So greift EKANS Ransomware kritische Infrastrukturen an

Die Forscher Ben Hunter und Fred Gutierrez von FortiGuard Labs, der Analyseabteilung von Fortinet, haben festgestellt,  dass Malware, die für den Angriff auf industrielle Kontrollsysteme (ICS) entwickelt wurde, für Bedrohungsakteure weiterhin lukrativ ist.

Lösegeldforderungen mittels Ransomware können eine Infektion hervorrufen, die verheerende Auswirkungen haben kann, wenn sie gezielt gegen zentrale, kritische Systeme wie Versorgungs- und Fertigungssysteme angewendet wird. Damit stellen die Erpresser sicher, dass die angegriffenen Unternehmer tatsächlich Lösegeld bezahlen.

Die EKANS-Familie ist eine Ransomware-Variante, die in gezielten ICS-Kampagnen eingesetzt wurde. Den Forschern gelang es, zwei Exemplare im Detail zu prüfen, eine aus dem Mai und eine aus dem Juni.

Beide Windows-basierten Beispiele sind in GO geschrieben, einer Programmiersprache, die in der Malware-Entwicklergemeinde weit verbreitet ist, da sie relativ einfach für die Arbeit auf verschiedenen Betriebssystemen kompiliert werden kann. So können Angreifer ohne großen Aufwand Attacken gegen Windows, Linux und MacOS starten.

Um bei der Analyse zu helfen, hat FortiGuard einen EKANS-spezifischen Dissembler erstellt und festgestellt, dass die Malware trotz einer großen Anzahl von Codierungsfehlern in der Mai-Version der Lösegeldforderung – über 1200 Strings, um genau zu sein – immer noch in der Lage ist, Angriffe auf ICS-Systeme effektiv durchzuführen.

Es scheint, dass EKANS so konzipiert wurde, dass seine Opfer bewusst ausgewählt werden. Die Malware wird versuchen, ihr Ziel zu bestätigen, indem sie die Domäne auflöst, die zu einer Firma des Opfers gehört, und diese Informationen mit IP-Listen vergleicht. Wenn der Zielstatus nicht bestätigt wird, wird die Routine beendet. Sobald ein Ziel erfasst ist, sucht die Lösegeldforderung nach Domänencontrollern, um eine Kompromittierung zu erreichen.

Beide Versionen haben die Funktionalität einer typischen Lösegeldforderung mit Ransomware. Sobald sie auf einem anfälligen Rechner gelandet ist, ist die Malware in der Lage, Dateien zu verschlüsseln und eine Lösegeldforderung anzuzeigen, die gegen einen Entschlüsselungsschlüssel, der den Zugriff auf Systemdateien wiederherstellen kann oder auch nicht, zur Zahlung auffordert.

Das Juni-Beispiel geht jedoch über diese Funktionen hinaus und ist in der Lage, Funktionen auf hohem Niveau zu bieten, die in einer industriellen Umgebung verheerende Folgen haben könnten, einschließlich der Fähigkeit, Host-Firewalls abzuschalten.

Diese neue Erweiterung der EKANS-Funktionalität war nicht die einzige Verbesserung. Um alle bestehenden ICS-Schutzmechanismen zu umgehen, wird die Lösegeldforderung auch versuchen, die Firewall vor der Verschlüsselung abzuschalten, „wahrscheinlich um Antivirus- und andere Verteidigungslösungen zu erkennen, indem jegliche Kommunikation des Agenten blockiert wird“, so die Forscher.

EKANS verwendet die RSA-Verschlüsselung, um betroffene Rechner zu sperren, und startet einen Amoklauf gegen Prozesse, wobei jedes System, das zu einer Barriere für die Aktivitäten der Malware werden könnte, beendet und dabei Schattenkopien gelöscht werden, um die Wiederherstellung von Dateien zu erschweren.

Neben der Untersuchung dieser interessanten ICS-Malware veröffentlichte FortiGuard auch einen Leitfaden über die nach Ansicht des Cybersicherheitsunternehmens aktuellsten Techniken und Taktiken, die von industriellen Bedrohungsakteuren eingesetzt werden.

Dazu gehören das Ausnutzen von Remote-Diensten, die Verwendung von Credential-Dumps, die laterale Bewegung in Netzwerken, die Deaktivierung oder Änderung von Cyber-Sicherheitstools, die Beeinträchtigung der Verteidigung durch Deaktivierung von Windows-Ereignisprotokollen und die Änderung von Gruppenrichtlinien.

ANZEIGE

Auf zu neuen Höhen mit SkySQL, der ultimativen MariaDB Cloud

In diesem Webinar stellen wir Ihnen SkySQL vor, erläutern die Architektur und gehen auf die Unterschiede zu anderen Systemen wie Amazon RDS ein. Darüber hinaus erhalten Sie einen Einblick in die Produkt-Roadmap, eine Live-Demo und erfahren, wie Sie SkySQL innerhalb von nur wenigen Minuten in Betrieb nehmen können.

Jakob Jung

Recent Posts

Ungepatchte Lücke in der Windows-Druckwarteschlange verschafft Malware Admin-Rechte

Forscher umgehen einen von Microsoft im Mai bereitgestellten Patch. Die neue Lücke soll das Einschleusen…

2 Tagen ago

Bericht: Microsoft strebt Übernahme des weltweiten Geschäfts von TikTok an

Dazu gehören auch die Märkte in Europa und Indien. US-Präsident Trump verstärkt indes den Druck…

2 Tagen ago

Durchgesickerte interne Dokumente: Intel prüft Einbruch in seine Systeme

Ein Hacker stiehlt angeblich 20 GByte Daten von Intel. Es handelt sich zum Teil um…

2 Tagen ago

Cisco warnt vor Sicherheitslücken in Routern, Switches und AnyConnect VPN

Sie erlauben Denial-of-Service-Angriffe und den Diebstahl vertraulicher Informationen. Der AnyConnect-Client für Windows gibt Hackern Zugriff…

3 Tagen ago

295 Chrome-Erweiterungen kapern Suchanzeigen von Google und Bing

AdGuard entdeckt sie bei der Suche nach gefälschten Adblockern. Die Erweiterungen bringen es zusammen auf…

3 Tagen ago

Samsung verlängert Android-Upgrades auf drei Jahre

Die Änderung gilt auch für ältere Smartphones wie das Galaxy S10. Es erfährt 2021 nun…

3 Tagen ago