Der klassische Ransomware richtet bereits genug Schaden an, aber was gerade im Internet aufgetaucht ist, hat eine absurde und zugleich perverse Seite. Anstatt ein klassisches „Lösegeld“ in Bitcoins oder einer anderen Kryptowährung zu verlangen, fordert das neue nRansomware vom Opfer mindestens zehn Nacktfotos bevor es den Code zur Freigabe der Daten sendet.
Das Jahr 2017 hat uns bereits mit zwei massiven Ransomware-Kampagnen konfrontiert und einmal mehr gezeigt, wie schlecht einige Unternehmen und Organisationen auf solche Angriffe vorbereitet sind. Aber Ransomware diskriminiert nicht und trifft auch normale Nutzer mit gleicher Intensität. Die führenden Akteure im Bereich der IT-Sicherheit tun ihr Bestes, um robuste Schutzlösungen anzubieten, doch die gesamte Situation gleicht einem Wettrüsten, bei dem beide Seiten versuchen, einen Schritt voraus zu sein. Was passiert nun, wenn die Motivation eines Angreifers nicht das Geld ist? Kryptowährungen vereinfachen die Einziehung der „Lösegelder“ enorm und sind zum bevorzugten Zahlungsmittel geworden, aber der Verantwortliche des neuen nRansomware will etwas anderes …
Anstatt mit Bitcoins oder Ethereum zu zahlen, verlangt nRansomware mindestens zehn Nacktfotos vom Benutzer. Die Übertragung der Bilder muss über ein Protonmail-Konto erfolgen, und sobald der Autor der Ransomware die Echtheit der Fotos „überprüft“ hat, wird er den Code senden. Der gesamte Prozess ist so absurd, dass man ihn kaum ernst nehmen kann. Das Sperrbild besteht aus einem Mosaik von Thomas, der kleinen Lokomotive, die „F*ck You!“ schreit, während im Hintergrund das Titellied der Serie Curb Your Enthusiasm läuft.
Nun, ist es ein legitimer Angriff oder nicht? Die Forscher haben sich dazu nicht geäußert, aber sie haben bestätigt, dass die Ransomware tatsächlich nichts verschlüsselt, sondern es sich um einen Screenlocker handelt. Tatsächlich ist die Qualität so gering, dass der Code in der entdeckten Probe 12345 ist … und nicht richtig funktioniert. Andererseits hat Protonmail die in dem Bild erscheinende Adresse bereits deaktiviert. Persönlich hoffe ich, dass es sich nicht um einen „Testflug“ für etwas Ernsthafteres handelt.
