Neue Ransomware-Angriffswelle - Trustwave bietet 24-Stunden-Support für Petya & Co.

(openPR) München, 28. Juni 2017 - Erneut gibt es eine Ransomware-Angriffswelle, die sich rasant verbreitet. Die Attacke erinnert stark an die Ransomware WannaCry, die erst im Mai weltweit für Chaos sorgte. Die Forscher des Sicherheitsspezialisten Trustwave gehen davon aus, dass sich auch diese Ransomware, bei der sich um eine Variante des Verschlüsselungstrojaners Petya handeln könnte, sehr schnell global verbreiten wird. Schnelle Hilfe für betroffene Unternehmen bietet das Trustwave Incident Response Team, dass eine 24-Stunden-Hotline eingerichtet hat.

Derzeit ist unklar, ob es sich wirklich um eine Petya-Variante oder eine bisher unbekannte Ransomware-Variante handelt. Auf jeden Fall nutzt die neue Ransomware die gleiche Schwachstelle aus, über die sich auch die WannaCry-Ransomware verbreiten konnte. Die Ransomware verwendet den EternalBlue-Exploit, der eine Schwachstelle im SMB-Protokoll von Windows ausnutzt. Microsoft hat diese Schwachstelle bereits im März im MS17-010 Bulletin gepatcht. Die neue, erfolgreiche Angriffswelle zeigt, dass viele Unternehmen und Organisationen diesen Patch noch nicht installiert haben.

Nach ersten Erkenntnissen der Forscher des Trustwave SpiderLabs scheint sich die Ransomware bisher primär im lokalen Netzwerk zu verbreiten und nicht auf das Internet zuzugreifen. Eine der ersten Aktionen, die die Ransomware auf infizierten Systemen ausführt, ist es, lokale Anmeldeinformationen auszulesen und sich dann mit Hilfe dieser Anmeldeinformationen auf anderen lokal vernetzten Systemen zu verbreiten.

Unabhängig davon, ob es sich bei der neuen Ransomware um eine Petya-Variante oder eine neue Ransomware-Familie handelt, verhält sich diese Ransomware anders, als andere Verschlüsselungstrojaner. Während Ransomware üblicherweise nur wichtige Dateien wie Dokumente und Bilder verschlüsselt, verschlüsselt diese neue Ransomware zuerst einzelne Dateien und danach die gesamte Festplatte. Durch die Verschlüsselung des Systemlaufwerks, des Master File Table (MFT) und des Master Boot Record (MBR) verhindert die Ransomware, dass das System normal gebootet werden kann. Stattdessen bringt es einen eigenen Bootloader mit, der die Lösegeldforderung auf dem Bildschirm anzeigt. Dieser Bootloader verhindert, dass Dateien über Standard-Forensik-Techniken, beispielsweise das Booten von einer Live-CD oder eines anderen Betriebssystems, wiederhergestellt werden können.

Nach der Infektion verlangt die Ransomware 300 US-Dollar in Bitcoins als Lösegeld. Danach sollen die Daten wieder entschlüsselt werden. Nach dem Bezahlen des Betrags ist eine E-Mail an den/die Erpresser nötig, damit diese die Transaktion überprüfen können. Danach sollen die Daten wieder entschlüsselt werden. Da die E-Mail-Adresse des/der Cyberkriminellen momentan aber nicht erreichbar ist und damit die Zahlungskette nicht mehr intakt, vermuten die Trustwave SpiderLabs-Forscher, dass das Sammeln von Lösegeld nicht unbedingt das Ziel dieser Malware war. Welche Intention die Cyberkriminellen dagegen haben und gehabt haben könnten, steht im Moment noch nicht fest.

Kunden von Trustwave können sich mit Hilfe der zahlreichen Sicherheitslösungen wirkungsvoll gegen diese und andere Ransomware-Angriffe schützen. Folgende Lösungen bieten einen aktiven Schutz:

• Trustwave Managed Detection & Response (MDR) for Endpoints
• Trustwave AV (kann die Art der Ransomware an sich erkennen)
• Trustwave UTM (blockiert die MS17-010-Ausnutzungsversuche)
• Trustwave Vulnerability Scanner (erkennt, ob einem System der MS17-010-Patch fehlt)

Unternehmen, die von der aktuellen Ransomware-Attacke betroffen sind, können sich 24 Stunden am Tag an das Trustwave Incident Response Team wenden. Dieses ist unter https://www.trustwave.com/Services/SpiderLabs-Services/Incident-Response-and-Readiness/ und über die Telefonnummer +1 (866) 659-9097 (Option 5 auswählen) erreichbar.


Druckfähiges Bildmaterial finden Sie hier:
http://www.laubstein-media.de/News/Trustwave_201706RW.zip

Pressemitteilung zum Download:
http://www.laubstein-media.de/News/PM_Trustwave_201706RW.pdf