FAQ Ransomware - Fragen und Antworten

Thorsten Henning von Security-Anbieter Palo Alto Networks erklärt im Interview, was Ransomware ist, wo sie herkommt, warum sie so erfolgreich ist und was Unternehmen wie Privatanwender gegen sie tun können.

Was ist Ransomware?

Der Begriff Ransomware steht heute in erster Linie für kryptografische Ransomware oder sogenannte Erpressungstrojaner. Die Ransomware erreicht den Computer über eine Sicherheitslücke - in der Regel in einem Browser oder einem Dokumentenleser - oder über eine durch den ahnungslosen Benutzer heruntergeladene ausführbare Datei.

Der Schadcode identifiziert und verschlüsselt dann wertvolle Dateien auf dem Rechner, etwa Dokumente, Bilder, Zertifikate etc. Daraufhin kommt eine Lösegeldforderung für die Entschlüsselung der Daten innerhalb eines bestimmten Zeitrahmens.

Beispiele für Ransomware sind CryptoLocker, CryptoWall, Locky und auch WannaCry und Petya. Krypto-Ransomware ist die häufigste und erfolgreiche Art von Ransomware, aber nicht die einzige. Es ist wichtig, daran zu erinnern, dass Ransomware nicht eine Familie von Malware ist, sondern ein kriminelles Geschäftsmodell, bei dem bösartige Software verwendet wird.

Wie ist Ransomware entstanden?

Als erster Fall von Ransomware gilt der AIDS-Trojaner aus dem Jahr 1989 zu Zeiten der HIV-Epidemie in den USA. Der Evolutionsbiologe Dr. Joseph Popp verschickte 20.000 infizierte Disketten mit dem Titel "AIDS Information - Introductory Diskettes" an Teilnehmer der Welt-AIDS-Konferenz der WHO. Nach dem 90. Systemstart erschien auf dem Bildschirm eine Lösegeldforderung der "PC Cyborg Corporation", um das System wieder freizugeben. Die Motive blieben unklar.

Mit dem Ausbau des Internets in den 1990er Jahren wird die Verschlüsselung von wertvollen Daten mit anschließender "Lösegeld"-Forderung zu einem lukrativen Geschäftsmodell für Cyberbösewichte. 2005 erfolgt eine Aufteilung in zwei Ausprägungen: Scareware und kryptografische Ransomware. Scareware ist ein Schadprogramm für automatisiertes Social Engineering. Kryptografische Ransomware hat sich seitdem zu einer der größten Cyberbedrohungen entwickelt.

In den letzten drei Jahren haben Cyberkriminelle die Angriffskomponenten regelrecht perfektioniert in Form von neuen Ransomware-Familien, die allesamt effektivere Technik in sich tragen.

Warum ist Ransomware für Cyberkriminelle so attraktiv?

Das kriminelle Geschäftsmodell hat sich bewährt zur einfachen und risikoarmen Umsatzgenerierung. So sind in den letzten Jahren immer mehr bösartige Akteure hinzugekommen, um von diesem lukrativen "Geschäftsmodell" ebenfalls zu profitieren.

Die Krypto-Währung Bitcoin stellt dabei einen Zahlungsmechanismus zur Verfügung, der dem Erfolg dieses Systems in die Hände spielt. Die Zahlungsarten, auf die frühe Formen von Ransomware angewiesen waren, wurden stillgelegt oder Regulierungsmaßnahmen unterzogen. Bitcoin aber hat keine zentrale Autorität, gegen die Strafverfolgungsmaßnahmen geltend gemacht werden können.

Dies bedeutet, Cyberkriminellen stehen heute auf einfache Weise die nötigen Malware-Techniken zur Verfügung, ebenso wie ein diskretes Zahlungssystem. Diese Kombination aus einfacher Verfügbarkeit und Handhabung der eingesetzten Malware und diskreter Zahlungsabwicklung macht Ransomware für immer mehr Betrüger attraktiv.

Betrifft Ransomware eher Privatanwender oder eher Unternehmen?

Ransomware hat keine speziellen Ziele. Der gleiche Angriff kann einem internationalen Unternehmen schaden, aber ebenso einem lokalen Restaurant oder einem privaten Internetnutzer. Bei den Unternehmen sind alle bedeutenden Branchen betroffen und alle Unternehmensgrößen betroffen. Die finanziellen Auswirkungen von Ransomware bei den Unternehmen sind enorm, was sich besonders bei einigen hochkarätigen Vorfällen gezeigt hat.

Dennoch sind auch private Anwender potenziell lohnende Ziele für Angreifer. Bei Angriffen auf Privatnetze wird ein höheres Volumen erzielt und sie sind leichter durchzuführen. Dies liegt am geringeren Sicherheitsniveau und der fehlenden Schulung der Anwender. Die Angreifer erwirtschaften aber weniger Geld pro Infektion als bei Unternehmen. Ransomware-Kriminelle, die auf den "Massenmarkt" setzen, können dennoch in der Summe dennoch beträchtliche Beträge erwirtschaften.

Wie läuft solch eine Erpressung genau ab?

Um das Opfer zu erpressen, geht der Cyberkriminelle immer nach dem gleichen Mustern vor. Er muss in der Lage sein, die folgenden Schritte auszuführen:

• Die Kontrolle über ein System oder Gerät übernehmen.

• Den rechtmäßigen Benutzer daran hindern, dass er entweder teilweise oder vollständig Zugriff auf das System erhält.

• Eine Benachrichtigung beim Benutzer einblenden, dass das Gerät gesperrt ist und auf welche Weise und wie viel Lösegeld gefordert wird.

• Den Zahlungseingang überprüfen.

• Nachdem die Zahlung eingegangen ist, dem Benutzer wieder vollen Zugriff auf das Gerät gewähren.

Wenn der Angreifer in einem dieser Schritte fehlschlägt, wird diese Erpressungstaktik nicht erfolgreich sein. Dies gilt auch für den letzten Schritt. Wenn die Daten nicht freigegeben werden, wird auf Dauer niemand mehr Lösegeld zahlen.

Während das Konzept von Ransomware bereits seit Jahrzehnten existiert, standen die nötigen Techniken, um alle fünf Schritte in großem Stil automatisiert durchführen zu können, bis vor wenigen Jahren nicht zur Verfügung. Dies gilt auch für die Zahlungsabwicklung mittels Bitcoin.

Welche Plattformen sind betroffen? Ist Ransomware ein reines Windows-Problem?

Bisher galten Ransomware-Angriffe in erster Linie Windows-basierten Systemen. Ransomware hat sich aber bereits von Windows auf Android-Geräte ausgedehnt und im Fall von KeRanger gezielt Mac OS X ins Visier genommen.

Kein System ist immun gegen die Angriffe und jedes Gerät, das angegriffen werden kann, wird zukünftig ein Ziel sein. Ransomware hat sich vom Windows-Problem zum lange Zeit als sicherer eingestuften OS X und mobilen Plattformen, sowohl Android als auch iOS, vorgearbeitet.

Die Akteure haben es nicht auf bestimmte Plattformen abgesehen, sondern wollen möglichst viele Systeme kompromittieren, um ihren Gewinn zu maximieren. Der Trend geht eindeutig in die Richtung, dass Ransomware zu einem immer größeren Problem für alle gängigen stationären und mobilen Plattformen wird.

Was kann ich als Unternehmen gegen Ransomware tun?

Wichtig ist der richtige Mix aus Vorbereitung, Prävention und Reaktion. Daten müssen so gesichert werden, dass sie nach einem erfolgreichen Angriff leicht wiederherstellbar sind. Die Backups sollten vom Internet getrennt sein. Netzwerkfreigaben müssen so begrenzt werden, dass die kleinstmögliche Anzahl von Benutzern und Systemen Schreibrechte besitzen.

Eine Überwachung für E-Mails und ausführbare Dateien muss ebenfalls eingesetzt werden. Zum Schutz vor den sich schnell verändernden Malware-Varianten gilt es auch unbekannte Bedrohungen zu erkennen. Mittels statischer als auch dynamischer Analyse in einer virtuellen Sandbox-Umgebung werden bösartige Verhaltensweisen identifiziert. Neueste Erkenntnisse werden über entsprechende Dienste einer Next-Generation-Sicherheitsplattform global geteilt. Hinzu kommt die Endpunktüberwachung, mittels der sich die Ausführung von bösartigen Dateien stoppen lässt, bevor sie beginnt.

Die Mehrheit der neuen Ransomware-Familien verwendet starke Kryptographie, die nicht leicht rückgängig gemacht werden kann. Ransomware lässt sich aber mitunter bereits anhand der Informationen, die in der Erpressernachricht stehen, oder mithilfe von Malware-Analyse und Threat-Intelligence-Systemen identifizieren.

Was kann ich als Privatanwender gegen Ransomware tun?

Die Abwehrmaßnahmen sind zum Teil ähnlich wie bei Unternehmen, nur dass nicht der gleiche Funktionsumfang und Automatisierungsgrad zur Verfügung steht. Dies bedeutet zunächst vor allem, Backups anzulegen, getrennt vom Internet, und die Software zu aktualisieren, um Schwachstellen als Eintrittstor für Malware zu begrenzen.

Verdächtige Mails, die auf Phishing hindeuten, sollten gelöscht werden. Die enthaltenen Links könnten auch dazu dienen, Krypto-Ransomware herunterzuladen. Eine wichtige Maßnahme ist es, trotz Spam-Filter, nurE-Mails - und insbesondere E-Mail-Anhänge - von bekannten oder zu erwartenden und als legitim eingestuften Absendern zu öffnen. Im Zweifelsfall sollte der Absender überprüft werden.

Für verschiedene Arten von Ransomware sind bereits Tools zur Entschlüsselung verfügbar, so dass betroffene Nutzer auch ohne das Zahlen von Lösegeld wieder Zugriff auf ihre verschlüsselten Daten erlangen.

Warum ist Ransomware erfolgreich? Wieso versagen "klassische" Sicherheitslösungen hier so oft?

Ransomware-Angriffe starten oft mit einer E-Mail, die eine ausführbare Windows-Datei transportiert oder der Benutzer klickt auf einen Link, der eine ausführbare Datei herunterlädt. Zeitgemäße Netzwerksicherheitslösungen, wie zum Beispiel eine Firewall der nächsten Generation, können diese Dateien identifizieren, wenn sie das Netzwerk durchqueren und sie blockieren oder unter Quarantäne stellen. Herkömmliche Antivirus-Lösungen stoßen hier oft an ihre Grenzen und bieten nicht die erforderliche Funktionalität.

Die herkömmliche Taktik "Erkennen und darauf reagieren" ist bei Ransomware zu langsam. Wenn ein Erkennungssystem warnt, dass eine Infektion aufgetreten ist, ist es sehr wahrscheinlich schon zu spät, um die Verschlüsselung der Dateien zu verhindern. Signatur-basierte Systeme zur Erkennung neuer Malware haben sich daher als unzuverlässig erwiesen. Stattdessen sollten Systeme zum präventiven Schutz vor unbekannter Malware die bestehenden Komponenten der Netzwerksicherheit ergänzen.

Was ist in Zukunft von Ransomware zu erwarten?

Das Konzept wird noch besser anwendbar sein mit dem Wachstum des Internets der Dinge. Ein Angreifer könnte etwa in der Lage sein, einen mit dem Internet verbundenen Kühlschrank zu kompromittieren. Es wäre jedoch eine Herausforderung, daraus eine Einnahmequelle zu machen.

Die Höhe des Lösegelds dürfte künftig zunehmen, wenn das Geschäft weiterhin erfolgreich ist. Bei der Mehrheit der Ransomware-Angriffe auf einzelne Systeme liegt das Lösegeld bereits zwischen 200 und 500 Dollar, aber diese Werte können auch viel höher sein. Bei einigen hochkarätigen Angriffen gegen Krankenhäuser, betrugen die gezahlten Lösegelder weit über 10.000 Dollar.

Gezielte Ransomware-Angriffe werden sich häufen. Sind die Angreifer einmal im Netzwerk, werden sie noch gezielter nach wertvollen Dateien, Datenbanken und Backup-Systemen suchen und sogar alle diese Daten auf einmal verschlüsseln. Solche Angriffe sind bereits in freier Wildbahn identifiziert worden - wie im Fall der SamSa-Malware.