Logo von Security

Suche
Abonnieren

Tägliche Top-News bei WhatsApp, Facebook Messenger, Telegram & Insta

preisvergleich_weiss

Recherche in 1.683.960 Produkten

Olivia von Westernhagen 152

Ransomware: Bad Rabbit lauerte in Watering Holes Update

Ransomware: Bad Rabbit lauert in Watering Holes

Bild: Kaspersky

Bad Rabbit griff im Rahmen zielgerichteter Kampagnen vor allem Mitarbeiter osteuropäischer Unternehmen und Behörden an. Medienberichten zufolge verbreitet sich die Ransomware nun auch in Deutschland; die vorhandenen Hinweise sind allerdings eher dürftig.

Die neue Ransomware Bad Rabbit, die am vergangenen Dienstag unter anderem den Betrieb der russischen Nachrichtenagentur Interfax lahmlegte, soll mittels sogenannter Watering-Hole-Angriffe gezielt an Mitarbeiter vor allem osteuropäischer Unternehmen verteilt worden sein. Das geht aus Malware-Analysen verschiedener Sicherheitssoftware-Hersteller hervor. Bei Watering-Hole-Angriffen infizieren Angreifer Webseiten, von denen sie wissen, dass ihre Zielgruppe sie immer wieder aufsucht, mit Malware.

Anzeige

Laut Trend Micro enthielten mit Bad Rabbit kompromittierte Seiten ein Skript, das Nutzer zu einem angeblichen Flash-Player-Installer weiterleitete. Kaspersky erwähnt, dass dieser Redirect unter anderem auf legitimen News-Websites stattfand. Namen nennt der Hersteller aber nicht. Die Ransomware selbst habe sich als Flash-Player-Update mit der Bezeichnung install_flash_player.exe getarnt. Zur korrekten Ausführung auf einem Zielrechner sei der Schädling sowohl auf einen Doppelklick des Nutzers als auch auf das Vorhandensein von Admin-Rechten angewiesen.

Analysen des Schadcodes zeigen, dass sich die Bad-Rabbit-Entwickler an vorhandener Ransomware, aber auch an der Codebasis legitimer Software bedient haben. So veröffentlichte Kaspersky einen Screenshot, der eine Codepassage von Bad Rabbit und der Ransomware NotPetya als nahezu identisch enttarnt. Die Verschlüsselungsroutine im Schadcode basiere wiederum auf dem Tool DiskCryptor, einer freien Software zur Verschlüsselung von Festplatten und Wechseldatenträgern. Hersteller ESET, der Bad Rabbit unter dem Alias Diskcoder.D erkennt, will zudem herausgefunden haben, dass die Ransomware das Metasploit-Tool Mimikatz zum Abgreifen von Login-Daten verwendet.

Eine Schwachstelle in der Verschlüsselungsroutine, die die Wiederherstellung von Daten ohne Lösegeldzahlung ermöglicht, scheint es nach bisherigem Kenntnisstand nicht zu geben. Wie üblich raten die Hersteller von der Zahlung ab. Ein Forscher von McAfee veröffentlichte eine Liste mit Dateiendungen, die Bad Rabbit verschlüsselt.

Einem Unternehmenssprecher zufolge ist ESET sicher, "dass auch Deutschland im Zuge des laufenden Cyberangriffs zur Zielscheibe wird." Dies legten Erfahrungen mit früheren Ransomware-Angriffen nahe. Diese Einschätzung teilen offenbar zahlreiche deutsche Medien: Ihre Überschriften lesen sich, als sei Bad Rabbit bereits in Deutschland angekommmen. Im Text verweisen sie oftmals auf eine Aussage Kasperskys, die sich im Original gar nicht bedrohlich liest. Der Hersteller schreibt lediglich, dass sich die meisten Angriffsziele in Russland befänden und er ähnliche, "aber weniger" Angriffe auch in der Ukraine, Türkei und Deutschland beobachtet habe.

Auch Trend Micro nennt Angrifssziele außerhalb Russlands – Dänemark, Irland und die Türkei. Dort habe man "einige mit Bad Rabbit präparierte Webseiten entdeckt". Konkrete Webseiten oder gar Zahlen werden auch hier nicht genannt. Somit bleibt abzuwarten, ob und in welchem Ausmaß Bad Rabbit in Deutschland zum Problem wird.

[UPDATE 27.10.17, 14:35]: Sicherheitsforscher von Cisco Talos wollen im Rahmen ihrer Schadcode-Analysen entdeckt haben, dass Bad Rabbit zur Weiterverbreitung in Firmennetzwerken den so genannnten EternalRomance-Exploit verwendet. Dieser zählt zu den NSA-Tools, die die Hackergruppe Shadow Brokers im April dieses Jahres veröffentlichte. Laut Cisco Talos nutzte auch der Wiper NotPetya diese Angriffstechnik – allerdings in Kombination mit EternalBlue, einem zweiten NSA-Exploit. Letzteren hat Cisco Talos im Bad-Rabbit-Code bislang aber nicht gesichtet.
(ovw)

152 Kommentare

Themen:

Anzeige
  1. #BadRabbit: Wohl immer mehr Ziele von neuem Kryptotrojaner getroffen

    Hacker

    Die russische Nachrichtenagentur Interfax ist am Dienstag durch einen Hackerangriff lahmgelegt worden. Fast alle Server seien betroffen, sagte der stellvertretende Generaldirektor Alexej Gorschkow. Es sei unklar, wann das Problem behoben werden könne.

  2. Alles, was wir bisher über den Petya/NotPetya-Ausbruch wissen

    Alles was wir bisher über den Petya-Ausbruch wissen

    Ein riesiger Ausbruch eines weiteren Erpressungstrojaners hält die Welt in Atem. Wie kam es zu dem Angriff, wer profitiert davon und was kann ich unternehmen, um mich zu schützen? Wir haben den aktuellen Wissensstand zusammengetragen.

  3. ShadowPad: Spionage-Hintertür in Admintools für Unix- und Linux-Server aufgedeckt

    ShadowPad: Spionage-Hintertür in Admintools für Unix- und Linux-Server aufgedeckt

    Eine raffinierte Hintertür wurde von Angreifern per korrekt signiertem Update an die Netzwerk-Admin-Tools der koreanischen Firma NetSarang ausgeliefert. Es dauerte mehr als zwei Wochen, bis der Spionage-Trojaner im Netz eines Bankinstitutes aufflog.

  4. Malwarebytes-Bericht: Erpressungstrojaner jetzt mehr als zwei Drittel aller Malware

    Malwarebytes-Bericht: Erpressungstrojaner jetzt mehr als zwei Drittel aller Malware

    Angreifer im Netz verlegen sich zunehmend auf Ransomware und auch Mac-Malware wird häufiger – das ist die Bilanz des aktuellen Malwarebytes-Berichtes zu den aktuellen Taktiken und Techniken von Cyberkriminellen.

  1. So sicherst du Windows 10 gegen Erpresser-Trojaner ab

    Erpresser-Trojaner gehören zu den fiesesten Bedrohungen für PCs. Mit einigen Vorkehrungen kannst du dich gegen Lösegeldforderungen schützen.

  2. Nato nutzt Ransomware-Angriff

    Nato-Generalsekretär Stoltenberg fordert den Ausbau der Cyber-Verteidigung und erinnert, dass ein Cyberangriff Artikel 5 auslösen kann

  3. Ransomware: So entfernst du Verschlüsselungs-Trojaner

    Wenn deine Daten von einem Verschlüsselungs-Trojaner gekapert wurden, heißt es: Ruhe bewahren. Wir zeigen, was du gegen Ransomware tun kannst.

  1. Meltdown und Spectre im Überblick: Grundlagen, Auswirkungen und Praxistipps

    Sicherheitslücken Meltdown und Spectre

    Der erste Pulverdampf hat sich verzogen: c't 3/2018 fasst die wichtigsten Informationen zu den schweren Sicherheitslücken aktueller Prozessoren zusammen, liefert Messergebnisse und bringt Praxistipps.

  2. iPhone-Akku für 29 Euro: (Kleine) Schäden können Austausch viel teurer machen

    iPhone 6

    Viele Nutzer wollen ihre alte Batterie im Moment von Apple für nur 29 Euro ersetzen lassen, um ihr iPhone wieder zu beschleunigen, allerdings bemängelt der Hersteller mitunter Vorschäden am Gerät – und will dann mehrere hundert Euro für den Akkutausch.

  3. Kommentar: Keine Zukunft mit der Cloud

    Kommentar: Keine Zukunft mit der Cloud

    Beim Thema Cloud fürchten die meisten Nutzer den Verlust ihrer Daten. Doch für Administratoren wie Anatoli Kreyman geht es um nicht weniger als ihren Arbeitsplatz.

  4. Nintendo Labo bei der USK: Ist das Kunst oder kann das weg?

    Nintendo Labo bei der USK: Ist das Kunst oder kann das weg?

    Semi-digitale Papp-Spielzeuge sind die Zukunft, weiß Nintendo. Bei der USK landeten die Labo-Bausätze schon vor der offiziellen Ankündigung. Eine Reinigungskraft brachte Nintendos revolutionären Switch-Kartons aber nur wenig Wertzschätzung entgegen.

Anzeige