varianten ab August bis heute. Locky Asasin Cyren Security Labs haben die aktuellste Variante von Asasin am 10. Oktober beobachten k\u00f6nnen  in Verbindung mit der fortlaufenden Distribution der .ykcol-Variante. Die neuesten VBS und Java-Scripts, die die .asasin-Variante herunterladen, weisen einige neue Merkmale auf. Das Java-Script, welches von einer .html-Datei heruntergeladen wird, nimmt einen Screenshot des Desktops des Opfers auf, speichert diesen als crumboqj.jpg und l\u00e4dt ihn auf einen Remote-Server hoch. Abbildung 2  Locky .asasin schnappt sich den Bildschirm des Opfers und l\u00e4dt ihn auf einen Remote-Server hoch. Die neueste VBS-Datei, die Locky herunterl\u00e4dt, f\u00fchrt tats\u00e4chlich ein paar Checks auf dem Rechner durch, bevor es diesen infiziert. Die Funktion, die als Skywalker bekannt ist, untersucht den L\u00e4ndercode, das Betriebssystem und welche Version des Betriebssystems auf dem Rechner l\u00e4uft. Danach werden diese Informationen an einen Remote- Server gepostet. Der Server antwortet, indem er entweder die Nutzlast sendet oder nichts tut  je nach Ergebnis der Untersuchung, wie zum Beispiel Angaben zum Land, in dem der Rechner seinen Standort hat. Abbildung 3  Die Funktion Skywalker erfasst Informationen zum Rechner. Abbildung 4  Die Funktion Panda sendet die gesammelten Informationen an einen Remote-Server. Ykcol Locky r\u00fcckw\u00e4rts geschrieben erreicht 60 Millionen E-Mails pro Tag Der Locky-Angriff, der am 18. September begonnen hat, verwendete die neue .ykcol-Variante. Die Security-Cloud von Cyren erfasste an jenem Tag \u00fcber 60 Millionen Spam-E- Mails, die diese neue Variante mit dem Betreff Rechnungsstatus und einen a.zip- bzw. .7-Anhang \u00fcbermittelten, der ein Visual Basic Script mit dem Downloader enthielt. Abbildung 5 Malware-Muster- E-Mail Ykcol Die VBS-Datei l\u00e4dt die ausf\u00fchrbare Bin\u00e4rdatei Locky herunter und f\u00fchrt sie aus. Locky verschl\u00fcsselt dann die Dateien auf dem Rechner des Benutzers. Abbildung 6 Die VBS l\u00e4dt Locky von jedem beliebigen dieser Links herunter. Abbildung 7 Ykcol-L\u00f6segeldforderung Geotargeting-Malware mit detectCountry L\u00e4ndererkennung Ende September haben wir eine neue Version der VBS-Datei gesehen, die Locky \u00fcbermittelt. Die neue VBS-Datei wurde genau wie die anderen als komprimierter E-Mail- Anhang \u00fcbermittelt, enthielt aber einige zus\u00e4tzliche URLs und ein paar Funktionen, die wir zuvor noch nicht gesehen hatten. Die Funktion detectCountry pr\u00fcft, wo sich der Standort des Opfers befindet. Abbildung 8  Funktion detectCountry pr\u00fcft, wo sich der Standort des Opfers befindet Falls sich das Opfer in Gro\u00dfbritannien, Australien, Luxemburg, Belgien oder Irland befindet, unternimmt das Script den Versuch, TrickBot den Banking-Trojaner herunterzuladen  wahrscheinlich weil TrickBot Kunden bestimmter Banken in diesen L\u00e4ndern anvisiert. Falls sich das Opfer in anderen als den in der Aufz\u00e4hlung aufgelisteten L\u00e4ndern befindet, l\u00e4dt das Script die .ykcol-Variante von Locky herunter. Abbildung 9  Das Script pr\u00fcft, ob das Opfer Locky oder TrickBot erhalten sollte Ransom-Forderung wird verdreifacht Um das Entschl\u00fcsselungstool herunterzuladen, muss