Abo
  • Services:
Anzeige
Die Erpresserbotschaft.
Die Erpresserbotschaft. (Bild: Cisco/Talos)

Ransomware: Ranscam schickt Dateien unwiederbringlich ins Nirwana

Niemals zahlen! Diese Warnung bei Ransomware-Angriffen ist bei einem neuen Vertreter der Spezies besonders angebracht - denn die Malware hat gar keine Wiederherstellungsfunktion.

Ciscos Sicherheitsabteilung Talos warnt vor einer neuen Ransomware, die die Dateien der Nutzer auch nach Zahlung einer Erpressersumme nicht freigibt. Dem Trojaner wurde der Name Ranscam verliehen. Wie er sich verbreitet, ist bislang leider nicht bekannt.

Anzeige

Ranscam möchte von den Nutzern 0.2 Bitcoin, also etwas mehr als 100 Euro an Lösegeld. Die meisten Trojaner verlangen etwas mehr, meist um die 200 Euro. Doch offenbar haben die Kriminellen keine Intention, die Dateien nach Zahlung des Betrages wirklich wieder zu entschlüsseln.

  • Die Erpresserbotschaft verändert sich, wenn die Zahlung überprüft wird. (Bild: Cisco/Talos)
  • Die Erpresserbotschaft des Trojaners (Bild: Cisco/Talos)
Die Erpresserbotschaft des Trojaners (Bild: Cisco/Talos)

Ganz im Gegenteil: Klickt ein Nutzer auf den Button, um die Lösegeldzahlung zu überprüfen, werde nur gemeldet, dass diese bislang nicht eingegangen sei. Außerdem werde eine Datei gelöscht. Nach Angaben von Talos findet aber keine wirkliche Überprüfung statt. Nachdem auf den Button geklickt wird, wird lediglich ein http-Get-Request ausgeführt, der ein PNG-Bild mit der neuen Botschaft herunterlädt und anzeigt. Tatsächlich werden alle Dateien schon vorher gelöscht, die Malware soll über gar keine Wiederherstellungsfunktion verfügen.

Malware sucht bei Systemstart nach neuen Dateien

Ranscam prüft auch, ob nach der Infektion neue Dateien vom Nutzer erstellt oder heruntergeladen wurden. Ist dies der Fall, werden auch diese Dateien verschlüsselt. In der Erpresserbotschaft gibt die Gruppe an, dass die Dateien der Nutzer in eine "versteckte und verschlüsselte Partition" verschoben wurden.

Die Malware ist mit dem .Net-Framework erstellt und mit einem Zertifikat von reca.net signiert. In dem von Talos untersuchten Sample soll das Zertifikat am 6 Juli dieses Jahres abgelaufen sein. Ranscam kopiert sich selbst in das Verzeichnis %Appdata% und nutzt den Task Scheduler von Windows, um bei jedem Systemstart ausgeführt zu werden. Außerdem wird die ausführbare Datei in das Temp-Verzeichnis entpackt.

Um eine Wiederherstellung der Dateien unmöglich zu machen, werden die Windows-Dateien zur Wiederherstellung des Systems und die Schattenkopien des Dateisystems gelöscht. Außerdem soll durch die Löschung verschiedener Registry Keys ein Booten im abgesicherten Modus verhindert werden.

Besonders erfolgreich waren die Malware-Autoren aber bislang nicht. Weil alle Instanzen der Ransomware eine einzige Bitcoin-Adresse nutzen, konnten die Forscher den bisherigen Gewinn berechnen: Etwa 280 US-Dollar. Andere Ransomware-Autoren verdienen 90.000 Euro im Jahr und mehr, wieder andere bestreiten finanzielle Absichten. Polizei und Strafverfolgungsbehörden warnen generell davor, Erpressersummen zu bezahlen, weil nie sichergestellt ist, dass die Freigabe der Dateien tatsächlich funktioniert. Der einzige wirksame Schutz ist also nach wie vor eine gute Backup-Strategie.


eye home zur Startseite
SoniX 13. Jul 2016

Naja, irgendwo stimmt das schon. Irgendwo aber auch nicht. Klar, Aufklärung muss sein...

YoungManKlaus 13. Jul 2016

aber bald von den anderen Herstellern fest eine auf den Deckel kriegen. Immerhin ist das...



Anzeige

Stellenmarkt
  1. gkv informatik, Wuppertal
  2. Landeshauptstadt München, München
  3. über Ratbacher GmbH, Raum Minden (Home-Office möglich)
  4. Limbach Gruppe SE, Rüsselsheim


Anzeige
Top-Angebote
  1. (nur noch bis 31.1. für 49€ statt 69€)
  2. 127,00€
  3. 179,00€

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Mit digitalen Workflows Geschäftsprozesse agiler machen
  2. Praxiseinsatz, Nutzen und Grenzen von Hadoop und Data Lakes
  3. Kritische Bereiche der IT-Sicherheit in Unternehmen


  1. Gulp-Umfrage

    Welche Kenntnisse IT-Freiberufler brauchen

  2. HPE

    650 Millionen Dollar für den Einstieg in die Hyperkonvergenz

  3. Begnadigung

    Danke, Chelsea Manning!

  4. Android 7

    Nougat für Smartphones von Sony, Oneplus, LG und Huawei

  5. Simplygon

    Microsoft reduziert 3D-Details

  6. Nach Begnadigung Mannings

    Assange weiter zu Auslieferung in die USA bereit

  7. Startups

    Rocket will 2017 drei Firmen in Gewinnzone bringen

  8. XMPP

    Chatsecure bringt OMEMO-Verschlüsselung fürs iPhone

  9. Special N.N.V.

    Nanoxias Lüfter sollen keinerlei Vibrationen übertragen

  10. Intel

    Internet-of-Things-Plattform auf x86-Basis angekündigt



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Intel Core i7-7700K im Test: Kaby Lake = Skylake + HEVC + Overclocking
Intel Core i7-7700K im Test
Kaby Lake = Skylake + HEVC + Overclocking
  1. Kaby Lake Intel macht den Pentium dank HT fast zum Core i3
  2. Kaby Lake Refresh Intel plant weitere 14-nm-CPU-Generation
  3. Intel Kaby Lake Vor der Vorstellung schon im Handel

Dienste, Programme und Unternehmen: Was 2016 eingestellt und geschlossen wurde
Dienste, Programme und Unternehmen
Was 2016 eingestellt und geschlossen wurde
  1. Kabel Mietminderung wegen defektem Internetkabel zulässig
  2. Grundversorgung Kanada macht Drosselung illegal
  3. Internetzugänge 50 MBit/s günstiger als 16 MBit/s

GPD Win im Test: Crysis in der Hosentasche
GPD Win im Test
Crysis in der Hosentasche
  1. Steadicam Volt Steadicam-Halterung für die Hosentasche
  2. Android Wear 2.0 Erste neue Smartwatches kommen von LG
  3. Tastaturhülle Canopy hält Magic Keyboard und iPad zum Arbeiten zusammen

  1. Re: Das macht der doch...

    torrbox | 22:58

  2. Re: Veerräter!

    maze_1980 | 22:50

  3. Re: Der Typ ist größenwahnsinnig

    BLi8819 | 22:50

  4. Re: Gaebe es eigentlich ein legales Mittel?

    frostbitten king | 22:44

  5. Re: Bringt mich auf eine Idee

    Prinzeumel | 22:40


  1. 19:06

  2. 17:37

  3. 17:23

  4. 17:07

  5. 16:53

  6. 16:39

  7. 16:27

  8. 16:13


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel