Wie läuft eine Ransomware-Infektion ab?
E-Mail ist das häufigste Einfallstor für Ransomware
Phase 1: Infektion
Wie gelangt Ransomware in ein Unternehmen?
Ransomware kann über Dateitypen einfallen, bei denen es möglich ist, aktiven Code zu hinterlegen. Zum Beispiel in Office Macros oder eingebettet in PDF Dateien. Häufig werden diese Dateien als E-Mail-Anhang versendet. Möglich ist die Infektion aber auch über den Besuch einer infizierten Webseite, d.h. auch über einen angeklickten Link kann man sich Emotet einfangen.
Die Programmierer der Schadcodes machen sich dabei häufig Schwachstellen in Betriebssystemen, Browsern oder E-Mail-Clients zu Nutze, die den Software-Herstellern selbst noch nicht bekannt oder zumindest noch nicht geschlossen sind (sogenannte Zero-Day-Lücken).
Phase 2: Einnistung
Zunächst macht sich Ransomware nicht bemerkbar und nistet sich auf dem Rechner ein. Wenn beispielsweise Emotet einen Rechner befällt, auf dem Outlook installiert ist, schneidet er die Kommunikation mit. Er merkt sich also, mit wem man zu welchen Themen E-Mails austauscht. Er generiert dann aus dem eigenen Postfach eine E-Mail mit einem Text und einem Thema, über das man sich mit bekannten Empfänger vorher bereits Austausch hatte. Für den Empfänger sieht das dann nach einer legitimen E-Mail vom Absender Hand aus.
E-Mail ist also das riskanteste Einfallstor für Ransomware.
Phase 3: Ausbreitung und Sammlung von Daten
Emotet versucht sich horizontal auf andere Rechner zu verbreiten. Dazu verwendet er Brute-Force-Attacken mit bekannten Passwörtern. Besonders hilfreich ist es für Emotet natürlich, wenn ein Rechner oder Benutzer mit administrativen Rechten befallen werden kann. Mit den administrativen Rechten verbreitet er sich dann horizontal auf so viele Maschinen wie möglich und hält Kontakt mit dem Command and Control Center von den Angreifern. Auf den Maschinen, die er befallen hat, werden möglichst viele Accountdaten, Passwörter (gerade auch von administrativen Accounts) und personenbezogene Daten gesammelt und an die Angreifer geschickt.
Phase 4: Sperrung und Erpressung
Die Angreifer sammeln Informationen und warten dann auf den geeigneten Moment, um das Unternehmen anzugreifen.
So können sie zum Beispiel am Wochenende
- alle Back-Ups löschen
- Maschinen verschlüsseln
- und anschließend eine Nachricht hinterlassen mit ihren Forderungen.
Eine Ransomware-Infektion kann also schon monatelang vorliegen, bevor man davon etwas mitkriegt. Deswegen ist es sehr schwer nachzuverfolgen, woher die Ransomware kam und auf welchem Weg sie sich verteilt.
Phase 5: Verhandlung, Bezahlung und Freigabe der Daten
Häufig wird zur Verhandlung des Lösegeldes der Instant-Messaging-Dienst Telegram verwendet, da die sichere Architektur dieses Dienstes eine Rückverfolgung erschwert. Einige Ransomware haben eine entsprechende Verhandlungs-Funktionalität inzwischen bereits integriert. Sofern man sich mit den Erpressern auf eine Summe einigt wird das Lösegeld in der Regel in Form von Bitcoins bezahlt.
Experten und Ermittlungsbehörden raten jedoch häufig davon ab, einer entsprechenden Lösegeldforderung nachzukommen; Zu häufig werden die Daten trotz Zahlung nicht entschlüsselt und die Rechner sind weiterhin gesperrt.
