Von Geldautomaten bis Tschernobyl: Die neueste Ransomware-Kampagne, die eine Variante des bekannten Petya nutzt, fegt alles beiseite, was nicht niet- und nagelfest ist. Dutzende Forscher weltweit begannen, die Funktionsweise zu untersuchen, und obwohl sie keinen Schalter wie bei WannaCry fanden, gibt es eine kleine Möglichkeit, die Installation zu verhindern. Grundsätzlich prüft Petya das Vorhandensein einer bestimmten Datei um festzustellen, ob der Computer bereits infiziert wurde. Wenn wir diese Datei reproduzieren, erhalten wir eine vorübergehende Impfung.
Die vorübergehende Impfung
Ein Detail, das wir in unserem letzten Artikel erwähnt haben, ist, dass die Petya-Kampagne (oder „NotPetya“, je nach Quelle) eher darauf abzuzielen scheint, Schaden anzurichten als Geld zu verdienen. Indem sie die MBR und MFT der Festplatte angreift, anstatt einzelne Dateien zu verschlüsseln, sind die Chancen, Daten wiederherzustellen, viel geringer, und ihre Entwickler haben vielleicht nie daran gedacht, dies zuzulassen. Wenn wir die heikle Situation zwischen der Ukraine (wo der Angriff vermutlich seinen Ursprung hatte) und Russland berücksichtigen, ist die Idee eines verdeckten Cyberangriffs hinter einer Ransomware-Kampagne nicht so abwegig. So hart der anfängliche Schlag auch sein mag, eines ändert sich nicht: Experten benötigen nur wenige Stunden, um eine grundlegende Verteidigungsbarriere zu schaffen. Das war bei WannaCry viel effektiver, weil das Ransomware nach der Entdeckung seines Schalters aufhörte zu funktionieren, aber im Fall von Petya-NotPetya haben sie eine Impfung gefunden.
Laut dem Forscher Amit Serper überprüft das Ransomware vor der Infektion das Vorhandensein einer Datei im Windows-Ordner: perfc.dll. Andererseits gab Dave Kennedy von TrustedSec an, dass die betreffende Datei perfc.dat ist. Abgesehen von diesen Unterschieden führt der Code lediglich eine Prüfung auf „perfc.*“ durch, also erfüllt jede perfc-Datei, ob mit oder ohne Endung, diese Bedingung. Wir wissen noch nicht, warum das Ransomware diese Suche durchführt. Höchstwahrscheinlich handelt es sich um einen Überrest des ursprünglichen Petya, um zu verhindern, dass er einen Computer zweimal infiziert, oder die Verantwortlichen der neuen Kampagne haben ihn möglicherweise zum Schutz ihrer eigenen Infrastruktur eingebaut. So oder so können wir es nutzen.
So erstellst du die perfc-Datei
Es gibt mehrere Methoden, um die perfc-Datei zu erstellen, aber die bisher beliebteste ist die Verwendung von Kopien des Editors und deren Umbenennung. Hier bei NeoTeo machen wir das auf die altmodische Art: mit der Systemkonsole. Der erste Schritt ist, cmd.exe mit Administratorrechten zu öffnen (Rechtsklick, um die Option zu sehen). Dann geben wir cd.. ein, um in das Windows-Verzeichnis zu wechseln, und dort schreiben wir „copy notepad.exe perfc“, ohne Anführungszeichen. Der Rest beschränkt sich darauf, den Datei-Explorer zu öffnen, in den Windows-Ordner zu gehen, die neu erstellte perfc-Datei zu finden, in ihre Eigenschaften zu gehen (wieder mit Rechtsklick) und das Attribut „Schreibgeschützt“ zu aktivieren (Windows wird in diesem Schritt eine zusätzliche Berechtigung anfordern). Wer möchte, kann den Vorgang mit perfc.dat und perfc.dll wiederholen. Die neuesten Daten besagen, dass es nicht unbedingt notwendig ist, aber am Ende ist es etwas Vorübergehendes. Alles, was diejenigen mit Zugriff auf den Petya-Code tun müssen, ist, diese Funktion zu entfernen oder zu ändern und den Zyklus von neuem zu beginnen...
