Nachrichten, Gerüchte, Meldungen und Berichte aus der IT-Szene

Redaktion: Heinz Schmitz


Erpressungs-Malware TorrentLocker weiter aktiv

Fake Website
Fake-Website von A1. Downloadseite der österreichischen Kampagne ahmt A1 Telekom nach. (Bild: ESET)

Die bereits seit dem Jahr 2014 bekannte Verschlüsselungs-Malware "TorrentLocker" ist auch nach zwei Jahren noch aktiv und nimmt weiterhin lokale Firmen aus dem Energie-, Post- und Telekommunikationssektor ins Fadenkreuz. Dies geht aus einer Untersuchung des europäischen Security-Software-Herstellers ESET (http://www.eset.com/de) hervor, in der aktuelle Malware-Samples von TorrentLocker analysiert wurden.

 

Ein Artikel im ESET-Security-Blog WeLiveSecurity beleuchtet Ähnlichkeiten und Unterschiede zwischen TorrentLocker-Mustern aus den Jahren 2014 und 2016. Die Ergebnisse der Analyse: Wo 2014 nach Infektion von einem "CryptoLocker virus" gesprochen wurde, ist heute von "Crypt0l0cker" die Rede, obwohl der Schadcode und die Angriffsstrategie weitgehend unverändert blieben. Es handelt sich somit um eine alte Malware in neuem Gewand. Diese Indizien sprechen dafür, dass die Hintermänner der Malware identisch geblieben sind.

 

Wie schon 2014 werden auch weiterhin verseuchte E-Mails mit einem Link zu einem als wichtig gekennzeichneten Dokument verschickt, wie eine Rechnung oder ein Tracking-Code. Nach Download und Ausführen der Datei wird TorrentLocker aktiv und nimmt Verbindung zum Command & Control (C&C)-Server auf. Es folgt die Verschlüsselung der lokalen Dateien.

 

TorrentLocker tritt in gut getarnten, lokalisierten Versionen auf. Dies erschwert es den Opfern, die Software als bösartig zu identifizieren. In der DACH-Region fällt die gute Tarnung dreier Beispiele ins Auge, die sich allesamt als österreichische Unternehmen ausgeben (die vollständige Auflistung inklusive Bildmaterial findet sich im unten verlinkten Blog-Beitrag auf WeLiveSecurity):

- A1 Telekom

- Österreichische Post

- Verbund

 

Die URL-Adressen der Downloadseiten sind exklusiv aus dem Land abrufbar, das Ziel der Malware-Kampagne ist. Die Fake-Webseiten der österreichischen Unternehmen sind folglich nur von Österreich abrufbar - Deutsche oder Schweizer haben keinen Zugriff.

 

TorrentLocker nutzt neuerdings das Tor-Netzwerk zur Verschleierung der Adresse des C&C-Servers - 2014 lief die Verbindung noch über fest codierte Domains über HTTPS. Die Verschleierung über das Tor-Netzwerk macht es für Malware-Forscher und Ermittlungsbehörden extrem schwierig, die physikalische Adresse der C&C Server ausfindig zu machen.

 

Wo 2014 noch die kryptografische Bibliothek LibTomCrypt zum Einsatz kam, setzt die Malware neuerdings weitgehend auf die Microsoft CryptoAPI als Basiswerkzeug für die AES-256-Verschlüsselung. Je nach Kampagne variiert der Schlüssel. Die Kommunikation mit dem C&C-Server läuft AES-256-verschlüsselt. Im Gegensatz zu 2014 chiffriert die Schadsoftware die privaten Dateien nicht mehr bis zu den ersten 2 Megabyte, sondern nur noch bis zum ersten Megabyte. Die verschlüsselten Dateien enden nun mit zufälligen Strings, nicht mehr mit sequentiellen Nummern. Systemdateien bleiben unangetastet, das System folglich nutzbar.

 

Siehe auch:

http://www.welivesecurity.com/deutsch/2016/09/01/torrentlocker-ransomware-mit-gleicher-taktik-aktiv

http://www.welivesecurity.com/wp-content/uploads/2014/12/torrent_locker.pdf

Zurück