{"id":227571,"date":"2020-01-28T12:49:00","date_gmt":"2020-01-28T11:49:00","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=227571"},"modified":"2020-01-28T16:01:31","modified_gmt":"2020-01-28T15:01:31","slug":"ragnarok-ransomware-zielt-auf-citrix-adc-stoppt-defender","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2020\/01\/28\/ragnarok-ransomware-zielt-auf-citrix-adc-stoppt-defender\/","title":{"rendered":"Ragnarok Ransomware zielt auf Citrix ADC, stoppt Defender"},"content":{"rendered":"<p><img loading=\"lazy\" decoding=\"async\" style=\"float: left; margin: 0px 10px 0px 0px; display: inline\" src=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2015\/01\/Schutz.jpg\" width=\"40\" align=\"left\" height=\"47\"\/>[<a href=\"https:\/\/borncity.com\/win\/2020\/01\/28\/ragnarok-ransomware-targets-citrix-adc-stops-defender\/\" target=\"_blank\" rel=\"noopener noreferrer\">English<\/a>]F\u00fcr Administratoren, die ungepatchte Citrix ADC\/Netscaler Appliances einsetzen, ist es jetzt f\u00fcnf nach zw\u00f6lf. Die Ragnarok Ransomware zielt auf ungepatchte Citrix ADC-Installationen und kann den Windows Defender stoppen.<\/p>\n<p><!--more--><\/p>\n<h2>Citrix ADC: Die Shitrix-Problematik<\/h2>\n<p><img loading=\"lazy\" decoding=\"async\" alt=\"\" src=\"https:\/\/vg05.met.vgwort.de\/na\/44991bbcc2bb412d8817095b0d9e5044\" width=\"1\" height=\"1\"\/>Eigentlich sollte das alles inzwischen ein Nicht-Thema sein, denn \u00fcber die seit dem 17. Dezember 2019 \u00f6ffentlich bekannte Schwachstelle CVE-2019-19781 im Citrix ADC (Application Delivery Controller, fr\u00fcher Netscaler) hatte ich zeitnah (24.12.2019) im Beitrag <a href=\"https:\/\/borncity.com\/blog\/2019\/12\/24\/schwachstelle-in-citrix-produkten-gefhrdet-firmen-netzwerke\/\">Schwachstelle in Citrix Produkten gef\u00e4hrdet Firmen-Netzwerke<\/a> berichtet.<\/p>\n<p>Und es gab mehrere Sicherheitswarnungen auf allen Kan\u00e4len sowie hier im Blog, weil Proof of Concept-Exploits \u00f6ffentlich wurden. Und einige Citrix-Nutzer, die nicht reagiert haben, hat es wohl mit Angriffen getroffen (siehe <a href=\"https:\/\/borncity.com\/blog\/2020\/01\/24\/cyberangriffe-das-shitrix-desaster-citrix-netscaler-bug\/\">Cyberangriffe: Gedia &amp; Potsdam Opfer des Shitrix-Desasters (Citrix Netscaler-Bug)?<\/a>). Inzwischen hat Citrix f\u00fcr alle betroffenen Produkte Firmware-Updates zum Patchen der Schwachstelle herausgebracht und es gibt einen Scanner zum Testen (siehe <a href=\"https:\/\/borncity.com\/blog\/2020\/01\/24\/citrix-schwachstelle-neue-updates-und-scanner-fr-tests\/\">Citrix Schwachstelle: Neue Updates und Scanner f\u00fcr Tests<\/a>).<\/p>\n<h2>Ransomware Ragnarok zielt auf Citrix ADC<\/h2>\n<p>Nun haben Cyber-Kriminelle wohl die erste Ransomware, die auf die Citrix ADC-Schwachstelle zielt, eingesetzt. Die Ransomware, die von Sicherheitsforschern Ragnarok genannt wird, kann auf Windows-Maschinen auch den Windows Defender abschalten. Ich bin \u00fcber nachfolgenden Tweet von Kollege Lawrence Abrams auf die Geschichte aufmerksam geworden. <\/p>\n<blockquote class=\"twitter-tweet\">\n<p lang=\"en\" dir=\"ltr\">Ragnarok Ransomware Targets Citrix ADC, Disables Windows Defender &#8211; by <a href=\"https:\/\/twitter.com\/LawrenceAbrams?ref_src=twsrc%5Etfw\">@LawrenceAbrams<\/a><a href=\"https:\/\/t.co\/Kxi70LpL49\">https:\/\/t.co\/Kxi70LpL49<\/a><\/p>\n<p>\u2014 BleepingComputer (@BleepinComputer) <a href=\"https:\/\/twitter.com\/BleepinComputer\/status\/1222074369758896128?ref_src=twsrc%5Etfw\">January 28, 2020<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script> <\/p>\n<p>Gelingt es Angreifern ein Citrix-ADC-Ger\u00e4t zu kompromittieren, werden verschiedene Skripte heruntergeladen und ausgef\u00fchrt. Diese Scripte suchen im Netzwerk des kompromittierten Citrix ADC nach Windows-Computern, die f\u00fcr die EternalBlue-Schwachstelle anf\u00e4llig sind.<\/p>\n<p>Werden solche Maschinen entdeckt, versuchen die Skripte Schwachstellen in Windows auszunutzen, und injizieren im Erfolgsfall eine DLL in das Betriebssystem. Wird die DLL ausgef\u00fchrt, l\u00e4dt diese die Ragnarok-Ransomware herunter und installiert diese auf der Maschine. Dann werden die Dateien verschl\u00fcsselt und L\u00f6segeldforderungen gestellt. <\/p>\n<p>Nachdem der Leiter der SentinelLabs, Vitali Kremez, die Konfigurationsdatei der Ransomware Ragnarok extrahiert hatte, entdeckte er einige Neuerungen, die un\u00fcblich sind. <\/p>\n<blockquote class=\"twitter-tweet\">\n<p lang=\"en\" dir=\"ltr\">2020-01-25:<a href=\"https:\/\/twitter.com\/hashtag\/Ragnarok?src=hash&amp;ref_src=twsrc%5Etfw\">#Ragnarok<\/a> <a href=\"https:\/\/twitter.com\/hashtag\/Ransomware?src=hash&amp;ref_src=twsrc%5Etfw\">#Ransomware<\/a><br \/><a href=\"https:\/\/twitter.com\/hashtag\/Citrix?src=hash&amp;ref_src=twsrc%5Etfw\">#Citrix<\/a> <a href=\"https:\/\/twitter.com\/hashtag\/CVE201919781?src=hash&amp;ref_src=twsrc%5Etfw\">#CVE201919781<\/a> Exploitation<\/p>\n<p>Cfg:<br \/>1\u20e3reg_key: Disables Windows Defender\/Protection<br \/>2\u20e3cmd_shadow|boot|recovery|firewall<br \/>3\u20e3no_name* Unix Setup<br \/>4\u20e3except_language &#8211; Anti-CIS+ China<\/p>\n<p>h\/t <a href=\"https:\/\/twitter.com\/malwrhunterteam?ref_src=twsrc%5Etfw\">@malwrhunterteam<\/a> <br \/>-&gt; <a href=\"https:\/\/t.co\/2dyStlYZwh\">https:\/\/t.co\/2dyStlYZwh<\/a> <a href=\"https:\/\/t.co\/VhOCa47OJJ\">pic.twitter.com\/VhOCa47OJJ<\/a><\/p>\n<p>\u2014 Vitali Kremez (@VK_Intel) <a href=\"https:\/\/twitter.com\/VK_Intel\/status\/1221114802292084737?ref_src=twsrc%5Etfw\">January 25, 2020<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script> <\/p>\n<p>Gem\u00e4\u00df obigem Tweet kann die Ransomware den Windows Defender \u00fcber einen Registrierungseintrag deaktivieren \u2013 was aber f\u00fcr den Defender Manipulationsschutz ('Tamper Protection') in Windows 10 nicht mehr funktioniert. <\/p>\n<p>Interessant ist auch, dass die Ransomware keine Systeme aus dem russischen Einflussbereich und aus China verschl\u00fcsselt. \u00dcber die Windows Language ID werden bestimmte L\u00e4nder ausgespart. <\/p>\n<p>Die Ransomware verschl\u00fcsselt nicht nur die erreichbaren Dateien, sondern l\u00f6scht auch die Volumenschattenkopien, deaktiviert die Windows Startreparatur und auch die Windows Firewall. Unklar ist, warum in der Ransomware Referenzen auf Linux-Verzeichnisse zu finden sind. M\u00f6glicherweise will man die Citrix-Installationen \u00fcber Plattformgrenzen (Unix\/Windows) abdecken. Weitere Details, die aber eigentlich nur bei der Analyse eines Cyber-Vorfalls relevant sind, lassen sich <a href=\"https:\/\/www.bleepingcomputer.com\/news\/security\/ragnarok-ransomware-targets-citrix-adc-disables-windows-defender\/\" target=\"_blank\" rel=\"noopener noreferrer\">bei Bleeping Computer nachlesen<\/a>. <\/p>\n<p><strong>\u00c4hnliche Artikel:<\/strong><br \/><a href=\"https:\/\/borncity.com\/blog\/2019\/12\/24\/schwachstelle-in-citrix-produkten-gefhrdet-firmen-netzwerke\/\">Schwachstelle in Citrix Produkten gef\u00e4hrdet Firmen-Netzwerke<\/a><br \/><a href=\"https:\/\/borncity.com\/blog\/2020\/01\/03\/sicherheitsinformationen-3-1-2020\/\">Sicherheitsinformationen (3.1.2020)<\/a><br \/><a href=\"https:\/\/borncity.com\/blog\/2020\/01\/13\/exploit-fr-citrix-adc-netscaler-schwachstelle-cve-2019-19781\/\">Exploit f\u00fcr Citrix ADC\/Netscaler-Schwachstelle CVE-2019-19781<\/a><br \/><a href=\"https:\/\/borncity.com\/blog\/2020\/01\/17\/achtung-weiterer-nachbesserungsbedarf-bei-citrix-netscaler\/\">Achtung: Weiterer Nachbesserungsbedarf bei Citrix-Netscaler<\/a><br \/><a href=\"https:\/\/borncity.com\/blog\/2020\/01\/20\/patches-fr-citrix-adc-netscaler-11-1-12-0-verfgbar-19-1-2020\/\">Patches f\u00fcr Citrix ADC\/Netscaler 11.1\/12.0 verf\u00fcgbar (19.1.2020)<\/a><br \/><a href=\"https:\/\/borncity.com\/blog\/2020\/01\/24\/citrix-schwachstelle-neue-updates-und-scanner-fr-tests\/\">Citrix Schwachstelle: Neue Updates und Scanner f\u00fcr Tests<\/a><br \/><a href=\"https:\/\/borncity.com\/blog\/2020\/01\/23\/ransomware-befall-beim-automobilzulieferer-gedia\/\">Ransomware-Befall beim Automobilzulieferer Gedia<\/a><br \/><a href=\"https:\/\/borncity.com\/blog\/2020\/01\/24\/potsdam-offline-ungereimtheiten-erzwingen-server-shutdown\/\">Potsdam offline\u2013Ungereimtheiten erzwingen Server-Shutdown<\/a><br \/><a href=\"https:\/\/borncity.com\/blog\/2020\/01\/24\/cyberangriffe-das-shitrix-desaster-citrix-netscaler-bug\/\">Cyberangriffe: Gedia &amp; Potsdam Opfer des Shitrix-Desasters (Citrix Netscaler-Bug)?<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>[English]F\u00fcr Administratoren, die ungepatchte Citrix ADC\/Netscaler Appliances einsetzen, ist es jetzt f\u00fcnf nach zw\u00f6lf. Die Ragnarok Ransomware zielt auf ungepatchte Citrix ADC-Installationen und kann den Windows Defender stoppen.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426,161,3694],"tags":[7843,2699,4715,4328,4325],"class_list":["post-227571","post","type-post","status-publish","format-standard","hentry","category-sicherheit","category-virenschutz","category-windows-10","tag-citrix","tag-defender","tag-ransomware","tag-sicherheit","tag-windows"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/227571","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=227571"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/227571\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=227571"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=227571"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=227571"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}