Categories: SicherheitVirus

Sophos: Ransomware WastedLocker trickst Sicherheitsanwendungen aus

Sophos hat die Ransomware WastedLocker analysiert, die angeblich auch gegen Garmin eingesetzt wurde. Sie ist demnach besonders erfolgreich, weil sie in der Lage ist, eine Windows-Funktion zu missbrauchen, um eine Erkennung durch verhaltensbasierte Anti-Ransomware-Tools und andere Sicherheitsanwendungen zu umgehen.

WastedLocker interagiert der Analyse zufolge innerhalb des Arbeitsspeichers mit Funktionen von Windows-Programmierschnittstellen, was eine verhaltensbasierte Bewertung durch Sicherheitsanwendungen erschwert. Konkret soll die Erpressersoftware Dateien in den Arbeitsspeicher laden und dort verschlüsseln, um charakteristische Festplattenspeichervorgänge zu vermeiden.

Normalerweise würde laut Bleeping Computer eine Sicherheitsanwendung sich wiederholende Dateioperationen erkennen, die durch die Verschlüsselung ausgelöst werden: eine Datei muss zu diesem Zweck geöffnet, verändert und direkt danach wieder geschlossen werden.

Diesen Vorgang verlagern die Hintermänner von WastedLocker von der Festplatte in den Windows Cache Manager. Der Cache Manager wiederum ist für eine Sicherheitsanwendung ein legitimer Prozess – und die darin ausgeführten Operationen unauffällig.

„Das ist wirklich raffiniertes Zeug, sie graben sich tief in die Dinge ein, von denen nur die Leute, die die Interna von Windows geschrieben haben, ein Konzept haben sollten, wie die Mechanismen funktionieren könnten und wie sie Sicherheitswerkzeuge und Anti-Ransomware-Erkennung verwirren können“, sagte Chester Wisniewski, Principal Research Scientist bei Sophos.

Die Angriffe der Cyberkriminellen seien zudem sorgfältig geplant. Oftmals kämen gestohlene Anmeldedaten zum Einsatz, beispielsweise für VPN- oder Remote-Desktop-Lösungen. Die Covid-19-Pandemie begünstige offenbar dieses Vorgehen, das Unternehmen mehr Systeme für den Zugriff von außen zugänglich machten.

Generell geht Wisniewski davon aus, dass sich das Ransomware-Problem in absehbarer Zeit nicht lösen wird. Unternehmen müssten vor allem für eine zeitnahe Installation von Patches sorgen, um sich gegen WastedLocker und andere Erpressersoftware zu schützen.

ANZEIGE

Kollaborationsplattform Slack: Effizient arbeiten – egal von wo

Vor COVID-19 war Remote-Work für viele Unternehmen fast undenkbar. Heute haben sie erkannt, dass es sehr gut funktionieren kann, wenn die Rahmenbedingungen stimmen. Erfahren Sie in diesem Webinar, wie Sie mit der Kollaborationslösung Slack auf die veränderten Arbeitsbedingungen optimal reagieren können.

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Linux Foundation startet Open Voice Network

Die Linux Foundation setzt mit Partnern wie Microsoft, der Deutschen Telekom und der Schwarz Gruppe…

4 Stunden ago

Network as a Service: Das Ende der klassischen LAN-Konzepte

Telekom bietet mit Cisco Meraki Managed Service (CMMS) gute Argumente für Netzwerkumgebungen aus der Cloud

4 Stunden ago

Erst Vernetzung und Compliance machen IT-Sicherheit komplett

Angesichts steigender Schadenssummen und Bußgelder für Cyber-Vorfälle zahlen sich proaktiver Schutz sowie die Zusammenarbeit mit…

23 Stunden ago

Innsbrucker Forscher schrumpfen Quantencomputer

Bisher waren Quantencomputer riesige Geräte, die ganze Labore füllten. Jetzt haben Physiker der Universität Innsbruck…

1 Tag ago

Compliance und Technik sind kein Widerspruch

Gesetzliche und Branchenvorgaben (Compliance) muss jedes Unternehmen erfüllen. In einem Gastbeitrag schildert Bertram Dorn, Principal…

2 Tagen ago

Zwei Drittel der deutschen Unternehmen erleiden Ransomware-Attacken

67 Prozent der Unternehmen in Deutschland waren im Jahr 2020 von Ransomware-Angriffen betroffen. In einem…

2 Tagen ago