CryptoLocker
CryptoLockerはMicrosoft Windowsが動作しているコンピュータを標的にするマルウェア(トロイの木馬)であり、2013年9月にDell SecureWorks(英語版)が発見した。 感染経緯の一つとして正常な電子メール添付ファイルを装う場合がある。 感染した場合、マウントされたネットワークドライブやローカルに保存されている特定のタイプのファイルをRSA公開鍵暗号で暗号化する。 RSAの秘密鍵(復号鍵)はマルウェアのコントロールサーバーにしか保存されていない。そして、暗号化を解除してほしければ期限までに身代金(ビットコインやプリペイド決済)を要求する旨のメッセージが表示され、期限を過ぎたら秘密鍵を削除して解除不可能にすると脅迫する。また、マルウェア攻撃者が運営するオンラインサービスを経由して暗号化解除のために高額なビットコインを要求することもある。
CryptoLocker自体の除去は容易であるものの、ファイルは、研究者が解読ほぼ不可能と考えている方法で暗号化されたままとなる。 ファイルを修復する手段はなく、身代金を払う必要はないと言う人は多いが、バックアップしなかったファイルを修復するためには身代金を支払うしかないという人もいる。 それでも身代金を払ったからといって必ずしもファイルの暗号化が解除されるとは限らない。
2014年5月、CryptoLockerのネットワークがダウンし、攻撃者から被害者のデータベースが回収され、8月にはデータベースを使用することで身代金を払うことなくファイルの暗号化を復号できるようになった。
セキュリティソフトウェアはこのような脅迫行為を検知するようになっているが、未知な新しいバージョンの保護ソフトウェアが配布されてもCryptoLockerを一切もしくは暗号化が進行中もしくは終わった後にしか検知できない。もし初期段階で攻撃の兆候を掴んだり実際検出した場合、暗号化に時間がかかるためデータの破壊が完了する前にマルウェア(比較的単純な処理をする)を即刻除去することができるため、専門家はソフトウェアや他のセキュリティポリシーを使ってCryptoLockerのペイロードを起動時にブロックする方法を提唱した。シマンテックによれば感染したユーザーの3%が身代金を払ったと推定している。
CryptoLockerの運用環境を考えるに、複数の専門家は不本意ながらバックアップを取っていない場合(特にネットワークを通した感染があり得ないためCryptoLockerの心配がないオフラインバックアップ)はファイルを修復するためには身代金を払うしかないと述べている。