Ransomware: Webhoster zahlt 1 Million Dollar Lösegeld

Der südkoreanische Webhoster Nayana ist Opfer einer Ransomware-Attacke geworden und hat sich mit über einer Million Dollar Lösegeld freigekauft. Das Unternehmen zahlte die Rekordsumme von 1,3 Milliarden Won (1,14 Millionen Dollar), um wieder an die verschlüsselten Daten zu kommen.

Nayana wurde am 10. Juni angegriffen und informierte daraufhin die Aufsichtsbehörde Korea Internet and Security Agency (KISA). Von der Verschlüsselung betroffen waren 153 von insgesamt 300 Servern, und damit wurden auch Tausende von Websites unerreichbar. Die Angreifer sperrten die ursprünglichen Daten und das Backup mit einem Passwort, sodass Nayana auch keine Wiederherstellung möglich wear.

Die Forderung betrug zuerst 826,2 Bitcoin oder 2,7 Milliarden südkoreanische Won. Wie ZDNet Korea (Google-Übersetzung) berichtet, reduzierten die Erpresser ihre Forderung später auf 1,8 Milliarden Won und einigten sich schließlich mit Nayana auf zu zahlende 1,3 Milliarden Won.

Die Zahlung wurde in drei Teilbeträgen vereinbart. Um sie leisten zu können, musste Nayana Firmenanteile durch ein Unternehmen beleihen, das ihm zuvor ein Übernahmeangebot unterbreitet hatte. Die Hacker lieferten bislang den Schlüssel, um 50 der betroffenen 153 Server wiederherstellen zu können. Bis zum Ende des Monats hofft der erpresste Hoster, wieder über 90 Prozent seiner Server verfügen zu können.

Trend Micro machte die Ransomware Erebus hinter dem Angriff aus. Diese Schadsoftware war früher nur für Angriffe auf Windows-Rechner ausgelegt, wurde aber kürzlich in einer Variante modifiziert, um Linux-Systeme angreifen zu können. Die Verschlüsselung erfasste insgesamt 433 Dateitypen. Dabei ging es den Angreifern nicht nur um übliche Office-Dokumente, Datenbanken, Archive und Multimedia-Dateien, sondern gezielt um um die Verschlüsselung von Webservern und den auf ihnen gespeicherten Daten.

Wie der Angriff im Detail erfolgte, ist noch unklar. Die Sicherheitsexperten merken aber an, dass Nayana sich auf ebenso veraltete wie angreifbare Software verließ. So soll die Website des Hosters auf dem Linux-Kernel 2.6.24.2 laufen, der 2008 kompiliert wurde. Durch längst bekannte und nicht gepatchte Sicherheitslücken könnten die Angreifer daher Root-Rechte erlangt haben. Weitere Einfallstore öffneten 2006 veröffentlichte Versionen von Apache (1.3.36) und PHP (5.1.4) – auch für sie gibt es inzwischen reichlich Exploits.

[mit Material von Cho Mu-Hyun, ZDNet.com]