So greift EKANS Ransomware kritische Infrastrukturen an

Sicherheitsexperten von Fortinet haben die EKANS Ransomware gründlich analysiert und zeigen auf, welche Angriffstechniken die Hacker gegen kritische Infrastrukturen und industrielle Kontrollsysteme einsetzen.

Die Forscher Ben Hunter und Fred Gutierrez von FortiGuard Labs, der Analyseabteilung von Fortinet, haben festgestellt,  dass Malware, die für den Angriff auf industrielle Kontrollsysteme (ICS) entwickelt wurde, für Bedrohungsakteure weiterhin lukrativ ist.

Lösegeldforderungen mittels Ransomware können eine Infektion hervorrufen, die verheerende Auswirkungen haben kann, wenn sie gezielt gegen zentrale, kritische Systeme wie Versorgungs- und Fertigungssysteme angewendet wird. Damit stellen die Erpresser sicher, dass die angegriffenen Unternehmer tatsächlich Lösegeld bezahlen.

Die EKANS-Familie ist eine Ransomware-Variante, die in gezielten ICS-Kampagnen eingesetzt wurde. Den Forschern gelang es, zwei Exemplare im Detail zu prüfen, eine aus dem Mai und eine aus dem Juni.

Beide Windows-basierten Beispiele sind in GO geschrieben, einer Programmiersprache, die in der Malware-Entwicklergemeinde weit verbreitet ist, da sie relativ einfach für die Arbeit auf verschiedenen Betriebssystemen kompiliert werden kann. So können Angreifer ohne großen Aufwand Attacken gegen Windows, Linux und MacOS starten.

Um bei der Analyse zu helfen, hat FortiGuard einen EKANS-spezifischen Dissembler erstellt und festgestellt, dass die Malware trotz einer großen Anzahl von Codierungsfehlern in der Mai-Version der Lösegeldforderung – über 1200 Strings, um genau zu sein – immer noch in der Lage ist, Angriffe auf ICS-Systeme effektiv durchzuführen.

Es scheint, dass EKANS so konzipiert wurde, dass seine Opfer bewusst ausgewählt werden. Die Malware wird versuchen, ihr Ziel zu bestätigen, indem sie die Domäne auflöst, die zu einer Firma des Opfers gehört, und diese Informationen mit IP-Listen vergleicht. Wenn der Zielstatus nicht bestätigt wird, wird die Routine beendet. Sobald ein Ziel erfasst ist, sucht die Lösegeldforderung nach Domänencontrollern, um eine Kompromittierung zu erreichen.

Beide Versionen haben die Funktionalität einer typischen Lösegeldforderung mit Ransomware. Sobald sie auf einem anfälligen Rechner gelandet ist, ist die Malware in der Lage, Dateien zu verschlüsseln und eine Lösegeldforderung anzuzeigen, die gegen einen Entschlüsselungsschlüssel, der den Zugriff auf Systemdateien wiederherstellen kann oder auch nicht, zur Zahlung auffordert.

Das Juni-Beispiel geht jedoch über diese Funktionen hinaus und ist in der Lage, Funktionen auf hohem Niveau zu bieten, die in einer industriellen Umgebung verheerende Folgen haben könnten, einschließlich der Fähigkeit, Host-Firewalls abzuschalten.

Diese neue Erweiterung der EKANS-Funktionalität war nicht die einzige Verbesserung. Um alle bestehenden ICS-Schutzmechanismen zu umgehen, wird die Lösegeldforderung auch versuchen, die Firewall vor der Verschlüsselung abzuschalten, „wahrscheinlich um Antivirus- und andere Verteidigungslösungen zu erkennen, indem jegliche Kommunikation des Agenten blockiert wird“, so die Forscher.

EKANS verwendet die RSA-Verschlüsselung, um betroffene Rechner zu sperren, und startet einen Amoklauf gegen Prozesse, wobei jedes System, das zu einer Barriere für die Aktivitäten der Malware werden könnte, beendet und dabei Schattenkopien gelöscht werden, um die Wiederherstellung von Dateien zu erschweren.

Neben der Untersuchung dieser interessanten ICS-Malware veröffentlichte FortiGuard auch einen Leitfaden über die nach Ansicht des Cybersicherheitsunternehmens aktuellsten Techniken und Taktiken, die von industriellen Bedrohungsakteuren eingesetzt werden.

Dazu gehören das Ausnutzen von Remote-Diensten, die Verwendung von Credential-Dumps, die laterale Bewegung in Netzwerken, die Deaktivierung oder Änderung von Cyber-Sicherheitstools, die Beeinträchtigung der Verteidigung durch Deaktivierung von Windows-Ereignisprotokollen und die Änderung von Gruppenrichtlinien.

ANZEIGE

Auf zu neuen Höhen mit SkySQL, der ultimativen MariaDB Cloud

In diesem Webinar stellen wir Ihnen SkySQL vor, erläutern die Architektur und gehen auf die Unterschiede zu anderen Systemen wie Amazon RDS ein. Darüber hinaus erhalten Sie einen Einblick in die Produkt-Roadmap, eine Live-Demo und erfahren, wie Sie SkySQL innerhalb von nur wenigen Minuten in Betrieb nehmen können.

Themenseiten: Fortinet, Go, Ransomware

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

Artikel empfehlen:

Neueste Kommentare 

Noch keine Kommentare zu So greift EKANS Ransomware kritische Infrastrukturen an

Kommentar hinzufügen

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *