Categories: SicherheitVirus

Ransomware EKANS nimmt Industriekontrollsysteme ins Visier

Forscher von FortiGuard Labs haben die Ransomware EKANS analysiert, die auf Industriekontrollsysteme ausgerichtet ist. Sie befällt ausschließlich Windows-basierte Systeme und ist in der Lage, Dateien zu verschlüsseln. Seit Juni ist zudem eine weiterentwickelte Version im Umlauf, die sogar die Firewalls von infizierten Systemen abschalten kann.

Das erste Muster, das den Forschern Ben Hunter und Fred Gutierrez in die Hände fiel, wurde im Mai kompiliert. In dessen Code fanden sie zahlreiche Fehler – insgesamt mehr als 1200 Strings. Auf die Funktion der Erpressersoftware hatten sie jedoch keinen Einfluss.

Ihrer Analyse zufolge sucht sich EKANS seine Opfer gezielt aus. Dazu versucht die Malware, die Domain des infizierten Systems aufzulösen und mit einer Liste von IP-Adressen abzugleichen. Sollte das Ziel dabei nicht bestätigt wird, bricht die Ransomware ihre Routinen ab.

Wurde jedoch das richtige Ziel angegriffen, such die Ransomware nach Domänencontrollern. Sie verschlüsselt schließlich Dateien und zeigt auch eine Lösegeldforderung an. Ob die Hintermänner nach erfolgter Zahlung tatsächlich einen Entschlüsselungsschlüssel bereitstellen beziehungsweise oder dieser dann auch funktioniert, ist nicht bekannt.

Das zweite, im Juni kompilierte Muster, bietet zusätzliche Funktionen. Es ist offenbar in der Lage, Einstellungen des Industriekontrollsystems zu verändern. Unter anderem kann eine Firewall abgeschaltet werden. Die Forscher vermuten, dass auf diese Art Sicherheitsanwendungen und andere Schutzmaßnahmen erkannt und blockiert werden sollen.

Dateien macht EKANS mit einer RSA-Verschlüsselung unbrauchbar. Darüber hinaus soll die Erpressersoftware beliebige Prozesse beenden, die seine eigenen Aktivitäten behindern könnten. Zudem versucht EKANS, Schattenkopien zu löschen, um eine Wiederherstellung von Daten ohne Schlüssel zu erschweren.

Schon im März hatte FireEye vor einer Zunahme von Schadprogrammen und Hacking-Tools für Industriekontrollsysteme gewarnt. Die Mehrheit der bekannten ICS-Schädlinge ist demnach nicht auf bestimmte Hersteller beschränkt. Es soll aber auch Varianten geben, die nur Produkte eines spezifischen Anbieters befallen.

ANZEIGE

So reagieren Sie auf die gestiegene Nachfrage von Online-Videos – Wichtige Erkenntnisse und Trends

Der von zahlreichen Ländern wegen der Coronakrise eingeführte Lockdown und die damit verbundene soziale Distanzierung haben neue Rekorde im Online-Videoverkehr gebracht. Erfahren Sie in diesem Webinar, wie Sie Daten untersuchen und quantifizieren, um die Belastung von Netzwerken und CDNs einzuschätzen.

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

IoT: Erfolg mit Advanced Analytics

Viele Industrieunternehmen in Deutschland haben das Potenzial des Internet der Dinge (IoT) für sich erkannt…

1 Tag ago

Google eröffnet Ladengeschäft

Weltweit steht der Einzelhandel unter Druck, auch Apple und Microsoft bleiben von dieser Entwicklung nicht…

2 Tagen ago

Impf-Finder: So klappt es schneller mit dem Impftermin

Die Impf-Priorisierung in Deutschland wurde aufgehoben. Nun können sich alle Menschen im Alter von mindestens…

2 Tagen ago

Ukraine: Schlag gegen Ransomware-Bande

Polizeibehörden der Ukraine, Südkoreas und den USA haben gemeinsam mehrere Mitglieder der Ransomware-Bande „Clop“ verhaftet…

2 Tagen ago

Erneute Welle von DDoS-Erpressungen durch Fancy Lazarus

Warnung vor akuten Ransom DDoS-Attacken gegen Unternehmen in ganz Europa und Nordamerika im Namen von…

3 Tagen ago

Ransomware: Wer einmal zahlt, ist der Dumme

Die meisten Unternehmen erleben einen zweiten Ransomware-Angriff, nachdem sie bei der ersten Attacke Lösegeld bezahlt…

3 Tagen ago