Virus Locky : Warnung: Cyber-Attacken auf Österreich
Die Schadcodes sind längst nicht mehr (nur) in Rechnung.zip-Dateien verpackt, auch Office-Dateien oder PDFs sind anfällig. Die neuesten Generationen der Ransomware kommen ganz ohne Anhänge aus und verwenden direkt in die E-Mail eingebettete JavaScripts, welche viel schwieriger zu erkennen sind und meist nur als "Erstinfektor" (Dropper) fungieren, um die eigentliche Malware nachzuladen.
Pro neuer Angriffswelle wird außerdem neuer Viren-Code verwendet, was die lokal eingesetzten AntiViren-Systeme in vielen Fällen an ihre Grenzen führt. Am schnellsten reagieren zentral vorgelagerte Mail-Security-Services, die solche Outbreaks auch generisch erkennen, ohne den neuen Virus vorab überhaupt zu Gesicht bekommen zu haben.
Vorsicht walten lassen und Neugierde zähmen
Sind Computer bzw. Netzwerk erst einmal verschlüsselt, gibt es kaum Chancen, die Daten zu dechiffrieren: "Cerber", "Locky", "Cryptowall" oder "Tesla Crypt" verwenden sowohl symmetrische als auch asymmetrische Schlüssel und sind nach anfänglichen Startschwierigkeiten mittlerweile leider so sauber programmiert, dass die von Ihnen verschlüsselten Systeme mit vertretbaren Mitteln nicht mehr entschlüsselt werden können.
Nur aktuelle Backups retten die Daten, das Einspielen bedeutet für größere Firmen und Organisationen allerdings einen nicht zu unterschätzenden Aufwand. Wir empfehlen daher dringend, besonders vorsichtig mit (möglichen) Viren-Mails umzugehen und im Zweifelsfall die Neugierde zu zähmen.
Die Experten von Ikarus raten darüber hinaus zu folgenden Maßnahmen:
Installieren und aktualisieren Sie AntiViren-Software, SPAM-Filter, Firewall und IPS so oft wie möglich.
Konfigurieren Sie SPAM-/Viren-Filter so, dass JavaScript-Inhalte von nicht vertraulichen Quellen geblockt werden.
Hindern Sie, wenn möglich, JavaScript am automatischen Ausführen (direkt im SPAM-Filter oder am Mailserver bzw. im E-Mail-Programm).
Löschen Sie Mails mit Links und Anhängen nicht bekannter Absender bzw. nicht erwartete Nachrichten im Zweifelsfall.
Halten Sie Betriebssysteme, Webbrowser, Java, Flash immer auf dem neusten Stand.
Hindern Sie die Verzeichnisse AppData und Startup am Ausführen von unbekannten Executables.
Deaktivieren Sie Makros oder verwenden Sie nur entsprechend signierte Makros.
Informieren Sie sich und Ihre Mitarbeiter über die aktuellen Gefahren.
Legen Sie aktuelle Backups an und bewahren Sie diese getrennt vom Rechner/Netzwerk auf.
Zahlen oder nicht zahlen?
Wenn es dennoch einmal passiert, die Daten bereits verschlüsselt sind und keine Backups vorliegen, stellt sich für viele Betroffene die Frage, wie es nun weitergehen könnte. Joe Pichlmayr, CEO von Ikarus Security Software: "Würde niemand zahlen, wäre der Erpressungs-Trojaner-Spuk gar nicht erst entstanden - nachdem aber viele bezahlen, um wieder an Ihre Daten zu kommen, werden wir wohl noch länger damit konfrontiert sein. Es liegt im Ermessen des jeweiligen Betroffenen, den Wert seiner Daten versus den Zwang der Erpressungssituation abzuwiegen. Wenn bezahlt wird, stehen die Chancen mittlerweile sehr hoch, die Daten mit einem passenden Schlüssel auch wieder entschlüsseln zu können. Die Angreifer haben längst kapiert, dass eine Zahlung ohne Gegenleistung ihr Geschäftsmodel massiv in Frage stellen würde."
Ungeachtet dessen empfiehlt Pichlmayr, betroffene Systeme jedenfalls neu aufzusetzen, da sonst nicht gewährleistet ist, dass der einmaligen Zahlung nicht bald regelmäßige folgen könnten. (pte)