Ransomware “Ordinypt” greift als E-Mail-Bewerbung getarnt an

G Data hat vor einer neuerlichen Welle angeblicher Bewerbungen per E-Mail gewarnt, mit denen Ransomware verbreitet werden soll. Eine derartige Attacke, bei der gezielt Personalabteilungen mit darauf angepassten Anschreiben ins Visier genommen wurden, sorgte bereits zur Jahreswende 2016/17 für Schlagzeilen. Damals warnten Polizei und Bundesbehörden vor einer als Goldeneye bezeichneten und in angehängten Excel-Dateien verbreiteten Ransomware.

Ordinypt respektive HSDFSDCrypt (oder vollständig Win32.Trojan-Ransom.HSDFSDCrypt.A) kommt dagegen wie viele andere Schadprogramme auch als vermeintliche PDF-Datei im E-Mail-Anhang. Laut G-Data richten sich die E-Mails, mit denen Ordinypt verbreitet wird, gezielt an deutsche Unternehmen und sind in fehlerfreiem Deutsch verfasst.

Auch die Erpressernachricht auf den befallenen Rechnern ist in einwandfreiem Deutsch gehalten. Mit ihr werden für die Entschlüsselung 0,12 Bitcoin (derzeit rund 600 Euro) gefordert. Die Zahlung muss binnen sieben Tagen erfolgen. Andernfalls drohen die Kriminellen, den Decrypt-Key unweigerlich zu vernichten.

Bei der Analyse offenbarten sich einige, für derartige Malware untypische Eigenschaften. So ist der Programmcode zum Beispiel in Delphi. Die Nachricht enthält zudem Code, der jedes Mal eine neue Bitcoin-Adresse generiert, an die die Lösegeldzahlung erfolgen soll. Damit soll nach Auffassung von G-Data-Analyst Karsten Hahn die Verfolgung der Zahlungsströme für die Ermittlungsbehörden erschwert werden. Bisher sei dieses Verfahren noch bei keiner anderen Ransomware entdeckt worden.

Wie bei jeder Ransomware verschlüsselt auch Ordinypt die Dateien auf dem Rechner der Opfer. Die Dateinamen werden dabei scheinbar zufällig gewählt. In den Dateien selbst werden die verschlüsselten Daten noch zudem noch einmal in base64kodiert. Einen Grund dafür haben die Experten von G Data bislang noch nicht herausgefunden.