Ransomware: Webhoster zahlt 1 Million Dollar Lösegeld

Die Angreifer verschlüsselten die Daten auf 153 Servern und auch das Backup. Die zuvor auf Windows ausgerichtete Schadsoftware Erebus wurde für Angriffe auf Linux-Systeme modifiziert. Mit veralteter und angreifbarer Software machte es der südkoreanische Hoster den Erpressern leicht.

Der südkoreanische Webhoster Nayana ist Opfer einer Ransomware-Attacke geworden und hat sich mit über einer Million Dollar Lösegeld freigekauft. Das Unternehmen zahlte die Rekordsumme von 1,3 Milliarden Won (1,14 Millionen Dollar), um wieder an die verschlüsselten Daten zu kommen.

Ransomware (Bild: Shutterstock)

Nayana wurde am 10. Juni angegriffen und informierte daraufhin die Aufsichtsbehörde Korea Internet and Security Agency (KISA). Von der Verschlüsselung betroffen waren 153 von insgesamt 300 Servern, und damit wurden auch Tausende von Websites unerreichbar. Die Angreifer sperrten die ursprünglichen Daten und das Backup mit einem Passwort, sodass Nayana auch keine Wiederherstellung möglich wear.

Die Forderung betrug zuerst 826,2 Bitcoin oder 2,7 Milliarden südkoreanische Won. Wie ZDNet Korea (Google-Übersetzung) berichtet, reduzierten die Erpresser ihre Forderung später auf 1,8 Milliarden Won und einigten sich schließlich mit Nayana auf zu zahlende 1,3 Milliarden Won.

Umfrage

War Ihr Unternehmen in den vergangenen Monaten von einer Ransomware-Attacke betroffen?

Ergebnisse anzeigen

Loading ... Loading ...

Die Zahlung wurde in drei Teilbeträgen vereinbart. Um sie leisten zu können, musste Nayana Firmenanteile durch ein Unternehmen beleihen, das ihm zuvor ein Übernahmeangebot unterbreitet hatte. Die Hacker lieferten bislang den Schlüssel, um 50 der betroffenen 153 Server wiederherstellen zu können. Bis zum Ende des Monats hofft der erpresste Hoster, wieder über 90 Prozent seiner Server verfügen zu können.

Trend Micro machte die Ransomware Erebus hinter dem Angriff aus. Diese Schadsoftware war früher nur für Angriffe auf Windows-Rechner ausgelegt, wurde aber kürzlich in einer Variante modifiziert, um Linux-Systeme angreifen zu können. Die Verschlüsselung erfasste insgesamt 433 Dateitypen. Dabei ging es den Angreifern nicht nur um übliche Office-Dokumente, Datenbanken, Archive und Multimedia-Dateien, sondern gezielt um um die Verschlüsselung von Webservern und den auf ihnen gespeicherten Daten.

ANZEIGE

So lassen sich Risiken bei der Planung eines SAP S/4HANA-Projektes vermeiden

Ziel dieses Ratgebers ist es, SAP-Nutzern, die sich mit SAP S/4HANA auseinandersetzen, Denkanstöße zu liefern, wie sie Projektrisiken bei der Planung Ihres SAP S/4HANA-Projektes vermeiden können.

Wie der Angriff im Detail erfolgte, ist noch unklar. Die Sicherheitsexperten merken aber an, dass Nayana sich auf ebenso veraltete wie angreifbare Software verließ. So soll die Website des Hosters auf dem Linux-Kernel 2.6.24.2 laufen, der 2008 kompiliert wurde. Durch längst bekannte und nicht gepatchte Sicherheitslücken könnten die Angreifer daher Root-Rechte erlangt haben. Weitere Einfallstore öffneten 2006 veröffentlichte Versionen von Apache (1.3.36) und PHP (5.1.4) – auch für sie gibt es inzwischen reichlich Exploits.

[mit Material von Cho Mu-Hyun, ZDNet.com]

Themenseiten: Cybercrime, Internet, Ransomware, Server, Sicherheit, Trend Micro

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

Artikel empfehlen:

Neueste Kommentare 

8 Kommentare zu Ransomware: Webhoster zahlt 1 Million Dollar Lösegeld

Kommentar hinzufügen
  • Am 20. Juni 2017 um 19:07 von Old Timer

    Linux-Kernel 2.6.24.2, Apache 1.3.36, PHP 5.1.4…
    … die Frage ist doch, kam der Angriff von innen oder außen?
    Ohne Kenntnis des Weges der Eindringlinge kann ja eher schlecht über Schuld oder Nicht-Schuld von älteren Softwareversionen spekuliert werden…

    • Am 21. Juni 2017 um 7:53 von New Timer

      Sicher stellt sich auch die Frage, ob der Angriff von innen oder von außen kam.
      Nichtsdestotrotz ist die Nutzung veralteter angreifbarer Software für einen Hoster ein absolutes NoGo. Allein aufgrund dieser Tatsache werden ihm (hoffentlich) viele Kunden kündigen und sich einen seriöseren Anbieter suchen.

    • Am 21. Juni 2017 um 10:33 von Michael Schwarz

      Ransomware-Angriffe kommen grundlegend von „Außen“, aber der eigentliche Auslöser sitzt meist im Unternehmen. Die meisten Angriffe dieser Art erfolgen durch Anhänge in e-mails. Sich dagegen zu schützen ist einerseits ein technischer Weg durch Überwachung des Mailverkehrs, und andererseits durch Schulung der Mitarbeiter.
      Offensichtlich hat der Updateprozess nicht funktioniert, oder war nicht eingerichtet. Seine Software (alle installierte Software) auf dem aktuellen Stand zu halten ist eine Grundlage für jeden Nutzer von Computer und Co., und gerade natürlich für Unternehmen der IT-Branche.
      Ein guter Schutz wäre billiger gewesen ………

    • Am 21. Juni 2017 um 10:37 von LordPinhead

      Ich glaube wer so veraltete Software einsetzt, der hat auch alte Php Scripte und da ist Codeinjection ja einfach. Der Server sendet auch brav informationen die Nmap usw. nutzen also muss man nur einen Brückenkopf ins Netzwerk finden, intern ist es meist viel einfacher und das scheint passiert zu sein.

  • Am 20. Juni 2017 um 21:46 von Antiappler

    Und die Frage ist:“Dabei ging es den Angreifern nicht nur um übliche Office-Dokumente, Datenbanken, Archive und Multimedia-Dateien, sondern gezielt um“ WAS?
    Denn der Satz hört da nämlich auf.
    Ich hoffe, dass nicht auch hier die Ransomware zugeschlagen hat, und ZDNet deshalb auch jede Menge Bitcoin oder Dollar bezahlen muss. ;-)

    • Am 20. Juni 2017 um 23:10 von Bernd Kling

      Der restliche Satz verschwand wohl beim späteren Einfügen der Webinar-Box und ist wieder da. Danke für den Hinweis!

  • Am 21. Juni 2017 um 16:35 von Uwe Großmann

    Ich frage mich wieso man Bitcoin als Zahlungsmittel zulässt.
    Ohne Bitcoin könnte so eine Erpressung gar nicht möglich sein.

    • Am 22. Juni 2017 um 11:24 von DoN

      Ohne Bitcoin zahlt man halt auf irgendein offshore Konto, Cayman Islands oder sonstige Bankparadise die keine Fragen stellen und keine beantworten.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *