- Anzeigen -


Sie sind hier: Home » Virenwarnung » Hintergrund

Kriminelle nutzen erneut Werkzeuge der NSA


Ergebnisse zur Petna Ransomware-Infektionswelle
Verschlüsselungstrojaner greift gezielt Unternehmen an und nutzt erneut Schwachstelle, die vom US-Geheimdienst NSA entwickelt wurde

- Anzeigen -





Die massive Infektionswelle der Ransomware Petna, die in einigen Grundfunktionen der Petya-Erpressersoftware stark ähnelt, hat zahlreiche Unternehmen weltweit getroffen – auch Großunternehmen zählen zu den Opfern. Die G Data Analysten vermuten dahinter eine gezielte Attacke auf Firmen. Der Erpressertrojaner verbreitet sich über die Update-Server einer weit verbreiteten Buchhaltungs-Software in Osteuropa. Nachdem die Ransomware in das Unternehmen gelangt ist, verbreitet sich Petna im Netzwerk durch den Exploit namens Eternalblue, der aus den Beständen des US-Geheimdienst NSA stammt und bereits bei WannaCry zum Einsatz kam.

Hierzu werden Administrator-Credentials gestohlen und für die Verbreitung genutzt. Die Ransomware verschlüsselt das gesamte Dateisystem und kompromittiert den Master Boot Record (MBR) der Systemfestplatte. Die aktuelle Variante verfügt, anders als WannaCry, jedoch nicht über einen Not-Aus-Schalter.

"Die aktuelle Infektionswelle nimmt gezielt Unternehmen ins Fadenkreuz", erklärt Tim Berghoff, G Data Security Evangelist. "Nach unserem derzeitigen Erkenntnisstand ist eine in Osteuropa weit verbreitete Buchhaltungssoftware für die Verbreitung der Ransomware Petna verantwortlich. Dadurch sind auch zahlreiche Großunternehmen betroffen, die Geschäftsbeziehungen in die Region haben."

Bereits WannaCry hat die Befürchtungen bestätigt, dass Kriminelle die Werkzeuge aus dem Arsenal eines Geheimdienstes für kriminelle Zwecke einsetzen. Der Exploit "Eternalblue" stammt aus den Beständen der NSA und wurde im April von der Hackergruppe "Shadow Brokers" öffentlich gemacht. "Eternalblue" nutzt Schwachstellen im Server Message Block (SMB) der Windows-Betriebssysteme aus, die von Microsoft bereits im März 2017 geschlossen wurden. (G Data: ra)

eingetragen: 07.07.17
Home & Newsletterlauf: 24.07.17


G Data Software: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Hintergrund

  • Weitere aggressive Ransomware

    Knapp eine Woche nach der WannaCry-Ransomware-Attacke haben Sicherheitsforscher eine weitere aggressive Ransomware entdeckt. XData hat bereits Hunderte von Rechnern in der Ukraine infiziert. In weniger als 24 Stunden ist es der Ransomware gelungen sich auf den infizierten Rechnern ein starkes Standbein zu verschaffen. Der Fakt allein wäre schon erwähnenswert. Es kommt aber noch etwas anderes hinzu, ausreichend interessant für enthusiastische Anhänger von kriminellen Intrigenspielen und konspirativen Theorien. Es hat sich herausgestellt, dass XData ursprünglich auf eine ältere Ransomware unter dem Namen AES-NI zurückgeht. Seit dem ersten Aufkommen der XData-Ransomware hat der vermutliche Entwickler von AES-NI zahlreiche Sicherheitsexperten und Journalisten angesprochen und jede Verbindung zur XData-Malware geleugnet. Unabhängig von den zugrunde liegenden Motiven schickt sich XData jetzt offensichtlich an, sich auch außerhalb der Ukraine zu verbreiten.

