Ordinypt-Ransomware nimmt Nutzer in Deutschland ins Visier

Sie versteckt sich in Bewerbungsunterlagen, die derzeit an Unternehmen verschickt werden. Die Ransomware fordert ein Lösegeld von rund 600 Euro. Allerdings lassen sich die Daten der Opfer trotz Zahlung nicht entschlüsseln: Ordinypt ist in Wirklichkeit nämlich ein Wiper, der alle Daten löscht.

Der Bochumer Sicherheitsanbieter G Data hat die in der vergangenen Woche entdeckte Ransomware Ordinypt untersucht. Sie wird derzeit offenbar fast ausschließlich in Deutschland verteilt, wie Bleeping Computer unter Berufung auf Zahlen von VirusTotal berichtet. Auch die Lösegeldforderung ist demnach in „fehlerfreiem“ Deutsch verfasst.

Ransomware (Bild: Kaspersky)Die Verbreitung erfolgt wie bei anderen Schadprogrammen auch per E-Mail. Ordinypt versteckt sich in angeblichen Bewerbungsunterlagen, die massenhaft an Personalabteilungen deutscher Unternehmen verschickt werden. Bei den Anhängen handelt es sich um ausführbare Dateien, die ein PDF-Logo sowie zwei Dateiendungen haben. Da ab Werk auf Windows-Systemen bekannte Dateiendungen ausgeblendet werden, wird aus der ausführbaren Datei „Viktoria Henschel – Bewerbung – November.pdf.exe“ die vermeintlich harmlose PDF-Datei „Viktoria Henschel – Bewerbung – November.pdf“.

Ordinypt gibt sich jedoch nicht die Mühe, die Dateien seiner Opfer zu verschlüsseln. Stattdessen generiert die Malware eine zufällige Zeichenfolge aus Groß- und Kleinbuchstaben sowie Zahlen und ersetzt damit die Originaldatei, die unwiderruflich gelöscht wird. Die „verschlüsselten“ Dateien haben laut dem auf Reverse Engineering spezialisierten Forscher Philipp Mackensen anschließend jeweils eine Größe zwischen 8 und 24 KByte, und zwar unabhängig von der Größe des Originals.

Die „Platzhalter“ würden wahrscheinlich angelegt, um den Opfer vorzugaukeln, sie hätten es tatsächlich mit einer Ransomware zu tun und nicht mit einem sogenannten Wiper, der Dateien löscht. Der Algorithmus für die Generierung der zufälligen Daten werde zudem benutzt, um Namen für die Ersatzdateien zu erzeugen.

Seine Lösegeldforderung legt Ordinypt trotzdem in jedem Ordner ab, dessen Inhalt zuvor vernichtet wurde. Darin wird ein Betrag von 0,12 Bitcoin gefordert, der ungefähr 600 Euro entsprechen soll. Außerdem beschreiben die Erpresser darin, wo man Bitcoins erwerben kann und wie die Zahlung erfolgt. Schließlich versprechen sie, nach Erhalt des Lösegelds eine „Entschlüsselungs-Software sowie den dazugehörigen Decrypt-Key“ zur Verfügung zu stellen. Die Zahlung müsse innerhalb von sieben Tagen erfolgen – danach werde der Decrypt-Key unwiderruflich gelöscht, was eine Wiederherstellung unmöglich mache.

Eine Möglichkeit die Erpresser zu kontaktieren gibt es dem Bericht zufolge nicht. Alle Anzeichen deuteten darauf hin, dass es den Hintermännern nur darum gehe, Daten zu zerstören.

HIGHLIGHT

Report: State of Digital Transformation EMEA 2019

Zu den größten Hürden der digitalen Transformation zählen der mobile Zugriff auf Unternehmensdaten und Anwendungen, die Nutzung unsicherer Netzwerke und nicht verwalteter Geräte. Das geht aus dem Report „State of Digital Transformation EMEA 2019“ von Zscaler hervor. Jetzt den vollständigen Report herunterladen!

Themenseiten: G DATA, Malware, Ransomware, Security, Sicherheit

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

Artikel empfehlen:

Neueste Kommentare 

2 Kommentare zu Ordinypt-Ransomware nimmt Nutzer in Deutschland ins Visier

Kommentar hinzufügen
  • Am 14. November 2017 um 19:02 von Xar61

    Erst einmal einen Glückwunsch – “ zum aufklärenden Artikel “ !!!
    Hatte mir zuvor die Hihobsbotschaft von Euren Mitbewerbern reingezogen, wie sich jede Newsmeldung wie schon mal gelesen las.
    Bei Euch kann man zu mindest lesen, wie man sich effektiv von den Dreck schützen kann.
    Also Leute unter der OrdnerAnsicht “ Den von Haus aus (Grundeinstellung) einfach den Haken von “ Erweiterungen bei bekannten Dateitypen ausblenden “ entfernen und schon kannst man den Anhang sehen und muss nicht erst seine Daten in den Sand setzen.

  • Am 13. November 2017 um 13:31 von Klaus der Linuxer

    Na, da wechselt München ja rechtzeitig weg von LiMux (Linux) zu Windows. Die wollen ebenfalls Spaß haben.

    Hilfreich war sicherlich der Umzug der Microsoft Deutschland Zentrale, und die Belohnung für die Entscheidung folgre sogleich.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *