WannaCry: Neue Versionen und mehr Neuigkeiten

Es gibt neue Informationen zur Ransomware WannyCry. So wurden modifizierte Versionen gesichtet und es gibt neue Erkenntnisse. Hier ein kurzer Abriss.

Freitag und am Wochenende hat die Ransomware WannyCry, WannaCrypt oder wie man diese nennen mag ja sowohl Administratoren als auch Medien in Atem gehalten. Könnte nur eine kurze Atempause gewesen sein.

Neue Varianten gesichtet

Die erste Version der Ransomware war ja mit einem Kill-Switch im Code versehen, um die Verbreitung irgendwann stoppen zu können. Nur dem Zufallsfund eines Sicherheitsforschers ist es zu verdanken, dass die Ausbreitung dieser Version sehr frühzeitig gestoppt werden konnte. Trotzdem waren Hundertausende System befallen.

Bei Spiegel Online hatte ich einen vagen Hinweis auf eine neue Variante gelesen und hier im Blog ist ein entsprechender Kommentar. Aber Details lagen mir keine vor. Bei hackernews gibt es seit Samstag diesen Artikel, der sich auf mehrere Sicherheitsforscher bezieht, die Varianten des Erpressungstrojaners ohne Kill-Switch oder mit abweichenden Domainnamen gefunden haben wollen. In diesem Blog-Beitrag von heute gibt Matt Suiche Details an. Er beschreibt zwei neue Varianten des Trojaners.

• Eine Variante wurde Matt Suiche von einem Twitter-Nutzer Namens @benkow_ zugesandt. Die Analyse zeigte, dass diese Version eine geänderte Domain ifferfsodp9ifjaposdfjhgosurijfaewrwergwea.com benutzt. Suiche konnte die Domain aber ebenfalls registrieren und so die weitere Infektion unterbinden.
• Eine neue Variante ohne Kill-Switch wurde von Kaspersky heute (14.5.2017 in Russland) aufgespürt. Diese Variante konnte sich zwar verbreiten, aber keine Dateien auf dem Zielsystem verschlüsseln. Hintergrund: Die betreffende Archivdatei ist wohl beschädigt.

  Allerdings gibt es von Costin Raiu (Kaspersky) diesen Tweet, in dem er angibt, dass alle von ihm analysierten Varianten einen Kill-Switch enthalten und er seine erste Aussage korrigiere.

Der Blog-Beitrag enthält weitere spannende Details zu den Interna. Auch bei HackerNews findet sich dieser (etwas vagere) Beitrag. Es ist davon auszugehen, dass wird noch einiges zum Thema hören werden.

Tool zum Blocken

Das spanische Computer Emergency Response Team, CCN-CERT, hat ein Tool bereitgestellt, welches die weitere Infektion von Maschinen im Netzwerk durch WannaCry verhindern soll. Leider ist ein Teil der Beschreibungen in den Readme nur in Spanisch – eine Batchdatei steht auch in Englisch zur Verfügung. Im Google Chrome erscheint aber eine Warnung beim Download, dass Dateien diesen Typs Schäden anrichten können. Zudem werden wohl auch .exe-Dateien angeboten.

Administratoren sollten auf ihren Maschinen SMBv1 deaktivieren, da der Trojaner dessen Sicherheitslücke ausnutzt. Wie das geht, hat Microsoft hier beschrieben.

Angriffs- und Verbreitungsweg erklärt

Mich haben Hinweise erreicht, dass man sich wundert, dass der Schädling sich verbreiten konnte. Hier ein Textausriss:

was mich wundert: Es muss doch Port 445 offen sein? Und das ist er default ja nicht, bei mir in W10 Enterprise (CBB) ist er wohl zu. Haben die Opfer dann die Freigabe offen gehabt? Bisher hört man ja auch meistens von Firmen die es traf und nicht Enduser (die da eher nicht dran was ändern).
Schade dass zu diesem Aspekt kaum was zu lesen war, das mit dem Port sah ich bei Malwarebytes.
Für mich ist eine wichtige Regel dass meine Rechner das Profil "öffentliches Netzwerk" bekommen, im Büro und zuhause, dann ist schonmal einiges zu. Daten sind immer auf der externen Platte und Backups laden auch auf solchen.

Ob die Rechner den Port 445 offen hatten, entzieht sich meiner Kenntnis. Aber es gibt mehrere Angriffswege – einen hat heise.de in einem Nebensatz erwähnt (die Deutsche Bahn hat wohl der Redaktion einen Phishing-Angriff bestätigt). Bei ivanti.com gibt es diesen interessanten Beitrag vom 13. Mai 2017, der noch ein wenig auf das Thema eingeht. Auch Microsoft hat diesen Technet-Blog-Beitrag online gestellt.

Weitere Informationen

Generell sollen wohl über 200.000 Systeme befallen worden sein. Im Tracker werden aber nur noch wenige Systeme aufgeführt (der Rest ist offline). Finanziell hat es sich für den Entwickler des Trojaners wohl (noch) nicht gelohnt. Aktuell habe ich eben die Zahl von ca. 30.000 Euro an Bitcoins gelesen, die geflossen sein sollen. Und ein Sicherheitsanalyst, der einen Honeypot aufgesetzt hatte, konnte 6 Infektionen binnen 1,5 Stunden feststellen.

Here is a video showing a machine on the left infected with MS17-010 worm, spreading WCry ransomware to machine on the right in real time. pic.twitter.com/cOIC06Wygf

— Hacker Fantastic (@hackerfantastic) 13. Mai 2017

In diesem Sinne: Allseits schönes Restwochenende.