DearCry zielt auf Microsoft-Exchange-Lücke

Sophos News

Beitrag teilen

Hafnium Microsoft-Exchange-Hack: Wurde die Ransomware DearCry als Prototyp ins Rennen geschickt? Sophos Experten haben die Ransomware untersucht und Ähnlichkeiten mit WannaCry entdeckt.

Seit dem Bekanntwerden der Microsoft-Exchange-Lücken letzte Woche stehen Cyberattacken im Fokus, die diese Schwachstelle ausnutzen. Allen voran macht sich hier die Ransomware „DearCry“ einen unrühmlichen Namen, die auf den ersten Blick an einen prominenten Vorgänger namens „WannaCry“ erinnert. Die Sophos Labs haben sich die neue Malware einmal genauer angesehen und viele Hinweise darauf gefunden, dass es sich hier um einen noch nicht bekannten Ransomware-Prototyp handeln könnte.

Anzeige

DearCry: Ransomware mit hybriden Ansatz

Zunächst fällt bei der Analyse verschiedener DearCry-Beispiele auf, dass die Ransomware einen hybriden Ansatz zu verfolgen scheint. Die einzige andere den SophosLabs bekannte Ransomware mit diesem Ansatz ist WannaCry, wobei diese sich automatisch verbreitet und nicht wie DearCry von Menschen gehandhabt wird. Die Gemeinsamkeiten sind jedoch verblüffend: Beide erstellen zuerst eine verschlüsselte Kopie der angegriffenen Datei (Copy Encryption) und überschreiben dann die Originaldatei, um eine Wiederherstellung zu verhindern (In Place Encryption). Während die Opfer bei Copy Encryption möglicherweise einige Daten wiederherstellen können, stellt die In Place Encryption sicher, dass eine Wiederherstellung der Daten über Recovery-Tools nicht möglich ist. Berüchtigte, von Menschen betriebene Ransomware-Vertreten wie Ryuk, REvil, BitPaymer, Maze oder Clop verwenden z.B. nur die direkte Verschlüsselung.

DearCry und WannaCry im Vergleich

Es gibt eine Reihe weiterer Ähnlichkeiten zwischen DearCry und WannaCry einschließlich der Namen und des Headers, der den verschlüsselten Dateien hinzugefügt wird. Diese Hinweise bedeuten aber nicht automatisch eine Verbindung zu den WannaCry-Entwicklern, zudem sich die Fähigkeiten von DearCry erheblich von WannaCry unterscheiden. Die neue Ransomware verwendet keinen Befehls- und Kontrollserver, verfügt über einen eingebetteten RSA-Verschlüsselungscode, zeigt keine Benutzeroberfläche mit einem Timer an und verbreitet sich – was am wichtigsten ist – nicht auf andere Computer im Netzwerk.

„Wir haben eine Reihe anderer ungewöhnlicher DearCry-Merkmale gefunden, darunter die Tatsache, dass die Ransomware scheinbar neue Binärdateien für neue Opfer erstellt hat“, so Mark Loman, Director, Engineering Technology Office bei Sophos. „Die Liste der angegriffenen Dateitypen hat sich ebenfalls von Opfer zu Opfer weiterentwickelt. Unsere Analyse zeigt außerdem, dass der Code nicht die Art von Anti-Erkennungsfunktionen enthält, die wir normalerweise von Ransomware erwarten würden, wie z.B. komprimierte Dateien oder Verschleierungstechniken. Diese und andere Anzeichen deuten darauf hin, dass DearCry möglicherweise ein Prototyp ist, der schneller als geplant eingesetzt wurde, um die aktuellen Sicherheitslücken bei Microsoft Exchange Servern auszunutzen.“

Exchange-Patches schnellstmöglich installieren

Auch hier sei noch einmal darauf hingewiesen, dass Unternehmen die aktuellen Microsoft-Patches schnellstmöglich installieren sollten, um die kriminelle Ausnutzung ihres Exchange Servers zu verhindern. Wenn dies nicht möglich ist, sollte der Server vom Internet getrennt oder von einem Rapid Response Team genau überwacht werden. Zudem ist durch das Aufspielen des Patches nicht alle in Butter, sondern eine forensische Untersuchung muss sicherstellen, dass nicht bereits Schadsoftware über die Lücke ins System gekommen ist und auf ihren Einsatz wartet.

Mehr dazu bei Sophos.com

 


Über Sophos

Mehr als 100 Millionen Anwender in 150 Ländern vertrauen auf Sophos. Wir bieten den besten Schutz vor komplexen IT-Bedrohungen und Datenverlusten. Unsere umfassenden Sicherheitslösungen sind einfach bereitzustellen, zu bedienen und zu verwalten. Dabei bieten sie die branchenweit niedrigste Total Cost of Ownership. Das Angebot von Sophos umfasst preisgekrönte Verschlüsselungslösungen, Sicherheitslösungen für Endpoints, Netzwerke, mobile Geräte, E-Mails und Web. Dazu kommt Unterstützung aus den SophosLabs, unserem weltweiten Netzwerk eigener Analysezentren. Die Sophos Hauptsitze sind in Boston, USA, und Oxford, UK.


 

Passende Artikel zum Thema

Amazon-S3-Datensätze einfach zurücksetzen

Mit der neuen Funktionalität Clumio Backtrack von Commvault können Unternehmen in Amazon Simple Storage Service (Amazon S3) gespeicherte Objekte oder ➡ Weiterlesen

BSI: Kritische 9.3 Schwachstelle in PaloAlto Networks Expedition

Das BSI warnt eindringlich vor einer kritischen Schwachstelle in Next-Generation-Firewall (NGFW)-Plattform PaloAlto Networks Expedition mit dem CVSS-Wert 9.3 von 10. ➡ Weiterlesen

Hochgefährliche Schwachstellen in Firefox und Thunderbird 

Mozilla hat am 7. Januar 2025 mehrere Sicherheitsupdates für Firefox und Thunderbird veröffentlicht, um Schwachstellen mit hoher Priorität zu beheben. ➡ Weiterlesen

Ransomware-Angriff auf Fraunhofer-Institut

Ein Ransomware-Angriffe hat bereits am 27. Dezember 2024 das Fraunhofer-Institut für Arbeitswirtschaft und Organisation IAO in Stuttgart getroffen. Das Institut ➡ Weiterlesen

Prognosen für 2025

Die Cybersecurity-Landschaft entwickelt sich mit atemberaubender Geschwindigkeit. Für 2025 zeichnen sich bereits heute einige kritische Entwicklungen ab, die besonders Unternehmen ➡ Weiterlesen

Schutz vor KI-Jailbreaks durch Open-Source-Tool 

FuzzyAI, ein quelloffenes Framework, hat bislang für jedes getestete Modell einen KI-Jailbreak gefunden. Es hilft Unternehmen, Schwachstellen in ihren KI-Modellen ➡ Weiterlesen

Zero-Day-Schwachstelle lässt Fernzugriff zu 

Die Arctic Wolf Labs Threat Intelligence Teams haben neue schädliche Aktivitäten im Zusammenhang mit der von Huntress aufgedeckten Zero-Day-Schwachstelle in ➡ Weiterlesen

Neue Ransomware Ymir entdeckt

Den Experten ist eine neue Ransomware mit ausgeklügelten Verschleierungstechniken in Netz gegangen. Die Malware Ymir nutzt Whitelist-Funktionen um der Entdeckung ➡ Weiterlesen