Vorsicht: Mail-Angriffswelle rollt durch Österreich

Die Security-Experten des heimischen Unternehmens IKARUS warnen aktuell vor einer der größten E-Mail-basierten Attacken der letzten Jahre. Vergleichbare Attacken in dieser Größenordnung und Häufigkeit liegen demnach schon mehr als zehn Jahre zurück. Für eine Infektion braucht es außerdem keine Anhänge mehr. [...]

Der Verschlüsselungs-Trojaner „Locky“ hat es in letzter Zeit häufig in die Schlagzeilen geschafft, beispielsweise mit der Verschlüsselung von Daten in zwei deutschen Krankenhäusern. Laut IKARUS scheint nun auch Österreich stärker ins Visier der Cyber-Erpresser geraten zu sein: Die Mail-Security-Filter von IKARUS zählen derzeit bis zu 200 Outbreaks täglich. Rund 20 dieser Outbreaks erreichen Dimensionen von mehreren Tausend infizierten E-Mails, die größten Angriffswellen prasseln aktuell mit mehr als 20.000 infizierten E-Mails auf Österreich ein. Vergleichbare E-Mail-basierte Attacken in dieser Größenordnung und Häufigkeit liegen schon mehr als zehn Jahre zurück.

GEFAHR AUCH OHNE ANHANG

Die Schadcodes sind längst nicht mehr (nur) in Rechnung.zip-Dateien verpackt, auch Office-Dateien oder PDFs sind anfällig. Die neuesten Generationen der Ransomware kommen ganz ohne Anhänge aus und verwenden direkt in die E-Mail eingebettete JavaScripts, welche viel schwieriger zu erkennen sind und meist nur als „Erstinfektor“ (Dropper) fungieren, um die eigentliche Malware nachzuladen.

Pro neuer Angriffswelle wird außerdem neuer Viren-Code verwendet, was die lokal eingesetzten AntiViren-Systeme in vielen Fällen an ihre Grenzen führt. Am schnellsten reagieren laut IKARUS zentral vorgelagerte Mail-Security-Services, die solche Outbreaks auch generisch erkennen, ohne den neuen Virus vorab überhaupt zu Gesicht bekommen zu haben.

Sind Computer bzw. Netzwerk erst einmal verschlüsselt, gibt es kaum Chancen, die Daten zu dechiffrieren: „Cerber“, „Locky“, „Cryptowall“ oder „Tesla Crypt“ verwenden sowohl symmetrische als auch asymmetrische Schlüssel und sind nach anfänglichen Startschwierigkeiten mittlerweile leider so sauber programmiert, dass die von Ihnen verschlüsselten Systeme mit vertretbaren Mitteln nicht mehr entschlüsselt werden können.

Nur aktuelle Backups retten die Daten ohne die Zahlung von Lösegeld, das Einspielen bedeutet für größere Firmen und Organisationen allerdings einen nicht zu unterschätzenden Aufwand. IKARUS empfiehlt daher dringend, besonders vorsichtig mit (möglichen) Viren-Mails umzugehen und im Zweifelsfall die Neugierde zu zähmen.

TIPPS FÜR DEN SCHUTZ

Die Experten von IKARUS raten darüber hinaus zu folgenden Maßnahmen, um sich vor den aktuellen und weiteren Angriffen zu schützen:

• Installieren und aktualisieren Sie AntiViren-Software, SPAM-Filter, Firewall und IPS so oft wie möglich.
• Konfigurieren Sie SPAM-/Viren-Filter so, dass JavaScript-Inhalte von nicht vertraulichen Quellen geblockt werden.
• Hindern Sie, wenn möglich, JavaScript am automatischen Ausführen (direkt im SPAM-Filter oder am Mailserver bzw. im E-Mail-Programm).
• Löschen Sie Mails mit Links und Anhängen nicht bekannter Absender bzw. nicht erwartete Nachrichten im Zweifelsfall.
• Halten Sie Betriebssysteme, Webbrowser, Java, Flash immer auf dem neusten Stand.
• Hindern Sie die Verzeichnisse AppData und Startup am Ausführen von unbekannten Executables.
• Deaktivieren Sie Makros oder verwenden Sie nur entsprechend signierte Makros.
• Informieren Sie sich und Ihre Mitarbeiter über die aktuellen Gefahren.
• Legen Sie aktuelle Backups an und bewahren Sie diese getrennt vom Rechner/Netzwerk auf.

ZAHLEN ODER NICHT ZAHLEN?

Wenn es dennoch einmal passiert, die Daten bereits verschlüsselt sind und keine Backups vorliegen, stellt sich für viele Betroffene die Frage, wie es nun weitergehen könnte. Joe Pichlmayr, CEO von IKARUS Security Software: „Würde niemand zahlen, wäre der Erpressungs-Trojaner-Spuk gar nicht erst entstanden – nachdem aber viele bezahlen, um wieder an Ihre Daten zu kommen, werden wir wohl noch länger damit konfrontiert sein. Es liegt im Ermessen des jeweiligen Betroffenen, den Wert seiner Daten versus den Zwang der Erpressungssituation abzuwiegen. Wenn bezahlt wird, stehen die Chancen mittlerweile sehr hoch, die Daten mit einem passenden Schlüssel auch wieder entschlüsseln zu können. Die Angreifer haben längst kapiert, dass eine Zahlung ohne Gegenleistung ihr Geschäftsmodel massiv in Frage stellen würde.“

Ungeachtet dessen empfiehlt Pichlmayr, betroffene Systeme jedenfalls neu aufzusetzen, da sonst nicht gewährleistet ist, dass der einmaligen Zahlung nicht bald regelmäßige folgen könnten. (pi/rnf)