Was ist Ransomware?
Ransomware ist eine Malware, die lokal und in Netzwerken gespeicherte wichtige Dateien verschlüsselt und ein Lösegeld für die Entschlüsselung fordert. Hacker entwickeln diese Art von Malware, um durch digitale Erpressung Geld zu verdienen.
Die Verschlüsselung durch Ransomware kann nur mit dem passenden Schlüssel rückgängig gemacht werden. Die einzige Alternative zur Wiederherstellung der Daten ist ein Backup.
Die Funktionsweise von Ransomware ist besonders effektiv. Bei anderen Arten von Malware, die Daten zerstören oder entwenden, gibt es weitere Möglichkeiten der Wiederherstellung. Haben Sie kein Backup, ist die Bezahlung des Lösegelds meist der einzige Weg, die Daten wiederherzustellen. Es kommt auch vor, dass Unternehmen das Lösegeld zahlen, der Angreifer aber keinen Schlüssel sendet.
Ransomware zielt auf wichtige Informationen ab
Wird die Ransomware aktiviert, durchsucht sie den lokalen und Netzwerkspeicher nach Dateien, um sie zu verschlüsseln. Sie sucht gezielt nach Dateien, die für das Unternehmen oder die Einzelperson besonders wichtig sind. Dies umfasst auch Backup-Dateien, mit denen Sie Ihre Daten wiederherstellen könnten. Ransomware sucht unter anderem nach folgenden Dateitypen:
- Microsoft Office: .xlsx, .docx und .pptx sowie ältere Versionen davon
- Bilddateien: .jpeg, .png, .jpeg, .gif
- Unternehmensbezogene Bilddateien: .dwg
- Daten: .sql und .ai
- Video: .avi, .m4a, .mp4
Verschiedene Arten von Ransomware zielen auf verschiedene Dateiarten ab. Aber es gibt auch Dateiarten, die für alle interessant sind. Die meisten Arten von Ransomware suchen nach Microsoft Office Dateien, weil diese oft kritische Unternehmensinformationen enthalten. Die Ransomware konzentriert sich auf wichtige Dateien, um die Wahrscheinlichkeit zu erhöhen, dass das Lösegeld gezahlt wird.
Phishing-E-Mails enthalten häufig Ransomware
Der Unterschied zwischen Ransomware und anderer Malware besteht darin, was auf die Aktivierung folgt. In der Regel wird Ransomware ausgeführt, wenn Anwender auf einen Link in einer Phishing-E-Mail klicken oder den Anhang öffnen. Die Malware wird daraufhin von einem Server heruntergeladen, den der Angreifer kontrolliert.
Nach dem Download kann die Ransomware zunächst inaktiv bleiben, auf dem Netzlaufwerk schlummern oder auf dem infizierten Computer direkt aktiviert werden. Sobald sie ausgeführt wird, durchsucht sie die vorhandenen lokalen und Netzwerkspeichersysteme nach relevanten Dateien mit entsprechenden Endungen und verschlüsselt sie. Die Verschlüsselung kann asymmetrisch oder symmetrisch erfolgen, wobei viele Ransomware-Angriffe beide Methoden anwenden.
Angreifer fordern eine Zahlung
Angreifer verlangen die Auszahlung meist in Kryptowährung, hauptsächlich in Bitcoin. Diese Zahlungsweise reduziert das Risiko, gefasst zu werden. Angreifer verstecken ihre Server außerdem hinter dem TOR-Anonymisierungsnetzwerk, um nicht identifiziert zu werden.
Nachdem die Ransomware die Dateien verschlüsselt hat, zeigt sie Ihrem Unternehmen eine Nachricht an. Die Angreifer verlangen Geld für den Code zur Freigabe der Dateien. Dieses Lösegeld kann von ein paar hundert bis zu Millionen von Dollar reichen. Zahlen die Anwender nicht sofort, erhöht die Malware möglicherweise die Lösegeldsumme.
Manche Ransomware-Angriffe wenden Double Extortion (doppelte Erpressung) an. Der Angreifer verlangt eine Summe für die Freigabe der Dateien und schickt außerdem eine Liste von angegriffenen Organisation, die nicht gezahlt haben. Diese doppelte Erpressung wird Sie dazu bringen, das Lösegeld zu zahlen, damit Ihre Marke keinen Schaden nimmt.
Ransomware entwickelt sich
Unterschiedliche Arten von Ransomware wenden unterschiedliche Methoden an, um die Daten zu verschlüsseln und zu verhindern, dass die Anwender den Schlüssel finden. Bei älterer Ransomware kommt entweder eine asymmetrische Verschlüsselung (client- oder serverseitig) oder eine einfache symmetrische Verschlüsselung zum Einsatz. Neuere Ransomware kombiniert beide, um die Effizienz des Angriffs zu steigern.
Symmetrische Verschlüsselung
Ransomware-Hacker nutzen heute kaum noch ausschließlich symmetrische Verschlüsselung. Bei der symmetrischen Verschlüsselung gibt es nur einen einzigen Schlüssel für die Ver- und Entschlüsselung. Der Schlüssel wird oft im lokalen System gespeichert. Spezialisten und Forscher können ihn dort finden und die Daten entschlüsseln, ohne dass ein Lösegeld gezahlt wird. Um dies zu verhindern, nutzen Hacker jetzt häufiger hybride Kryptografie.
Clientseitige asymmetrische Verschlüsselung
Bei der asymmetrischen Verschlüsselung gibt es einen öffentlichen Schlüssel, mit dem die Daten verschlüsselt werden, und einen separaten, privaten Schlüssel für die Entschlüsselung. Eine gängige Verschlüsselungsmethode ist das RSA-Kryptografie-Verfahren, das auch bei HTTPS zum Einsatz kommt. RSA ist langsamer als die symmetrische Verschlüsselung, und alle Dateien müssen verschlüsselt sein, bevor der Angreifer den privaten Schlüssel an den Server übertragen kann.
Die Software schließt die Verschlüsselung ab, sendet den privaten Schlüssel an den Server des Angreifers und löscht ihn vom lokalen Speicher. Ein Risiko für den Angreifer ist, dass der Computer von Netz getrennt wird, bevor die Verschlüsselung abgeschlossen ist. Wenn das passiert, wird der private Schlüssel nicht an den Server des Angreifers geschickt, und der Angreifer kann kein Lösegeld fordern.
Serverseitige asymmetrische Verschlüsselung
Die serverseitige asymmetrische Verschlüsselung löst das Problem der clientseitigen Verschlüsselung wie folgt: Sie verschlüsselt die Dateien, wenn der Computer online geht. Der Server des Angreifers generiert ein Schlüsselpaar, das aus einem privaten Schlüssel und einem öffentlichen Schlüssel besteht. Die Dateien werden mit dem öffentlichen Schlüssel verschlüsselt.
Wenn Sie das Lösegeld zahlen, schickt der Angreifer Ihnen den privaten Schlüssel. Hierbei ist das Risiko für den Angreifer, dass Sie bei der Übertragung des privaten Schlüssels eingreifen und so in den Besitz des Schlüssels kommen können. Hierbei ist das Risiko für den Angreifer, dass Sie bei der Übertragung des privaten Schlüssels eingreifen und so in den Besitz des Schlüssels kommen können. Der Schlüssel kann dann mit anderen betroffenen Unternehmen geteilt werden. Die Ransomware wäre für den Angreifer dadurch nutzlos.
Hybride Verschlüsselung
Nachdem Hacker erkannten, dass frühere Ransomware-Versionen angreifbar waren, entwickelten sie hybride Versionen. Bei diesen generiert die Software zwei Schlüsselsätze, und eine Verschlüsselungskette behebt die Schwächen der älteren Versionen. Funktionsweise der Verschlüsselungskette:
- Der symmetrische Schlüssel verschlüsselt die Dateien.
- Die Software generiert ein clientseitiges Schlüsselpaar. Der clientseitige öffentliche Schlüssel verschlüsselt die symmetrische Schlüsseldatei.
- Die Software generiert ein serverseitiges Schlüsselpaar. Der serverseitige öffentliche Schlüssel verschlüsselt den clientseitigen privaten Schlüssel, der dann an den Angreifer geschickt wird.
- Wenn Sie das Lösegeld zahlen, entschlüsselt der serverseitige private Schlüssel den clientseitigen privaten Schlüssel. Dieser Schlüssel geht dann an Ihr Unternehmen, und die Verschlüsselungskette wird umgekehrt.
Ransomware mit Backups verhindern
Die beste Möglichkeit, sich vor Ransomware zu schützen, sind Backups. Lokal oder auf einem Netzlaufwerk gespeicherte Backup-Dateien sind angreifbar. Cloud-Speicher ist vor Netzwerk-Scans durch Ransomware geschützt und damit eine gute Lösung zur Wiederherstellung. Ausnahme: Sie erfassen Cloud-Speicher als lokales Laufwerk oder Unterordner.
