- Anzeigen -


Sie sind hier: Home » Markt » Tipps & Hinweise

So schaltet man WannaCrypt aus


Sicherheitshinweise zu Ransomware-Angriffen durch "WannaCrypt"
Am 13. Mai veröffentlichte Microsoft einen Notfall-Sicherheits-Patch für nicht unterstützte Windows-Versionen, einschließlich Windows XP, Vista, Windows 8 sowie Server 2003 und 2008


- Anzeigen -





Statement von Phil Richards, CISO von Ivanti

Seit dem Wochenende (12. Mai 2017) verbreitet sich weltweit eine aggressive Schadsoftware unter dem Namen "WannaCrypt". Aus aktuellem Anlass finden Sie nachfolgend Hintergrundinformationen des Anbieters für Sicherheitslösungen, Ivanti, zu dieser Form von Ransomware sowie Tipps, sich davor zu schützen.

Es scheint sich hier um eine Variante von WanaDecryptor zu handeln, einer relativ neuen Form von Ransomware. Diese spezielle Ransomware wird von 30% der AV-Anbieter mit aktuellen Virendefinitionen korrekt identifiziert und blockiert. Aktuell ist kein allgemeiner Schlüssel für die Dekodierung (Crack-Code) verfügbar. Diese Malware verändert Dateien in den Verzeichnissen /Windows und /windows/system32 und infiziert weitere Benutzer im Netzwerk. Beide Aktionen erfordern Administratorrechte.

Methoden zur Bekämpfung dieser Ransomware:
1. Die Ransomware greift über Phishing oder Social-Engineering-E-Mails an. Schulen Sie Ihre Mitarbeiter, unbekannte oder bösartige E-Mails zu ignorieren.


2. Aktualisieren Sie sofort Ihre Microsoft-Patches, insbesondere MS17-010. Das wird die Ausbreitung der Ransomware verlangsamen.

3. Statten Sie alle Endpunkte mit effektiver Antivirus-Software aus. Wenn Virendefinitionen auch nur eine Woche veraltet sind, wird die AV-Software diese Ransomware nicht erkennen.

Beschränken Sie Administratorrechte und erlauben Sie nur die Ausführung von Whitelist-Software. Diese Malware wäre nicht so erfolgreich, wenn sie keinen Zugriff auf Admin-Berechtigungen hätte und wenn sie in der Whitelist mit erlaubter Software nicht aufgelistet ist, könnte sie grundsätzlich nicht laufen.

Hintergründe zu "WannaCrypt"

Malware-Name (alle gemeldeten Varianten, einige schon älter, aber verwandt):
WannaCrypt, Wana Decrypt0r 2.0, WanaDecryptor, WannaCry, WanaCrypt0r, WCrypt, WCRY

Vector: Diese Ransomware verwendet mehrere Angriffsvektoren. Anfällig sind alle Windows-Versionen vor Windows 10, die das Sicherheitsupdate MS17-010 im März nicht eingespielt haben. Windows XP und Server 2003 sind besonders anfällig, da bis Freitag kein Patch für diese Schwachstelle auf diesen Betriebssystemen verfügbar war.

>> Der primäre Angriffsvektor ist die Verteilung per E-Mail. WannaCrypt verwendet die Methoden Social Engineering oder Phishing, bei denen Benutzer eine Schadsoftware, die in eine E-Mail integriert ist, selbst öffnen und ausführen. Die Malware installiert sich dann selbst und startet sofort die Verschlüsselung von Dateien.

>> Als nächstes versucht WannaCrypt, sich innerhalb des Netzwerks oder über das Internet zu verbreiten. Hierzu wird der Exploit-Code für die Sicherheitsanfälligkeit CVE-2017-0145 http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-0145 verwendet, der es einem Angreifer ermöglicht, über speziell gestaltete Pakete beliebigen Code auf einem SMBv1-Server auszuführen, auch bekannt als "Windows SMB Remote Code Execution Vulnerability" (Sicherheitsanfälligkeiten in Windows SMB bezüglich Remotecodeausführung). Diese Sicherheitsanfälligkeit ist nur im SMB v1.0-Protokoll vorhanden. Microsoft hat im März einen Patch veröffentlicht: Microsoft-Sicherheitsbulletin MS17-010 https://technet.microsoft.com/en-us/library/security/ms17-010.aspx. Weitere Informationen zu diesem Update finden Sie im Microsoft Knowledge Base-Artikel 4013389 https://support.microsoft.com/de-de/help/4013389/title.

>> Alle Windows-Versionen von Windows XP bis Server 2016 sind betroffen. Diese Systeme haben standardmäßig SMBv1 aktiviert. Windows 10 ist nicht betroffen. Am 13. Mai veröffentlichte Microsoft einen Notfall-Sicherheits-Patch http://www.catalog.update.microsoft.com/Search.aspx?q=KB4012598 für nicht unterstützte Windows-Versionen, einschließlich Windows XP, Vista, Windows 8 sowie Server 2003 und 2008.

Lösegeld: Zwischen 300 und 600 US-Dollar. Es gibt einen rm-Code im Wurm, um Dateien zu löschen. Außerdem gibt es einen integrierten Neustart-Mechanismus, der den Wurm wohl zurücksetzt, wenn er abstürzt.

Wer war betroffen?
Anfänglich erfolgte der Angriff isoliert in Großbritannien – genauer gesagt, im staatlichen Gesundheitssystem National Health Service (NHS) –, verbreitete sich jedoch innerhalb weniger Stunden weltweit. Bis jetzt sind bis zu 200.000 Organisationen in 150 Ländern betroffen, einschließlich Russland, Spanien, Deutschland und USA. Auch bekannte Unternehmen wie FedEx, Renault, Nissan, Deutsche Bahn und Telefonica haben den Angriff gemeldet.

Backdooring und andere Auswirkungen: Zusätzlich zum Lösegeld verbreitet sich der Wurm durch jede RDP-Session auf einem System, indem er die Ransomware als Benutzer ausführt. Er scheint auch die Hintertür DOUBLEPULSAR zu installieren, die in Zukunft die Remotecodeausführung ermöglichen könnte. Darüber hinaus korrumpiert die Malware Schattenvolumen und erschwert damit das Recovery. (Anmerkung: Diese Korruption einer Schatten-Kopie sorgt auch dafür, dass die nächste AV-Generation Probleme hat, die Auswirkungen rückgängig zu machen, wenn dies nicht vor der Ausführung entdeckt wird.)

Kill-Switch: Ein Malware-Experte hat zufällig einen "Kill-Switch" auf WannaCrypt entdeckt, der mit der festen Domain iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com verbunden ist. Wenn diese Domain erfolgreich eine HTTP-Antwort zurückgibt, stoppt der Kill-Switch die weitere Ausbreitung der Malware. Es sei darauf hingewiesen, dass der Kill-Switch nicht ausgelöst wird, wenn die Maschine nicht auf diese Domain zugreifen kann (Air-Gap, Firewall oder Filter). Sie versucht nur einmal dorthin zu gelangen.

Der Kill-Switch hat die Ausbreitung dieser Ransomware verlangsamt und verschafft Organisationen etwas Zeit für ein Patch. Allerdings wird es wahrscheinlich nicht mehr als ein paar Tage dauern, bis eine neue Bedrohung auftaucht. Allein am Sonntag wurden drei neue Varianten identifiziert. Ein Patch ist dringend zu empfehlen!

Sicherheitsbulletin: https://technet.microsoft.com/en-us/library/security/ms17-010.aspx

Weitere Informationen:
Ivanti-Community: https://community.ivanti.com/docs/DOC-47846
Ivanti-Blog: https://www.ivanti.com/blog/wannacry-ransomware-exploding-across-globe/

eingetragen: 15.05.17

Ivanti: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Tipps & Hinweise

  • Wenn Kryptojacking auf die Cloud trifft

    Mit prominenten Opfern wie Tesla, Avira und Gemalto tauchte Kryptojacking in der ersten Jahreshälfte 2018 mehrmals in den Schlagzeilen auf. Bei dieser Angriffstechnik kapern Hacker fremde Geräte um Kryptowährungen zu schürfen. Kryptowährungen werden durch das Lösen komplexer mathematischer Probleme generiert. An sich ein legitimer Vorgang, allerdings erfordert dieser eine hohe Rechenleistung und ist damit überaus ressourcenintensiv. Für Kriminelle ist es daher lukrativer, das Schürfen widerrechtlich auf fremde Infrastrukturen auszulagern. Das Kapern von Geräten und Netzwerken und die Bündelung zu einem Botnetz maximiert ihre Schürfkapazitäten und beschert einen höheren Gewinn, da sie diese Ressourcen nicht selbst kostenpflichtig unterhalten müssen. Ebenfalls attraktiv sind die damit verbundenen geringeren Konsequenzen: Fälle von Kryptojacking, insbesondere in den USA, werden von den Behörden weniger aggressiv verfolgt als Angriffe mit Malware oder Ransomware, wo das Schadensausmaß deutlich höher ist.

