Gandcrab: LKA warnt vor neuem Erpressungs-Trojaner

  • Allgemein

  • HotPi
  • 1868 Aufrufe 5 Antworten

Diese Seite verwendet Cookies. Durch die Nutzung unserer Seite erklären Sie sich damit einverstanden, dass wir Cookies setzen. Weitere Informationen

  • Gandcrab: LKA warnt vor neuem Erpressungs-Trojaner

    Verschlüsselung per E-Mail
    Gandcrab: LKA warnt vor neuem Erpressungs-Trojaner
    Das LKA warnt vor dem Erpressungs-Trojaner Grandcrab, der geschickt in einer Bewerbungs-E-Mail versteckt ist. Dieser verschlüsselt Dateien und fordert Lösegeld.

    Das LKA Niedersachsen warnt ktuell vor dem Gandcrab-Erpressungs-Trojaner. Vorrangig tauchte er als gefälschte Bewerbung auf. Die Verbreitung erfolgt meist über Exploit-Kits, andere Schadsoftware oder wie in diesem Fall E-Mail-Anhänge. Zur Zeit senden Hacker E-Mails an Personalabteilungen und stellen sich als Bewerber kurz vor.
    Bei der Bewerbung liegen auch Bilder bei, die im Netz gestohlen wurden. In den bisher bekannten Fällen stimmt der Name der fotografierten Person nicht mit den Angaben aus dem Mail-Text überein.

    Weitere "Bewerbungsunterlagen" fügt der Cyberkriminelle als ZIP-Datei bei. Wer diese öffnet und die enthaltene .exe-Datei ausführt, entfesselt den Erpressungs-Trojaner. Wie die Sicherheitsexperten von G Data herausgefunden haben, nutzen die Hacker dafür die symmetrische Verschlüsselung Salsa 20. Momentan erkennen den Virus von 65 nur 26 Antivirenprogramme, wie das LKA berichtet. Wie bei Erpressungs-Trojanern üblich, verlangen die Hacker nach Verschlüsselung des Systems ein Lösegeld für den Entschlüsselungscode. Auch in diesem Fall werden die Opfer aufgefordert, eine Geldsumme in Bitcoin zu zahlen.

    Wer Opfer einer solchen Attacke geworden ist, soll den Lösegeldforderungen nicht nachkommen. Zu hoch ist das Risiko, dass die Hacker keinen Entschlüsselungscode zusenden. Außerdem müssen Betroffene ihr System schnellstmöglich vom Netzwerk trennen. Andernfalls könnte sich der Erpressungs-Trojaner auf weiteren Rechnern einnisten. Um solchen Vorfällen vorzubeugen, rät der Security-Experte Tim Berghoff von G Data dazu, Bewerbungen auf einem separaten PC zu öffnen, der nicht mit dem restlichen Unternehmens-Netzwerk verbunden ist. Bei E-Mail-Anhängen ist allgemein Vorsicht geboten.

    5.9.2018 von Alina Braun


    Quelle: Gandcrab: LKA warnt vor neuem Erpressungs-Trojaner - PC Magazin

  • Rettung bei Ransomware-Angriffen 22.02.2019, 11:55 Uhr
    Grandcrab-verschlüsselte Daten befreien
    Nicht wenige Computer-Nutzer sind Opfer des Verschlüsselungstrojaners Grandcrab geworden. Mit dem Angriff verloren sie einige Daten. Doch ein Tool verspricht jetzt Hilfe.

    Opfer des Verschlüsselungstrojaners Grandcrab können ihre Daten wiederherstellen. Ein entsprechendes Tool sei innerhalb einer Europol-Kooperation entwickelt worden, teilt das Landeskriminalamt Niedersachsen mit.

    Dieses kann auf der Seite NoMoreRansom.org heruntergeladen werden. Auch eine Anleitung findet sich dort. Das Tool unterstützt den Angaben zufolge die Grandcrab-Versionen v1, v4, v5 und v5.1. Die Entschlüsselung sei bereits erfolgreich auf Systemen mit Windows XP, Windows 7 und Windows 10 getestet worden.

    Die Polizei rät Nutzern grundsätzlich, sich nicht von erpresserischer Schadsoftware, die Daten auf dem Rechner verschlüsselt, einschüchtern zu lassen. Opfer sollten kein Geld an die Täter zahlen und Anzeige erstatten. Denn selbst gegen Lösegeld gebe es keinerlei Garantie dafür, dass man danach seine Daten dauerhaft wiederherstellen kann.

    Vielmehr erhielten die Täter Feedback, dass ihre Schadsoftware funktioniert und sehen sich in ihrem «Geschäftsmodell» bestätigt. Der beste Schutz vor Erpressung durch Ransomware sei die regelmässige Sicherung aller oder zumindest der wichtigsten Dateien auf externen Datenträgern.

    Autor(in)
    dpa

  • Jetzt patchen! Erpressungstrojaner Gandcrab frisst sich durch Confluence-Lücke

    Die Angriffe auf Confluence weiten sich aus. Derzeit versuchen Angreifer verwundbare Systeme mit der Ransomware Gandcrab zu infizieren.

    Die Wiki-Software Confluence ist in vielen Versionen verwundbar und Angreifer nutzen die "kritischen" Sicherheitslücken (CVE-2019-3395, CVE-2019-3396) derzeit aktiv aus. Sicherheitsforscher von Alert Logic haben nun neue Attacken beobachtet, bei denen Angreifer eine Schwachstelle als Schlupfloch für den Verschlüsselungstrojaner Gandcrab ausnutzen sollen.

    Die Schwachstelle mit der Kennung CVE-2019-3396 findet sich im Widget Connector und Angreifer sollen aus der Ferne ohne Authentifizierung Code in _template injizieren können.

    Um einer Entdeckung bei der Platzierung von Gandcrab zu entgehen, sollen sie auf mehrere legitime Standard-Tools und Windows PowerShell setzen. Klappt das alles, installiert sich der Schädling, verschlüsselt Dateien und fordert ein Lösegeld ein. Weitere Infos zu der Attacke haben die Sicherheitsforscher in einem Blog-Beitrag festgehalten.

    Updaten
    Abgesicherte Versionen sind bereits erhältlich. In einer Sicherheitswarnung geben die Entwickler an, die Lücken in den Ausgaben ab 6.6.12, 6.12.3, 6.13.3 und 6.14.2 geschlossen zu haben. Alle vorigen Versionen sind bedroht. Nutzer von Confluence Cloud sollen nicht betroffen sein. Bereits vergangene Woche kam es zu Angriffen auf verwundbare Confluence-Installationen.

    Powershell als Angriffswerkzeug
    Auf der bereits nächste Woche startenden heise-Security-Tour erklären Experten im Vortrag "Powershell für Angreifer: Was die Tools der Angreifer alles können und was Sie dagegen tun können" Hintergründe zum Einsatz von Microsofts Framework im Malwarebereich.

    Quelle: Jetzt patchen! Erpressungstrojaner Gandcrab frisst sich durch Confluence-Lücke | heise online

  • Fake-Bewerbungsmails: Trojaner versteckt sich erfolgreich vor Antiviren-Software

    Derzeit rollt eine neue Welle von Fake-Bewerbungen durch das Internet. Ziel ist es, den Erpressungstrojaner Gandcrab auf Computer zu bringen.

    Wer dieser Tage eine E-Mail mit dem Betreff "Bewerbung für die ausgeschriebene Stelle" oder "Bewerbung auf Ihre Stellenausschreibung" erhält, sollte aufhorchen: Heise Security liegen mehrere Mails dieser Art vor, die ein Word-Dokument mitbringen, das einen Trojaner auf Windows-Computer holt. Vor allem Personaler sollten sich vor solchen Mails in Acht nehmen. Absender und Betreffzeile der Nachrichten variieren.

    Gar nicht erst Öffnen!
    Der Dateiname des Dokuments besteht aus Ziffern – beispielsweise 418177678.doc – und es ist mit Makros versehen. Wer die Datei öffnet, wird aufgefordert die Makros zu aktivieren, um die Kompatibilität zu gewährleisten und das Dokument lesen zu können.

    Das sollte man auf gar keinen Fall machen! Ansonsten holt man sich den Erpressungstrojaner Gandcrab auf den PC, haben Sicherheitsforscher von Hornet Security herausgefunden. Die Makros öffnen ihnen zufolge ein verstecktes Terminal, um mit PowerShell Kommandos auszuführen und so Gandcrab herunterzuladen und auszuführen. Der Schädling verschlüsselt Dateien und fordert ein Lösegeld.

    So wie es aussieht, sind die Makros für Microsoft Word ausgelegt. Heise Security hat das Dokument in LibreOffice geöffnet und die Makros hatten dort keine Funktion.

    Unter dem Radar von AV-Software
    Die Drahtzieher von dieser Kampagne nutzen einen simplen Trick, um das Word-Dokument an Antiviren-Software vorbeizuschmuggeln: Sie habe es schlicht mit einem Passwort versehen, sodass Virenscanner nicht rein gucken und den Makro-Code als böse einstufen können. Dementsprechend schlug zum Zeitpunkt der Meldung keiner der 58 Scanner der Analyseplattform Virustotal an.

    Damit Opfer das Dokument öffnen können, haben die Drahtzieher das Passwort in die Mail geschrieben. Wer so eine Nachricht bekommt, sollte sie löschen und den Anhang am besten gar nicht erst herunterladen geschweige denn öffnen.