das Opfer auf das TOR-Netzwerk zugreifen und sich auf die spezifische Onion-Site begeben, die in der L\u00f6segeldforderung genannt ist. Dort muss das Opfer 0,5 BTC zahlen ca. 1800 USD, um das Tool zu erhalten. Dies ist bedeutend h\u00f6her als die L\u00f6segeldforderungen im Jahre 2016, welche in der Regel unter 500 USD lagen. Abbildung 10 Locky Entschl\u00fcsselungs-Site im TOR-Netzwerk Locky Lukitus erzielt hohes Volumen und kommt in Varianten vor Abbildung 11 Beispiel f\u00fcr Bitte drucken-E- Mail Am 28. August entdeckte die Security Cloud von Cyren \u00fcber 130 Millionen sch\u00e4dlicher Anh\u00e4nge in E-Mails mit angeh\u00e4ngten VBS-Dateien, die die Locky-Nutzlast herunterladen. Unter diesen befanden sich \u00fcber 15.000 einzigartige Versionen der VBS-Datei. Beim Ausf\u00fchren der .vbs-Datei wird eine bin\u00e4res ausf\u00fchrbare Datei heruntergeladen, die Dateien auf dem Rechner verschl\u00fcsselt und die neue Erweiterung .lukitus hinzuf\u00fcgt. Lukitus HTML-Anhang Eine weitere Methode, auf die wir gesto\u00dfen sind, war eine .html-Datei, die als Anhang gesendet wurde. Die .html-Datei hat einen iFrame, der eine .php-Webseite \u00f6ffnet, welche eine andere .php enth\u00e4lt. Diese l\u00e4dt eine JavaScript-Datei herunter. Das JavaScript l\u00e4dt dann die bin\u00e4re ausf\u00fchrbare Datei herunter die Locky- Bin\u00e4rdatei, und f\u00fchrt sie aus. Abbildung 12  Malware-E- Mail mit .html-Datei als Anhang Abbildung 13 Der sch\u00e4dliche Fluss des .html, der als Anhang \u00fcbermittelt wird Cyren konnte zahlreiche E-Mails entdecken, die Locky verteilen, wobei die Domain der E-Mail verschleiert oder gef\u00e4lscht ist. Gef\u00e4lschte E-Mails von Dropbox und anderen gro\u00dfen Unternehmen, bei denen das Opfer die korrekte E-Mail- Adresse des Absenders sieht. Abbildung 14  Gef\u00e4lschte Dropbox-E- Mail \u00fcbermittelt Locky Muster, die f\u00fcr diese Analyse verwendet werden SHA-256 Locky asasin VBS 7eb4dbd104f209637258c33e18c4f458d89fb45919e566a210c79da30469d780 Locky lukitus VBS 18005919554cb9d907341b1c2052a75392e94cdb416faded4f0b67ef757526a1 EXE 3315a2d5e721d5651480de71849f677a1a8ee2d4c2d7118053f02c71fb580b23 Locky Ykcol VBS ad9ce3b94ca0b1217dd9e9a5a6439d66afab15372b183eb6f399137c12654792 EXE 3ebb3c50ea81e6897f130cd5582981ca6ee0a5432ebfe85fa522dc25fc462aaf Cyren entdeckt die Muster als VBSDownldr.HM Locky lukitus W32Locky.OC Locky Ykcol W32Locky.BX.gen!Eldorado Um in Sachen Ransomware auf den neuesten Stand zu kommen, besuchen Sie unsere Ransomware-Ressourcen- Seite und lesen Sie Cyrens fundierten, kostenlosen Sonderbericht zu Bedrohungen durch Rnsomware and Malware . Try it for Free Instant Data Classification Cyren URL Category Chacker Prev Bad Rabbit Ransomware is Rebuilt NotPetya Locky Revived  A Roundup of New Variants Next Company Partners Resources Investor Relations Products Freeware Demo Solutions Contact Us Privacy Management Service by Data443\n        "
      }
    ],
    "model": "deepseek/deepseek-r1-distill-llama-70b"
  },
  "response": {
    "content": "threat_prevention, technical_documentation",
    "usage": {
      "prompt_tokens": 2443,
      "completion_tokens": 382,
      "total_tokens": 2825
    },
    "model": "deepseek/deepseek-r1-distill-llama-70b"
  }
}