Ransomware – Auch Ihre Daten können entführt werden

Ransomware – Auch Ihre Daten können entführt werden

Ransomware- auch Daten können als Geisel entführt werden

Der Tag, an dem die Kassen stillstehen: Der schlimmste Albtraum eines jeden Händlers ist für Media Markt/Saturn fast Realität geworden. Am ersten Novemberwochenende sind die Server des Unternehmens mit Ransomware infiziert worden, was bedeutet, dass alles zum sofortigen Stillstand kommt. 

Glück im Unglück: Zumindest die Kassensysteme in den Filialen können für eine begrenzte Zeit autark weiterlaufen, haben aber keinen Zugriff auf Warenbestände, Preisänderungen etc.

Weniger gut haben jedoch einige öffentliche Verwaltungen im Kampf gegen die unsichtbare Bedrohung abgeschnitten: Der kommunale IT-Dienstleister für Schwerin und beim benachbarten Landkreis Ludwigslust-Parchim musste sich kurz vorher ebenfalls einem Ransomware-Angriff ergeben. In Folge sind sämtliche Dienstleistungen der betroffenen Ämter nicht erreichbar, die Bürgerbüros können kaum noch arbeiten.

 

Wie funktioniert Ransomware?

Ransom bedeutet übersetzt “Lösegeld”- hinter Ransomware stecken folglich Kriminelle, die Lösegeld erpressen möchten. Geisel sind hier die wertvollen Daten, die ein Unternehmen angesammelt hat. Diese werden bei Befall mit Schadsoftware, wenn vorhandener Cyberschutz wie Virenscanner und Firewalls überwunden worden ist, verschlüsselt.

Besonders trickreich aufgebaute Schadsoftware wartet einige Zeit nach einer erfolgreichen Infektion, damit die Backups hinreichend durchseucht sind, bevor diese losschlägt. Auf diese Art ist eine zuverlässige Datensicherheit nicht mehr gegeben, da die Datensicherung(en) ebenfalls den Schädling enthalten.
Nachdem wichtige Daten verschlüsselt sind, wird dem Opfer eine Lösegeldforderung präsentiert, verbunden mit dem Versprechen, nach Zahlung in Cryptowährung die Daten wieder zu entschlüsseln.

Auf diese Art werden wertvolle Daten des Unternehmens unbrauchbar gemacht.

 

Auf welchen Wegen erfolgen Infektionen?

Das Haupteinfallstor für erfolgreiche Ransomware wie den zu trauriger Berühmtheit gekommenen Emotet-Trojaner ist Email. Hier werden täuschend echt aussehende Emails verschickt, die im Anhang ein Office-Dokument wie Word oder Excel haben, welches ausführbare Makros enthält. Die aus befallenen Systemen extrahierten Daten werden zur Versendung weiterer Mails genutzt, die sich als Antworten auf zuvor gesendete Mails tarnen.

Ein weiterer Weg ist das direkte Verbreiten als Computerwurm, der von System zu System springt. Diese Eigenschaft macht Ransomware gleichzeitig effizient und gefährlich, da in einem Computernetzwerk in rasanter Geschwindigkeit alle angeschlossenen Rechner infiziert werden. Hierbei werden bekannte Schwachstellen eingesetzter Software ausgenutzt.

 

Wie kann das Netzwerk abgesichert werden?

Das Haupteinfallstor für Ransomware sind nach wie vor Emails mit Office-Dokumenten. Die Ausführung von Makros lässt sich in MS Office abschalten. Weiteren Cyberschutz bietet hier sogenannter Mailscan, d.h. eingehende Mails werden bei einem speziellen Dienstleister eingeliefert, der diese scannt und dann weiterleitet. Viele Antivirus-Hersteller bieten dieses als zusätzlichen Service an.

Datensicherheit beginnt allerdings früher: Sind Systeme nicht mit aktuellen Sicherheitspatches versehen, werden Lücken gnadenlos ausgenutzt, speziell, wenn diese aus dem Internet erreichbar sind.

Zeitnahes Patchen aller Systeme zum Microsoft Patchday gehört somit zum Pflichtprogramm. Eine zusätzliche Absicherung besteht in sogenanntem “Offsite-Backup”, bei dem eine Datensicherung zusätzlich extern (Cloud oder als USB-Festplatte) aufbewahrt wird und somit kein Kontakt zum befallenen Netzwerk besteht.

Nutzen Sie unter 0201 – 17 1919 7 unseren CNE-Service im Bereich

Wir beraten Sie bei der Datensichersicherheit in Essen und weiter

Ihre
CNE – Computer- und Netzwerktechnik Essen

Computer und Netzwerktechnik Essen Sascha Müller

Brauchen Sie Hilfe oder Unterstützung?

Dann nehmen Sie hier Kontakt auf oder benutzen Sie das nachfolgende Formular. Die Angabe der Emailadresse ist erforderlich, die Angabe Ihrer Telefonnummer nur optional, jedoch hilfreich, um Ihre Fragen schnell beantworten zu können. Optimal ist die Angabe Ihrer Mobilrufnummer.

Wir geben keine Daten an Dritte weiter.

Brauchen Sie Hilfe oder Unterstützung?

Dann nehmen Sie hier Kontakt auf oder benutzen Sie das nachfolgende Formular. Die Angabe der Emailadresse ist erforderlich, die Angabe Ihrer Telefonnummer nur optional, jedoch hilfreich, um Ihre Fragen schnell beantworten zu können. Optimal ist die Angabe Ihrer Mobilrufnummer.

Wir geben keine Daten an Dritte weiter.

Sichere Kontaktaufname

Hinweis: Bitte lesen Sie VOR dem Absenden die Datenschutzerklärung

5 + 12 =

Ordinypt gefährdet Personalabteilungen – Erpressung durch neuen Trojaner

Ordinypt gefährdet Personalabteilungen – Erpressung durch neuen Trojaner

Computer-Netzwerk-Virenwarnung

Ransomware Ordinypt

Erpressungstrojaner Ordinypt infiziert durch FAKE-Bewerbungen an Personalabteilungen vorwiegend Firmen in Deutschland

Heise berichtet, das allem Anschein in Deutschland ein neuer Trojaner umgeht, der bewusst auf Personalabteilungen zielt und Lösegeld erpresst. Der in der eher seltenen Programmiersprache Delphi verfasste Trojaner lässt Opfern allerdings keine Chance, ihre Daten wiederzubekommen.

Ein Erpressungstrojaner grassiert momentan in Deutschland und bedroht vor allem die Daten von Firmen. Laut einem Bericht der Sicherheitsfirma G-Data handelt es sich bei Ordinypt um einen sogenannten Wiper-Trojaner. Dieser gibt vor, wichtige Daten auf dem Rechner des Opfers zu verschlüsseln. Für die Opfer sieht also erst mal alles so aus, als sei das System von einer Ransomware befallen. Allerdings machen sich die Angreifer wohl nicht die Mühe, Daten zu verschlüsseln sondern löschen stattdessen deren Inhalt – das geforderte Lösegeld zu zahlen ist also sinnlos.

Angriff zielt erneut auf Personalabteilungen

Ähnlich wie damals beim Goldeneye-Angriff nutzen die Drahtzieher hinter Ordinypt (auch bekannt als HSDFSDCrypt) sehr sauber verfasste Phishing-Mails in nahezu fehlerfreiem Deutsch, die sie mit Vorliebe direkt an personalverantwortliche Personen in deutschen Firmen schicken. Interessanterweise ist der vermeintliche Erpressungstrojaner in Delphi geschrieben – was eine Programmiersprache für Malware angeht eine eher ungewöhnliche Wahl.

Mehr Informationen sowie Screenshots finden Sie hier bei Heise-Online

Erste Details zu Ordinypt

Wiper-Trojaner versteckt sich im Mail-Anhang

In der per Mail versendeten .zip steckt nach einem IT-Experten eine weitere .zip und in der eine .com, die eigentlich eine umbenannte .exe ist. Das Programm selbst ist laufzeitkomprimiert – wahrscheinlich um die Untersuchung zu erschweren. Irgendwelche Daten werden nachgeladen und die CryptAPI ist auch eingebunden.

Die durch Windows als PDF getarnte Gefahr

Der Anhang tarnt sich als .pdf-Datei, hat aber tatsächlich die Extension .pdf.exe und ist damit von Windows auch ausführbar. Da der normale Anwender in Firmen meistens aber die Standardeinstellung “Dateierweiterungen nicht anzeigen” eingestellt hat, werden die Zeichen rechts vom letzten (!) Punkt als Dateierweiterung betrachtet und nicht angezeigt.

Der Ordinypt-Schreiber hat der Datei das rotweiße Adobe-Icon spendiert, hat sich aber den Fehler geleistet, auch das .pdf an vorletzter Stelle im Dateinamen zu lassen, so dass das angezeigt wird. Bei gewöhnlichen .pdf-Dateien wird das eben NICHT angezeigt, und genau das hätte einem informierten Mail-Empfänger seit “Melissa” auffallen müssen.

Weitere Informationen finden Sie hier.

 

Viren-Gefahren vermeiden

Nutzen Sie einen anderen Browser als den Internet-Explorer um Ihre Standardlinks zu öffnen.

Deaktivieren Sie die Makro-Funktion in Dokumenten, die Sie per E-Mail erhalten. Vor allem bei Nachrichten von fremden Personen sollten Sie vorsichtig sein. “Locky” und andere Ransomware-Trojaner werden nach Angaben von Sicherheitsexperten meist über E-Mail-Anhänge eingeschleust, die sich etwa als harmloses Word-Dokument tarnen, aber im Hintergrund die gefährliche Software ausführen. 

Um Sicherheitslücken zu schließen, sollten Sie möglichst alle Programme auf Ihrem Rechner auf den neuesten Stand bringen. Installieren Sie Patches für den Browser, für Office-Anwendungen und den Flash-Player. Malware-Programme nutzen Sicherheitslücken in dieser Software aus.

Die neuesten Versionen der Erpressertrojaner schaffen es zuweilen auch an aktuellen Sicherheitsprogrammen vorbei, aber schon bekannte Varianten kann ein Virenschutzprogramm abfangen.

Alle “extern” annehmenden Stellen von Unternehmen sind Gefahrenpunkte. Einer der Gründe warum bei vielen HR-Abteilungen die Emails von außen unter Umgehung der DMZ und des Serverparks gesondert empfangen werden. Auf Rechnern ohne Netzanbindung und von dort dann, nach Kontrollen und Checks, einen Transfer erfahren. Es ist aufwändiger und zeitintensiver, aber hat bisher immer jeden “neuen” Angriff vollkommen verhindert.

Brauchen Sie Hilfe oder Unterstützung?

Dann nehmen Sie hier Kontakt auf oder benutzen Sie das nachfolgende Formular. Die Angabe der Emailadresse ist erforderlich, die Angabe Ihrer Telefonnummer nur optional, jedoch hilfreich, um Ihre Fragen schnell beantworten zu können. Optimal ist die Angabe Ihrer Mobilrufnummer.

Wir geben keine Daten an Dritte weiter.

Brauchen Sie Hilfe oder Unterstützung?

Dann nehmen Sie hier Kontakt auf oder benutzen Sie das nachfolgende Formular. Die Angabe der Emailadresse ist erforderlich, die Angabe Ihrer Telefonnummer nur optional, jedoch hilfreich, um Ihre Fragen schnell beantworten zu können. Optimal ist die Angabe Ihrer Mobilrufnummer.

Wir geben keine Daten an Dritte weiter.

Sichere Kontaktaufname

Hinweis: Bitte lesen Sie VOR dem Absenden die Datenschutzerklärung

10 + 7 =

Erpressungstrojaner – Locky heisst “Diablo6”

Erpressungstrojaner – Locky heisst “Diablo6”

Erpressungstrojaner mit neuem Namen: Diablo6

Eil-Meldung von HEISE

Die Ransomware Locky ist als Diablo6 zurück und verschlüsselt wieder verstärkt die persönlichen Dateien von Opfern auf der ganzen Welt. Erhöhte Vorsicht im Umgang mit E-Mails ist momentan angebracht.

Berichten mehrerer Sicherheitsfirmen zufolge ist der Erpressungstrojaner Locky von den Toten auferstanden. Er verbreitet sich erneut über massenhafte Spam-Mails und nutzt jetzt die Endungen .diablo6 und .lukitus für von ihm verschlüsselte Dateien. Auch die neuen Varianten greifen Anwender nach dem bekannten Locky-Muster an: An einer Phishing-Mail hängt eine Zip-Datei an. Öffnet das Opfer diese, landet eine JavaScript-Datei auf dem Rechner. Wird diese auf einem Windows-System ausgeführt, lädt sie Schadcode aus dem Netz nach, der die Dateien des Opfers verschlüsselt.

Prüfen Sie Ihre eMail genau und handeln Sie nicht zu vorschnell beim Öffnen von gepackten Dateianhängen (z.B.: ZIP/RAR)

Erhöhte Alarmbereitschaft ratsam

Die Sicherheitsfirma Malwarebytes sieht seit Anfang August eine verstärkte Verbreitung der Ransomware. Laut einem früheren Bericht der Firma war Locky nie ganz verschwunden, die Verbreitung des Trojaners war aber zugunsten anderer Erpressungstrojaner stark zurückgegangen. Bisherige Berichte sprechen von englischen Spam-Mails, die hauptsächlich vorgeben, Rechnungen zu enthalten. Deutsche Phishing-Mails sind uns bisher nicht untergekommen. Sollten wir entsprechende Mails feststellen, werden wir diese Meldung aktualisieren.

Mehr Informationen erhalten Sie hier

Zahlreicher Anwender berichten von eMails, in der die echte Anschrift stand. Die Versender müssen Adressdaten aus einem Online-Shop oder etwas ähnlichem haben. Es wird oft berichtet, dass sie vorher noch nie eine so gut gemachte Mail gesehen haben, die Zahlungserinnerung, Signatur von “Rechtsanwalt XYZ” und rechtschreibfehlerfreies Juristen-Deutsch enthält.

“Die detaillierte Forderungsaufstellung XYZ, der sie alle Einzelpositionen entnehmen können, ist beigefügt.”

Laut einigen Virenprogrammen erkannten nur 1/3 aller Virenscanner eine Malware. Es wird also zunehmend schwieriger, eMails schnell und sicher auszusortieren, die Möglichkeit, das man versehentlich einen solchen Anhang öffnet, wird immer größer und die Gefahr Diablo6 auf seinen Rechnern zur Entfaltung zu bringen immer größer.

Deutschland sicher im Netz meldet:

In den Mails geht es in der Regel um angebliche Rechnungen/ Mahnungen, nicht vorgenommene Bestellungen oder Warnhinweise, dass bei einem Shopping- oder Online-Banking-Konto verdächtige Aktivtäten aufgefallen seien. Für mehr Informationen wird auf den Anhang oder einen Link verwiesen, hinter denen sich jedoch mit dem Trojaner präparierte Dateien befinden.

SiBa rät deshalb zu besonderer Vorsicht bei E-Mails und verdächtigen Links. Darüber hinaus sollten weiterhin präventiv alle verfügbaren Schutzmaßnahmen vor Erpressungs-Trojanern zu ergriffen werden. Hierzu zählen insbesondere ein aktueller Virenscanner, die Installation aller Sicherheitsupdates auf Ihren Geräten sowie vor allen Dingen das Erstellen externer Datensicherungen, mit denen im Ernstfall verlorene Daten wieder hergestellt werden können.

 
Den ganzen Artikel lesen Sie hier

Mehr Sicherheit mit Restric’tor

Nützliches Werkzeug – Mit dem von C’t-Programmierern entwickelten Sicherheits-Tool Restric’tor lässt sich das eigene System besser gegen Infektionen von Viren und Angriffe von Trojanern und Ransomware schützen.

Das Programm pflegt unter Home-Versionen von Windows einen Schutz-Mechanismus nach, den die teureren Editionen standardmäßig an Bord haben. Diese bringen die sogenannten “Richtlinien für Softwareeinschränkung” mit – im Englischen “Software Restriction Policies” oder kurz SRP. Restric’tor erlaubt auch unter Windows Home den Zugriff auf diese.

Das Werkzeug unterbindet erst einmal jeglichen Zugriff, den Software auf das System haben will – dann pflegt man mithilfe von Regeln Ausnahmen nach. Darunter findet sich standardmäßig der Windows-Ordner sowie der Programme-Ordner – diese Programme hat man ja üblicherweise selbst installiert. Weitere Ausnahmen kann man selbst definieren – alle anderen Zugriffe werden erst einmal blockiert und benötigen Bestätigung vom Administrator.

Es handelt sich um eine perfekte (gegenüber Microsofts Bedienoberfläche deutlich verbesserte) Fortsetzung der Software Restriction Policies. Neben einer ordentlichen Einrichtung von Zugriffsrechten im Dateisystem, eingeschränkten Benutzerkonten und NoScript im Browser eine weitere, komplettierende Schranke, die von Malware überwunden werden muss, bevor diese wirksam werden kann. Es erspart das Erlernen der Registry-Regel-Syntax für diesen Schutz, wenn man sich eine Home-Edition von Windows erlaubt hat.
 
Den ganzen Artikel lesen Sie hier
 
Grundsätzlich empfehlen wir funktionierende Backups mit einer externen Datensicherung.

Brauchen Sie Hilfe oder Unterstützung?

Dann nehmen Sie hier Kontakt auf oder benutzen Sie das nachfolgende Formular. Die Angabe der Emailadresse ist erforderlich, die Angabe Ihrer Telefonnummer nur optional, jedoch hilfreich, um Ihre Fragen schnell beantworten zu können. Optimal ist die Angabe Ihrer Mobilrufnummer.

Wir geben keine Daten an Dritte weiter.

Brauchen Sie Hilfe oder Unterstützung?

Dann nehmen Sie hier Kontakt auf oder benutzen Sie das nachfolgende Formular. Die Angabe der Emailadresse ist erforderlich, die Angabe Ihrer Telefonnummer nur optional, jedoch hilfreich, um Ihre Fragen schnell beantworten zu können. Optimal ist die Angabe Ihrer Mobilrufnummer.

Wir geben keine Daten an Dritte weiter.

Sichere Kontaktaufname

Hinweis: Bitte lesen Sie VOR dem Absenden die Datenschutzerklärung

15 + 13 =

Software-Attacke durch Ransom-Software WannaCry – Datensicherheit

Software-Attacke durch Ransom-Software WannaCry – Datensicherheit

Wannacry – Informationen zur aktuellen Ransomware

Seit Freitag 12. Mai 2017 breitet sich die aktuelle und gefährliche Ransomware WannaCry (WanaDecrypt0r 2.0) im weltweiten Internet aus.

