DearCry zielt auf Microsoft-Exchange-Lücke

Sophos News
Anzeige

Beitrag teilen

Hafnium Microsoft-Exchange-Hack: Wurde die Ransomware DearCry als Prototyp ins Rennen geschickt? Sophos Experten haben die Ransomware untersucht und Ähnlichkeiten mit WannaCry entdeckt.

Seit dem Bekanntwerden der Microsoft-Exchange-Lücken letzte Woche stehen Cyberattacken im Fokus, die diese Schwachstelle ausnutzen. Allen voran macht sich hier die Ransomware „DearCry“ einen unrühmlichen Namen, die auf den ersten Blick an einen prominenten Vorgänger namens „WannaCry“ erinnert. Die Sophos Labs haben sich die neue Malware einmal genauer angesehen und viele Hinweise darauf gefunden, dass es sich hier um einen noch nicht bekannten Ransomware-Prototyp handeln könnte.

Anzeige

DearCry: Ransomware mit hybriden Ansatz

Zunächst fällt bei der Analyse verschiedener DearCry-Beispiele auf, dass die Ransomware einen hybriden Ansatz zu verfolgen scheint. Die einzige andere den SophosLabs bekannte Ransomware mit diesem Ansatz ist WannaCry, wobei diese sich automatisch verbreitet und nicht wie DearCry von Menschen gehandhabt wird. Die Gemeinsamkeiten sind jedoch verblüffend: Beide erstellen zuerst eine verschlüsselte Kopie der angegriffenen Datei (Copy Encryption) und überschreiben dann die Originaldatei, um eine Wiederherstellung zu verhindern (In Place Encryption). Während die Opfer bei Copy Encryption möglicherweise einige Daten wiederherstellen können, stellt die In Place Encryption sicher, dass eine Wiederherstellung der Daten über Recovery-Tools nicht möglich ist. Berüchtigte, von Menschen betriebene Ransomware-Vertreten wie Ryuk, REvil, BitPaymer, Maze oder Clop verwenden z.B. nur die direkte Verschlüsselung.

DearCry und WannaCry im Vergleich

Es gibt eine Reihe weiterer Ähnlichkeiten zwischen DearCry und WannaCry einschließlich der Namen und des Headers, der den verschlüsselten Dateien hinzugefügt wird. Diese Hinweise bedeuten aber nicht automatisch eine Verbindung zu den WannaCry-Entwicklern, zudem sich die Fähigkeiten von DearCry erheblich von WannaCry unterscheiden. Die neue Ransomware verwendet keinen Befehls- und Kontrollserver, verfügt über einen eingebetteten RSA-Verschlüsselungscode, zeigt keine Benutzeroberfläche mit einem Timer an und verbreitet sich – was am wichtigsten ist – nicht auf andere Computer im Netzwerk.

Anzeige
WatchGuard_Banner_0922

„Wir haben eine Reihe anderer ungewöhnlicher DearCry-Merkmale gefunden, darunter die Tatsache, dass die Ransomware scheinbar neue Binärdateien für neue Opfer erstellt hat“, so Mark Loman, Director, Engineering Technology Office bei Sophos. „Die Liste der angegriffenen Dateitypen hat sich ebenfalls von Opfer zu Opfer weiterentwickelt. Unsere Analyse zeigt außerdem, dass der Code nicht die Art von Anti-Erkennungsfunktionen enthält, die wir normalerweise von Ransomware erwarten würden, wie z.B. komprimierte Dateien oder Verschleierungstechniken. Diese und andere Anzeichen deuten darauf hin, dass DearCry möglicherweise ein Prototyp ist, der schneller als geplant eingesetzt wurde, um die aktuellen Sicherheitslücken bei Microsoft Exchange Servern auszunutzen.“

Exchange-Patches schnellstmöglich installieren

Auch hier sei noch einmal darauf hingewiesen, dass Unternehmen die aktuellen Microsoft-Patches schnellstmöglich installieren sollten, um die kriminelle Ausnutzung ihres Exchange Servers zu verhindern. Wenn dies nicht möglich ist, sollte der Server vom Internet getrennt oder von einem Rapid Response Team genau überwacht werden. Zudem ist durch das Aufspielen des Patches nicht alle in Butter, sondern eine forensische Untersuchung muss sicherstellen, dass nicht bereits Schadsoftware über die Lücke ins System gekommen ist und auf ihren Einsatz wartet.

Mehr dazu bei Sophos.com

 


Über Sophos

Mehr als 100 Millionen Anwender in 150 Ländern vertrauen auf Sophos. Wir bieten den besten Schutz vor komplexen IT-Bedrohungen und Datenverlusten. Unsere umfassenden Sicherheitslösungen sind einfach bereitzustellen, zu bedienen und zu verwalten. Dabei bieten sie die branchenweit niedrigste Total Cost of Ownership. Das Angebot von Sophos umfasst preisgekrönte Verschlüsselungslösungen, Sicherheitslösungen für Endpoints, Netzwerke, mobile Geräte, E-Mails und Web. Dazu kommt Unterstützung aus den SophosLabs, unserem weltweiten Netzwerk eigener Analysezentren. Die Sophos Hauptsitze sind in Boston, USA, und Oxford, UK.


 

Passende Artikel zum Thema

Schwachstelle in Netgear-Router lässt externen Zugriff zu

Tenable hat eine Schwachstelle in einem neuen NETGEAR-Router entdeckt. Der beliebte WiFi 6-Router ist bekannt für seine große Flächenabdeckung und ➡ Weiterlesen

Mitarbeiter: 90 Prozent brauchen Basisschulung in Cybersicherheit

89 Prozent der Mitarbeiter in Unternehmen benötigen Cybersicherheitsschulungen. Etwa jeder Dritte Mitarbeiter kann dabei nicht ausreichend Wissen zum Umgang mit ➡ Weiterlesen

Cyber-Attacken gegen ausländische Regierung

Forscher von Avanan, berichten über Angriffe auf den karibischen Inselstaat Föderation St. Kitts und Nevis und erklären, wie Hacker dort ➡ Weiterlesen

CryWiper: Ransomware zerstört in Wirklichkeit die Daten

Die Experten von Kaspersky haben eine neue Ransomware entdeckt: CryWiper. Sie agiert zu Beginn wie eine Verschlüsselungs-Software. Aber die Daten ➡ Weiterlesen

Proaktiv planen: Leitfaden zur Reaktion auf Security-Vorfälle

In einer Umgebung mit ständig zunehmenden und gezielteren Cyberbedrohungen ist jede Organisation gefährdet. Sophos liefert einen Leitfaden zur proaktiven Planung ➡ Weiterlesen

MacOS Monterey: Endpoint-Schutz-Lösungen im Test

AV-TEST hat im September & Oktober 2022 im Labor 6 Endpoint-Schutz-Lösungen für Unternehmen unter MacOS Monterey geprüft. Zusätzlich wurden 7 ➡ Weiterlesen

Kennen Angestellte die IT-Notfallpläne im Unternehmen?

G DATA Studie zeigt: Große Unternehmen sind besser auf IT-Notfälle vorbereitet als kleine Firmen. Das belegt die aktuelle Studie „Cybersicherheit ➡ Weiterlesen

Zahl der von Datenlecks betroffenen Unternehmen bleibt hoch

Laut einer Analyse des Dark Web Monitors ist die Zahl von Datenlecks betroffener Unternehmen weiterhin sehr hoch. Allerdings sind durch ➡ Weiterlesen