Wie schaut es eigentlich mit der Ransomware WannaCry (auch WannaCrypt, Wanny Cry oder ähnlich genannt) am heutigen Montag aus? Ein paar lose Informationen zum Thema zusammen gefasst.
Anzeige
Zum Wochenende hat die Ransomware WannaCry (aka WannaCrypt, aka Wanny Cry etc.) uns mit Lesestoff versorgt und viele Administratoren in Atem gehalten.
Neue Infektionswellen?
Aktuell gibt es noch wenig wirklich belastbare Informationen über neue Infektionswellen. Im gestrigen Artikel WannaCry: Neue Versionen und mehr Neuigkeiten hatte ich zwar kurz über 'neue Versionen' geschrieben, die gefunden wurden. Wenn die Infos, die mir heute unter die Augen gekommen sind, sich als stimmig erweisen, scheinen Trittbrettfahrer aktiv zu sein. Aufgefallen ist, dass das einfach die Domain mit dem Kill-Switch im Code gepatcht wurde – eine Neuübersetzung des Quellcodes scheint es nicht gegeben zu haben.
In Australien ist es seit vielen Stunden Werktag – dort gibt es diesen Artikel, der nur alte Informationen bringt. Spiegel Online berichtet hier, dass der Automobilhersteller Renault ein weiteres Werk produktionsmäßig stillegen musste. Das ist aber wohl eine vorbeugende Maßnahme.
Und in diesem Artikel (und diese Site) berichtet eine englische Seite unter Bezug auf Qihoo 360 Enterprise Security, dass tausende chinesischer Computer abgeschaltet oder vorsorglich stillgelegt wurden. Tanken wird, laut diesem heise.de-Bericht in manchen Teilen Chinas schwierig, da das Bezahlsystem an 20.000 Tankstellen des chinesischen Unternehmen CNPC (China Patrol Company) offline waren. Speziell Bildungseinrichtungen scheinen betroffen, wobei es aber wohl 'übrig gebliebene Infektionen' vom vorherigen Freitag gewesen sein dürften. Aus Japan liegen vereinzelt Meldungen von Firmen wie Hitachi oder Automobilfirmen bezüglich partieller Störungen vor.
Anzeige
Beim Projekt Sonos habe ich noch eine interessante Information aus der Community gefunden. Die haben am 3. Mai 2017 das Internet nach dem offenen Port 445 gescannt und geschaut, wie viele Geräte SMBv1 unterstützen. Es waren mehr als 1,8 Millionen Systeme, die da geantwortet haben. Selbst wenn man davon ausgeht, dass einige Systeme eine SMBv1-Emulation unter Linux & Co. fahren, ist die Wanna Crypt-Geschichte mit bisher ca. 200.000 Infektionen glimpflich ausgegangen. Ein finanzieller Erfolg scheint es für den Urheber bisher nicht gewesen zu sein – wie man bei heise.de hier lesen kann. Aber die Büchse der Pandora ist geöffnet – es wurde gezeigt, wie man mit bekannten NSA-Tools sehr erfolgreich Computer-Sabotage betreiben kann – quasi die 'Mutter aller Cyber-Attacken', um mal bei einem abgewandelten Begriff zu bleiben.
PS: Eine (englischsprachige) Beschreibung, was beim Befall passiert, habe ich hier gefunden.
Microsoft sieht 'Weckruf' und macht Regierungen Vorwürfe
Der erste Infosplitter kommt von Microsoft. Deren Rechtsvorstand Brad Smith hat gestern einen Blog-Beitrag zu den Lehren aus diesem Vorfall veröffentlicht. Darin prangert er die (lange von Fachleuten kritisierte) Sammlung von Sicherheitslücken durch die Geheimdienste an. Aus der Vergangenheit habe man gesehen, dass irgendwann Informationen öffentlich werden, die sich dann gegen Alle richten. Von Regierungen (oder Behörden) gehortete Exploits fanden schon häufiger ihren Weg in die Öffentlichkeit und richteten entsprechenden Schaden an. Smith sieht zudem eine beunruhigende Allianz zwischen den Handlungen von Staaten und organisierter Kriminalität. Microsoft regte daher schon früher in Gestalt von Brad Smith eine Art digitaler "Genfer Konvention" an.
Die Stellungnahme unseres deutschen Cyber-Polizei-Ministers zum Schützen unserer digitalen Infrastruktur erspare ich euch – zudem muss man den Mann verstehen, der hat mit VW genug am Hals. BSI-Chef Schönbohm erklärt, dass man mit einem 'blauen Auge' davon gekommen sei. Er fordert, dass IT-Sicherheit endlich ernst genommen werde und kritisiert, 'dass ein ein Großteil der IT-Verantwortlichen nicht die Entscheider in Unternehmen sind'.
Ich hoffe, dass die zahlreichen Weckrufe, Strafandrohungen und was auch immer da jetzt angekündigt wird, wirklich von Erfolg gekrönt wird. Allerdings mag ich auch eine gute Portion Skepsis nicht zu verbergen. Ein Beitrag (gelöscht) des Deutschlandfunks bringt es mit dieser Frage auf den Punkt:
Was ist das bloß für ein Gesamtbild, wenn von Montag bis Donnerstag von Industrie 4.0 und dem Internet der Dinge, automatisiertem Fahren und fiesen staatlichen Hackern schwadroniert wird, am Freitag und Samstag dann aber eine eigentlich mäßig gefährliche Schadsoftware zeigt, welche Nachlässigkeiten, welche Unfähigkeiten, welcher Mangel an Verständnis für die Relevanz von IT-Sicherheit offenbar wird?
Die Bestätigung hatte ich am Wochenende. Da habe ich mich beim Überfliegen diverser Nutzerkommentare im Web einige Male recht heftig erschrocken.
- Der erste Schock kam beim Lesen der Kommentare eines Artikels einer Windows-Fan-Seite. Tenor: Die Leute sollen endlich auf Windows 10 umstellen, und gut ist – immer diese Fortschrittsverweigerer – läuft hier super und doch so modern. Wenn diese Köpfe am Montag zu den Entscheidern in Betrieben gehören (IT lasse ich mal weg), dann Gnade uns Gott. Ich hatte in anderen Beiträgen auf den 18 monatigen Support einer Windows 10 Build hingewiesen und auch mein Unbehagen bezüglich der aktuellen Managemententscheidungen der Microsoft Windows-Gruppe ausgedrückt. Feuer löscht man nicht mit noch mehr Benzin.
- Der zweite Schock kam mit der Erkenntnis, dass mein Bild von der IT-Infrastruktur in der Industrie offenbar noch zu rosa ist. Meine Hoffnung (24 Jahre nach dem Ende meiner Industrietätigkeit), dass da nicht in jedem Schaltschrank ein Windows PC steckt, scheint vergebens. Zwischenzeitlich ist mir in mehrere Kommentaren hier im Blog und andernorts bestätigt worden, dass meine Vermutung im BeitragWannaCrypt-Zwischenruf: Wir müssen reden …, dass Produktionssteuerung mit Windows-Altsystemen laufen, wohl gängiger Usus ist. Von Windows in Autos erst gar nicht zu reden (gibt ja Leute, die die Karren 20 und mehr Jahre fahren wollen …).
Und dann wurde mir plötzlich bewusst, dass der Januar 2020, das Datum, an dem Windows 7 aus dem Support herausfällt, nur noch gut 2,5 Jahre in der Zukunft liegt. Aktuell hat Windows 7 auf dem Desktop einen Anteil von 48,5% – ab diesem Zeitpunkt bleibt den Verantwortlichen in meinen Augen nur die Wahl zwischen Pest und Cholera – eine Alternative ist bei der aktuellen Monokultur wohl eher nicht in Sicht. Sollte ich dann noch bloggen, dürften die Zeiten spannend werden. Wie sagen die Hessen 'Kalle, nimm dei Herzdroppe und blogge weiter' oder zumindest so ähnlich (bin kein Hesse).
