Ransomware verwendet den EternalBlue-Exploit
Neue Ransomware-Angriffswelle: Unabhängig davon, ob es sich bei der neuen Ransomware um eine Petya-Variante oder eine neue Ransomware-Familie handelt, verhält sich diese Ransomware anders, als andere Verschlüsselungstrojaner
Nach ersten Erkenntnissen der Forscher des "Trustwave SpiderLabs" scheint sich die Ransomware bisher primär im lokalen Netzwerk zu verbreiten und nicht auf das Internet zuzugreifen
Ende Juni gab es erneut eine Ransomware-Angriffswelle, die sich rasant verbreitet. Die Attacke erinnert stark an die Ransomware WannaCry, die erst im Mai weltweit für Chaos sorgte. Die Forscher des Sicherheitsspezialisten Trustwave gehen davon aus, dass sich auch diese Ransomware, bei der sich um eine Variante des Verschlüsselungstrojaners Petya handeln könnte, sehr schnell global verbreiten wird.
Derzeit ist unklar, ob es sich wirklich um eine Petya-Variante oder eine bisher unbekannte Ransomware-Variante handelt. Auf jeden Fall nutzt die neue Ransomware die gleiche Schwachstelle aus, über die sich auch die WannaCry-Ransomware verbreiten konnte. Die Ransomware verwendet den EternalBlue-Exploit, der eine Schwachstelle im SMB-Protokoll von Windows ausnutzt. Microsoft hat diese Schwachstelle bereits im März im MS17-010 Bulletin gepatcht. Die neue, erfolgreiche Angriffswelle zeigt, dass viele Unternehmen und Organisationen diesen Patch noch nicht installiert haben.
Nach ersten Erkenntnissen der Forscher des Trustwave SpiderLabs scheint sich die Ransomware bisher primär im lokalen Netzwerk zu verbreiten und nicht auf das Internet zuzugreifen. Eine der ersten Aktionen, die die Ransomware auf infizierten Systemen ausführt, ist es, lokale Anmeldeinformationen auszulesen und sich dann mit Hilfe dieser Anmeldeinformationen auf anderen lokal vernetzten Systemen zu verbreiten.
Unabhängig davon, ob es sich bei der neuen Ransomware um eine Petya-Variante oder eine neue Ransomware-Familie handelt, verhält sich diese Ransomware anders, als andere Verschlüsselungstrojaner. Während Ransomware üblicherweise nur wichtige Dateien wie Dokumente und Bilder verschlüsselt, verschlüsselt diese neue Ransomware zuerst einzelne Dateien und danach die gesamte Festplatte. Durch die Verschlüsselung des Systemlaufwerks, des Master File Table (MFT) und des Master Boot Record (MBR) verhindert die Ransomware, dass das System normal gebootet werden kann. Stattdessen bringt es einen eigenen Bootloader mit, der die Lösegeldforderung auf dem Bildschirm anzeigt. Dieser Bootloader verhindert, dass Dateien über Standard-Forensik-Techniken, beispielsweise das Booten von einer Live-CD oder eines anderen Betriebssystems, wiederhergestellt werden können.
Nach der Infektion verlangt die Ransomware 300 US-Dollar in Bitcoins als Lösegeld. Danach sollen die Daten wieder entschlüsselt werden. Nach dem Bezahlen des Betrags ist eine E-Mail an den/die Erpresser nötig, damit diese die Transaktion überprüfen können. Danach sollen die Daten wieder entschlüsselt werden. Da die E-Mail-Adresse des/der Cyberkriminellen momentan aber nicht erreichbar ist und damit die Zahlungskette nicht mehr intakt, vermuten die Trustwave SpiderLabs-Forscher, dass das Sammeln von Lösegeld nicht unbedingt das Ziel dieser Malware war. Welche Intention die Cyberkriminellen dagegen haben und gehabt haben könnten, steht im Moment noch nicht fest.
(Trustwave: ra)
eingetragen: 07.07.17
Home & Newsletterlauf: 18.07.17
Trustwave: Kontakt und Steckbrief
Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.