- Anzeigen -


Sie sind hier: Home » Virenwarnung » Hintergrund

Locky tauchte bereits Mitte Februar in Mails auf


Am 16. Februar sind die Forscher des IT-Security-Experten Proofpoint zum ersten Mal auf einen Anhang gestoßen, in dem sich die Ransomware Locky verbarg
Das Botnet, das den Spam verschickt, ist dasselbe, das den Banking-Trojaner Dridex in Umlauf brachte.

(08.04.16) - Forscher von Proofpoint haben den Erpressungstrojaner "Locky" bereits am 16. Februar entdeckt, der durch seine Anhänge Rechner verseucht und Nutzer erpresst, wie sie im Corporate Blog beschreiben. Eine Nachricht mit dem Betreff "ATTN: Invoice J-12345678" enthielt den Anhang "invoice_J-12345678.doc" enthielt ein MS Word-Dokument mit einem Makro, das den Erpressungstrojaner Locky herunterlädt und installiert. Öffnet der Benutzer das Dokument, wird sein Rechner infiziert, wenn in Word standardmäßig Makros freigeschaltet sind.

Locky verschlüsselt die Dateien auf dem Rechner und im Netz und nutzt Notepad, um als Desktop-Hintergrund eine Erpressungsnachricht anzuzeigen. Diese verlangt vom Benutzer, Bitcoins zu kaufen, damit er seine Daten wieder entschlüsseln kann. Zurzeit ist kein Fall bekannt, in dem nach Zahlung tatsächlich der Schlüssel geliefert wurde.

Spam
Locky wird über Spam mit angehängten Dokumenten in Umlauf gebracht, was bei den Malware-Kampagnen des letzten Jahres die gängigste Methode war. Das Botnet (eine Gruppe infizierter Rechner, auf denen ein Spambot läuft), das den Spam verschickt, ist dasselbe, das den Großteil der Nachrichten verschickt, die den Banking-Trojaner Dridex im Schlepp haben. (Proofpoint: ra)

Proofpoint: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Hintergrund

  • Weitere aggressive Ransomware

    Knapp eine Woche nach der WannaCry-Ransomware-Attacke haben Sicherheitsforscher eine weitere aggressive Ransomware entdeckt. XData hat bereits Hunderte von Rechnern in der Ukraine infiziert. In weniger als 24 Stunden ist es der Ransomware gelungen sich auf den infizierten Rechnern ein starkes Standbein zu verschaffen. Der Fakt allein wäre schon erwähnenswert. Es kommt aber noch etwas anderes hinzu, ausreichend interessant für enthusiastische Anhänger von kriminellen Intrigenspielen und konspirativen Theorien. Es hat sich herausgestellt, dass XData ursprünglich auf eine ältere Ransomware unter dem Namen AES-NI zurückgeht. Seit dem ersten Aufkommen der XData-Ransomware hat der vermutliche Entwickler von AES-NI zahlreiche Sicherheitsexperten und Journalisten angesprochen und jede Verbindung zur XData-Malware geleugnet. Unabhängig von den zugrunde liegenden Motiven schickt sich XData jetzt offensichtlich an, sich auch außerhalb der Ukraine zu verbreiten.

  • Kriminelle nutzen erneut Werkzeuge der NSA

    Die massive Infektionswelle der Ransomware Petna, die in einigen Grundfunktionen der Petya-Erpressersoftware stark ähnelt, hat zahlreiche Unternehmen weltweit getroffen - auch Großunternehmen zählen zu den Opfern. Die G Data Analysten vermuten dahinter eine gezielte Attacke auf Firmen. Der Erpressertrojaner verbreitet sich über die Update-Server einer weit verbreiteten Buchhaltungs-Software in Osteuropa. Nachdem die Ransomware in das Unternehmen gelangt ist, verbreitet sich Petna im Netzwerk durch den Exploit namens Eternalblue, der aus den Beständen des US-Geheimdienst NSA stammt und bereits bei WannaCry zum Einsatz kam. Hierzu werden Administrator-Credentials gestohlen und für die Verbreitung genutzt. Die Ransomware verschlüsselt das gesamte Dateisystem und kompromittiert den Master Boot Record (MBR) der Systemfestplatte. Die aktuelle Variante verfügt, anders als WannaCry, jedoch nicht über einen Not-Aus-Schalter.

