Malware
Gefahr durch die DoppelPaymer Ransomware
DoppelPaymer ist eine Ransomware-Familie, die 2019 zum ersten Mal mit Angriffen auf Unternehmen in kritischen Branchen auffiel und diese 2020 fortsetzte. Was macht diese Ransomware aus?
Originalbeitrag von Trend Micro Research
Im Dezember 2020 gab das FBI eine Warnung bezüglich DoppelPaymer heraus. Es handelt sich um eine Ransomware-Familie, die 2019 zum ersten Mal mit Angriffen auf Unternehmen in kritischen Branchen auffiel. Ihre Aktivitäten setzten sich auch 2020 fort, einschließlich einer Reihe von Vorfällen in der zweiten Jahreshälfte, die die Geschäftsabläufe der Opfer empfindlich störten. Was macht diese Ransomware aus?
Dem FBI zufolge greift DoppelPaymer in erster Linie Unternehmen im Gesundheitswesen, Rettungsdienste und im Bildungswesen an. Die Ransomware war besonders aktiv im September und legte beispielweise die Kommunikation und den allgemeinen Betrieb in der Uniklinik Düsseldorf lahm.
Es wird angenommen, dass DoppelPaymer auf der BitPaymer Ransomware (die 2017 zuerst gesichtet wurde) beruht, weil es Ähnlichkeiten im Code, bei den Lösegeldforderungen und Zahlungsportalen gibt. Neben einigen anderen Unterschieden fällt auch auf, dass die Verschlüsselungsgeschwindigkeit von DoppelPaymer durch den Einsatz von Threaded Dateiverschlüsselung verbessert wurde.
DoppelPaymer benötigt korrekte Befehlszeilenparameter, bevor die Schadsoftware ihre bösartigen Routinen ausführt. Die Samples zeigen unterschiedliche Parameter. Diese Technik wird möglicherweise von den Angreifern verwendet, um eine Entdeckung durch Sandbox-Analysen zu vermeiden und um Sicherheitsforscher daran zu hindern, die Samples zu untersuchen. Der vielleicht außergewöhnlichste Aspekt der Schadsoftware ist die Verwendung eines Tools namens ProcessHacker, mit dem die Ransomware Dienste und Prozesse beendet, um Zugriffsverletzungen während der Verschlüsselung zu verhindern.
Wie bei vielen modernen Ransomware-Familien sind die Lösegeldforderungen von DoppelPaymer für die Entschlüsselung von Dateien mit 25.000 Dollar bis 1,2 Millionen Dollar beträchtlich. Darüber hinaus betreiben die Hintermänner seit Februar 2020 eine Data Leak-Seite und drohen den Opfern mit der Veröffentlichung ihrer gestohlenen Dateien als Teil der Erpressung.
Die Routine der Ransomware
DoppelPaymer nutzt eine ziemlich ausgefeilte Routine, die mit einer Infiltrierung des Netzwerks über bösartige Spam Mails startet. Sie beinhaltet Spear Phishing Links oder Anhänge, über die die Opfer geködert werden sollen, bösartigen Code auszuführen. Der wiederum lädt weitere Malware mit fortgeschrittenen Fähigkeiten (etwa Emotet) ins betroffene System. Emotet kommuniziert anschließend mit seinem Command-and-Control (C&C)-Server, installiert verschiedene Module und lädt weitere Malware herunter, die er ausführt.
Bei der DoppelPaymer-Kampagne wurde der C&C-Server zum Herunterladen und Ausführen der Dridex-Malware-Familie verwendet, die wiederum entweder DoppelPaymer direkt oder Tools wie PowerShell Empire, Cobalt Strike, PsExec und Mimikatz herunterlädt. Jedes dieser Tools wird für verschiedene Aktivitäten verwendet, z. B. zum Stehlen von Anmeldeinformationen, zur lateralen Bewegung innerhalb des Netzwerks und zum Ausführen verschiedener Befehle, wie Deaktivieren von Sicherheitssoftware.
Wenn Dridex in das System eindringt, führen die Angreifer die Ransomware nicht sofort aus, sondern die Schadsoftware versucht, sich lateral im Netzwerk des betroffenen Systems zu bewegen, um ein wertvolles Ziel zu finden, von dem sie wichtige Informationen stehlen kann. Erst wenn dieses Ziel gefunden ist, führt Dridex seine endgültige Payload, DoppelPaymer, aus. Diese verschlüsselt die im Netzwerk gefundenen Dateien, sowie feste und Wechsellaufwerke im betroffenen System.
Schließlich ändert die Ransomware die Benutzerkennwörter, bevor sie einen Systemneustart in den abgesicherten Modus erzwingt, um zu verhindern, dass der Benutzer das System verlässt. Dann ändert sie den Hinweistext, der erscheint, bevor Windows zum Anmeldebildschirm übergeht. Der neue Hinweistext enthält nun die Lösegeldforderung, die Benutzer davor warnt, das System zurückzusetzen oder herunterzufahren sowie die verschlüsselten Dateien zu löschen, umzubenennen oder zu verschieben. Der Hinweis enthält auch die Drohung, die sensiblen Daten der Öffentlichkeit zugänglich zu machen, sollte das geforderte Lösegeld nicht bezahlt werden.
Empfehlungen zum Schutz vor DoppelPaymer
Unternehmen können sich vor Ransomware wie DoppelPaymer schützen, wenn sie die Security Best Practices befolgen:
- Nicht Öffnen von ungeprüften E-Mails und kein Anklicken von in der Mail eingebetteten Links oder Anhänge
- Regelmäßiges Backup wichtiger Dateien nach der 3-2-1-Regel: Drei Kopien in zwei unterschiedlichen Dateiformaten, Ablage eines der Backups an einem separaten physischen Standort.
- Sowohl Software als auch Anwendungen mit den neuesten Patches aktualisieren, und das so schnell wie möglich.
- Sicherstellen, dass Backups geschützt und abgekoppelt vom Netzwerk sind.
- Auditieren der Nutzerkonten in regelmäßigen Abständen – vor allem diejenigen Konten, die öffentlich zugänglich sind, wie etwa Remote Monitoring und Management.
- Monitoring des ankommenden und abgehenden Netzwerkverkehrs, mit Alerts bei Datenexfiltrierung.
- Implementieren von Zweifaktor-Authentifizierung.
- Einsetzen des Prinzips der geringsten Privilegien für Dateien, Verzeichnisse und Netzwerkfreigaben.
Der Originalbeitrag enthält auch die Indicators of Compromise (IOCs).