Ransomware EKANS nimmt Industriekontrollsysteme ins Visier

Die Schadsoftware funktioniert trotz zahlreicher Programmierfehler. Eine neue Variante verschlüsselt nicht nur Dateien, sie verändert auch die Einstellungen von Industriekontrollsystemen. EKANS ist zudem auf bestimmte Ziele ausgerichtet und greift Opfer nicht wahllos an.

Forscher von FortiGuard Labs haben die Ransomware EKANS analysiert, die auf Industriekontrollsysteme ausgerichtet ist. Sie befällt ausschließlich Windows-basierte Systeme und ist in der Lage, Dateien zu verschlüsseln. Seit Juni ist zudem eine weiterentwickelte Version im Umlauf, die sogar die Firewalls von infizierten Systemen abschalten kann.

Malware (Bild: Shutterstock/Blue Island)Das erste Muster, das den Forschern Ben Hunter und Fred Gutierrez in die Hände fiel, wurde im Mai kompiliert. In dessen Code fanden sie zahlreiche Fehler – insgesamt mehr als 1200 Strings. Auf die Funktion der Erpressersoftware hatten sie jedoch keinen Einfluss.

Ihrer Analyse zufolge sucht sich EKANS seine Opfer gezielt aus. Dazu versucht die Malware, die Domain des infizierten Systems aufzulösen und mit einer Liste von IP-Adressen abzugleichen. Sollte das Ziel dabei nicht bestätigt wird, bricht die Ransomware ihre Routinen ab.

Wurde jedoch das richtige Ziel angegriffen, such die Ransomware nach Domänencontrollern. Sie verschlüsselt schließlich Dateien und zeigt auch eine Lösegeldforderung an. Ob die Hintermänner nach erfolgter Zahlung tatsächlich einen Entschlüsselungsschlüssel bereitstellen beziehungsweise oder dieser dann auch funktioniert, ist nicht bekannt.

Das zweite, im Juni kompilierte Muster, bietet zusätzliche Funktionen. Es ist offenbar in der Lage, Einstellungen des Industriekontrollsystems zu verändern. Unter anderem kann eine Firewall abgeschaltet werden. Die Forscher vermuten, dass auf diese Art Sicherheitsanwendungen und andere Schutzmaßnahmen erkannt und blockiert werden sollen.

Dateien macht EKANS mit einer RSA-Verschlüsselung unbrauchbar. Darüber hinaus soll die Erpressersoftware beliebige Prozesse beenden, die seine eigenen Aktivitäten behindern könnten. Zudem versucht EKANS, Schattenkopien zu löschen, um eine Wiederherstellung von Daten ohne Schlüssel zu erschweren.

Schon im März hatte FireEye vor einer Zunahme von Schadprogrammen und Hacking-Tools für Industriekontrollsysteme gewarnt. Die Mehrheit der bekannten ICS-Schädlinge ist demnach nicht auf bestimmte Hersteller beschränkt. Es soll aber auch Varianten geben, die nur Produkte eines spezifischen Anbieters befallen.

ANZEIGE

So reagieren Sie auf die gestiegene Nachfrage von Online-Videos – Wichtige Erkenntnisse und Trends

Der von zahlreichen Ländern wegen der Coronakrise eingeführte Lockdown und die damit verbundene soziale Distanzierung haben neue Rekorde im Online-Videoverkehr gebracht. Erfahren Sie in diesem Webinar, wie Sie Daten untersuchen und quantifizieren, um die Belastung von Netzwerken und CDNs einzuschätzen.

Themenseiten: Malware, Ransomware, Security, Sicherheit

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

Artikel empfehlen:

Neueste Kommentare 

Noch keine Kommentare zu Ransomware EKANS nimmt Industriekontrollsysteme ins Visier

Kommentar hinzufügen

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *