- Anzeigen -


Sie sind hier: Home » Virenwarnung » Hintergrund

Locky tauchte bereits Mitte Februar in Mails auf


Am 16. Februar sind die Forscher des IT-Security-Experten Proofpoint zum ersten Mal auf einen Anhang gestoßen, in dem sich die Ransomware Locky verbarg
Das Botnet, das den Spam verschickt, ist dasselbe, das den Banking-Trojaner Dridex in Umlauf brachte.

(08.04.16) - Forscher von Proofpoint haben den Erpressungstrojaner "Locky" bereits am 16. Februar entdeckt, der durch seine Anhänge Rechner verseucht und Nutzer erpresst, wie sie im Corporate Blog beschreiben. Eine Nachricht mit dem Betreff "ATTN: Invoice J-12345678" enthielt den Anhang "invoice_J-12345678.doc" enthielt ein MS Word-Dokument mit einem Makro, das den Erpressungstrojaner Locky herunterlädt und installiert. Öffnet der Benutzer das Dokument, wird sein Rechner infiziert, wenn in Word standardmäßig Makros freigeschaltet sind.

Locky verschlüsselt die Dateien auf dem Rechner und im Netz und nutzt Notepad, um als Desktop-Hintergrund eine Erpressungsnachricht anzuzeigen. Diese verlangt vom Benutzer, Bitcoins zu kaufen, damit er seine Daten wieder entschlüsseln kann. Zurzeit ist kein Fall bekannt, in dem nach Zahlung tatsächlich der Schlüssel geliefert wurde.

Spam
Locky wird über Spam mit angehängten Dokumenten in Umlauf gebracht, was bei den Malware-Kampagnen des letzten Jahres die gängigste Methode war. Das Botnet (eine Gruppe infizierter Rechner, auf denen ein Spambot läuft), das den Spam verschickt, ist dasselbe, das den Großteil der Nachrichten verschickt, die den Banking-Trojaner Dridex im Schlepp haben. (Proofpoint: ra)

Proofpoint: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Hintergrund

  • Hackerprogramm "Grizzly Steppe"

    Regierungen und Unternehmen auf der ganzen Welt sind immer potenzielle Ziele für Spear-Phishing-Kampagnen und APTs wie "Grizzly Steppe". Am 29. Dezember 2016 veröffentlichten das U.S. Department of Homeland Security (DHS) und das Federal Bureau of Investigation (FBI) einen sogenannten "Joint Analysis Report" (JAR-16-20296). Der Bericht enthält technische Details über die Aktivitäten rund um die Sicherheitsverletzung und die mögliche Kompromittierung von Systemen in den Vereinigten Staaten. Die US-Regierung nennt diese Cyberbedrohung "Grizzly Steppe". Der Joint Analysis Report stellt auch Indikatoren für eine Kompromittierung vor, darunter die YARA Rule, verdächtige IP-Adressen und DNS-Namen. Weltweit tätige Unternehmen sollten nach diesen aktuellen Indikatoren einer Sicherheitsverletzung Ausschau halten.

  • Faketoken baut Phishing-Seiten in 77 Sprachen

    Die Cybersicherheitsexperten von Kaspersky Lab haben eine neue Modifikation des mobilen Banking-Trojaners ,Faketoken' identifiziert. Der Schädling verschlüsselt Nutzerdaten und versteckt sich hinter zahlreichen Spielen und Programmen, wie etwa Adobe Flash Player. Der mobile Trojaner ist in der Lage, die Zugangsdaten von mehr als 2.000 Android-Finanz-Apps abzugreifen. Derzeit sind bereits 16.000 Opfer aus 27 Ländern betroffen. Neben Deutschland liegen die Schwerpunkte der Aktivitäten in Russland, der Ukraine und in Thailand. Die neu bei Faketoken hinzugefügte Verschlüsselungsfunktion ist unüblich, weil es mobile Ransomware normalerweise eher auf das Blockieren des Geräts als auf die Verschlüsselung von darauf befindlichen Daten, die von den Nutzern oft in der Cloud gesichert werden, abgesehen hat. Faketoken hingegen verschlüsselt Nutzerdaten wie Dokumente, Videos oder Fotos mit dem symmetrischen Verschlüsselungsalgorithmus AES, den Nutzer in gewissen Fällen entschlüsseln können, ohne das Lösegeld zu bezahlen.

  • Gefahren durch PowerShell

    Die russische Hackergruppe CozyBear hat eine Phishing-Kampagne in Umlauf gebracht, die mittels PowerShell in Netzwerken von Think Tanks und NGO-Networks Schadsoftware installiert. PowerShell hat sich zu einer beliebten Methode für Attacken entwickelt, da es leichten Zugang zu allen wichtigen Funktionen im Betriebssystem ermöglicht. Zudem ist es standardmäßig auf den meisten Windows Computern installiert.

  • Gefälschte "Super Mario"-App

    Nintendo hat sich lange gewehrt, um am Ende doch noch dem unaufhaltsamen Trend in Richtung Online-Spiele nachzugeben: Seit Mitte Dezember gibt es "Super Mario Run" als App für das mobile Apple-Betriebssystem iOS, eine entsprechende Version für Google Android ist für 2017 vorgesehen. Die Cyber-Betrüger haben diese Entscheidung jedoch bereits antizipiert und seit 2012 über 6.000 bösartige Apps in unabhängigen App-Stores veröffentlicht. Zwar zeigen die meisten davon "nur" unerwünschte Werbung an, jedoch finden sich nach Erkenntnissen des japanischen IT-Sicherheitsanbieters Trend Micro einige darunter, die weitere Apps herunterladen und installieren sowie die Nutzer auf bösartige Webseiten weiterleiten. Besonders die Besitzer von Android-Geräten und Super-Mario-Fans seien also gewarnt. Sie müssen sich noch etwas gedulden und sollten unabhängige App-Stores unbedingt meiden.

  • Nächste Stufe der Cyberangriffe

    Check Point Software Technologies hat eine neue Variante einer Android-Malware entdeckt, mit der die Sicherheit von über einer Million Google-Konten verletzt wird. Die neue Malware-Kampagne namens Gooligan rootet Android-Geräte und stiehlt die auf ihnen gespeicherten E-Mail-Adressen und Authentifizierungs-Tokens. Diese Informationen ermöglichen Angreifern den Zugriff auf die sensiblen Daten der Nutzer von Gmail, Google Photos, Google Docs, Google Play und G Suite. "Dieser Diebstahl von über einer Million Google-Kontodaten ist beispiellos und stellt die nächste Stufe der Cyberangriffe dar", sagt Michael Shaulov, Leiter Produktmanagement und Produktmarketing für Cloud- und Mobilsicherheit bei Check Point. "Wir erleben gerade eine Strategie-Verlagerung der Hacker, die jetzt Mobilgeräte ins Visier nehmen, um an die auf ihnen gespeicherten sensiblen Daten heranzukommen."