Angriffe mit erneuerter Variante der Ransomware Locky nehmen zu

Ciscos Sicherheitssparte Talos hat vor einem Wiederaufleben der Ransomware Locky gewarnt. Die 2016 sehr aktive Ransomware, aufgrund der Microsoft sogar die Sicherheitsfunktionen von Office 2016 angepasst hat, nutzte zunächst eine Lücke im Adobe Flash Player (CVE-2016-1019) und nachdem die von Adobe geschlossen worden war, dann eine Lücke im Windows Kernel (CVE-2015-1701). Locky verbreitete sich seit Februar vorwiegend über per E-Mail verschickte Word-Dokumente.

Die angeblichen Rechnungen enthielten ein Makro, das es Locky ermöglicht, auf den Rechner zu gelangen. Entdeckt hatte den Erpresser-Trojaner damals zuerst der Sicherheitsanbieter Palo Alto Networks. Eine ähnliche Technik verwendet auch die schont seit Jahren aktive Banking-Malware Dridex.

Nachdem in den vergangenen Monaten von Locky kaum etwas zu bemerken war, identifizierte Cisco Talos nun eine Kampagne mit über 35.000 E-Mails, mit denen die Ransomware Locky verteilt werden sollte. Die genauere Untersuchung zeigte, dass nun eine neue Infektionsmethode eingesetzt wird. Außerdem bauen die Hintermänner flankierend offenbar das Botnetz Necurs wieder aus. Sie setzen nun auf eine kombinierte Infektionsmethode.

Laut PhishMe versenden die Kriminellen wieder E-Mails mit Betreffzeilen, die Empfänger glauben lassen sollen, dass sich in dem angehängten Dokument wichtige Informationen zu Zahlungen oder Rechnungen enthalten sind. Statt einer Word-Datei ist aber diesmal eine PDF-Datei angehängt. Sie verlangt nach dem Öffnen die Erlaubnis, eine zweite Datei zu öffnen. Dabei handelt es sich dann wieder um eine Word-Datei, die Makros für den Download des Locky-Codes einsetzen will. Der schließlich verschlüsselt Dateien auf Rechner des Opfers und fordert ein Lösegeld für die Dechiffrierung. Der geforderte Betrag liegt mit rund 1100 Euro in Bitcoin höher als früher.

Der Einsatz von PDF-Dateien mit erforderlicher Interaktion des Nutzers wurde schon bei der Malware Dridex beobachtet. Talos sieht das wie schon Trend Micro 2016 als geeignete Technik, um Sandboxes zu überwinden, die ohne Nutzerinteraktion auskommen. Damit erhöhe sich dann die Wahrscheinlichkeit, dass die Datei es bis in die Mailbox der Nutzer schafft.

[mit Material von Bernd Kling, ZDNet.de]