Prävention ist das beste Mittel, um Schäden durch Ransomware zu vermeiden. Die meisten Angriffe beginnen, wenn Anwender die Software unbeabsichtigt direkt herunterladen oder versehentlich ein böswilliges Skript ausführen.
Zwei Möglichkeiten, die verhindern, dass Anwender Ransomware herunterladen, sind DNS-basiertes Content Filtering und E-Mail-Cybersicherheitslösungen mit intelligenten Quarantänefunktionen. DNS-basiertes Content Filtering verhindert, dass Anwender Internetseiten aufrufen, die auf der Sperrliste stehen. E-Mail-Filter stellen böswilligen Content und böswillige Anhänge unter Quarantäne, damit sie von einem Administrator überprüft werden können.
Zudem empfiehlt es sich, auf allen Geräten (einschließlich Mobilgeräten) immer Anti-Malware-Software mit Machine Learning und Verhaltensüberwachung einzusetzen. Eine gute Anti-Malware-Anwendung erkennt Ransomware, bevor sie auf den Speicher zugreifen und Dateien verschlüsseln kann. Für bestmögliche Effektivität muss Anti-Malware-Software immer über die neuesten Patches und Updates verfügen, damit sie die aktuellen Bedrohungen erkennt.
Tausende von Ransomware-Angriffen betroffen
Weltweit werden Tausende von Anwendern zur Zielscheibe von Ransomware-Angriffen. In manchen Fällen kann die Ransomware sogar noch Probleme verursachen, nachdem sie vermeintlich unter Kontrolle ist. Anti-Malware-Programme erkennen viele ältere Versionen, aber Hacker entwickeln laufend neue, um nicht entdeckt zu werden.
Ein Beispiel: 2018 und 2019 deaktivierte die Ryuk-Ransomware die Windows-Systemwiederherstellung. Die Anwender konnten ihre Daten nicht mehr von einem früheren Restore-Punkt im Betriebssystem wiederherstellen. Ryuk nahm dabei Unternehmen ins Visier und verlangte mehrere hunderttausend Dollar Lösegeld.
CryptoLocker, WannaCry und Petya waren unterschiedliche Formen von Ransomware, die globale Infrastrukturen lahmlegten und von denen sogar Banken und Regierungsbehörden betroffen waren. Insbesondere WannaCry zielte auf Windows-Rechner ab und nutzte ein von der United States National Security Agency (NSA) entwickeltes Exploit, um offene Netzlaufwerke zu scannen und angreifbare Dateien zu verschlüsseln.
Anhaltende Ransomware-Bedrohungen sind unter anderem Gandcrab, SamSam, Zeppelin und REvil. Diese neueren Varianten stellen weiterhin gefährliche Malware dar, die Unternehmenssysteme zerstören kann.
Quelle: David Sancho - Senior Threat Researcher - Trend Micro
Anhaltende Gefahr durch Ransomware
Ransomware nimmt Unternehmen jeder Größe ins Visier und kann Ihre gesamte Organisation lähmen, falls Sie keine Backups haben. Wenn Sie verstehen, wie Ransomware funktioniert und welche Auswirkungen sie auf Ihr Unternehmen haben kann, können Sie sich besser schützen. Der beste Schutz vor einem Angriff besteht darin, die Anwender aufzuklären, auf allen Geräten Anti-Malware zu installieren und die Anwender davon abzuhalten, böswillige E-Mail-Nachrichten zu öffnen.
Hier können Sie die Trend Micro-Studie herunterladen
https://www.trendmicro.com/vinfo/de/security/news/cybercrime-and-digital-threats/the-future-of-ransomware
Verwandte Informationen über Pharming
Trend Micro 2024 Midyear Cybersecurity Threat Report
Böswillige Akteure sind immer auf der Suche nach neuen Technologien, die sie missbrauchen können, nach bedeutenden Weltereignissen, die sie ausnutzen können, und nach schlecht verwalteten und anfälligen Anlagen, die sie kompromittieren können.
Wie Trend Micro Managed Detection and Response einen Play Ransomware-Angriff stoppen konnte
Mit Hilfe der Trend Micro Vision One Plattform konnte unser MDR-Team einen Play Ransomware-Angriff schnell identifizieren und eindämmen.
Weiterführende Forschung
Weiterführende Artikel