Es war nur eine Frage der Zeit, das haben wir mehrfach gesagt. WannaCry war nur der Anfang. Alles, was nötig war, war ein bösartiges Element mit ausreichenden Fähigkeiten und einem höheren Budget, um die Exploits in einer viel aggressiveren Kampagne wiederzuverwenden. Diese Kampagne ist jetzt unter uns. Mehrere Quellen deuten darauf hin, dass der Angriff in Ukraine begann und sich trotz seiner Betonung auf die Infektion lokaler Netzwerke schnell ausbreitete. Pharmafirmen, Transportunternehmen, Anwaltskanzleien, Banken, Lebensmittelproduzenten und sogar die Überwachungssysteme in Tschernobyl wurden getroffen.
Die Opfer und die Verbreitung
Die Fachmedien verarbeiten die Informationen noch, und wir gehen davon aus, dass es in den nächsten Stunden mehrere Updates geben wird, aber wir haben bereits eine solide Basis, um zu wissen, was passiert ist. Eine neue globale Ransomware-Kampagne hat den Betrieb von mehr als 80 Unternehmen unterbrochen. Zu den genannten Namen gehören das Pharmaunternehmen Merck, Mondelez International (Cadbury, Toblerone, Milka, Oreo usw.), der Schifffahrtsriese Maersk und mehrere Betreiber in Russland und der Ukraine, darunter der Ölkonzern Rosneft, der Stahlhersteller Evraz, der staatliche Energieversorger Ukrenergo und der internationale Flughafen Boryspil. Es ist noch nicht vollständig bestätigt, aber erste forensische Analysen deuten darauf hin, dass es sich um eine Variante der Ransomware Petya handelt. Wie WannaCry nutzt auch dieser Petya-Build (auch als PetyaWrap, GoldenEye und Nyetya bekannt) den Exploit EternalBlue, aber Kaspersky sagt, dass es einen zweiten von der NSA geleakten Exploit namens EternalRomance anwendet.
Lösegeld und Verbreitungsweg
Der primäre Verbreitungsweg konnte noch nicht identifiziert werden, aber die verfügbaren Beweise sprechen für ein ukrainisches Buchhaltungsprogramm namens MeDoc, dessen Updatesystem gehackt wurde. Kaspersky und das Talos-Team von Cisco sind noch nicht so weit, aber im offiziellen Blog des Forschers MalwareTech (derselbe, der den WannaCry-Notausschalter entdeckte) finden wir mehrere Referenzen. Im Grunde wollen die Verantwortlichen eine Zahlung von 300 Dollar in Bitcoins, und nach der Zahlung müssen die Opfer den „Installationsschlüssel“ an eine E-Mail-Adresse senden. Diese E-Mail verwendet die Domain eines deutschen Anbieters, Posteo, der bereits die Sperrung bestätigt hat. Das bedeutet, dass betroffene Benutzer keine Möglichkeit haben, den Entschlüsselungsschlüssel zu erhalten und ihre Dateien wiederherzustellen. Daher müssen wir die übliche Empfehlung wiederholen: Nicht zahlen.
Technische Unterschiede zu WannaCry
Obwohl es genügend Gründe gibt, diese Kampagne mit WannaCry zu vergleichen, sind die technischen Unterschiede erheblich. WannaCry konzentrierte seine Kraft auf eine kleine Anzahl von Endgeräten und geriet schnell außer Kontrolle, während diese Petya-Variante eine große Anzahl von Computern angriff und dann interne Netzwerke infizierte (sie braucht nur ein verwundbares Endgerät). Sie hat auch die Fähigkeit, lokale Anmeldeinformationen zu stehlen mit Hilfe von Mimikatz und ihre Präsenz mit PSExec, einem offiziellen Microsoft-Tool, zu vertiefen. Sobald die Infektion abgeschlossen ist, kann die Ransomware zwischen 10 und 60 Minuten warten, bevor sie das System neu startet. Die meisten Quellen sind sich einig, dass diese Kampagne viel ausgefeilter ist. Es gibt keinen magischen Schalter, der sie deaktiviert, und sie scheint mehr darauf ausgerichtet zu sein, Schaden anzurichten als Geld zu erpressen (sie hat nur 6.000 Dollar eingenommen). Es wurden Bilder der Ransomware an Geldautomaten gesehen, aber der beunruhigendste Bericht stammt von CNN, das meldete, dass das automatische Strahlungsüberwachungssystem im Kernkraftwerk Tschernobyl getroffen wurde. Die Behörden werden die Überwachung bis auf Weiteres manuell fortsetzen.
Was zu tun ist
Im Moment besteht die einzige Möglichkeit, die Ransomware zu vermeiden, darin, den Verschlüsselungsprozess zu unterbrechen. Wenn der Computer spontan neu startet und eine Meldung anzeigt, dass das Dateisystem repariert wird (sehr ähnlich zum klassischen CHKDSK), müssen wir ihn vollständig ausschalten. Wir werden weiter berichten.
MalwareTech
