Ransomware Petya bekommt Unterstützung

Die Ransomware Petya ist zurück und meint es diesmal ernst. Gut gerüstet hat Petya nun einen “Freund” namens Mischa im Gepäck. Ist in der Vergangenheit der Trojaner Petya durch fehlende Berechtigungen bei vielen Systemen noch gescheitert, so gehört das jetzt der Vergangenheit an!
Petya + Mischa Ransomware = Doppelter Ärger!
Es gibt nichts was Kriminelle mehr ärgert, als wenn ihre Malware am eigentlichen Ziel scheitert und Ihnen damit viel Geld durch die Lappen geht. So gehen die Kriminellen nun mit einer “Ausfallsicherung” auf Nummer sicher. Wenn also die Ransomware Petya an der Kompromittierung des Systems und des Master Boot Record wegen fehlender Admin-Rechte scheitert, wird als Ausweichlösung der Versuch unternommen, die Ransomware Mischa auf dem System zu installieren.
Youtube: BleepingComputer – Petya now bundles the Mischa Ransomware in the same Installer

Auf unsere Systeme gelangt Petya üblicherweise über gefälschten E-Mail-Spam (dotcomsecurity.de). Mit fingierten Bewerbungen wird z.B. der entsprechende Mitarbeiter in einem Unternehmen, zum Klicken eines in der E-Mail eingebetteten Links, der ein auf einem Magenta Cloud-Storage-Service liegendens Bild des vermeintlichen Antragsteller enthält, verleitet. Dabei wird aber eine als PDF getarnte Datei mit Namen PDFBewerbungsmappe.exe heruntergeladen.

• Bewerbungsfoto.jpg
• PDFBewerbungsmappe.exe
  
  Einmal ausgeführt, wird anstatt eines Lebenslaufs der Installer der Ransomware Petya ausgeführt, welche gleich z.B. über die UAC-Eingabeaufforderung diverse Adminrechte über das System einfordern möchte. Einmal erteilt kann Petya das System und den Master Boot Record mit Schadcode infizieren. Bekommt Petya die erhoffte Berechtigung aber nicht, wird nun als “Ausfallsicherung” eine standard, aber durchaus nicht ungefährlichere Ransomware mit Namen Mischa installiert, die anders als Petya, keine Adminrechte benötigt!

Die Ransomware Mischa verlangt für die Wiederherstellung der Daten ein Lösegeld von 1,93 Bitcoins ($ 875 USD)

Wenn Mischa installiert ist, wird der Trojaner den Computer auf diverse Dateitypen wie nach PNGs, JPGs, DOCXs, sowie EXE-Dateien überprüfen und über den AES-Algorithmus verschlüsseln. Dabei werden den verschlüsselten Dateien vier zufällige Zeichen als Erweiterung angehängt. So wird aus einem Test.jpg  – test.jpg.7GP3. In jedem Ordner mit verschlüsselten Dateien wird ein Erpresserbrief in Form von YOUR_FILES_ARE_ENCRYPTED.HTML und YOUR_FILES_ARE_ENCRYPTED.TXT hinterlassen. Die Erpresserbriefe enthalten Informationen über die Zahlungsmodalitäten, welche über gesicherte Tor-Webseiten abgewickelt werden sollen. Zudem enthält der Erpresserbrief einen speziellen Code, der bei der Bezahlung vom Opfer angegeben werden muss.

Achtung: Es gibt noch keine kostenfreie Wiederherstellung der Daten – Angst und Einschüchterung ist die Motivation der Kriminellen: Wir von Botfrei schließen uns der Meinung des BSI, dem BKA und Polizeibehörden an und raten dringend davon ab, hier das Lösegeld an die Cyberkriminellen zu bezahlen!

Maßnahmen die getroffen werden können, bevor Ransomware den Rechner infiziert.