  • Ransomware verwendet den EternalBlue-Exploit

    Ende Juni gab es erneut eine Ransomware-Angriffswelle, die sich rasant verbreitet. Die Attacke erinnert stark an die Ransomware WannaCry, die erst im Mai weltweit für Chaos sorgte. Die Forscher des Sicherheitsspezialisten Trustwave gehen davon aus, dass sich auch diese Ransomware, bei der sich um eine Variante des Verschlüsselungstrojaners Petya handeln könnte, sehr schnell global verbreiten wird. Derzeit ist unklar, ob es sich wirklich um eine Petya-Variante oder eine bisher unbekannte Ransomware-Variante handelt. Auf jeden Fall nutzt die neue Ransomware die gleiche Schwachstelle aus, über die sich auch die WannaCry-Ransomware verbreiten konnte. Die Ransomware verwendet den EternalBlue-Exploit, der eine Schwachstelle im SMB-Protokoll von Windows ausnutzt. Microsoft hat diese Schwachstelle bereits im März im MS17-010 Bulletin gepatcht. Die neue, erfolgreiche Angriffswelle zeigt, dass viele Unternehmen und Organisationen diesen Patch noch nicht installiert haben.

  • TeleBots sind zurück

    Ende Juni traf eine neue Cyberattacke zahlreiche Computersysteme weltweit. Im Kern des Angriffs stand eine Malware, die der Ransomware Petya ähnelt. Inzwischen wurde die vor allem in der Ukraine verbreitete Buchhaltungssoftware M.E.Doc als Ursprung der Attacke identifiziert. Eset hat die Backdoor, die die Cyberkriminellen in die Software einschleusten, analysiert. Dabei konnte Eset neue Erkenntnisse über die Verbreitung der Malware gewinnen, die Eset als Win32/Diskcoder.C erkennt. Die Eset Analyse der Backdoor in M.E.Doc zeigt, dass die Hacker ihren Angriff sorgfältig planten und ausführten. Um die Sicherheitslücke in das Programm einzuschleusen, müssen sie sich Zugriff zum Quellcode des Programms verschafft und sich ausführlich mit ihm befasst haben. Außerdem erlangten sie Zugriff auf den Server, über den die Software bereitgestellt wurde. Ohne aktives Zutun der Opfer wurden so immer wieder infizierte Updates auf den Rechnern der Nutzer von M.E.Doc installiert. Über das interne Nachrichtensystem des Programms versendeten die Hacker darüber hinaus Phishing-Nachrichten an weitere Opfer. Zudem verbreitete sich die Malware über VPN-Verbindungen in den Unternehmen, die M.E.Doc nutzen, intern sowie bei ihren Kunden und Geschäftspartnern.

  • Sicherheitslücke EternalBlue

    Unter dem Namen Petya (auch GoldenEye oder NotPetya) verbreitet sich die neue Ransomware-Attacke. Die Schadsoftware nutzt unter anderem eine Schwachstelle in Computersystemen aus, auf die bereits WannaCry und deren Nachfolger EternalRocks zugegriffen haben: EternalBlue. WannaCry erreichte über 230.000 Computer in mehr als 150 Ländern. Petya könnte ein ähnliches Ausmaß annehmen. Wer ist von Petya betroffen? Die ersten Übergriffe von Petya erfolgten in der Ukraine, wo die staatliche Infrastruktur einschließlich staatlicher Banken oder PCs von Ministern sowie Energieunternehmen getroffen wurden. Der Angriff hatte außerdem Auswirkungen auf Transportunternehmen und den Atomreaktor Tschernobyl.