Abo
  • Services:
Anzeige
Die Erpresserbotschaft.
Die Erpresserbotschaft. (Bild: Cisco/Talos)

Ransomware: Ranscam schickt Dateien unwiederbringlich ins Nirwana

Die Erpresserbotschaft.
Die Erpresserbotschaft. (Bild: Cisco/Talos)

Niemals zahlen! Diese Warnung bei Ransomware-Angriffen ist bei einem neuen Vertreter der Spezies besonders angebracht - denn die Malware hat gar keine Wiederherstellungsfunktion.

Ciscos Sicherheitsabteilung Talos warnt vor einer neuen Ransomware, die die Dateien der Nutzer auch nach Zahlung einer Erpressersumme nicht freigibt. Dem Trojaner wurde der Name Ranscam verliehen. Wie er sich verbreitet, ist bislang leider nicht bekannt.

Anzeige

Ranscam möchte von den Nutzern 0.2 Bitcoin, also etwas mehr als 100 Euro an Lösegeld. Die meisten Trojaner verlangen etwas mehr, meist um die 200 Euro. Doch offenbar haben die Kriminellen keine Intention, die Dateien nach Zahlung des Betrages wirklich wieder zu entschlüsseln.

  • Die Erpresserbotschaft verändert sich, wenn die Zahlung überprüft wird. (Bild: Cisco/Talos)
  • Die Erpresserbotschaft des Trojaners (Bild: Cisco/Talos)
Die Erpresserbotschaft des Trojaners (Bild: Cisco/Talos)

Ganz im Gegenteil: Klickt ein Nutzer auf den Button, um die Lösegeldzahlung zu überprüfen, werde nur gemeldet, dass diese bislang nicht eingegangen sei. Außerdem werde eine Datei gelöscht. Nach Angaben von Talos findet aber keine wirkliche Überprüfung statt. Nachdem auf den Button geklickt wird, wird lediglich ein http-Get-Request ausgeführt, der ein PNG-Bild mit der neuen Botschaft herunterlädt und anzeigt. Tatsächlich werden alle Dateien schon vorher gelöscht, die Malware soll über gar keine Wiederherstellungsfunktion verfügen.

Malware sucht bei Systemstart nach neuen Dateien

Ranscam prüft auch, ob nach der Infektion neue Dateien vom Nutzer erstellt oder heruntergeladen wurden. Ist dies der Fall, werden auch diese Dateien verschlüsselt. In der Erpresserbotschaft gibt die Gruppe an, dass die Dateien der Nutzer in eine "versteckte und verschlüsselte Partition" verschoben wurden.

Die Malware ist mit dem .Net-Framework erstellt und mit einem Zertifikat von reca.net signiert. In dem von Talos untersuchten Sample soll das Zertifikat am 6 Juli dieses Jahres abgelaufen sein. Ranscam kopiert sich selbst in das Verzeichnis %Appdata% und nutzt den Task Scheduler von Windows, um bei jedem Systemstart ausgeführt zu werden. Außerdem wird die ausführbare Datei in das Temp-Verzeichnis entpackt.

Um eine Wiederherstellung der Dateien unmöglich zu machen, werden die Windows-Dateien zur Wiederherstellung des Systems und die Schattenkopien des Dateisystems gelöscht. Außerdem soll durch die Löschung verschiedener Registry Keys ein Booten im abgesicherten Modus verhindert werden.

Besonders erfolgreich waren die Malware-Autoren aber bislang nicht. Weil alle Instanzen der Ransomware eine einzige Bitcoin-Adresse nutzen, konnten die Forscher den bisherigen Gewinn berechnen: Etwa 280 US-Dollar. Andere Ransomware-Autoren verdienen 90.000 Euro im Jahr und mehr, wieder andere bestreiten finanzielle Absichten. Polizei und Strafverfolgungsbehörden warnen generell davor, Erpressersummen zu bezahlen, weil nie sichergestellt ist, dass die Freigabe der Dateien tatsächlich funktioniert. Der einzige wirksame Schutz ist also nach wie vor eine gute Backup-Strategie.


eye home zur Startseite
SoniX 13. Jul 2016

Naja, irgendwo stimmt das schon. Irgendwo aber auch nicht. Klar, Aufklärung muss sein...

YoungManKlaus 13. Jul 2016

aber bald von den anderen Herstellern fest eine auf den Deckel kriegen. Immerhin ist das...



Anzeige

Stellenmarkt
  1. über Ratbacher GmbH, Raum Berlin
  2. Hager Electro GmbH & Co. KG, Schalksmühle / Ottfingen
  3. Deutsche Gesellschaft für Internationale Zusammenarbeit (GIZ) GmbH, Eschborn
  4. BGW Berufsgenossenschaft für Gesundheitsdienst und Wohlfahrtspflege, Hamburg


Anzeige
Hardware-Angebote
  1. ab 224,90€ bei Caseking gelistet
  2. (reduzierte Überstände, Restposten & Co.)
  3. 39,99€

Folgen Sie uns
       


  1. SUNET

    Forschungsnetz erhält 100 GBit/s und ROADM-Technologie

  2. Cisco

    Kontrollzentrum verwaltet Smartphones im Unternehmen

  3. Datenschutz

    Facebook erhält weiterhin keine Whatsapp-Daten

  4. FTTH

    Telekom will mehr Kooperationen für echte Glasfaser

  5. Open Data

    OKFN will deutsche Wetterdaten befreien

  6. Spectrum Next

    Voll kompatible Neuauflage des ZX Spectrum ist finanziert

  7. OmniOS

    Freier Solaris-Nachfolger steht vor dem Ende

  8. Cybercrime

    Computerkriminalität nimmt statistisch gesehen zu

  9. Red+ Kids

    Vodafone führt Tarif für Kinder unter zehn Jahren ein

  10. Quantencomputer

    Alleskönner mit Grenzen



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
In eigener Sache: Die Quanten kommen!
In eigener Sache
Die Quanten kommen!
  1. In eigener Sache Golem.de führt kostenpflichtige Links ein
  2. In eigener Sache Golem.de sucht Marketing Manager (w/m)
  3. In eigener Sache Golem.de geht auf Jobmessen

Elektromobilität: Wie kommt der Strom in die Tiefgarage?
Elektromobilität
Wie kommt der Strom in die Tiefgarage?
  1. Elektroauto Opel Ampera-E kostet inklusive Prämie ab 34.950 Euro
  2. Elektroauto Volkswagen I.D. Crozz soll als Crossover autonom fahren
  3. Sportback Concept Audis zweiter E-tron ist ein Sportwagen

DLR-Projekt Eden ISS: Das Paradies ist ein Container
DLR-Projekt Eden ISS
Das Paradies ist ein Container
  1. Weltraumschrott "Der neue Aspekt sind die Megakonstellationen"
  2. Transport Der Güterzug der Zukunft ist ein schneller Roboter
  3. "Die Astronautin" Ich habe heute leider keinen Flug ins All für dich

  1. Re: USA hat 320.000.000 Einwohner

    Ovaron | 18:30

  2. Re: Google, DARPA, Facebook...

    Fotobar | 18:20

  3. mydealz.de

    DY | 18:20

  4. Re: Noch mehr unfreiwilliger Seelen-Striptease!

    Fotobar | 18:17

  5. Re: Niemand hat die Absicht, Ihre Gedanken zu...

    Fotobar | 18:14


  1. 18:14

  2. 17:47

  3. 16:19

  4. 16:02

  5. 15:40

  6. 14:51

  7. 14:17

  8. 13:52


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel