So greift EKANS Ransomware kritische Infrastrukturen an

Die Forscher Ben Hunter und Fred Gutierrez von FortiGuard Labs, der Analyseabteilung von Fortinet, haben festgestellt,  dass Malware, die für den Angriff auf industrielle Kontrollsysteme (ICS) entwickelt wurde, für Bedrohungsakteure weiterhin lukrativ ist.

Lösegeldforderungen mittels Ransomware können eine Infektion hervorrufen, die verheerende Auswirkungen haben kann, wenn sie gezielt gegen zentrale, kritische Systeme wie Versorgungs- und Fertigungssysteme angewendet wird. Damit stellen die Erpresser sicher, dass die angegriffenen Unternehmer tatsächlich Lösegeld bezahlen.

Die EKANS-Familie ist eine Ransomware-Variante, die in gezielten ICS-Kampagnen eingesetzt wurde. Den Forschern gelang es, zwei Exemplare im Detail zu prüfen, eine aus dem Mai und eine aus dem Juni.

Beide Windows-basierten Beispiele sind in GO geschrieben, einer Programmiersprache, die in der Malware-Entwicklergemeinde weit verbreitet ist, da sie relativ einfach für die Arbeit auf verschiedenen Betriebssystemen kompiliert werden kann. So können Angreifer ohne großen Aufwand Attacken gegen Windows, Linux und MacOS starten.

Um bei der Analyse zu helfen, hat FortiGuard einen EKANS-spezifischen Dissembler erstellt und festgestellt, dass die Malware trotz einer großen Anzahl von Codierungsfehlern in der Mai-Version der Lösegeldforderung – über 1200 Strings, um genau zu sein – immer noch in der Lage ist, Angriffe auf ICS-Systeme effektiv durchzuführen.

Es scheint, dass EKANS so konzipiert wurde, dass seine Opfer bewusst ausgewählt werden. Die Malware wird versuchen, ihr Ziel zu bestätigen, indem sie die Domäne auflöst, die zu einer Firma des Opfers gehört, und diese Informationen mit IP-Listen vergleicht. Wenn der Zielstatus nicht bestätigt wird, wird die Routine beendet. Sobald ein Ziel erfasst ist, sucht die Lösegeldforderung nach Domänencontrollern, um eine Kompromittierung zu erreichen.

Beide Versionen haben die Funktionalität einer typischen Lösegeldforderung mit Ransomware. Sobald sie auf einem anfälligen Rechner gelandet ist, ist die Malware in der Lage, Dateien zu verschlüsseln und eine Lösegeldforderung anzuzeigen, die gegen einen Entschlüsselungsschlüssel, der den Zugriff auf Systemdateien wiederherstellen kann oder auch nicht, zur Zahlung auffordert.

Das Juni-Beispiel geht jedoch über diese Funktionen hinaus und ist in der Lage, Funktionen auf hohem Niveau zu bieten, die in einer industriellen Umgebung verheerende Folgen haben könnten, einschließlich der Fähigkeit, Host-Firewalls abzuschalten.

Diese neue Erweiterung der EKANS-Funktionalität war nicht die einzige Verbesserung. Um alle bestehenden ICS-Schutzmechanismen zu umgehen, wird die Lösegeldforderung auch versuchen, die Firewall vor der Verschlüsselung abzuschalten, „wahrscheinlich um Antivirus- und andere Verteidigungslösungen zu erkennen, indem jegliche Kommunikation des Agenten blockiert wird“, so die Forscher.

EKANS verwendet die RSA-Verschlüsselung, um betroffene Rechner zu sperren, und startet einen Amoklauf gegen Prozesse, wobei jedes System, das zu einer Barriere für die Aktivitäten der Malware werden könnte, beendet und dabei Schattenkopien gelöscht werden, um die Wiederherstellung von Dateien zu erschweren.

Neben der Untersuchung dieser interessanten ICS-Malware veröffentlichte FortiGuard auch einen Leitfaden über die nach Ansicht des Cybersicherheitsunternehmens aktuellsten Techniken und Taktiken, die von industriellen Bedrohungsakteuren eingesetzt werden.

Dazu gehören das Ausnutzen von Remote-Diensten, die Verwendung von Credential-Dumps, die laterale Bewegung in Netzwerken, die Deaktivierung oder Änderung von Cyber-Sicherheitstools, die Beeinträchtigung der Verteidigung durch Deaktivierung von Windows-Ereignisprotokollen und die Änderung von Gruppenrichtlinien.

ANZEIGE

Auf zu neuen Höhen mit SkySQL, der ultimativen MariaDB Cloud

In diesem Webinar stellen wir Ihnen SkySQL vor, erläutern die Architektur und gehen auf die Unterschiede zu anderen Systemen wie Amazon RDS ein. Darüber hinaus erhalten Sie einen Einblick in die Produkt-Roadmap, eine Live-Demo und erfahren, wie Sie SkySQL innerhalb von nur wenigen Minuten in Betrieb nehmen können.

Jakob Jung

Recent Posts

Ohne Passwort-Management keine IT-Sicherheit

Neben hochentwickelten Firewalls und Authentifizierungsverfahren spielt eine möglichst hohe Passwortsicherheit eine entscheidende Rolle für die…

22 Stunden ago

Starke Leistung im kompakten Desktop-PC | MSI Business & Productivity Desktop-PCs für vielseitige Anwendungen

Ein klassischer Desktop-PC im Tower-Format ist nicht für jeden geeignet, besonders bei begrenztem Arbeitsraum. MSI…

1 Tag ago

Silicon Security Day Europe

Wie kann Künstliche Intelligenz helfen, den Krieg gegen Ransomware und "Nukleare" Ransomware 3.0 zu gewinnen?

1 Tag ago

Silicon Security Day Austria

Beim Silicon Security Day in Österreich am 2. Juni 2022 ab 9:45 Uhr dreht sich…

1 Tag ago

ONLYOFFICE kündigt umfangreiches Update für Kollaborationsplattform und Dokumenten-Editoren an

Die quelloffene Online-Office-Lösung ONLYOFFICE kündigt ein umfangreiches Update für ihre Kollaborationsplattform (ONLYOFFICE Workspace 12.0) und…

1 Tag ago

VeeamON: Veeam wird Marktführer bei Data Protection

Auf der Konferenz VeeamON zeigt sich Veeam sehr optimistisch. Die Zahlen unabhängiger Marktforscher bestätigen den…

2 Tagen ago