  • Cyber-Sicherheit braucht permanentes Training

    Auf eine Billion Dollar summieren sich die weltweiten Aufwände im Kampf gegen Cyber-Kriminalität bis 2021 laut einer Studie des Marktbeobachters Cybersecurity Ventures. Damit sich diese Investitionen auszahlen, ist eine umfassende Strategie erforderlich. Denn Cyber-Sicherheit ist wie ein Muskel: Je häufiger er trainiert wird, desto stärker wird er. Trotz umfassender Sicherheitsvorkehrungen bleibt der Mitarbeiter der entscheidende Faktor. Denn Sicherheitssysteme schützen gegen bekannte Gefahren - Mitarbeiter werden mit dem Unbekannten konfrontiert. Die Unternehmens-IT und Mitarbeiter stehen in wechselseitiger Abhängigkeit: "Obwohl Mechanismen der Cyber-Sicherheit das ganze Jahr über einzuhalten sind, sollte man sich jetzt daran erinnern, dass wir alle gemeinsam eine Rolle bei der IT-Sicherheit und Minderung von Risiken spielen", sagt Chris Goettl, Director of Product Management, Security, Ivanti. "Um IT-Abteilungen bei der Schulung von Nutzern zu helfen, haben wir diese Liste der wichtigsten Tipps zusammengestellt. Damit soll die Gefährdung durch Schwachstellen und Bedrohungen verringert werden."

  • Mit einem Hacker auf Business-Trip

    Tom Van de Wiele, Principal Cyber Security Consultant bei F-Secure, ist seit über 15 Jahren als ethischer Hacker unterwegs ist. Der Sicherheitsberater erläutert, auf welche Sicherheitsmaßnahmen es bei Geschäftsreisen ankommt. Um diversen Unternehmen vorzuführen, wie bedroht sie sind, hat der Cybersecurity-Spezialist F-Secure für einen Red Teaming Test seine besten ethischen Hacker bei ihnen versuchsweise einbrechen lassen. Tom Van de Wiele hat zuletzt im Cyber Security Sauna Podcast von F-Secure verraten, was beim Thema IT-Sicherheit auf Reisen zu beachten ist.

  • Unerwünschtes Crypto-Mining nimmt zu

    Das BSI stellt im aktuell vorgestellten Lagebericht 2018 fest: Die Bedrohung durch Ransomware verlagert sich Richtung Crypto-Mining. Immer häufiger lagern Webseitenbetreiber das sogenannte Schürfen von Cryptowährungen unbemerkt an Surfer im Internet aus. Alles was es dazu bedarf, ist das Platzieren entsprechender Scripte auf einem Webserver. Daraus sind inzwischen erste Geschäftsmodelle entstanden. "Für Cyberkriminelle ist es ein lohnendes Geschäft, hoch frequentierte Webseiten mit einem Crypto-Miner zu infizieren", sagt Markus Schaffrin, Security-Experte und Geschäftsbereichsleiter Mitgliederservices im eco - Verband der Internetwirtschaft e. V.

  • Florierendes Geschäft mit BEC-as-a-Service

    Cyber-Kriminelle entwickeln ihre Angriffe immer raffinierter. Hat man früher nach dem Gießkannen-Prinzip einfach mal breit zugeschlagen, trifft es heute ausgewählte Ziele. Dabei gibt es typische Vorgehensweisen - Sophos zeigt auf, wie diese aussehen, woran man sie typischerweise erkennt und was sinnvolle Maßnahmen zum Schutz sein können. Im Jahr nach WannaCry und NotPetya - seinerzeit hielten weltweite Ausbrüche innerhalb von nur Stunden Unternehmen und Medien in Atem - hat Ransomware sich leise weiter entwickelt und kommt heute als zunehmend raffiniertes Angriffszenario auf Unternehmen zu. Die "herangewachsenen" Ransomware-Attacken zeichnen sich dadurch aus, dass sie individuell, lukrativer und diffiziler zu stoppen sind. Zudem zeigen sie verheerendere Wirkung auf ihre Opfer, als jene Attacken, die auf Email oder Exploits zur Verbreitung setzen. Und die Angriffe sind derart gestaltet, dass sie leicht zu reproduzieren sind.