Hoffnung für Opfer: Entschlüsseler für Zeppelin-Ransomware

Hoffnung für Opfer: Entschlüsseler für Zeppelin-Ransomware
Anzeige

Beitrag teilen

Die Zeppelin-Ransomware hat viele Opfer die nicht gezahlt haben mit verschlüsselten Daten zurückgelassen. Nun gibt es Hoffnung, denn Unit 221B hat eine Methode zum Knacken des Schlüssel entdeckt. Das Ganze ist zwar etwas aufwendig, aber es lohnt sich.    

Noch im August dieses Jahres gab die amerikanische CISA (Cybersecurity and Infrastructure Security Agency) eine Warnung zur Zeppelin Ransomware heraus. Man erklärte, dass die Zeppelin-Ransomware ein Derivat der Delphi-basierten Vega-Malware-Familie ist und als Ransomware as a Service (RaaS) fungiert.

Anzeige

Zeppelin Ransomware as a Service (RaaS)

Von 2019 bis mindestens Juni 2022 haben Akteure diese Malware verwendet, um ein breites Spektrum von Unternehmen und Organisationen mit kritischer Infrastruktur anzugreifen, darunter Rüstungsunternehmen, Bildungseinrichtungen, Hersteller, Technologieunternehmen und insbesondere Organisationen in der Gesundheits- und Medizinbranche. Es ist bekannt, dass Zeppelin-Akteure Lösegeldzahlungen in Bitcoin verlangen, wobei die anfänglichen Beträge zwischen mehreren tausend Dollar und über einer Million Dollar liegen.

FBI informiert Opfer nicht zu zahlen

Laut einem Bericht von Brian Krebs wollte ein Opfer gerade bezahlen, als es einen Hinweis vom FBI erhielt, dass ein Unternehmen eine Möglichkeit zur Entschlüsselung der Daten gefunden hat. Die Forscher von Unit 221B haben eine Schwachstelle in der Zeppelin Ransomware gefunden und nutzen diese aus. Zeppelin nutze zwar drei verschiedene Arten zum Verschlüsseln von Dateien, aber am Anfang der Attacke steht immer ein kurzlebiger öffentlicher RSA-512-Schlüssel der alles einleitet.

Anzeige
WatchGuard_Banner_0922

Der Trick der Forscher besteht nun darin den RSA-512-Schlüssel aus der Registrierung wiederherzustellen, diesen zu knacken und damit dann  den 256-Bit-AES-Schlüssel zu erhalten, der letztendlich die Dateien verschlüsselt hat. Unit 221B baute schließlich eine Live-CD mit Linux, die Opfer auf infizierten Systemen ausführen konnten, um den RSA-512-Schlüssel zu extrahieren.

800 CPUs knacken den RSA-Schlüssel

Dann wurde der Schlüssel in einen Cluster von 800 CPUs geladen, der vom Hosting-Riesen Digital Ocean gespendet wurde. Der Cluster knackte dann den RSA-Schlüssel. Das Unternehmen nutzte dieselbe gespendete Infrastruktur auch, um den Opfern zu helfen, ihre Daten mit den wiederhergestellten Schlüsseln zu entschlüsseln.

Eine technische Darstellung, wie Unit 211B den Schlüssel knackt, findet sich auf deren Blog.

Mehr bei Blog.Unit221B.com

 

Passende Artikel zum Thema

OneLogin: globale Studie zu Sicherheit im Homeoffice

OneLogin, eines der weltweit führenden Unternehmen im Bereich des Identitäts- und Zugriffsmanagements, hat heute eine neue globale Studie veröffentlicht, in ➡ Weiterlesen

Zyxel: neue KMU-Firewall-Modelle USG-FLEX-100/200/500

Während die Telearbeit zur neuen Normalität wird, stehen Unternehmen vor der Herausforderung, ihre Geschäftstätigkeit sicher zu gestalten und gleichzeitig die ➡ Weiterlesen

Malware, Phishing oder Unachtsamkeit – Was ist das größte Risiko für die IT-Sicherheit?

Nicht Angriffe von außen, sondern die eigenen Mitarbeiter stellen das größte Risiko für die IT-Sicherheit von Unternehmen dar. In der ➡ Weiterlesen

Kaspersky Endpoint Security for Business mit EDR Optimum & Sandbox

Zukunftsweisender 3-in-1-Lösungsansatz für erweiterte Cybersicherheit für mittelständische und große Unternehmen Die neueste Version der Kaspersky-Flaggschifflösung Endpoint Security for Business [1] ➡ Weiterlesen

Analyse-Ergebnisse des Kaspersky Threat Intelligence Portal

Viele eingereichte Anfragen als Link oder Datei an das Kaspersky Threat Intelligence Portal erweisen sich in der Analyse als Trojaner ➡ Weiterlesen

DriveLock Release 2020 mit neuen Funktionen

Das neue DriveLock 2020.1 Release kommt mit zahlreichen Verbesserungen und implementiert Kundenwünsche als Updates: Schwachstellen-Scanner, Self-Service Portal für Anwender, Pre-Boot ➡ Weiterlesen

Kaspersky Security Awareness Training

Kaspersky präsentiert die neue Schulungsplattform Kaspersky Adaptive Online Training, die in Kooperation mit Area9 Lyceum, dem Spezialisten für adaptives und ➡ Weiterlesen

Bitdefender GravityZone mit „Human Risk Analytics“

EDR-Modul jetzt auch On-Premises erhältlich zur Abmilderung von Ransomware-Attacken Bitdefender bietet ab sofort mit Human Risk Analytics eine zusätzliche Funktion ➡ Weiterlesen