Russland von neuer Ransomware-Welle getroffen

Der Januar 2019 verzeichnete einen dramatischen Anstieg schädlicher JavaScript-E-Mail-Anhänge. Im vorangegangenen Jahr gebrauchten weitaus weniger Cyber-Kriminelle diesen Angriffsvektor, wie Erkennungsdaten verdeutlichen. Nun entdeckte man neue Spam-Mails in russischer Sprache, die zur Ransomware Shade, auch bekannt als Troldesh, führen. Von ESET-Sicherheitsprodukten wird die Malware als Win32/Filecoder.Shade enttarnt.

Die Spam-Kampagne scheint der Nachfolger einer anderen zu sein, welche bereits im Oktober 2018 verbreitet wurde.

Die Ransomware-Spam-Kampagne von Januar 2019

ESET-Telemetriedaten zeigen, dass die Erkennungen für die voraus gegangene Kampagne ab Oktober 2018 bis zur zweiten Dezemberhälfte stetig anstiegen, um Weihnachten eine Pause einlegten und sich dann Mitte Januar 2019 verdoppelten (Abbildung 1). Die Einbrüche in den Erkennungsraten fanden immer an einem Wochenende statt. Das deutet darauf hin, dass die Malware-Kampagne hauptsächlich auf Unternehmen ausgerichtet war und ist.

Abbildung 1: Ernennungsraten des schädlichen JavaScripts, welches Win32/Filecoder.Share seit Oktober 2018 streut.

Die Kampagne ist offenbar Teil eines übergeordneten Trends, welcher sich seit Anbeginn des Jahres abzeichnet – Das Comeback schädlicher JavaScript-E-Mail-Anhänge als Angriffsvektor. Abbildung 2 verdeutlicht die Entwicklung der Verbreitung der Schad-Anhänge.

Abbildung 2: Erkennungsraten des schädlichen JavaScript-E-Mail-Anhangs, welchen ESET als JS/Danger.ScriptAttachement erkennt.

Die Shade-Ransomware verbreitende Malware-Kampagne konzentriert sich hauptsächlich auf den russischen Raum mit 52 Prozent aller Erkennungen. Zu den weiteren betroffenen Länder gehören aber auch Deutschland, die Ukraine, Frankreich und Japan (Abbildung 3).

Abbildung 3: Verteilung der ESET-Erkennungsraten in Bezug auf das schädliche JavaScript. (Zeitraum: 1.-24. Januar 2019)

Das Shade-Angriffsszenario

Das typische Angriffsszenario, um das schädliche JavaScript zu verbreiten, gestaltet sich folgendermaßen:

• Ein potentielles Opfer erhält eine russische E-Mail mit einer ZIP-Datei im Anhang namens „info.zip“ oder „inf.zip“.
• Die E-Mails stammen von augenscheinlich legitimen russischen Unternehmen und scheinen Informationen zu einer Bestellung bereitzustellen.

Die untersuchten E-Mails ahmen beispielsweise die russische Bank B&N oder die Einzelhandelskette Magnit nach.

Abbildung 4: Beispiel einer Spam-E-Mail aus der aktuellen Ransomware-Kampagne

In einer E-Mail, die durch die ESET-Sicherheitssysteme aufgefangen wurde, heißt es:

(Aus dem Russischen übersetzt)

Betreff: Details zur Bestellung

Hallo!
Wir senden Ihnen die Details zu Ihrer Bestellung. Anbei finden Sie ein Dokument.
Denis Kudrashev, Manager

Das angehangene ZIP-Archiv beinhaltet eine JavaScript-Datei namens “Информация.js“, zu Deutsch: „Informationen“. Wurde das Skript erst einmal extrahiert und gestartet, lädt es einen schädlichen Loader, den ESET als Win32/Injector identifiziert. Letztendlich entschlüsselt und startet dieser Loader die eigentliche Paylaod – die Shade-Ransomware.

Der schädliche Loader wird über eine kompromittierte WordPress-Seite bezogen, der sich dort als Bild-Datei versteckt. Um die WordPress-Webseite zu überwältigen, setzten die Cyber-Angreifer auf großangelegte Brute-Force-Attacken durch automatisierte Bots. ESET-Telemetrie zeigen, dass hunderte Bild-URLs existieren, die alle auf „ssj.jpg“ enden und den Loader beherbergen.

Der Loader ist mit einem ungültigen digitalen Zertifikat signiert, dass dem Anschein nach von Comodo stammt (Abbildung 5). Der Name unter „Signer information“ sowie der „Timestamp“ sind für jedes Malware-Sample einzigartig.

Abbildung 5: gefälschte digitale Signatur des Loaders

Außerdem versucht sich der Loader noch besser zu tarnen, in dem er den legitimen Windows System-Prozess Client Server Runtime Process (csrss.exe) nachahmt. Dieser kopiert sich selbst in folgendes Verzeichnis: C:\ProgramData\Windows\csrss.exe, wobei „\Windows“ ein versteckter Ordner ist. Normalerweise liegt der Windows-Ordner nicht im ProgramData-Verzeichnis.

Abbildung 6: Die Malware ahmt einen Windows System-Prozess nach und nutzt Versionsdetails, die von Windows Server 2012 R2 kopiert wurden.

Die eigentliche Payload – Shade-Ransomware

Als Essenz aus der ganzen Verschleierungstaktik geht die eigentliche Nutzlast der Malware hervor. Es ist die Crypto-Ransomware Shade – auch Troldesh genannt. Zuerst entdeckte man die Verschlüsselungs-Malware im Jahr 2014, diese taucht dann aber immer wieder ab und auf. Die Ransomware ist imstande, eine Vielzahl an Dateitypen auf der Festplatte zu verschlüsseln. In jüngeren Malware-Kampagnen fügte die Malware den verschlüsselten Dateien die Endung „.crypted000007“ an.

Die Zahlungsmodalitäten werden den Opfern in Form einer .txt-Datei präsentiert – in Russisch und Englisch – die auf jedes Laufwerk abgelegt wurde. Der Wortlaut der Lösegeld-Forderung stimmt mit dem aus der vorangegangenen Malware-Kampagne überein.

Abbildung 7: Die Lösegeldforderung der Shade-Ransomware vom Januar 2019

Wie man sich vor Ransomware schützen kann

• Verdächtige E-Mails auf Authentizität prüfen, bei großer Unsicherheit beim vermeintlichen Absender anrufen und nachhaken à Dazu die Kontaktdaten der echten Webpräsenz nutzen
• Keine Anhänge oder Links voreilig öffnen
• Gmail blockiert beispielsweise .js-Anhänge
• Anerkannte Sicherheitsprodukte, wie die von ESET, erkennen und blockieren schädliche E-Mails
• WordPress-Webseiten sollten mit einem starken Passwort oder einer noch besseren Passphrase und durch die Zwei-Faktor-Authentifizierung gesichert werden. WordPress selbst, Plugins und Themes müssen regelmäßig aktualisiert werden, um Sicherheitslücken zu schließen

Indicators of Compromise (IoCs)

Beispiel-Hashes der schädlichen ZIP-Anhänge:

Beispiel-Hashes des JavaScript-Downloaders:

Beispiel-Hashes der Shade-Ransomware:

Kampagnenspezifische Zeichenfolge in URLs, unter denen die Shade-Ransomware gehostet wird: