{"id":178844,"date":"2016-06-30T06:32:07","date_gmt":"2016-06-30T04:32:07","guid":{"rendered":"http:\/\/www.borncity.com\/blog\/?p=178844"},"modified":"2022-06-26T18:34:06","modified_gmt":"2022-06-26T16:34:06","slug":"vorsicht-vor-locky-nachfolger-bart-ransomware","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2016\/06\/30\/vorsicht-vor-locky-nachfolger-bart-ransomware\/","title":{"rendered":"Vorsicht vor Locky-Nachfolger Bart (Ransomware)"},"content":{"rendered":"

Ein neuer Verschl\u00fcsselungstrojaner mit dem Namen Bart tritt die Nachfolge von Locky an. Hier ein paar Informationen zum neuen Sch\u00e4dling sowie Tipps zu Abwehrma\u00dfnahmen.<\/p>\n

<\/p>\n

\"\"Die Info kommt<\/a> von den Sicherheitsexperten von Proofpoint, die die neue Ransomware mit dem Namen Bart versehen haben. Die Ransomware wurde am 24. Juni 2016 erstmals gesichtet und wird per RockLoader heruntergeladen.<\/p>\n

Der Bart kommt per Mail als ZIP-Anhang<\/h3>\n

Den Sicherheitsforschern war ein gro\u00dfer Anhang in Form einer .ZIP-Datei (Fotos.zip<\/em> oder \u00e4hnlich genannt) in einer Mail aufgefallen.<\/p>\n


\n(Quelle: Proofpoint)<\/p>\n

Nach dem Entpacken stellte sich heraus, dass das Archiv .JS-Dateien (Proofpoint schreibt von JavaScript, imho ist es aber JScript) enthielt. F\u00fchrt der Anwender das Script aus, l\u00e4dt dieses den RockLoader aus dem Internet und startet diesen. Der RockLoader wurde erstmals in Verbindung mit dem Verschl\u00fcsselungstrojaner Locky benutzt. Proofpoint geht daher davon aus, dass die gleichen Kriminellen hinter Bart stecken.<\/p>\n

Wurde Bart per RockLoader installiert, pr\u00fcft die Ransomware beim\u00a0Aufruf, ob die Systemsprache auf Russisch, Ukrainisch oder Wei\u00dfrussisch (sowie einige andere Sprachen9 eingestellt ist. In diesem Fall terminiert der Trojaner. Bei anderen Systemsprachen verschl\u00fcsselt Bart die auf dem System erreichbaren Dokumentdateien. Dabei braucht die Ransomware keinen Zugriff auf einen Command & Control-Server, um die Schl\u00fcssel zu holen. Dokumentdateien werden in passwortgesch\u00fctzte ZIP-Archive mit der Dateinamenerweiterung .bart.zip<\/em> gepackt. Gleichzeitig legt Bart eine Datei recover.txt <\/em>in die Ordner mit den verschl\u00fcsselten Dateien und tauscht den Desktop-Hintergrund mit folgender recover.bmp<\/em> aus.<\/p>\n


\n(Quelle: Proofpoint)<\/p>\n

Der Trojaner h\u00e4lt, neben Englisch, dabei auch \u00fcbersetzte Varianten der beiden Dateien in Italienisch, Deutsch und Spanisch bereit. Die Dateien informieren den Benutzer \u00fcber die Verschl\u00fcsselung und gibt Hinweise, wie er aus der Nummer herauskommen k\u00f6nnte. Allerdings ist die H\u00f6he des L\u00f6segelds heftig, statt wie bisher 0,5 Bitcoins (ca. 300 Euro) f\u00fcr den Schl\u00fcssel zum Entschl\u00fcsseln zu verlangen, erwarten die Kriminellen nun 3 Bitcoins (ca. 1.700 Euro). Weitere Details lassen sich in diesem Proofpoint-Blog-Beitrag<\/a> nachlesen. Ein paar Infos auf Deutsch finden sich bei heise.de<\/a> und n-tv<\/a>.<\/p>\n

In Deutschland auch unterwegs \u2013 DHL Tracking-Fake<\/h3>\n

Proofpoint hat nur ein Beispiel f\u00fcr den Trojaner bzw. dessen Verteilung genannt. Auf dieser deutschsprachigen Webseite<\/a> findet sich der Hinweis, dass die Ransomware auch als Anhang an eine angebliche DHL Tracking 056392024191-Mail verteilt wird. Hier ein Beispieltext der Mail:<\/p>\n

Sehr geehrter Kunde,<\/em><\/p>\n

die Lieferung f\u00fcr das Paket mit der Sendungsverfolgungsnummer 056392024191 ist fehlgeschlagen.
\nDer Kurier war zum wiederholten Male nicht in der Lage Sie pers\u00f6nlich anzutreffen.<\/em><\/p>\n

Bitte senden Sie uns das ausgef\u00fcllte Versandetikett um einen erneuten Lieferungsversuch in Auftrag zu geben.<\/em><\/p>\n

Das Versandetikett f\u00fcr Ihre Lieferung finden Sie im Anhang dieser E-Mail.<\/em><\/p>\n

Mit freundlichen Gr\u00fc\u00dfen,<\/em><\/p>\n

DHL EXPRESS
\nDeutsche Post AG
\nCharles-de-Gaulle-Stra\u00dfe 20
\nPLZ\/ Ort: 53113 Bonn<\/em><\/p>\n

Im Anhang der Mail findet sich die Datei Sendung_056392024191.zip<\/em>, die die .JS-Dateien enth\u00e4lt.<\/p>\n

Weitere Randbemerkungen<\/h3>\n

Momentan gibt es noch keinen Ansatz, um die Verschl\u00fcsselung aufzuheben, so der Tenor im Netz. Aber ich bin mir nicht sicher, wie lange das Ganze h\u00e4lt. Sofern die Dokumente nur in einer Passwort-gesch\u00fctzten ZIP-Archivdatei stecken und selbst unverschl\u00fcsselt sind, d\u00fcrften die Inhalte mit entsprechenden Knackprogrammen wieder zu restaurieren sein. Denn passwortverschl\u00fcsselte ZIP-Dateien sind nicht wirklich gesch\u00fctzt \u2013 weshalb Windows in seinen Bordmitteln auch auf die Passwort-Unterst\u00fctzung sch\u00fctzt.<\/p>\n

Ach ja: Es gibt nat\u00fcrlich noch die \"erste\" Entfernungsanweisung f\u00fcr BART bei trojaner-board.de<\/a>. Normalerweise sind deren Anleitungen ja ganz hilfreich. Aber die betreffende Anleitung halt ich schlicht f\u00fcr Humbug. Wenn das System infiziert ist, hilft nur noch neu aufsetzen. Und die Verbreitung von Bart erfolgt nicht durch Adware, sondern laut Proofpoint per Mail-Anhang. Aber das ist lediglich meine pers\u00f6nliche Meinung.<\/p>\n

Diese Bedrohungen nehmen zu<\/h3>\n

Laut einer mir vom Sicherheitsanbieter Forcepoint<\/a> vorliegenden Information ist der Anteil von E-Mails mit infizierten Inhalten wie Locky, Bart & Co. weltweit um 250 % gestiegen – darunter sind auch mehr als vier Millionen Anh\u00e4nge mit gef\u00e4hrlichen Macros.<\/p>\n

laut einer Prognose der Radicatti Group wird es bis 2019 etwa 5,59 Milliarden E-Mail-Accounts geben, 26 Prozent mehr als heute. Darunter sind viele Adressen, die f\u00fcr Phishing-Kampagnen oder Spionage genutzt werden.<\/p>\n

Abwehrma\u00dfnahmen sind m\u00f6glich<\/h3>\n

Abwehrma\u00dfnahme, die auch im Privatumfeld greift, w\u00e4re imho, keine E-Mail-Anh\u00e4nge von Mails mit obskuren Absendern oder Inhalten zu \u00f6ffnen und die Anwender zu sensibilisieren.<\/p>\n

Administratoren k\u00f6nnen zudem die Ausf\u00fchrung von .JS-Dateien unter Windows blockieren. Wie das geht, habe ich im Artikel RAA-Malware: Ransomware + Trojaner und die Kur dagegen<\/a> beschrieben. Forcepoint gibt Unternehmen zum Schutz vor Angreifern und Datenverlusten noch folgendes mit auf den Weg:<\/p>\n