Millionen Dollar erbeutet
Es waren die Sicherheitsfirmen Crowdstrike, Checkpoint und Fireeye, die den Fall der Schadsoftware „Ryuk“ offen gelegt haben, wie derstandard.at dazu berichtete. Den Hintermännern war es gelungen in fünf Monaten rund vier Millionen Dollar zu erbeuten. Wie Ars Technica dazu berichtete bedienten sie sich dabei einer eigenen Taktik bei der Zielauswahl.
Gemeinschaftswerk von Trojaner und Ransomware
Wie es weiter dazu heißt, ist die „Vorstufe“von Ryuk ein Trojaner namens „Trickbot“. Gelangt dieser auf ein System, so beginnt er damit, sich Rechte zu verschaffen und Module nachzuladen, ohne aber Nutzerdateien zu verschlüsseln. Eines seiner Werkzeuge wurde "Grim Spider" getauft. Es dient dazu, eine umfassende Netzwerkanalyse auszuführen, um zu erkennen, ob der Rechner Teil einer größeren Firma oder Organisation ist. Gleichzeitig wird auch versucht, relevante Passwörter zu ermitteln und Nutzerkonten anzulegen. Immer wieder kommuniziert der Schädling dabei Informationen an eine fremde IP-Adresse.
Der Trickbot-Schädling verfügt dabei über viel Zeit und wartet geduldig, bis zu einem Jahr, ehe im nächsten Schritt möglichst viele Rechner im erkannten Netzwerk gekapert und Dateien verschlüsselt werden. Immer vorausgesetzt, dass das Ziel lohnenswert ist. Die These der Ryuk-Macher dürfte sein, dass ein solcher Angriff auf größere Unternehmen und Organisationen lukrativer ist. Private Computer und Unternehmen mit kleinen Netzwerken bleiben hingegen von dieser zweiten Stufe verschont. Ein Vorbild für diese Taktik dürfte die 2015 entdeckte Ransomware "Samsam" sein, die ähnlich gestrickt war.
Wer sind die Täter?
Mit der Erpressung von Bitcoins gelang es den Tätern, seit August des vergangenen Jahres Kryptogeld im Gegenwert von rund 3,7 Millionen Dollar zu erbeuten. Wie viel davon in übliches Geld umgesetzt werden konnte, ist unklar.
Von wo aus die Täter operieren ist bisher ungeklärt. Berichten, wonach Ryuk von nordkoreanischen Hackern in Umlauf gebracht wurde, messen Crowdstrike und Fireeye wenig Bedeutung bei. Crowdstrike nimmt „mit mittlerer bis hoher Sicherheit“ an, dass die Angreifer in Russland zu finden sind.
