Ransomware „Bad Rabbit“ nutzt ebenfalls EternalBlue-Exploit

dp — Wed, 25 Oct 2017 17:48:24 +0000

Kommentare von Tony Rowan und Patrice Puichaud von SentinelOne

[datensicherheit.de, 25.10.2017] „Der jüngste Ransomware-Ausbruch bestätigt wieder einmal, dass Angreifer alten Schadcode so lange wiederverwenden, wie sie damit erfolgreich sind“, kommentiert Tony Rowan, „Chief Security Consultant“ bei SentinelOne, die aktuelle Ransomware-Attacke mit „Bad Rabbit“.

Neue Ransomware nutzt wieder den „EternalBlue-Exploit“

Diese neue Variante habe offensichtlich immer noch Erfolg. Dies sei umso überraschender, als die Ransomware zur Verbreitung dabei wieder den „EternalBlue-Exploit“ nutze.
Rowan: „Viele Leute haben ihre Systeme trotz der vergangenen Vorfälle offensichtlich nicht gepatcht. Darüber hinaus verlassen sie sich weiterhin auf die alten AV-Produkte, die dieser Art von Malware aber nicht standhalten.“

„Bad Rabbit“-Code hat zu 13 Prozent Übereinstimmung mit dem von „Petya“

Patrice Puichaud, „Senior Director EMEA“ bei SentinelOne, ergänzt: „Wie unsere Analyse ergeben hat, ist ,Bad Rabbit‘ eine neue und unbekannte Ransomware, deren Code aber zu 13 Prozent mit dem ,Petya‘-Code übereinstimmt. Der Dropper wird dabei von Nutzern beim Besuch infizierter Websites heruntergeladen und erscheint als ,Flash Player‘-Installer“.
Einmal ausgeführt, verhalte sich „Bad Rabbit“ wie eine herkömmliche Ransomware, verschlüssele Dateien und verlange ein Lösegeld, um sie zu entschlüsseln. Darüber hinaus werde wie bei „Petya/NotPetya“ auch der Bootloader modifiziert.

65 Prozent der Opfer bisher in Russland

Die neue Ransomware habe es dabei besonders auf Russland und die Ukraine abgesehen: Laut ESET stammten 65 Prozent der Opfer aus Russland, 12,2 Prozent aus der Ukraine – und auch andere Länder in Osteuropa sowie die Türkei und Japan seien im Visier.
Da der Ursprung des Angriffs in Russland liege, dürfte „Bad Rabbit“ bis zum Erreichen der USA jedoch bekannt sein und sowohl von signaturbasierten Antivirenprogrammen als natürlich auch von Signatur-unabhängigen Lösungen erkannt werden.

Weitere Informationen zum Thema:

datensicherheit.de, 25.10.2017
Neue Ransomware grassiert: Bad Rabbit bringt Branche in Aufruhr

datensicherheit.de, 25.10.2017
Neue Ransomware-Kampagne: Bad Rabbit tarnt sich als Flash-Update

datensicherheit.de, 25.10.2017
Neue Ransomware grassiert: Bad Rabbit bringt Branche in Aufruhr

datensicherheit.de, 25.10.2017
Netzwerk-Überwachung: Unregelmäßige Muster bei Ransomware-Angriff

Sensible Patientendaten: Herkömmliche Antivirus-Software schützt nicht ausreichend

dp — Tue, 17 Jan 2017 22:43:54 +0000

Krankenhausorganisationen im Visier von Ransomware-Kriminellen

[datensicherheit.de, 17.01.2017] 30 Prozent der staatlichen britischen Krankenhausorganisationen, sog. NHS Trusts, sollten laut einer aktuellen Befragung von SentinelOne bereits Opfer eines Ransomware-Angriffs geworden sein. Sowohl sensible Patientendaten als auch die Gesundheit der Patienten seien damit in Gefahr. Ein Krankenhausverbund – der Imperial College Healthcare NHS Trust – habe sich dabei als besonders beliebte Zielscheibe für Ransomware-Erpresser erwiesen und sei innerhalb eines Jahres von 19 Attacken heimgesucht worden.

Antivirus-Software nur unzureichender Schutz

91 der insgesamt 129 von SentinelOne kontaktierten NHS Trusts hätten bezüglich erlittener Ransomware-Angriffe Auskunft gegeben, drei Trusts eine Antwort abgelehnt, da sie wirtschaftliche Nachteile befürchteten.
Obwohl fast alle befragten Krankenhäuser Antivirus-Software installiert hätten, um ihre Endgeräte vor Malware zu schützen, sei der Großteil von ihnen nicht von Ransomware verschont geblieben. So sei das Leeds Teaching Hospital innerhalb von zwölf Monaten fünfmal attackiert worden.
Laut Befragung habe jedoch keiner der NHS Trusts das geforderte Lösegeld bezahlt und auch die Polizei sei in keinem Fall informiert worden. Vielmehr hätten es die Betroffenen vorgezogen, den Ransomware-Angriff intern zu bewältigen.

Zugang häufig über vernetztes unternehmenseigenes Gerät

15 der betroffenen Krankenhausorganisationen seien in der Lage gewesen, nähere Informationen zum Ursprung der Ransomware-Infektion zu geben. So hätten sich die Angreifer in 87 Prozent der Fälle über ein vernetztes unternehmenseigenes Gerät Zugang verschafft, wobei 80 Prozent der Opfer Ziel eines Phishing-Angriffs gewesen seien.
Die Mehrheit der betroffenen Krankenhäuser sei dabei nicht in der Lage gewesen, die Ransomware-Angreifer zu identifizieren. Einzig ein Opfer habe bestätigen können, von organisierten Cyber-Kriminellen attackiert worden zu sein.

Auch deutsche Krankenhäuser im Fokus

Ransomware-Angriffe auf Krankenhäuser, bei denen die Dateien auf der Festplatte ihrer Opfer verschlüsselt und nur gegen Zahlung von Lösegeld wieder freigeben werden, sorgten seit einigen Monaten weltweit für Aufregung.
Nach der Infizierung mit dem aggressiven Krypto-Trojaner „Locky“ im Februar 2016 habe etwa das Hollywood Presbyterian Medical Center in Los Angeles 12.000 US-Dollar Lösegeld bezahlt. Aber auch Gesundheitseinrichtungen in Deutschland stünden im Fokus der Ransomware-Hacker, wie das Lukaskrankenhaus in Neuss 2016 habe erfahren müssen.

Mangelnde Sicherheit erleichtert lebensgefährliche Manipulationen

Tony Rowan, „Chief Security Consultant“ bei SentinelOne: „Die Ergebnisse unserer Befragung sind wenig überraschend.“ Der Öffentliche Sektor stehe bei Hackern und Betrügern ganz hoch im Kurs, denn knappe Budgets und Ressourcen sorgten für Sicherheitslücken und machten diese Einrichtungen angreifbar. Die Ergebnisse bestätigten auch wieder einmal, dass herkömmliche AV-Technologien im Kampf gegen bösartige und mutierende Malware-Formen „ohnmächtig“ seien und in Sachen Endgeräteschutz ein neuer dynamischer Ansatz unumgänglich sei, betont Rowan.
In der Vergangenheit habe die britische Datenschutzbehörde einige NHS Trusts bereits wegen ihrer schlechten Bilanz bei Datenpannen und Datenschutzverletzungen gerügt.
„Und mit der stetig steigenden Zahl vernetzter Medizingeräte – von Dialysegeräten bis zu Herzfrequenzmonitoren – steigt schließlich auch das Risiko, dass mangelnde Sicherheitspraktiken zu lebensgefährlichen Manipulationen führen“, warnt Rowan.