- Anzeigen -


Sie sind hier: Home » Virenwarnung » Hintergrund

Infektion mit Ransomware


Die "CrypVault"-Ransomware tauchte erstmalig etwa im April 2015 auf und nutzt die GnuPG Opensource-Verschlüsselung, um die Daten auf dem infizierten Rechner zu verschlüsseln
Anders als gängige Ransomware-Varianten ist CrypVault ganz simpel auf Basis von Windows-Skriptsprachen wie DOS-Batch-Befehlen, JavaScript und VBScript geschrieben

- Anzeigen -





Das Threat Guidance Team von Cylance hat einen neuen Blogbeitrag veröffentlicht, bei dem es um die LovexCrypt-Ransomware, einen CryptVault-Abkömmling geht. Eine Infektion mit Ransomware gefährdet beide gleichermaßen: Endnutzer und Business-Anwender. Die potenziellen Folgen sind vielfältig. Seien es finanzielle Verluste, weil man den Hacker lieber bezahlt als seine Daten zu verlieren, seien es Unterbrechungen der normalen Geschäftsabläufe oder auch der Rufschaden, den eine Marke erleiden kann. Und am schlimmsten: der möglicherweise dauerhafte Verlust von wichtigen, vertraulichen und kritischen Daten. Jede einzelne dieser potenziellen Folgen wirkt sich negativ auf die Produktivität aus.

Die Angreifer sind so unterschiedlich wie die Motivation. Es kann sich um eine gut organisierte Bande von Cyberkriminellen handeln, die Opfer über ihre eigene Infrastruktur ins Visier nehmen, aber genauso gut um Einzelpersonen. Bei einem Angriff im Alleingang wird es sich vermutlich um eine Malware "von der Stange" handeln oder der Angreifer verändert einen vorhandenen Code um auf dieser Basis eine neue Malware zu entwickeln. Ist es erst ein Mal soweit brauchen die Angreifer nur noch einen praktikablen Mechanismus um die Schadsoftware zu verteilen und möglich viele Nutzer damit zu infizieren.

Die CrypVault-Ransomware tauchte erstmalig etwa im April 2015 auf und nutzt die GnuPG Opensource-Verschlüsselung, um die Daten auf dem infizierten Rechner zu verschlüsseln. Anders als gängige Ransomware-Varianten ist CrypVault ganz simpel auf Basis von Windows-Skriptsprachen wie DOS-Batch-Befehlen, JavaScript und VBScript geschrieben. Das ist der Grund, warum sich der Code so leicht verändern lässt um neue Varianten zu erstellen. Jeder potenzielle Cyberkriminelle mit durchschnittlichem Wissen zu Skriptsprachen sollte problemlos seine eigenen Varianten kreieren können.

Der aktuelle Blogpost des Threat Guidance Team beschäftigt sich mit einer Variante der CrypVault Ransomware namens LovxCrypt, die jüngst aufgedeckt wurde und die in Form eines E-Mail-Anhangs an einer Spam-Nachricht verbreitet wurde. (Cylance: ra)

eingetragen: 21.04.17
Home & Newsletterlauf: 22.05.17


Cylance: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Hintergrund

  • Als Flash-Player-App getarnt

    Die Experten von Kaspersky Lab haben eine neue Variante des mobilen Banking-Trojaners Svpeng entdeckt. Mittels Keylogger-Funktion greift der modifizierte Trojaner eingegebenen Text wie Banking-Zugangsdaten ab, indem die Zugangsdienste von Android missbraucht werden. Dadurch erlangt der Trojaner weitere Rechte und kann so die eigene Deinstallation verhindern. Selbst Geräte mit aktuellster Software schützen nicht vor dem Schädling. Zugangsdienste (Accessibility Services) sind Erweiterungen der Benutzeroberfläche, um Nutzer, die nicht mit dem Gerät interagieren können, zu unterstützen. Die im Juli 2017 von Kaspersky Lab entdeckte modifizierte Version von Svpeng ist in der Lage, diese Systemfunktion zu missbrauchen, um in andere Apps eingegebenen Text abzugreifen und sich selbst weitere Rechte zu verschaffen.

  • Geschäftsmodell Ransomware-as-a-Service

    Auf der Black Hat 2017 in Las Vegas hat Sophos gestern einen Report zum Thema "Ransomware-as-a-Service (RaaS): eine Analyse von Philadelphia" veröffentlicht. Autorin ist Dorka Palotay, eine Entwicklern zur Gefahrenanalyse in den SophosLabs in Budapest, Ungarn. Der Report beschäftigt sich eingehend mit den inneren Mechanismen eines Ransomware-Bausystems, das jeder für 400 US-Dollar kaufen kann. Einmal erworben, können die Kriminellen Computer kidnappen und Daten gegen Lösegeld zurückhalten.

  • Infektion über Filesharing-Seiten

    Mehr als eine halbe Million Nutzer sind von einer Malware-Kampagne betroffen, die infizierte Systeme zu einem Botnet hinzufügt. Die Malware ist komplex und extrem anpassungsfähig. So schaffte es "Stantinko", über fünf Jahre lang unentdeckt zu agieren und ein Botnet von mehr als 500.000 infizierten Systemen zu bilden. Das ist das Ergebnis einer umfassenden Untersuchung der europäischen Security-Software-Herstellerin Eset. Die meisten Betroffenen entdeckte Eset in Russland und in der Ukraine. Stantinko infiziert Systeme über Filesharing-Webseiten und lockt Nutzer mit kostenloser Software. Die Entwickler haben die Malware clever getarnt: Der Infektionsvektor installiert eine Reihe auffälliger Anwendungen, gleichzeitig wird das Schadprogramm unauffällig im Hintergrund installiert. Stantinko ist so komplex aufgebaut, dass die Malware nur schwer entdeckt werden kann.

  • Unfertige Spyware Rurktar aufgetaucht

    In den G Data Security Labs ist eine Spyware aufgetaucht, die ihren Ursprung scheinbar in Russland hat. Das lässt sich durch die internen Fehlermeldungen der Software zurückverfolgen. Ob hinter der Programmierung der Schadsoftware ganze Entwicklerteams oder eine einzelne Person stecken, ist indes noch unklar.

  • Mac-Version der Windows-Malware WERDLOD

    Forscher von Trend Micro haben die vor kurzem entdeckte Malware OSX_DOK eingehend analysiert. Dabei zeigte sich, dass der Trojaner ausschließlich Daten von Schweizer Nutzern abfängt, die er an ihrer IP-Adresse erkennt. OSX_DOK stellt die Mac-Version der Windows-Malware WERDLOD dar, die bereits 2014 in dem als "Operation Emmental" bekannten Angriff auf Schweizer Bankkunden verwendet wurde.