Spam-Kampagne verbreitet neue Varianten der Ransomware GandCrab

Der Sicherheitsanbieter Fortinet weist auf eine Spam-Kampagne hin, die seit einigen Tagen benutzt wird, um massenhaft Nutzer mit der Ransomware GandCrab anzugreifen. Seiner Analyse zufolge werden derzeit über Phishing-E-Mails insgesamt drei unterschiedliche Varianten von GandCrab 2.1 verteilt.

„Das bedeutet, die neu geschaffenen Varianten werden simultan in Umlauf gebracht, möglicherweise mit unterschiedlichen Konfigurationen, oder einfach als Versuch, einer bestimmten Dateisignatur zu entgehen“, sagten die Forscher.

Die Phishing-E-Mails verwenden gängige Betreffzeilen über Rechnungen, Zahlungen, Eintrittskarten oder Aufträge, um das Interesse von Nutzern zu wecken. Im Anhang befindet sich eine beispielsweise als ZIP-Datei getarnte JavaScript-Datei. Wird sie gestartet, lädt sie GandCrab von einem Server im Internet herunter.

Derzeit sollen die Hintermänner täglich mehrere Zehntausend Spam-E-Mails verschicken. Ihre Mail-Server befinden sich in den USA – ebenso rund 75 Prozent der Empfänger der unerwünschten Nachrichten. Die meisten Infektionen fand Fortinet jedoch in Peru, gefolgt von Chile, Indien und den Vereinigten Staaten.

Wie andere Ransomware auch verweist GandCrab seine Nutzer an eine Website, die nur über das Tor-Netzwerk erreicht werden kann. Dort können sie einen Schlüssel kaufen, um die von der Erpressersoftware verschlüsselten Dateien zu entschlüsseln. Dieser kostet 400 Dollar, zahlbar in der Kryptowährung Dash, die einfacher zu verarbeiten und von Behörden schwieriger zu überwachen ist als Bitcoin.

Fortinet mahnt Betroffene, das Lösegeld nicht zu zahlen. Es sei nicht gewährleistet, dass eine Zahlung tatsächlich zu einer Reaktion der Erpresser führe und man den gewünschten Schlüssel erhalte. Die Warnung deckt sich mit einer Umfrage, wonach nur 26 Prozent der Firmen, die auf Forderungen von Erpressern eingegangen sind, anschließend in der Lage waren, ihre Dateien zu entschlüsseln.

Erpressung scheint zudem nicht das einzige Betätigungsfeld der Herausgeber von GandCrab zu sein. Unter der IP-Adresse, die GandCrab verteilt, fanden die Forscher auch eine Backdoor, den Wurm Phorpiex, den Trojaner IRCbot und einen Krypto-Miner.

Tipp: Wie gut kennen Sie die Geschichte der Computer-Viren? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.