Snatch: Ransomware startet PC im abgesicherten Modus neu, um den Virenschutz zu umgehen

Regelmäßige Updates, eine grundlegende Sicherheitslösung und Vorsicht bei Klicks und Downloads – das sind die üblichen (und häufigsten) Empfehlungen, um unsere Geräte zu schützen ... Doch bekanntlich sind sie nicht perfekt. Malware passt sich an und ihre Entwickler werden immer geschickter. Snatch ist ein deutliches Beispiel dafür. Anstatt Zeit und Ressourcen darauf zu verwenden, aktuelle Antivirenprogramme zu überwinden, umgeht diese Ransomware sie, indem sie im abgesicherten Modus von Windows läuft – ohne Widerstand.

Malware hat es geschafft, sich in fast jedem verfügbaren Format zu verstecken. E-Mails, Dokumente, Excel-Vorlagen, Spiele. Sie hat spezifische Erweiterungen, Startsektoren und sogar Firmware infiziert. In letzter Zeit hat das Konzept der Ransomware stark an Boden gewonnen, dank sehr aggressiver Kampagnen, die Unternehmen, Regierungsbehörden und öffentliche Gesundheitssysteme geschädigt haben. Logischerweise haben die wichtigsten Sicherheitslösungen auf die Bedrohung reagiert, aber die Geschichte ist noch lange nicht zu Ende.

Das Problem (wenn man es so nennen kann) ist, dass die allermeisten dieser Lösungen in einer herkömmlichen Windows-Umgebung funktionieren, mit allen geladenen Elementen. Wenn wir in den abgesicherten Modus wechseln (auch als „abgesicherter Modus“ bezeichnet), werden sie nicht aktiviert. Mit anderen Worten: Der abgesicherte Modus schafft einen völlig ungeschützten Raum ... und genau das nutzt Snatch aus.

So funktioniert Snatch

Die Leute von Sophos (die in den letzten Wochen eine Ransomware-Kampagne untersucht haben) teilten eine hervorragende Demonstration von Snatch in Aktion. Der erste Schritt besteht darin, den Computer mithilfe des Befehls „shutdown“ im abgesicherten Modus neu zu starten, und dann lädt er sich unter diesem Modus erneut, als wäre es ein Windows-Dienst (dank einer Registry-Kette). Die Benutzerdateien werden während des Neustarts tatsächlich verschlüsselt, und der Rest ist eine Frage der Forderung des klassischen Lösegelds.

Natürlich hängt alles davon ab, wie das Snatch-Payload auf den Computer gelangt, aber sobald es das tut und ausgeführt wird ... Game over. Die Verantwortlichen dieser Ransomware haben sich entschieden, keine kleinen Fische zu angeln, sondern lieber auf Haifischjagd zu gehen, also ihre Bemühungen auf große Unternehmen und Regierungsbehörden zu konzentrieren. Das hindert andere böswillige Entwickler jedoch nicht daran, den Trick mit dem abgesicherten Modus auszuleihen und in ihren Kreationen anzuwenden.

Ein Blick zurück: Das Malware-Museum

Wer sich für historische Schadsoftware interessiert, findet im Malware-Museum eine umfangreiche Sammlung früherer Bedrohungen.

Jetzt beschränken sich die Masterminds hinter Snatch nicht nur auf die Verschlüsselung von Daten. Das Sophos-Team entdeckte ein ausgeprägtes Interesse daran, neue Mitglieder mit privilegiertem Zugang zu Unternehmensnetzwerken, Geschäften und anderen Unternehmen zu gewinnen. Im Wesentlichen haben sie kein Problem damit, für den Zugang zu einem bereits gehackten Netzwerk zu zahlen oder sich mit anderen Elementen zusammenzuschließen.

Gleichzeitig hat Sophos Beweise für gestohlene Daten dieser Gruppe. Ein Unternehmen im Visier von Snatch riskiert nicht nur, mit verschlüsselten und entführten Dateien zu enden. Es besteht auch die Möglichkeit, dass diese auf dem Schwarzmarkt verkauft werden.

Quelle: Sophos

Weitere Schutzmaßnahmen