![](\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2015\/01\/Schutz.jpg\")
Vor einer Woche traf eine neue Cyberattacke der Ransomware NotPetya eine Reihe Firmen bzw. Windows-Systeme. Der europ\u00e4ische Security-Software-Hersteller ESET hat die Malware analysiert und einige Informationen bereitgestellt.<\/p>\nVor einer Woche traf eine neue Cyberattacke der Ransomware NotPetya eine Reihe Firmen bzw. Windows-Systeme. Der europ\u00e4ische Security-Software-Hersteller ESET hat die Malware analysiert und einige Informationen bereitgestellt.<\/p>\n
<\/p>\n
Inzwischen hat die Polizei in der Ukraine wohl die Server beschlagnahmt, auf denen die Updates f\u00fcr die Software M.E.Doc kompromittiert wurden. Es deutete sich an, dass wohl erneut Vorbereitungen f\u00fcr einen Angriff getroffen wurden, wie z.B. heise.de hier<\/a> berichtet. Dort wird auch thematisiert, dass die Angreifer angeblich 250.000 Euro f\u00fcr die Datenrettung haben wollen. Scheint aber eine windige Geschichte zu sein, gehen Sicherheitsforscher doch davon aus, dass sich die Daten eher nicht restaurieren lassen.<\/p>\n Im ESET-Dokument gibt der Sicherheitsanbieter noch ein paar Einblicke, wie sich der Trojaner NotPetya verbreiten konnte. So wurde die vor allem in der Ukraine verbreitete Buchhaltungssoftware M.E.Doc als Ursprung der Attacke identifiziert. Bei der Analyse der Backdoor, die die Cyberkriminellen in die Software einschleusten, konnte ESET neue Erkenntnisse \u00fcber die Verbreitung der Malware (von ESET als Win32\/Diskcoder.C bezeichnet) gewinnen.<\/p>\n Die Hacker zeigen tiefes Verst\u00e4ndnis des verwendeten Programms, denn die ESET Analyse der Backdoor in M.E.Doc zeigt, dass die Hacker ihren Angriff sorgf\u00e4ltig planten und ausf\u00fchrten. Um die Sicherheitsl\u00fccke in das Programm einzuschleusen, m\u00fcssen sie sich Zugriff zum Quellcode des Programms verschafft und sich ausf\u00fchrlich mit ihm befasst haben.<\/p>\n Au\u00dferdem erlangten sie Zugriff auf den Server, \u00fcber den die Software bereitgestellt wurde. Ohne aktives Zutun der Opfer wurden so immer wieder infizierte Updates auf den Rechnern der Nutzer von M.E.Doc installiert. Offenbar war dieser Angriff von langer Hand vorbereitet. Erste infizierte Updates der Bibliothek ZvitPublishedObjects.dll<\/em> wurden bereits am 14. April verbreitet. Zwei weitere Updates mit integriertem Trojaner folgten. am 15 Mai und am 22. Juni. Durch legitime Updates der M.E.Doc-Software wurden die Trojaner wohl immer wieder \u00fcberschrieben. Dadurch scheint die Verbreitung der Malware einged\u00e4mmt worden zu sein.<\/p>\n \u00dcber das interne Nachrichtensystem des Programms versendeten die Hacker dar\u00fcber hinaus Phishing-Nachrichten an weitere Opfer. Zudem verbreitete sich die Malware \u00fcber VPN-Verbindungen in den Unternehmen, die M.E.Doc nutzen, intern sowie bei ihren Kunden und Gesch\u00e4ftspartnern. Genau diese beiden letztgenannten Verbreitungswege waren mir bisher unbekannt.<\/p>\n \u00dcber eine Backdoor in der modifizierten DLL konnten die Angreifer Informationen und Dateien von den infizierten Rechnern an eigene Server hochladen und weitere Schadsoftware nachladen. In Folge kam es dann bei allen Systemen, die im Netzwerk eines infizierten Rechners aktiv waren, zu einer Infektion mit der Backdoor. Der Ratschlag ist daher, alle Rechner, die w\u00e4hrend der Infektion im Netz aktiv waren, abzuschalten und zu s\u00e4ubern.<\/p>\n Ich hatte es in einem fr\u00fcheren Beitrag angesprochen: Es wurde die Hackergruppe Telebots als Urheber vermutet. Auch ESET adressiert diesen Ansatz. Bei der Analyse der Malware erkannten die ESET Forscher zahlreiche Parallelen zu fr\u00fcheren Angriffen. Eine L\u00e4ngsschnittanalyse legt nahe, dass der Cyberangriff der Hackergruppe TeleBots zuzuschreiben ist. Diese ist unter anderem f\u00fcr die Linux-Version der KillDisk-Malware<\/a> verantwortlich und ver\u00fcbte Angriffe auf zahlreiche ukrainische Unternehmen, darunter Finanzinstitute und kritische Infrastruktureinrichtungen. Zudem konnte der Gruppe eine Verbindung zu den ber\u00fcchtigten BlackEnergy-Hackern nachgewiesen werden, die f\u00fcr die Stromausf\u00e4lle im Dezember 2015 in der Ukraine<\/a> verantwortlich waren.<\/p>\n Eine ausf\u00fchrliche Analyse der TeleBots-Gruppe steht unter ESET-Analyse von TeleBots listiger Backdoor<\/a> zur Verf\u00fcgung. Eine Zusammenfassung l\u00e4sst sich bei heise.de<\/a> nachlesen.<\/p>\n","protected":false},"excerpt":{"rendered":" Vor einer Woche traf eine neue Cyberattacke der Ransomware NotPetya eine Reihe Firmen bzw. Windows-Systeme. Der europ\u00e4ische Security-Software-Hersteller ESET hat die Malware analysiert und einige Informationen bereitgestellt.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426],"tags":[4935,4715,4328],"class_list":["post-192067","post","type-post","status-publish","format-standard","hentry","category-sicherheit","tag-petya","tag-ransomware","tag-sicherheit"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/192067","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=192067"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/192067\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=192067"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=192067"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=192067"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}Die Cyberattacke der Ransomware NotPetya, die von ESET als Win32\/Diskcoder.C<\/a> erkannt wird, hat zwar nur gut 20.000 Systeme betroffen (siehe Neues zu Petya: Zahl der Infektionen, Ziele und mehr \u2026<\/a>). Aber die Sch\u00e4den sind teilweise gigantisch.<\/p>\n
\n
Neues zum Verbreitungsweg<\/h2>\n
Angriff den TeleBots zuzuschreiben<\/h2>\n