- Anzeigen -

Locky tauchte bereits Mitte Februar in Mails auf


Am 16. Februar sind die Forscher des IT-Security-Experten Proofpoint zum ersten Mal auf einen Anhang gestoßen, in dem sich die Ransomware Locky verbarg
Das Botnet, das den Spam verschickt, ist dasselbe, das den Banking-Trojaner Dridex in Umlauf brachte.

Anzeige

(08.04.16) - Forscher von Proofpoint haben den Erpressungstrojaner "Locky" bereits am 16. Februar entdeckt, der durch seine Anhänge Rechner verseucht und Nutzer erpresst, wie sie im Corporate Blog beschreiben. Eine Nachricht mit dem Betreff "ATTN: Invoice J-12345678" enthielt den Anhang "invoice_J-12345678.doc" enthielt ein MS Word-Dokument mit einem Makro, das den Erpressungstrojaner Locky herunterlädt und installiert. Öffnet der Benutzer das Dokument, wird sein Rechner infiziert, wenn in Word standardmäßig Makros freigeschaltet sind.

Locky verschlüsselt die Dateien auf dem Rechner und im Netz und nutzt Notepad, um als Desktop-Hintergrund eine Erpressungsnachricht anzuzeigen. Diese verlangt vom Benutzer, Bitcoins zu kaufen, damit er seine Daten wieder entschlüsseln kann. Zurzeit ist kein Fall bekannt, in dem nach Zahlung tatsächlich der Schlüssel geliefert wurde.

Spam
Locky wird über Spam mit angehängten Dokumenten in Umlauf gebracht, was bei den Malware-Kampagnen des letzten Jahres die gängigste Methode war. Das Botnet (eine Gruppe infizierter Rechner, auf denen ein Spambot läuft), das den Spam verschickt, ist dasselbe, das den Großteil der Nachrichten verschickt, die den Banking-Trojaner Dridex im Schlepp haben. (Proofpoint: ra)

Proofpoint: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

 
Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Hintergrund

Smartphone-Schutz im Android-Bereich Das Thema Smartphone-Schutz ist gerade im Android-Bereich in aller Munde. Stetig gibt es erschreckende Neuigkeiten von Schadsoftware, wie beispielsweise von Viren und sogenannten Trojanern, die ständig angepasst und verändert werden, um immer mehr Daten von Smartphone-Nutzern abzugreifen und auch bestehende Antiviren-Software zu umgehen. Schon lange sind davon nicht mehr nur unsere Computer betroffen.

Verschlüsselung und Erpressung PandaLabs, das Anti-Malware Labor von Panda Security in Spanien, hat eine neue Ransomware-Variante analysiert. Ihr Name: CryptoBit. Diese Cryptolocker-Variante kursiert seit einigen Tagen im World Wide Web und unterscheidet sich von anderer bisher bekannter Ransomware in einigen wichtigen Details.

Malware-Angriff auf Android Eine neue Malware wurde identifiziert, die Daten von Android-Smartphones ausspioniert. Sie tarnt sich als Google Chrome-Update und erlangt Zugriff auf sämtliche Daten von Anruf- und SMS-Protokollen über die Browserhistorie bis hin zu Banking-Details. Hat ein Nutzer den Google Play Store auf dem Smartphone installiert, ist die Malware sogar fähig, ein gefälschtes Zahlungsformular für alle gängigen Kreditkartenanbieter anzuzeigen. Es werden dann Details zu Kreditkarten von Visa, MasterCard, American Express, Discover oder JCB abgefragt. Gibt der Nutzer die Daten ein, werden die Informationen an eine russische Telefonnummer weitergeleitet.

QBOT läuft derzeit auf mehr als 54.000 PCs Ein Team führender Cyber-Experten hat eine neue Variante der bösartigen QBOT-Software identifiziert, die mehr als 54.000 PCs in Tausenden von Organisationen weltweit infiziert hat. Durch einen QBOT-Angriff auf eine Institution des öffentlichen Sektors hatte BAE Systems die Gelegenheit näher zu untersuchen, wie die aktualisierte Version der Malware PCs infiziert, wie sie sich selbst aktualisiert und weshalb sie von den meisten Antivirenprogrammen nicht entdeckt wird.

"Normales" Verhalten schwer erkennbar Die Hintermänner der Erpressersoftware "Locky" haben die Tarnmechanismen ihres Computerschädlings erweitert. Der japanische IT-Sicherheitsanbieter Trend Micro hat eine neue Variante entdeckt, die zusätzlich zu bekannten und bereits vom Hersteller geschlossenen Sicherheitslücken in "Adobe Flash" auch solche im Windows-Kernel missbraucht. Die Routinen, die letztlich zum Herunterladen und Installieren der Schadsoftware führen, sehen dadurch wie Windows-System-Prozesse aus, erzeugen keine Dateien und werden nur zur Laufzeit ausgeführt.

Autor / Quelle (abcd) der Beiträge siehe Angabe in Klammern vor Doppelpukt: (abcd:)