  • Kriminelle nutzen erneut Werkzeuge der NSA

    Die massive Infektionswelle der Ransomware Petna, die in einigen Grundfunktionen der Petya-Erpressersoftware stark ähnelt, hat zahlreiche Unternehmen weltweit getroffen - auch Großunternehmen zählen zu den Opfern. Die G Data Analysten vermuten dahinter eine gezielte Attacke auf Firmen. Der Erpressertrojaner verbreitet sich über die Update-Server einer weit verbreiteten Buchhaltungs-Software in Osteuropa. Nachdem die Ransomware in das Unternehmen gelangt ist, verbreitet sich Petna im Netzwerk durch den Exploit namens Eternalblue, der aus den Beständen des US-Geheimdienst NSA stammt und bereits bei WannaCry zum Einsatz kam. Hierzu werden Administrator-Credentials gestohlen und für die Verbreitung genutzt. Die Ransomware verschlüsselt das gesamte Dateisystem und kompromittiert den Master Boot Record (MBR) der Systemfestplatte. Die aktuelle Variante verfügt, anders als WannaCry, jedoch nicht über einen Not-Aus-Schalter.

  • Ransomware verwendet den EternalBlue-Exploit

    Ende Juni gab es erneut eine Ransomware-Angriffswelle, die sich rasant verbreitet. Die Attacke erinnert stark an die Ransomware WannaCry, die erst im Mai weltweit für Chaos sorgte. Die Forscher des Sicherheitsspezialisten Trustwave gehen davon aus, dass sich auch diese Ransomware, bei der sich um eine Variante des Verschlüsselungstrojaners Petya handeln könnte, sehr schnell global verbreiten wird. Derzeit ist unklar, ob es sich wirklich um eine Petya-Variante oder eine bisher unbekannte Ransomware-Variante handelt. Auf jeden Fall nutzt die neue Ransomware die gleiche Schwachstelle aus, über die sich auch die WannaCry-Ransomware verbreiten konnte. Die Ransomware verwendet den EternalBlue-Exploit, der eine Schwachstelle im SMB-Protokoll von Windows ausnutzt. Microsoft hat diese Schwachstelle bereits im März im MS17-010 Bulletin gepatcht. Die neue, erfolgreiche Angriffswelle zeigt, dass viele Unternehmen und Organisationen diesen Patch noch nicht installiert haben.

  • TeleBots sind zurück

    Ende Juni traf eine neue Cyberattacke zahlreiche Computersysteme weltweit. Im Kern des Angriffs stand eine Malware, die der Ransomware Petya ähnelt. Inzwischen wurde die vor allem in der Ukraine verbreitete Buchhaltungssoftware M.E.Doc als Ursprung der Attacke identifiziert. Eset hat die Backdoor, die die Cyberkriminellen in die Software einschleusten, analysiert. Dabei konnte Eset neue Erkenntnisse über die Verbreitung der Malware gewinnen, die Eset als Win32/Diskcoder.C erkennt. Die Eset Analyse der Backdoor in M.E.Doc zeigt, dass die Hacker ihren Angriff sorgfältig planten und ausführten. Um die Sicherheitslücke in das Programm einzuschleusen, müssen sie sich Zugriff zum Quellcode des Programms verschafft und sich ausführlich mit ihm befasst haben. Außerdem erlangten sie Zugriff auf den Server, über den die Software bereitgestellt wurde. Ohne aktives Zutun der Opfer wurden so immer wieder infizierte Updates auf den Rechnern der Nutzer von M.E.Doc installiert. Über das interne Nachrichtensystem des Programms versendeten die Hacker darüber hinaus Phishing-Nachrichten an weitere Opfer. Zudem verbreitete sich die Malware über VPN-Verbindungen in den Unternehmen, die M.E.Doc nutzen, intern sowie bei ihren Kunden und Geschäftspartnern.

  • Sicherheitslücke EternalBlue

    Unter dem Namen Petya (auch GoldenEye oder NotPetya) verbreitet sich die neue Ransomware-Attacke. Die Schadsoftware nutzt unter anderem eine Schwachstelle in Computersystemen aus, auf die bereits WannaCry und deren Nachfolger EternalRocks zugegriffen haben: EternalBlue. WannaCry erreichte über 230.000 Computer in mehr als 150 Ländern. Petya könnte ein ähnliches Ausmaß annehmen. Wer ist von Petya betroffen? Die ersten Übergriffe von Petya erfolgten in der Ukraine, wo die staatliche Infrastruktur einschließlich staatlicher Banken oder PCs von Ministern sowie Energieunternehmen getroffen wurden. Der Angriff hatte außerdem Auswirkungen auf Transportunternehmen und den Atomreaktor Tschernobyl.