Postscript: Als junger Student stand für mich häufiger der Begriff Technikfolgenabschätzung im Raum. Ich musste mich zwar als Ingenieur nie mit so etwas intensiver beschäftigen. Aber die Thematik hat in Europa seinerzeit einige Sachen zumindest in Auswüchsen verhindert. Aktuell scheint es nicht mehr En Vogue zu sein. Da wird täglich eine neue Sau durchs Dorf gejagt und geschaut, ob ein Hype entsteht. Wenn es schief geht, wird "mehr Polizei, mehr Staat, mehr Sicherheit" gerufen. Dass Fehler systemimmanent und nicht mehr korrigierbar sein können, wird nicht erkannt. In diesem Sinne.
Ähnliche Artikel:
Ransomware WannaCry befällt tausende Computer weltweit
WannaCrypt-Zwischenruf: Wir müssen reden …
WannaCrypt: Updates für Windows XP, Server 2003 & Co.
WannaCry: Neue Versionen und mehr Neuigkeiten
Auch Geldautomaten sollen mit Windows 10 laufen …
Wannycry: WCry-Decryptor für Windows XP
Anzeige
Dass – gerade auf die IT bezogen – die Falschen am Ruder sitzen und Entscheider spielen dürfen, wird uns doch ganz hervorragend in München bewiesen, wie ich finde. Das läuft allerdings überall so, nur ist das meistens nicht so öffentlich. Ich kenne einen solchen Fall sogar persönlich aus meiner Vergangenheit.
Genau heißt es: Karl, mei Droppe, aber die "IT-Mäßige" Ableitung passt schon.
Warum gibt es bei Microsoft eigentlich zwei verschiedene Update-Kataloge?
Bei dem hier kann ich nur herunterladen:
http://www.catalog.update.microsoft.com/Search.aspx?q=KB4012598
Und bei dem hier nur hinzufügen, was eindeutig praktischer ist, wenn ich mehr als einen Patch benötige:
http://catalog.update.microsoft.com/v7/site/Search.aspx?q=KB4012598
Warum macht es Microsoft den Anwendern so schwer?
Weil letzterer für den IE mit ActiveX entworfen wurde. Der erste Link ist imho hinzugekommen, als der Catalog für beliebige Browser ohne ActiveX überarbeitet wurde – kann mich aber irren.
Danke für den Hinweis.
Verstehe ich das richtig, dass Edge nicht mit ActiveX zusammenarbeitet?
Ich habe kein Windows 10, aber wenn der Update-Katalog auf ActiveX hin optimiert ist, Edge das aber nicht kann, sieht so eine Vorgehensweise eher nach Rückschritt aus.
Richtig, aus Sicherheitsgründen verwenden moderne Browser wie Edge, Chrome etc. kein ActiveX.
Zum Thema Rückschritt: Ich habe nur in äußersten Notfällen den IE 11 mit ActiveX genutzt. Als der Zugriff per Chrome klappte, habe ich das entfallene Feature am Rande zur Kenntnis genommen, hat mich aber nicht gekratzt. Das ganze Gedöns lässt sich (ich habe mal gesucht) im Blog-Beitrag: Microsoft Update Catalog: Zugriff mit beliebigen Browsern vom 18. Oktober 2016 in epischer Breite nachlesen. Da sind auch die Infos zu ActiveX zu finden.
Bruce Willis hat es schon 2007 gewusst in: Stirb langsam 4.0 ( Pentagon-Sicherheitsexperten Thomas Gabriel bringt zum Unabhängigkeitstag am 4. Juli alle Computernetzwerke des Landes unter ihre Kontrolle und so die Infrastruktur – Transportwesen, Kommunikation, Strom – fast vollständig zum Erliegen. Damit wird ein Fire-Sale ausgelöst.)
"Zufällig" war es der 4.Film aus der Reihe;aber die 4.0 im Zusammenhang mit der Angreifbarkeit des Digitalisierung-Wahns (ohne entsprechende Absicherung) ist schon eine gute Vorausschau und macht zumindest Sorge.
Vielleicht gibt es bald:Stirb schnell 4.0 !
Auch wenn selten etwas Gutes von Donald Trump kommt, eine Entscheidung hat er mal genau richtig getroffen:
"Trump macht Behördenchefs für Cybersecurity verantwortlich"
https://www.heise.de/newsticker/meldung/Per-Dekret-Trump-macht-Behoerdenchefs-fuer-Cybersecurity-verantwortlich-3712373.html
Das sollte imho für ALLE Unternehmen gelten, am besten noch mit persönlicher Haftung, auch in Europa, da würde man sich als Chef mehr Gedanken darüber machen und ergo mehr Mittel zur Verfügung stellen.
Wenn eine Marissa Mayer zig Millionen für das Zerstören von Yahoo bekommt – nur als Beispiel – wo soll das Geld für mehr Sicherheit (Cybersecurity) herkommen?
Und solange Amerikaner akzeptieren, dass es OK ist, viel Geld mit Nichtstun zu verdienen (siehe Marissa Mayer), wird sich nichts ändern.
Hallo Günter,
ich arbeite wegen älterer Scannerhardware noch zusätzlich mit einem vom Netz genommene XP Rechner.
Auf Deinen Beitrag aufmerksam geworden, habe ich vor einigen Tagen beschriebenes Microsoftpatch gegen WannaCry Befall (XP) aufgespielt. Kann es sein das dieses Patch die MTF korrumpiert?
Da ich, wegen Scannernutzung an diesem System, zwingend alle 14 Tage ein Backup durchführe wurde mir gestern das ausfertigen eines Acronis Backup versagt indem die Meldung MFT-Fehler mitgeteilt wurde; ein wiederherstellen der Backup MFT mittels Testdisk schlug fehl da diese garnicht mehr vorhanden war. Das AcronisBackup von vor 14 Tagen, also vor der besagten Patchzuspielung, ließ sich seinerzeit einwandfrei durchführen.
Zu dem ganzen Thema kann ich nichts sagen, da aktuell hier kein Win XP mehr läuft – die VM-Abbilder sind aktuell nicht abrufbar.
Danke fürs rasche Feedback!
Evtl. äußert sich ein Besucher Deines Blog dazu.
Durch meine relativ zeitnahen Vollbackups war/bin ich in der Lage den Fehler zu korrigieren und das vermutlich auslösende Patch außen vor zu lassen. Dennoch werde ich bei entsprechender Zeit einen Test in diese Richtung starten.
Es macht zwar keinen Sinn, einen vom Netz genommenen XP-PC mit Sicherheitspatches zu versorgen – aber interessehalber:
http://fs5.directupload.net/images/170518/klnexpua.png
Anschließend ein Acronis-Image gezogen (v. ATI 2013) … die Master File Tabelle wird hier nicht moniert, keine erkennbaren Probleme …
Danke für Deine Antwort. Da ich bis auf das KB4012598 keine Veränderungen seit dem letzten Backup vollzog, bin ich von diesem Patch ausgegangen.
Das könnte auch ein Zufall sein … das Betriebssystem nimmt permanent Veränderungen von sich aus vor, daneben gibt es unzählige Ursachen, die Unvorhergesehenes auslösen können, und sei es nur ein zufällig gekipptes Bit im RAM/auf der HDD/im Image-Programm selbst/eine problematische Fragmentierung etcpp. (um das halbwegs auszuschließen, könntest Du den Vorgang ja nochmal wiederholen)
Du hattest Recht! Wahrscheinlich war etwas anderes die Ursache für den MFT-Fail; nachdem ich KB4012598 erneut aufgespielt habe gibt es keine Probleme mit dem Backup. Interessant wäre, zu erfahren warum auch seinerzeit die MFT-Sicherung nicht wiederherstellbar (TestDisk) war.
Doch sei es drum, Danke an alle für das Feedback!
Selbstverständlich haben die Leute oder Institutionen eine Mitschuld, wenn Sie veraltete und nicht mehr unterstützte Systeme nutzen wie XP (und bald auch Windows 7 nutzen), und Windows 10 war wohl nicht betroffen. Wie kann eine Gesundheitsbehörde auf XP setzen? Selbst schuld sind auch Leute, die anderen Leuten glauben, dass man ja keine Internet Sicherheitssoftware benötigen würde. Und dieser kommt gerade auf alten Systemen eben eine besondere Bedeutung zu.
Bitdefender etwa hat WannaCry nach deren Infos von Anfang an geblockt und andere sicher auch. Windows Defender kann es wohl auch, habe ich hier gelesen, aber im Allgemeinen ist die Erkennungsrate gegenüber den Top Lösungen niedriger, gerade bei unbekannten Bedrohungen, auch dies bestätigen ja zahlreiche Tests.
All dies wird aber von so manchen Schreiber ignoriert und leider werden die Anwender dann mitunter verführt weiterhin auf veraltete Systeme und dies am Besten noch ohne Virenschutz zu setzen und dann hat man halt die Resultate.
Man kann von Unternehmen eine gewisse Zeit für Support erwarten, aber nicht darauf setzen, dass dieser für Ewigkeit gilt und XP ist 15 Jahre alt, Windows 7 10 Jahre alt.
@Michael Bickel = Dieser Beitrag ist wohl etwas nicht so toll. Es geht um das Sachliche und da bist Du leider etwas entfernt. Ich will jetzt auch keine große Diskussion mit Dir anzetteln. Ich habe ein Waschmaschine und diese habe ich 1995 gekauft (damals die teueste, keine Miele) – Diese wäscht noch heute und sehr gut. Eine Fachverkäuferin bestätigte mir vor 1 Jahr, dass diese Waschmaschine das letzte Modell ist in der noch richtig gute Teile aus Edelstahl verbaut sind, man sich damlas noch richt Mühe mit der Verarbeitung gegeben hat und diese, bei guter Pflege, noch gut sehr gut ist. Sie hat mir dann gesagt, Zitat: "Wenn Sie diese haben und diese in allem funtioniert, so brauchen Sie keine Neue. Diese Neuen sind nicht besser."
Windows 10 ist nicht der Knaller. Jetzt will Windows mit der Version "10S" punkten als Mischding.
Schlußbemerkung: Es liegt bei Malwarebefall/ Ramsonwarebefall nicht am Betriebssystem, sondern immer was der Nutzer damit macht. Der menschliche Faktor!
Wenn jetzt ein richtiges Windows 11 kommt, mit den auch alle zufrieden sind, so ist es wieder was anderes. Aber bis dahin hat sich die Welt toderpresst.
Aber so wie ich sehe, bist Du mehr an Verkauf interessiert und deshlab ist bei Dir Windows 7 in schlechter Kritik. Du irrst.
ich finde meinen Beitrag durchaus sachlich, wenn auch provokativ formuliert, denn soweit man weiß breitet sich diese Ransomware über eine Sicherheitslücke in Windows aus und zwar in Systemen, von denen man nicht erst seit gestern weiß, dass der Support ausgelaufen ist. Der Hersteller konnte vor x Jahren wahrscheinlich nicht alles voraussehen, aber die Anwender wissen, dass es keinen Support mehr gibt.
Beim Privatanwender mag das sein eigenes Risiko sein, bei öffentlichen Institutionen ist es eher fahrlässig.
Genauso nachlässig ist es keinen anständigen Virenschutz zu nutzen. Bitdefender u.a. haben diese Ransomware erkannt und bieten auch einen recht guten Überwachungsschutz für Verzeichnisse. Ich finde es halt höchst bedenklich, wenn manche diese nur deswegen, weil auch diese selbst mal ein Problem verursachen können, davon abraten, obwohl alle
Tests das Gegenteil zeigen. Das ist für mich eine Logik wie "meine Auto braucht keine Bremsen, weil die Bremse selber könnte ja mal das Problem sein".
Privatanwender mögen das für sich selbst entscheiden, ob sie dieser nach meiner Meinung fatalen Einschätzung folgen,
öffentliche Institutionen aber haben eine besondere Verpflichtung, wobei ich jetzt aber nicht weiß, ob entsprechende Software installiert war oder nicht.
Es spielt keine Rolle, ob ich Windows 10 mag oder nicht… das ist ohnehin subjektiv und wird von vielen auch positiv beantwortet. Nur, wenn ein System "ausgelaufen" ist, dann muss ich mich halt entscheiden, es gibt ja auch Alternativen zu Windows.
Zu Letzterem: Erwarten kann man das schlicht deshalb nicht, weil man sich mit dem Erwerb von Windows auf die Geschäftsbedingungen von Microsoft eingelassen hat. Praktisch gesehen spräche nichts dagegen, bewährte Betriebssysteme auf unbegrenzte Zeit [b]in Bezug auf Sicherheit[/b] zu unterstützen, für einen milliardenschweren Konzern wäre das ein Klacks. Aber M$ verfolgt bekanntlich andere Ziele zur Verteidigung von Monopolstellung und Geschäftsinteressen (als User muss meine Wenigkeit das jedoch nicht als gottgegeben hinnehmen).
HALLELUJAH Update 5 (2017-05-18 20:48 Uhr)
Wir haben den Entschlüsselungskey erhalten und sind gerade mitten im Entschlüsseln der Daten!
Aha …
Bitte ankreuzen:
[ ] wir sind eine seriöse Firma
[ ] unsere Kundendaten sind bei uns optimal geschützt
[ ] wir verwenden Echtzeit-Server-Backups und achten auf Diversifikation
[ ] wir haben den Key erhalten und dafür bezahlt
[ ] für uns war das nur ein Test
[ ] nichts von Allem
MS hat gestern (18.05.) einige der Patche mit neuen Revisionen ausgestattet…
KB4012212 vom März, das ist der mit MS17-010, der WannyCry Verhinderer
KB4015546 vom April, patchte u. a. die Scripting Engine
Leider haben sie sich bislang nicht darüber ausgelassen, was geändert wurde, ob am Patch oder nur der Beschreibung… habt ihr ggfs. mehr Info's?
Ach ja, habe heute die Anfrage erhalten, wo denn der "WannyCry" Patch für Windows 2000 und XP SP2 Rechner zu finden sei… so viel zu Industrie 4.0, W10, etc.
(die Rechner wurden inzwischen vom Netz genommen, mit einer "kleinen" Warnung durch unsere Security sie noch mal anzuschließen…:-) das ist leider kein Scherz!)
mfg
AHE
Hm KB4012212 hat ein Revisiondatum 18. April 2017. Der Update-Katalog führt das Datum 28.3.2017.
Lediglich hier beschwert sich jemand, dass dieses Update nicht installierbar sei.
Bei KB4015546 ist der 16. Mai 2017 (Revision 16) aufgeführt.
Hier stand eine Frage, die Günter gerade beantwortet hat.
Du hast den Text überschrieben, weil sich die Antworten überschnitten und nicht gelöscht, weil das wieder auftaucht? Ist meine Interpretation richtig?
Ist meine Unfähigkeit – ich muss es händeln, dass ggf. täglich hunderte Spam-Kommentare automatisch aussortiert werden. Vieles landet im Ordner Spam – aber einige Kommentare landen auch unter gelöscht – wenn die Nutzer diese gelöscht haben, oder sonst etwas damit passiert ist. Ich habe dann einige Male am Smartphone eine solche Nachricht irrtümlich wieder freigegeben – wenn ich es später am Desktop gemerkt habe, wieder gelöscht. Sorry für die Verwirrung.
"Ist meine Interpretation richtig?"
Jo, exakt.
" […] wo denn der „WannyCry" Patch für Windows 2000 und XP SP2 Rechner zu finden sei […]"
Für XP SP2 – das habe ich mich auch schon gefragt, denn SP3 war damals nicht jedermanns Angelegenheit, da mitunter arg problembehaftet (ich hatte mehr Glück mit SP3: http://fs5.directupload.net/images/170518/klnexpua.png)
Ja, und auch die Frage bzgl. W2k ist nicht unberechtigt, läuft das System doch nach wie vor auf teuren Messgeräten in Industrie und universitärer Forschung, wie Speicheroszilloskope, Spekrumanalyzern udgl. – mit einer Datenauswertung, die zwecks Datenübermittlung/Abgleich mit dem Netz in Verbindung steht …