GoldenEye Ransomware analysiert

Anbieter zum Thema

ET System electronic GmbH

Treston Deutschland GmbH

IBR Leiterplatten GmbH & Co. KG

Fidelis Cybersecurity GmbH

Schäden (Payload)

Nach dem Durchlaufen des Packers kontrolliert der Bot zunächst, ob er über %APPDATA% ausgeführt wird oder nicht - dies ist der übliche Pfad zum Speicherort für Daten auf einem System unter Windows. Falls diese Überprüfung ergibt, dass es nicht so ist, kopiert er sich selbst an den entsprechenden Speicherort und startet (Grafik 4 in der Bildergalerie).

Bildergalerie

Bildergalerie mit 9 Bildern

Nach dem Entpacken aller Komponenten beginnt die Malware ihren vorgesehenen Prozess zur Dateiverschlüsselung, der zuvor als 'Mischa' bezeichnet wurde. Ein Hinweis auf die Ransomware wird auf dem Desktop platziert (Grafik 5 in der Bildergalerie).

Anschließend startet das Schadprogramm den Aufbau einer Liste mit allen Dateien, die eine Erweiterung besitzen, die sich in der Liste der zu verschlüsselnden Dateitypen (Grafik 6 in der Bildergalerie) befindet. Diese werden verschlüsselt.

Die Verschlüsselung der Dateien erfolgt mittels AES (Advanced Encryption Standard), der Schlüssel basiert teilweise auf einem Hash mit 512 Bit (SHA512) (2). Sowohl die Routinen von AES als auch die von SHA512 sind in die Malware integriert, aber es werden auch Zufallsdaten über die Microsoft CryptoAPI generiert.

Entschlüsselung

Nach der Verschlüsselung erhalten die Dateien eine per Zufallsgenerator erstellte Erweiterung. Eine Untersuchung der Entschlüsselungsschnittstelle (Grafik 7 in der Bildergalerie) ergab, dass diese Erweiterungen wohl nirgendwo gespeichert sind, also bei jedem erfolgreichen Angriff einmalig verwendet werden.

Master Boot Record

Wenn die Malware Zugriff auf den Master Boot Record (MBR) hat, wird der ursprüngliche Bootloader codiert und in ein anderes Segment verschoben. Anschließend wird ein eigener 16-Bit-Bootloader installiert, der vorgibt, CHKDSK zu sein, in Wahrheit aber die Festplatte verschlüsselt (Grafik 8 in der Bildergalerie). Die durchgeführte Verschlüsselung nutzt das Verfahren Salsa20, das ursprünglich einige Designfehler aufwies (4). Diese wurden in den neueren Versionen allerdings behoben und zuvor eingesetzte Lösungen zur Festplattenentschlüsselung funktionieren nicht mehr.

Der Initiator

Der Hauptverantwortliche für diese Ransomware nutzt im Darknet den Namen "Janus". Wie viele Cyberkriminelle setzt er Social-Media-Kanäle ein, um Werbung für seine Malware zu machen. Ein Beispiel sind seine Meldungen per Twitter über @JanusSecretary, in denen er Informationen zu Neuigkeiten und Updates seiner Malware kommuniziert und sich unter anderem auch bei seinen erfolgreichen deutschen Distributoren bedankt (Grafik 9 in der Bildergalerie).

Zusammenfassung

Im Rahmen der GoldenEye-Ransomware-Attacke wurde wieder klar, wie weit die Cybercrime-Wirtschaft sich entwickelt, lokalisiert und ihr eigenes Geschäft gegen moderne Abwehrmechanismen schützen will. Zu beachten ist allerdings auch: Selbst, wenn diese Malware-Attacken sehr innovativ und komplex sind, gehören zu einem erfolgreichen Angriff auch gelungene Social-Engineering-Attacken und die Ausführung von Makros in Office-Dateien, die nur greifen können, wenn die entsprechenden Exploits nicht gepatcht sind. Auch viele andere Angriffswellen in letzter Zeit setzen auf manipulierte Skriptdateien. Daher sollten sich Anwender und Administratoren dieser Taktik stets bewusst sein. Das heißt: Weiterhin niemals Dateianhänge aus dubiosen Quellen öffnen, aber auch vermeintlich sichere Quellen können sich verdächtig verhalten und eine Gefahr darstellen. Weiterhin empfiehlt sich der Einsatz administrativer Tools, um beispielsweise die Ausführung von Makros zu verhindern, die nicht aus der eigenen Organisation stammen. Wird dies konsequent umgesetzt, sinkt die Wahrscheinlichkeit rapide, selbst zum Opfer zu werden.