200‘000 Opfer waren in 150 Länder zu verzeichnen, aber bisher nur 30‘000 Euro Lösegeld. Die Zahlen sind beeindruckend. Beeindruckend ist aber vor allem, dass die erste Angriffswelle nur durch Zufall relativ schnell gestoppt werden konnte.
Doch zum Aufatmen ist es wohl noch zu früh, zum einen, weil erst nach und nach das wahre Ausmass bekannt werden kann und zum anderen, weil die Angriffe ohne viel Aufwand wieder gestartet werden können.
Gemäss Erkenntnissen von offiziellen Stellen floss bislang nur wenig Lösegeld, der Return on Invest für die Attacke ist also gering. Dass anscheinend bei keinem der Betroffenen die Daten zurückerstattet wurden, obwohl diese das Lösegeld bezahlt haben, wirft weitere Fragen über die Beweggründe der Angreifer auf. Anscheinend verfügen die Versender gar nicht über die Möglichkeiten, die per Ransomware verschlüsselten Daten wieder zu entschlüsseln. Obwohl einige Opfer bereits die erpressten Bitcoins überwiesen haben. Mehr
Weitere Angriffe möglich
Trotzdem wird es bei diesem ersten Angriff nicht bleiben, es wird weitere Attacken geben. Die Anzahl der Angriffsvektoren ist zu gross, so dass die Angreifer nicht einfach aufhören werden. Nach den Erkenntnissen des Sicherheitsunternehmens Check Point wurden fünf klar voneinander unterscheidbare Methoden eingesetzt.
Mit dem WannaCryptor werden Unternehmen per direkter Infektion angegriffen. E-Mails mit bösartigen Links werden versendet. E-Mails enthalten ausserdem bösartige PDF-Anhänge oder aber ZIP-Dateien, die ebenfalls Schadcode-belastete PDFs enthalten. Darüber hinaus wurden Brute Force-Attacken gegen RDP-Server registriert, die bei Erfolg ebenfalls die Ransomware streuen.
Nun wird es im Zuge der Bedrohung zwar zu einer Update-Welle kommen, aber nicht alle Systeme werden gemäss Checkpoint gepatcht. Was vor allem in spanischen und englischen Krankenhäusern passiert ist, weckt Erinnerungen an das Frühjahr 2016, als der Locky-Verschlüsselungstrojaner vor allem in Deutschland sein Unwesen trieb und zu ähnlichen Ausnahme-Situationen führte. Diesmal aber verbreitet sich die Malware wie ein Virus und verteilt sich von einem Rechner über das gesamte Netzwerk auch auf andere Rechner.
Die WannaCry-Ransomware tauchte erstmals am 10. Februar in der Version 1 auf. Bei der Ransomware-Welle am Freitag nutzen die Angreifer die Version 2.0 der gleichen Schadsoftware. Organisationen bzw. deren IT-Abteilungen sollten nun ihre IT-Systeme scannen, potentiell gefährliche Anhänge von E-Mails blocken und den Schadcode herausfiltern.
Noch besser ist der Einsatz von speziellen Sicherheitstechnologien zum Filtern von bösartigem Schadcode aus E-Mail-Anhängen, bevor die Mitarbeiter diese öffnen können. Lösungen zum Erkennen von infizierten Webseiten sorgen ausserdem dafür, dass auch Links in E-Mails gesperrt werden. Auch sind bereits Lösungen verfügbar, die in letzter Instanz auf dem Endpunkt Ransomware erkennen, stoppen und bereits verschlüsselte Dateien automatisch zurückspielen.
