Neuer Cryptolocker

Perfide Jigsaw-Erpresser arbeiten mit Countdown

12.04.2016 von Simon Hülsbömer
Bitcoins zu kaufen und Ransomware-Erpresser zu bezahlen, ist für sich genommen schon hart genug. Aber nun erwarten einige Cyberkriminelle sogar, dass sie ihre umgerechnet 150 Dollar in unter einer Stunde bekommen, wenn der Erpresste alle seine Daten zurückhaben möchte.

Der neuentdeckte Cryptolocker "Jigsaw", benannt nach einer Horrorfilm-Figur, verschlüsselt die Dateien seiner Opfer und schaltet ihnen dann - ganz im Sinne der "Saw"-Filmreihe - einen Countdown, in dessen Verlauf drei Tage lang nach und nach jede Stunde einige der verschlüsselten Dateien endgültig gelöscht werden. Ist nach 72 Stunden kein Geld gezahlt, sind somit alle Daten futsch. "Versuche es erst gar nicht - wir haben einiges eingebaut, um alle deine Dateien zu löschen", machen sich die Jigsaw-Entwickler in einem Warnfenster, das mit einer Jigsaw-Maske verziert ist, über den Nutzer lustig. Und das ist keine leere Warnung: Wie Support-Mitarbeiter von BleepingComputer.com bestätigen, löscht Jigsaw bei jedem Neustart des Computers oder Neustart des Jigsaw-Prozesses 1000 Dateien. "Es ist das erste Mal, dass wir ein derartiges Vorgehen bei einer Ransomware sehen", schreibt Lawrence Abrams von BleepingComputer.com in einem Blogeintrag.

Perfide Masche: Die Erpresser fordern 150 Dollar in Bitcoins binnen einer Stunde, damit der Nutzer alle seine Daten unbeschadet zurückerhält.
Foto: bleepingcomputer.com

Demnach verschlüssele Jigsaw sehr viele gängige (Windows-)Dateiformate und ergänze den Dateinamen der verschlüsselten Dateien zynisch um ein ".fun". Die betroffenen Dateiformate sind:

.jpg, .jpeg, .raw, .tif, .gif, .png, .bmp , .3dm, .max, .accdb, .db, .dbf, .mdb, .pdb, .sql, .dwg, .dxf, .c, .cpp, .cs, .h, .php, .asp, .rb, .java, .jar, .class, .py, .js, .aaf, .aep, .aepx, .plb, .prel, .prproj, .aet, .ppj, .psd, .indd, .indl, .indt, .indb, .inx, .idml, .pmd, .xqx, .xqx, .ai, .eps, .ps, .svg, .swf, .fla, .as3, .as, .txt, .doc, .dot, .docx, .docm, .dotx, .dotm, .docb, .rtf, .wpd, .wps, .msg, .pdf, .xls, .xlt, .xlm, .xlsx, .xlsm, .xltx, .xltm, .xlsb, .xla, .xlam, .xll, .xlw, .ppt, .pot, .pps, .pptx, .pptm, .potx, .potm, .ppam, .ppsx, .ppsm, .sldx, .sldm, .wav, .mp3, .aif, .iff, .m3u, .m4u, .mid, .mpa, .wma, .ra, .avi, .mov, .mp4, .3gp, .mpeg, .3g2, .asf, .asx, .flv, .mpg, .wmv, .vob, .m3u8, .dat, .csv, .efx, .sdf, .vcf, .xml, .ses, .Qbw, .QBB, .QBM, .QBI, .QBR , .Cnt, .Des, .v30, .Qbo, .Ini, .Lgb, .Qwc, .Qbp, .Aif, .Qba, .Tlg, .Qbx, .Qby , .1pa, .Qpd, .Txt, .Set, .Iif , .Nd, .Rtp, .Tlg, .Wav, .Qsm, .Qss, .Qst, .Fx0, .Fx1, .Mx0, .FPx, .Fxr, .Fim, .ptb, .Ai, .Pfb, .Cgn, .Vsd, .Cdr, .Cmx, .Cpt, .Csl, .Cur, .Des, .Dsf, .Ds4, , .Drw, .Dwg.Eps, .Ps, .Prn, .Gif, .Pcd, .Pct, .Pcx, .Plt, .Rif, .Svg, .Swf, .Tga, .Tiff, .Psp, .Ttf, .Wpd, .Wpg, .Wi, .Raw, .Wmf, .Txt, .Cal, .Cpx, .Shw, .Clk, .Cdx, .Cdt, .Fpx, .Fmv, .Img, .Gem, .Xcf, .Pic, .Mac, .Met, .PP4, .Pp5, .Ppf, .Xls, .Xlsx, .Xlsm, .Ppt, .Nap, .Pat, .Ps, .Prn, .Sct, .Vsd, .wk3, .wk4, .XPM, .zip, .rar

Gegenmaßnahmen

Es gibt aber auch eine gute Nachricht: Die Malware-Experten haben bereits ein Gegenmittel gefunden, mit dem sich alle durch Jigsaw verschlüsselten Dateien wiederherstellen lassen, ohne das Lösegeld zu zahlen. Zunächst sollte ein Betroffener den Task-Manager öffnen und alle Prozesse namens firefox.exe oder drpbx.de beenden, die von der Ransomware erstellt wurden. Danach ist das MSConfig-Tool auszuführen und der Autostart-Eintrag %UserProfile%\AppData\Roaming\Frfx\firefox.exe zu deaktivieren. Damit wird der Löschprozess beendet und die Malware führt sich bei einem Reboot nicht von allein erneut aus. Danach sollte man das "Jigsaw Decrypter Utility" bei BleepingComputer.com herunterladen und damit alle seine verschlüsselten Dateien wieder entschlüsseln. Ist das geschafft, sollte man sich schleunigst ein aktuelles Antivirus-Programm besorgen und einen Komplett-Scan des Systems vornehmen, um Jigsaw komplett zu entfernen.

Dass diese Methode mit möglichen neuen Varianten des Jigsaw-Cryptolockers, die noch kommen könnten, ebenfalls funktioniert, ist keineswegs sicher. Ransomware-Entwickler sind in der Regel sehr schnell, auf Security-Maßnahmen gegen ihre Ideen zu reagieren.

IT-Sicherheit: Das hilft gegen Ransomware
Das hilft gegen Ransomware-Angriffe
Die kriminelle Hackerszene ist ständig auf der Suche nach neuen Wegen, Unternehmen und Privatpersonen zu schaden. Der Einsatz von Malware zu Erpressungszwecken - sogenannte Ransomware - wird unter Cyberkriminellen immer beliebter. Wir zeigen Ihnen, was Sie gegen Ransomware-Hacker tun können. In Kooperation mit Check Point Software Technologies zeigen wir Ihnen, welche Mittel Sie gegen Ransomware-Angriffe ergreifen können.
Software-Update
Viel zu oft werden bekannte Schwachstellen in gängigen Apps nicht repariert, obwohl Patches zur Verfügung stehen.
Backup
Regelmäßige Sicherung der wichtigsten Daten in einem Speichermedium, das normalerweise physisch isoliert ist.
Aktueller Endpunkt-Schutz
Es ist schon eine große Herausforderung, sich vor den neuesten und raffiniertesten Bedrohungen zu schützen; Man möchte sich aber sicher nicht der Gefahr aussetzen, von Ransomware getroffen zu werden, die schon seit Jahren bekannt ist.
Intrusion Prevention System
Nutzung einer IPS-Lösung mit aktuellen Signaturen, die in der Lage ist, die Inhalte von HTTPS-Traffic zu überwachen. Eine leistungsfähige IPS-Lösung kann die Web-Transaktionen unterbrechen, die für das Funktionieren eines Exploit-Kits erforderlich sind.
Datei- und Dokumenten-Analyse
Analyse von eingehenden Dokumenten und Programmdateien, bevor diese Zugang zum Netzwerk erhalten - Sandboxing, Verhaltensanalysen, Firewalls, selbst einfache Antivirus-Scans sind wichtig. Und was, wenn es schon zu spät ist und die Ransomware das Netzwerk befallen hat?
Sample-Extraktion
Falls möglich, sollte ein Sample, das die Rechner infiziert hat, gesichert und mit Open-Source Intelligence Pools, wie VirusTotal, verglichen werden. Es gilt dabei herauszufinden, ob es sich um eine bekannte Bedrohung handelt. Man muss möglichst viel über die Vorgehensweise, das Verschlüsselungsschema und das Finanzmodell der Malware in Erfahrung bringen.
Netzwerkprotokolle wiederherstellen
Die Kommunikation der Malware aus allen Netzwerkprotokollen, die überlebt haben könnten, sollte man wiederherstellen, soweit dies möglich ist. Dort könnte irgendwo der Schlüssel stecken.
Verschlüsselungsanalyse
Analyse der verschlüsselten Dateien, um erkennen zu können, ob schwache oder starke Verschlüsselung verwendet wurde. Wurde eine schwache Verschlüsselung verwendet, ist es vielleicht möglich, sie zu knacken und die Dateien wiederherzustellen.