Cactus: Neue Ransomware greift VPN-Schwachstellen an

Sicherheitsforscher haben eine neue ausgeklügelte Ransomware entdeckt, die über Schwachstellen in VPN-Appliances in Netzwerke eingeschleust wird. Einem Blogeintrag von Bitdefender zufolge wird Cactus derzeit gegen hochrangige Wirtschaftsziele eingesetzt.

Einer Analyse von Cybersecurity-Experten des Sicherheitsanbieters Kroll zufolge ist die Ransomware Cactus in der Lage, sich selbst zu verschlüsseln. Das soll eine Erkennung durch Antivirensoftware und somit eine Bekämpfung der Erpressersoftware erschweren.

Entschlüsselung erfolgt per 7-Zip

Die Hintermänner der Ransomware Cactus dringen über Sicherheitslücken in VPN-Server sowie kompromittierte Dienstkosten in die Netzwerke ihrer Opfer ein. Zudem verwenden die Cactus-Entwickler ein Batch-Skript, um die Verschlüsselungs-Binärdatei mit Hilfe des Komprimierungs-Tools 7-Zip zu extrahieren. Sobald die Binärdatei extrahiert wurde, wird das ursprüngliche Zip-Archiv gelöscht und die Binärdatei mit einem bestimmten Parameter ausgeführt.

Nach dem Eindringen in ein Netzwerk verwenden die Cybererpresser eine Kombination auf geplanten Aufgaben und einer SSH-Backdoor, um Cactus dauerhaft einzurichten und das Netzwerk zu erkunden. Dabei werden entfernte Hosts erfasst und Benutzerkonten identifiziert.

Ein weiteres Batch-Skript soll dem Bericht zufolge gängige Sicherheitsanwendungen deinstallieren. Zudem setzt die Cactus-Gruppe auch auf das Geschäftsmodell Double Extortion: Vor der Verschlüsselung werden Dateien auf einen Cloud-Server kopiert, um Opfer zusätzlich mit einer möglichen Veröffentlichung ihrer Daten zu erpressen – was auch in der Lösegeldforderung angedroht wird. Bisher sei jedoch keine Leak-Website für die Veröffentlichung von Daten entdeckt worden.