Überblick

Es handelt sich um einen so genannten Krypototrojaner, der Daten auf den betroffenen Computern verschlüsselt und den User erpresst, gegen Zahlung eines Betrages den Code für die Freischaltung zu erhalten. Am 9. Mai soll der Nutzer dann den Code für die Entschlüsselung erhalten, ansonsten sei die Löschung veranlasst.
Die Zahlungen werden über Bitcoin abgewickelt und angeblich zahlten bislang 126 Opfer insgesamt etwa 30.000 Euro. Weltweit sollen zur Stunde über 220.000 Systeme betroffen sein. WannaCry springt von einem infizierten Rechner auf andere, übers Netz erreichbare Windows-Systeme über.

Was ist zu tun?

Nutzer sollten Windows-Sicherheitspatches grundsätzlich immer installieren.

Wer Microsofts Sicherheitsupdate MS17-010 noch nicht eingespielt hat, muss das jetzt schnellstmöglich nachholen. Das gilt auch für Besitzer älterer Windows-Versionen wie XP. Wer einen solchen Rechner am Netz betreibt, setzt sich immer einem erhöhten Risiko aus und sollte ernsthaft darüber nachdenken, ein aktuelles Betriebssystem zu nutzen.

Windows-10-Installationen sind bisher nicht von WannaCry betroffen.

Link zum Sicherheitspatch

https://technet.microsoft.com/de-de/library/security/ms17-010.aspx

Windows XP 

Selbst das 16 Jahre alte Windows XP, das Microsoft seit 2014 nicht mehr pflegt, bekam nun einen Sicherheits-Patch. Microsoft hat angesichts der grassierenden Ransomware WannaCry in einer Blitzaktion Sicherheitsaktualisierungen auch für die nicht mehr unterstützte Windows-Versionen herausgegeben. Darunter ist auch das inzwischen 16 Jahre alte Windows XP, dessen Support der Konzern eigentlich schon 2014 eingestellt hatte.

Link für den XP Patch zum download

 

Mehr Informationen

erhalten Sie hier bei “wannacry” heise.de

Empfehlung

  • Falls Sie ein veraltetes Betriebssystem nutzen (wie zum Beispiel Windows XP), sollten Sie über eine Aktualisierung Ihres Betriebssystems nachdenken und gegebenenfalls einen Fachmann damit beauftragen.
  • Führen Sie immer aktuelle Updates durch.
  • Setzen Sie ein vernünftiges Antiviren-Programm ein.
  • Öffnen Sie sorgfältig Ihre Email und achten Sie auf den Absender. Öffnen Sie keine Dateianhänge, die Ihnen unbekannt sind und seien Sie bitte sehr vorsichtig mit der Öffnung von Dateien mit der Endunf *.ZIP oder *.RAR

Unternehmen sind aufgerufen, sich ernsthafter um ihre Sicherheit zu kümmern. Der aktuelle Angriff sei “ein erneuter Weckruf für Unternehmen, IT-Sicherheit endlich ernst zu nehmen und nachhaltige Schutzmaßnahmen zu ergreifen

Bei Rückfragen helfen wir Ihnen gerne.

Brauchen Sie Hilfe oder Unterstützung?

Dann nehmen Sie hier Kontakt auf oder benutzen Sie das nachfolgende Formular. Die Angabe der Emailadresse ist erforderlich, die Angabe Ihrer Telefonnummer nur optional, jedoch hilfreich, um Ihre Fragen schnell beantworten zu können. Optimal ist die Angabe Ihrer Mobilrufnummer.

Wir geben keine Daten an Dritte weiter.

Brauchen Sie Hilfe oder Unterstützung?

Dann nehmen Sie hier Kontakt auf oder benutzen Sie das nachfolgende Formular. Die Angabe der Emailadresse ist erforderlich, die Angabe Ihrer Telefonnummer nur optional, jedoch hilfreich, um Ihre Fragen schnell beantworten zu können. Optimal ist die Angabe Ihrer Mobilrufnummer.

Wir geben keine Daten an Dritte weiter.

Sichere Kontaktaufname

Hinweis: Bitte lesen Sie VOR dem Absenden die Datenschutzerklärung

5 + 4 =