Ransomware: Kaspersky warnt vor Verschlüsselungs-Malware Shade
Die Sicherheitsforscher von Kaspersky warnen vor einer neuen Malware(öffnet im neuen Fenster) , die viele Nutzer aus dem deutschsprachigen Raum infiziert. Sie verbreitet sich vor allem über Spam-Mails und befallene Webseiten.
Außerdem nimmt die Malware über das Tor-Netzwerk Kontakt mit einem Command-and-Control-Server auf. Der C&C-Server liefert dann einen RSA-3072-Schlüssel als Referenz zur Erzeugung weiterer Schlüssel. Für den Fall, dass keine Verbindung zum C&C-Server möglich ist, nutzt die Malware einen von 100 mitgelieferten Schlüsseln.
Alle Dateien werden jeweils mit 256-bit AES-Schlüsseln verschlüsselt(öffnet im neuen Fenster) und mit den Endungen .xtbl und .ytbl versehen. Ist der Prozess abgeschlossen, informiert die Malware den Nutzer über die Verschlüsselung. Außerdem werden die Anwender aufgefordert, einen Code an eine von zwei Gmail-Adressen zu senden, um die Dateien wiederherzustellen. Die Software warnt davor, selbst aktiv zu werden, um die Dateien zu entschlüsseln. In diesem Fall würden alle Daten unwiederbringlich gelöscht werden.
Malware installiert weitere Trojaner
Doch der Trojaner belässt es nicht dabei, die Dateien unbrauchbar zu machen, sondern lädt über den C&C-Server weitere Schadsoftware herunter. Nach Angaben von Kaspersky ist darunter der Trojaner Win32.CMSBrute, der für Bruteforce-Attacken verwendet wird, um Passwörter zu knacken. Weitere identifizierte Trojaner, die die Software lädt, sind Win32.Muref, Win32.Kovter und der Trojaner-Downloader Win32.Zemot.
Um sich zu schützen empfiehlt Kaspersky – wenig überraschend – den Einsatz eines aktuellen Virenscanners. Außerdem sollten Nutzer alle Programme, insbesondere den Browser, mit Updates auf den neuesten Stand halten.