Böswillige Cyber-Akteure greifen ungepatcht an Microsoft Exchange Server mit dem DearCry Ransomware. Die DearCry-Ransomware hat die Systeme der Opfer ausgenutzt.
Diese Schadsoftware übernahm Server, die durch die ProxyLogon-Sicherheitslücke gefährdet waren, und erhöhte so die Anzahl der Angriffe über diesen Vektor.
In letzter Zeit kam es zu einem Anstieg von Ransomware-Angriffen. Check Point stellte einen Anstieg der Angriffe auf ungepatchte Microsoft Exchange-Server fest.
Am 14. März schätzte Microsoft, dass 82,000 Exchange-Server anfällig waren. Laut RiskIQ-Daten sank die Zahl der betroffenen Rechner eine Woche später auf rund 30,000.
Check Point konnte jedoch über 50,000 Angriffsversuche auf verschiedene Organisationen nachweisen. Dazu gehörten:
- Militär
- Bankwesen und
- Fertigungsorganisationen.
Insgesamt richteten sich 49 Prozent der Angriffe ausschließlich gegen US-Organisationen.
WannaCry feiert ein Comeback als DearCry?
Die neueste DearCry-Ransomware hat ein ungewöhnliches Verschlüsselungsangriffsverhalten wie WannaCry gezeigt.
Mark Loman, Direktor bei Sophos, analysierte Proben, die bei einem abgewehrten Angriff auf einen ihrer Kunden gewonnen wurden.
Die Analyse ergab, dass die Ransomware primitiv war und ihre Präsenz kaum verbarg. Sie wurde also von jemandem mit rudimentären Fähigkeiten erstellt.
Doch Lomans Analyse ergab, dass es sich bei WannaCry um einen ähnlichen hybriden Verschlüsselungsansatz handelt.
Beide erzeugen eine verschlüsselte Kopie der angegriffenen Datei, eine Technik, die wir als „Kopierverschlüsselung“ bezeichnen. Anschließend wird die Originaldatei überschrieben, um eine Wiederherstellung zu verhindern. Diese Technik nennen wir „In-Place-Verschlüsselung“.
Mark Loman, Direktor bei Sophos
Er fügte hinzu, dass Opfer von Copy-Ransomware einige ihrer Daten wiederherstellen könnten. Bei der In-Place-Verschlüsselung sei eine Wiederherstellung mit Undelete-Tools jedoch unmöglich.
BitPaymer, Ryuk, REvil und Maze sind bekannte, von Menschen betriebene Ransomware, die ausschließlich In-Place-Verschlüsselung verwendet.
Zusätzlich zu diesen Ähnlichkeiten haben WannaCry und DearCry ähnliche Namen und den verschlüsselten Dateien werden ähnliche Header hinzugefügt.
Er wies auch darauf hin, dass diese Ähnlichkeiten nicht bedeuten, dass sie denselben Entwickler haben. Schließlich habe er auch zwischen WannaCry und DearCry grundlegende Unterschiede festgestellt.
DearCry verfügt beispielsweise weder über einen Timer noch verwendet es einen eingebetteten RSA-Verschlüsselungsschlüssel oder Command-and-Control-Server (C2).
Ein weiterer wichtiger Punkt ist, dass die Ransomware immer nur ein System gleichzeitig angreift und nicht jeden Rechner im Netzwerk des Ziels.
Zu den weiteren Funktionen von DearCry gehören:
- Erstellen neuer Binärdateien für neue Opfer und eine
- einfacher Ansatz zur Erkennungsvermeidung.
All diese Merkmale lassen darauf schließen, dass DearCry entweder übereilt entwickelt wurde oder ein Prototyp ist.
Wie kommt man da raus?
DearCry legt in jedem Systemordner eine „readme.txt“-Datei mit dem Wort „Desktop“ ab. Die Datei wird außerdem im Stammordner der Systemfestplatte abgelegt und informiert die Opfer über den Vorfall und an wen sie sich wenden können.
Diese Lösegeldforderung enthält zwei E-Mail-Adressen sowie einen Hash. Dieser Hash dient als eindeutige Kennung für den Angreifer und gibt an, welcher Entschlüsselungsschlüssel zu welchem Angriff gehört.
Da der Ransomware-Angriff durch eine Server-Sicherheitslücke verursacht wurde, ist die Installation von Patches der nächste logische Schritt.
Oder ihre Server vom Internet trennen, wenn ein Patchen nicht möglich ist. Zumindest bis es eine praktikable Lösung gibt, erklärte Loman.
Über Microsoft
Die Microsoft Corporation ist ein globales Technologieunternehmen mit Sitz in Redmond, Washington, USA. Das Unternehmen produziert, vertreibt und vertreibt Unterhaltungselektronik, Computersoftware und PCs.
Zu den beliebtesten Softwareprodukten zählen die Microsoft-Browser, die Microsoft Office Suite und das Windows-Betriebssystem. Darüber hinaus bietet Microsoft auch Server für Unternehmen an.
Aber wenn Sie ein Small Business Besitzer, Sie benötigen keinen Microsoft-Server. Gehen Sie zu unsere Rezensionsseite um die Vor- und Nachteile verschiedener Webhosting-Lösungen zu kennen.
