Anzeige
Auch Malware-Autoren können schlechte Kryptographie-Entwickler sein.
Auch Malware-Autoren können schlechte Kryptographie-Entwickler sein. (Bild: Check Point)

Dircrypt: Ransomware liefert Schlüssel mit

Eine Analyse der Ransomware Dircrypt hat ergeben, dass die verschlüsselten Dateien des Erpressungstrojaners offenbar den Schlüssel mitliefern. Allerdings nur für einen Teil der Daten.

Anzeige

Mitarbeiter der Firma Check Point haben sich die Ransomware Dircrypt angesehen: Die Verschlüsselung lässt sich trivial durchbrechen, denn der verwendete Schlüssel für einen Großteil der Daten wird gleich mitgeliefert. Allerdings bleibt ein Teil der Daten verloren.

Dircrypt arbeitet mit einer zurzeit weit verbreiteten Masche: Es ist Malware, die Daten verschlüsselt und anschließend dem Nutzer anbietet, sie gegen Bezahlung wieder zugänglich zu machen. Wenn Dircrypt auf einem System aktiv ist, erzeugt es verschlüsselte Daten mit der Endung .enc.rtf. Versucht ein Nutzer, eine solche Datei zu öffnen, erhält er ein Dokument, in dem er aufgefordert wird, ein bestimmtes Programm auf dem Rechner zu starten, welches ihn zur Zahlung einer Geldsumme über verschiedene Zahlungsdienstleister drängt.

Schlüssel ist angehängt

Die Fachleute von Check Point haben Dircrypt genau untersucht: Die Malware versuchte mit einigen Tricks, ihre Funktionsweise zu verschleiern, die Details erläutern sie in einem PDF-Dokument. Die Check-Point-Mitarbeiter stellten fest, dass offenbar eine Verschlüsselung mit dem Algorithmus RC4 zum Einsatz kam.

Auf einem System wurden alle Dateien mit demselben RC4-Schlüssel verschlüsselt. Schon dadurch ließen sich möglicherweise Daten rekonstruieren. Mit einer einzigen Datei, deren Inhalt bekannt ist, könnten so der Schlüsselstrom der Verschlüsselung rekonstruiert und damit andere Dateien entschlüsselt werden. Doch es stellte sich heraus, dass dies überhaupt nicht nötig ist. Denn die verschlüsselten Dateien liefern den Schlüssel gleich mit. Er wurde schlicht ans Ende der jeweiligen Datei geschrieben.

Allerdings hat die Sache einen Haken: Ein 1024 Byte großer Block am Anfang jeder Datei wird nicht mit RC4 verschlüsselt. Hier verwendet Dircrypt offenbar RSA, und der zugehörige private RSA-Schlüssel ist im Code von Dircrypt nicht enthalten. Diese Daten sind ohne Zahlung der geforderten Erpressungssumme also weiterhin nicht zu entschlüsseln.

Rekonstruierbar

In vielen Fällen lässt sich eine Datei aber auch ohne die ersten Bytes rekonstruieren. Bei einer Word-Datei gelang es den Check Point-Mitarbeitern, den Header so zu rekonstruieren, dass der Text in der Datei vollständig ausgelesen werden konnte.

Der Autor dieses Artikels würde die Entschlüsselung von Dircrypt gerne nachvollziehen. Wir können nichts versprechen, aber möglicherweise lässt sich ein einfaches Tool stricken, mit dem sich die Dateien entschlüsseln lassen. Der Autor freut sich daher über die Zusendung von entsprechenden Beispieldateien mit der Endung .enc.rtf.


eye home zur Startseite
__destruct() 02. Sep 2014

Das muss noch lange nicht heißen, dass es auf der Partition auch so abläuft.

hellmaster159 02. Sep 2014

Jup, das wäre mal was interessantes^^ So ein Tool zum Vergleich wäre nicht so schwer zu...

Kommentieren



Anzeige

  1. Produktsoftware-Entwickler/in
    Robert Bosch GmbH, Tamm
  2. Datenbank- und Business-Intelligence-Admini- stratoren (m/w)
    ARI Fleet Germany GmbH, Koblenz, Stuttgart oder Eschborn bei Frankfurt am Main
  3. Senior IT Architect / Solution Architect (m/w) Security Application Operation
    Daimler AG, Stuttgart
  4. Solution Architect/Lösungsarchit- ekt (m/w)
    BCT Technology AG, Willstätt

Detailsuche



Anzeige
Top-Angebote
  1. JETZT VERFÜGBAR: Total War: WARHAMMER
    54,99€
  2. TIPP: Zotac Geforce GTX970
    259,00€ (Vergleichspreis: 290,04€)
  3. NEU: Geforce GTX 1080 Info-Seite
    ab 27.05. verfügbar

Weitere Angebote


Folgen Sie uns
       


  1. Hyperloop

    HTT will seine Rohrpostzüge aus Marvel-Material bauen

  2. Smartwatches

    Pebble 2 und Pebble Time 2 mit Pulsmesser

  3. Kickstarter

    Pebble Core als GPS-Anhänger für Hacker und Sportler

  4. Virtual Reality

    Facebook kauft Two Big Ears für 360-Grad-Sound

  5. Wirtschaftsminister Olaf Lies

    Beirat der Bundesnetzagentur gegen exklusives Vectoring

  6. Smartphone-Betriebssystem

    Microsoft verliert stark gegenüber Google und Apple

  7. Onlinehandel

    Amazon startet eigenen Paketdienst in Berlin

  8. Pastejacking im Browser

    Codeausführung per Copy and Paste

  9. Manuela Schwesig

    Familienministerin will den Jugendschutz im Netz neu regeln

  10. Intels Compute Stick im Test

    Der mit dem Lüfter streamt (2)



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Doom im Test: Die beste blöde Ballerorgie
Doom im Test
Die beste blöde Ballerorgie
  1. id Software Doom wird Vulkan unterstützen
  2. Id Software PC-Spieler müssen 45 GByte von Steam laden
  3. id Software Dauertod in Doom

Darknet: Die gefährlichen Anonymitätstipps der Drogenhändler
Darknet
Die gefährlichen Anonymitätstipps der Drogenhändler
  1. Privatsphäre 1 Million Menschen nutzen Facebook über Tor
  2. Security Tor-Nutzer über Mausrad identifizieren

Privacy-Boxen im Test: Trügerische Privatheit
Privacy-Boxen im Test
Trügerische Privatheit
  1. Hack von Rüstungskonzern Schweizer Cert gibt Security-Tipps für Unternehmen
  2. APT28 Hackergruppe soll CDU angegriffen haben
  3. Veröffentlichung privater Daten AfD sucht mit Kopfgeld nach "Datendieb"

  1. Re: nicht aufgeben

    jose.ramirez | 23:29

  2. Re: Wer von euch nutzt Actioncams?

    Pjörn | 23:25

  3. Endlich einmal positive Nachrichten.

    jose.ramirez | 23:25

  4. Re: Mini PCs

    Moe479 | 23:21

  5. Re: Emulatoren

    Chris23235 | 23:21


  1. 19:01

  2. 18:03

  3. 17:17

  4. 17:03

  5. 16:58

  6. 14:57

  7. 14:31

  8. 13:45


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel