{"id":254180,"date":"2021-06-01T01:19:14","date_gmt":"2021-05-31T23:19:14","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=254180"},"modified":"2021-06-01T01:33:36","modified_gmt":"2021-05-31T23:33:36","slug":"epsilon-red-ransomware-zielt-auf-ungepatchte-exchange-server","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2021\/06\/01\/epsilon-red-ransomware-zielt-auf-ungepatchte-exchange-server\/","title":{"rendered":"Epsilon Red Ransomware zielt auf ungepatchte Exchange Server"},"content":{"rendered":"

\"Sicherheit[English<\/a>]Kurze Warnung an Administratoren von Microsoft Exchange Servern. Bei der Untersuchung eines Angriffs auf ein gr\u00f6\u00dferes US-amerikanisches Unternehmen aus dem Bereich des Gastgewerbe hat das Sicherheitsunternehmen Sophos eine neue Epsilon Red genannte Ransomware entdeckt. Red Epsilon nutzt ungepatchte Schwachstellen in Microsoft Exchange-Servern aus, um Rechner im Netzwerk zu infizieren und dann dort Dateien zu verschl\u00fcsseln.<\/p>\n

<\/p>\n

\"\"In diesem Blog-Beitrag<\/a> berichten die Sicherheitsforscher von Sophos \u00fcber die vor einigen Tagen entdeckte neue Ransomware, die in der Programmiersprache Go geschrieben wurde und sich Epsilon Red nennt. Der Name Epsilon Red ist ein Verweis auf die Popkultur. Die Figur Epsilon Red war ein relativ obskurer Gegner einiger X-Men im erweiterten Marvel-Universum, ein \"Supersoldat\", der angeblich russischer Herkunft war und vier mechanische Tentakel und einen schlechten Charakter hatte.<\/p>\n

Analyse der Epsilon Red Ransomware<\/h2>\n

Bei der Analyse der Infektion in einem US-Unternehmen stellten die Analysten fest, dass die Malware als letzte ausf\u00fchrbare Nutzlast in einem handgesteuerten Angriff ausgeliefert wurde. W\u00e4hrend des Angriffs starteten die Bedrohungsakteure eine Reihe von PowerShell-Skripten mit den Namen 1.ps1 <\/em>bis 12.ps1 <\/em>(sowie einige, die nur mit einem einzigen Buchstaben aus dem Alphabet benannt waren). Aufgabe dieser PowerShell-Scripte war es, die angegriffenen Computer auf die endg\u00fcltige Ransomware-Nutzlast vorbereiteten und diese schlie\u00dflich herunterzuladen und zu installieren.<\/p>\n

\"Epsilon
\nEpsilon Red Dateien, Quelle: Sophos<\/p>\n

Die PowerShell-Scriptfolge wurde vom PowerShell-Skript RED.ps1 erstellt <\/em>und dann auf den Zielcomputern mithilfe von WMI ausgef\u00fchrt. Das Skript ruft eine .7z-Archivdatei vom Control-Server ab, die die restlichen PowerShell-Skripte, die ausf\u00fchrbare Datei der Ransomware und eine weitere ausf\u00fchrbare Datei enth\u00e4lt. Diese Dateien werden dann in den Windows-Ordner system32 <\/em>entpackt. Das PowerShell-Script\u00a0 richtet au\u00dferdem geplante Aufgaben ein, die die Skripte mit den Nummern 1 bis 12 ausf\u00fchren, \u00fcberspringt aber die Nummern 7 und 8. Es erstellt au\u00dferdem Aufgaben f\u00fcr Skripte mit den Namen \"S\" und \"C\".<\/p>\n

Exchange vermutlich das Einfallstor<\/h2>\n

Die Sicherheitsanalysten schreiben, dass es so ausschaut, dass ein Microsoft Exchange-Server des Unternehmens der urspr\u00fcngliche Einstiegspunkt der Angreifer in das Unternehmensnetzwerk war. Es ist nicht klar, ob dies durch den ProxyLogon Exploit oder eine andere Schwachstelle erm\u00f6glicht wurde, aber es scheint wahrscheinlich, dass die Ursache ein ungepatchter Server war. Von diesem Rechner aus nutzten die Angreifer WMI, um andere Software auf Rechnern innerhalb des Netzwerks zu installieren, die sie \u00fcber den Exchange-Server erreichen konnten.<\/p>\n

Ransomware recht kompakt<\/h2>\n

Die Ransomware selbst ist recht kompakt, da sie lediglich die Verschl\u00fcsselung der Dateien auf dem Zielsystem durchzuf\u00fchren soll. Es werden keine Netzwerkverbindungen hergestellt. Funktionen wie das Killen von Prozessen oder das L\u00f6schen der Volume Shadow Copies wurden an die PowerShell-Skripte ausgelagert.<\/p>\n

Das Programm verschl\u00fcsselt alle Dateien, die sich in den zu verschl\u00fcsselnden Ordnern befinden. Das betrifft auch ausf\u00fchrbarer Dateien und DLLs, was dazu f\u00fchren kann, dass Programme oder das gesamte System nicht mehr funktionieren. Nachdem eine Datei verschl\u00fcsselt wurde, wird der Dateisuffix \".epsilonred\" an die Dateinamen angef\u00fcgt. Die Ransomware legt in jedem Ordner eine L\u00f6segeldforderung ab. Die L\u00f6segeldforderung \u00e4hnelt stark der von REvil. Allerdings fehlen die bei REvil-Texten typischerweise enthaltenen Rechtschreib- und Grammatikfehlern. Offenbar wurde das von Epsilon Red \u00fcbermittelte Erpresserschreiben ein paar Mal bearbeitet, um den Text f\u00fcr ein Publikum mit englischen Muttersprachlern lesbarer zu machen. Weitere Details lassen sich im Sophos-Artike<\/a>l nachlesen. (via<\/a>)<\/p>\n","protected":false},"excerpt":{"rendered":"

[English]Kurze Warnung an Administratoren von Microsoft Exchange Servern. Bei der Untersuchung eines Angriffs auf ein gr\u00f6\u00dferes US-amerikanisches Unternehmen aus dem Bereich des Gastgewerbe hat das Sicherheitsunternehmen Sophos eine neue Epsilon Red genannte Ransomware entdeckt. Red Epsilon nutzt ungepatchte Schwachstellen in … Weiterlesen →<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426,2557],"tags":[5359,4328],"class_list":["post-254180","post","type-post","status-publish","format-standard","hentry","category-sicherheit","category-windows-server","tag-exchange","tag-sicherheit"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/254180","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=254180"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/254180\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=254180"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=254180"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=254180"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}