Locky

Aparecido en 2016, Locky se distribuía mediante correos que simulaban una factura con un documento de Word adjunto que contenía macros maliciosas. Al abrirlo, el documento mostraba texto ininteligible y la frase «Enable macro if data encoding is incorrect» (una técnica de ingeniería social); si la víctima activaba las macros, se descargaba y ejecutaba el troyano de cifrado. El código VBA se parecía mucho al de Dridex, lo que apuntaba a la misma banda; las campañas masivas las impulsaba la botnet Necurs, una de las mayores de su tiempo. Un caso muy mediático fue el del Hollywood Presbyterian Medical Center, que el 18 de febrero de 2016 pagó un rescate de 17.000 $ en bitcoins para recuperar los datos de pacientes, llevando el ransomware al primer plano de la opinión pública.

*Malspam* (falsas facturas) con documento Word y macros; campañas masivas vía botnet Necurs. Variantes posteriores usaron adjuntos JS/HTA y PDF con Word incrustado.

Cifrado de archivos con extensiones como `.locky`, `.zepto`, `.odin`, `.aesir`; nota de rescate (`_HELP_instructions.html`) con pago en Bitcoin vía Tor.

Bloquear macros, filtrado de correo, copias de seguridad inmutables, formación antiphishing.

Restaurar desde copias offline (no hubo descifrador universal fiable); eliminar el malware; revisar movimiento lateral.