    Quelle: Fake-Bewerbungsmails: Trojaner versteckt sich erfolgreich vor Antiviren-Software | heise online

  • Erpressungstrojaner GandCrab geht offenbar in Rente

    Die Malware-Entwickler von GandCrab haben das Ende der Kampagne bekannt gegeben. Eigenen Angaben zufolge haben sie pro Woche 2,5 Millionen US-Dollar verdient.

    Der Verschlüsselungstrojaner GandCrab hat seit Anfang 2018 Windows-Computer infiziert, Dateien verschlüsselt und Lösegelder eingefordert. Nun ist damit offenbar Schluss: Die Entwickler der Ransomware haben im Malware-Forum Exploit.in das Ende von GandCrab bekannt gegeben. Das berichten mehrere Sicherheitsforscher auf Twitter.

    Eigenen Angaben zufolge haben Opfer Lösegelder in Höhe von insgesamt mehr als 2 Milliarden US-Dollar an die Kriminellen gezahlt, um so die Schlüssel für ihre Daten zu bekommen. Die Entwickler geben an, mit ihrer Masche pro Woche 2,5 Millionen US-Dollar verdient zu haben. Pro Jahr waren es 150 Millionen US-Dollar. Das Geld haben sie dem Statement zufolge in verschiedene legale Projekte investiert.

    Blanker Hohn
    Das Schreiben wirkt ziemlich arrogant: Unter anderem "bedanken" sie sich bei den Opfern für ihre Zusammenarbeit, bezeichnen sich als Nummer 1 im Ransomware-Bereich und verabschieden sich in den wohlverdienten Ruhestand. Ende Juni wollen sie den "Support" einstellen und alle Schlüssel der Opfer löschen. Sie rufen auch dazu auf, dass Dritte die Verbreitung des Schädlings stoppen sollen.

    Wer durch GandCrab verschlüsselte Dateien auf seinem Computer hat, sollte statt zu zahlen erstmal das kostenlose Entschlüsselungstool "New GandCrab v5.1" ausprobieren, dass Bitdefender im Februar aktualisiert hat.

    Die Drahtzieher der Maleware-Kampagne haben GandCrab über vielfältige Wege verteilt: So lauerte der Schädling unter anderem hinter Fake-Software-Cracks und in gefälschten Bewerbungsmails. Außerdem versuchte sich der Erpressungstrojaner durch verschiedene Sicherheitslücken zu fressen.

    Nicht das erste Mal
    Es kam schon öfter vor, dass Malware-Entwickler das Ende von Ransomware-Kampagnen verkündet haben. Im Fall von TeslaCrypt veröffentlichten sie sogar den Master-Schlüssel, sodass Opfer ohne Lösegeldzahlung wieder auf ihre Daten zugreifen konnten. Ob so eine Veröffentlichung auch bei GandCrab ansteht, ist bislang unklar.

    Quelle: Erpressungstrojaner GandCrab geht offenbar in Rente | heise online

  • Ransomware: Entschlüsselungs-Tool für aktuelle GandCrab-Version verfügbar

    Für Opfer des Verschlüsselungs-Trojaners GandCrab gibt es Hoffnung in Gestalt eines Gratis-Tools, das (nicht nur) der aktuellen Version 5.2 gewachsen ist.

    Die Sicherheitssoftware-Firma Bitfdefender hat ihr kostenloses Entschlüsselungstool für den Erpressungstrojaner GandCrab aktualisiert. Der aktuelle "Bitdefender Decryptor" soll Dateien entschlüsseln können, die der GandCrab-Version 5.2 zum Opfer gefallen sind. Außerdem stellen laut Bitdefender auch die GandCrab-Versionen 1 und 4 kein Problem für das Tool dar.

    Details zur Verwendung des Decryptors nennt Bitdefender in einem Blogeintrag, der auch einen Download-Link zum Tool selbst enthält. Alternativ ist das Tool auch über das Projekt "No More Ransom" verfügbar.

    Auch im Ruhestand noch gefährlich
    Bis vor kurzem jagte eine GandCrab-Warnung die nächste. 2018 verbreitete sich die Ransomware unter anderem mittels Software-Cracks und via Spam-Mails mit gefälschten Bewerbungs-Anhängen. Und erst im April dieses Jahres missbrauchten Angriffer eine Sicherheitslücke in Confluence, um den Trojaner auf Systeme zu schleusen.

    Seit Anfang Juni 2019 befindet sich GandCrab offiziell "in Rente". In einem Untergrundforum kündigten die Entwickler der Schadsoftware an, bis Ende Juli alle auf ihren Servern gespeicherten Schlüssel der Opfer zu löschen.

    Statt den Erpressern jetzt noch schnell das Lösegeld in den Rachen zu werfen, können Betroffene mit der aktualisierten Version des Bitdefender-Tools versuchen, ihre Daten kostenlos (und ohne zeitliche Befristung) zu retten.

    Quelle: Ransomware: Entschlüsselungs-Tool für aktuelle GandCrab-Version verfügbar | heise online