Schadsoftware verschlüsselt Festplatte komplett
Auffällig ist, dass im Gegensatz zu anderen Ransomware-Wellen die neue Schadsoftware auf den infizierten Systemen keine einzelnen Dateien eine nach der anderen verschlüsselt, sondern gleich die gesamte Festplatte.
Teil der Distribution der Attacke war der Loki Bot. Er nutzt verseuchte RTF-Dokumente, um sich zu verteilen. Nach einer Infektion sucht die Malware nach Credentials auf dem Gerät des Opfers. Der neue Schädling kann andere in der Nähe befindliche Geräte infizieren, ähnlich wie bei WannaCry. Er scheint präzise andere Systeme scannen zu können, um diese ebenfalls über die Eternal Blue-Schwachstelle zu befallen. Derzeit wird gemutmaßt, dass der Ursprung des Angriffs eine kompromittierte ukrainische Steuerbuchhaltungssoftware mit Namen M.E. Doc war, für die ein Update an die Kunden dieser Softwarefirma verschickt wurde.
Lösegeld Fehlanzeige
Die Lösegeld-Attacke zielt nach unseren Recherchen ins Leere, denn bislang wurden lediglich 10.000 US-Dollar in Bitcoin bezahlt und das einzige E-Mailkonto zur Zahlung des Lösegelds wurde vom E-Mailhosting-Anbieter bereits geschlossen.
Wie kann ich mich schützen?
Zunächst ist es wichtig, dass die Sicherheitsverantwortlichen in allen Unternehmen die Updates und Patches von Microsoft ausführen. Darüber hinaus sollte sicherheitshalber das SMBv-1 File-Sharing-Protokoll in den Windows Systemen ausgeschaltet werden (Stichwort: Eternal Blue). Generell sollten Organisationen dazu in der Lage sein mit entsprechenden Sicherheitstools Infektionen von vornherein zu verhindern. Dies gelingt zum Beispiel durch das Scannen des Netzwerks auf Bedrohungen, das Abblocken und Herausfiltern von verdächtigen E-Mail-Anhängen und Dateibestandteilen wie Makros. Darüber hinaus sollten Mitarbeiter entsprechend über potentielle Risiken informiert und entsprechend geschult werden.
Weiterführende Links:
blog.checkpoint.com: Preventing Petya – stopping the next ransomware attack
Das BSI informiert: Wiederum weltweite Cyber-Sicherheitsvorfälle durch Ransomware
Globale Ransomware-Attacke hat auch Tschernobyl getroffen
aktuelle Ergebnisse werden laufend im G DATA Security Blog veröffentlicht
