[vladi63]

Erpressungstrojaner: Ransomware "Petya" riegelt Rechner ganz ab



Laut einem Medienbericht verbreitet sich aktuell eine neue Ransomware im deutschsprachigen Raum. Der Erpressungs-Trojaner "Petya" wird über den Cloud-Service Dropbox verteilt und scheint infizierte Windows-Rechner komplett abriegeln zu können.

Bewerbung mit Folgen
Wie Heise berichtet, scheint die Ransomware mit dem Namen "Petya" seit Kurzem auch in Deutschland aktiv zu werden und immer mehr Rechner zu befallen. Nach dem Bericht wählen die Angreifer für die Verbreitung ihrer Schadsoftware einen eher ungewöhnlichen Weg: So setzt man offenbar auf E-Mails, die vermeintlich eine Bewerbung enthalten - ob diese entsprechend vornehmlich auch an Unternehmen versandt werden, ist aktuell noch nicht bekannt.

Video hier Klicken


In der Nachricht werden die Empfänger in perfektem Deutsch dazu aufgefordert, angebliche Bewerbungsunterlagen bei dem Cloud-Dienst Dropbox herunterzuladen, weil diese für einen Anhang zu groß gewesen seien. Wie Heise Security bei der genaueren Untersuchung feststellen konnte, wurde der Dropbox-Ordner passend mit "Bewerbungsmappe" benannt und mit einem vermeintlichen Bewerbungsfoto versehen. Hinter der Datei "Bewerbungsmappe-gepackt.exe", deren Programmsymbol dem eines bekannten Packprogramms entspricht, verbirgt sich dann der Trojaner "Petya".

Petya macht einfach alles dicht
Neben dem Verbreitungsweg zeigt die neue Ransomware auch auf infizierten Systemen ein ungewöhnliches Verhalten. Während andere Erpressungs-Trojaner meist nur Teile der Festplatte oder bestimmte Dateitypen verschlüsseln, sorgt "Petya" dafür, dass das Betriebssystem nicht mehr ausgeführt werden kann. Dafür manipuliert der Schädling den Master-Boot-Record (MBR) der Festplatte und erzeugt anschließend einen Bluescreen.

Nach dem erzwungenen Neustart wird der Nutzer dann mit einer ASCII-Grafik in Form eines Totenkopfs begrüßt und darauf hingewiesen, dass alle Festplatten verschlüsselt worden seien. Um den Rechner wieder freizugeben, fordern die Erpresser Lösegeld, das über eine Tor-Seite beglichen werden soll.

Allerdings ist aktuell noch gar nicht sicher, ob "Petya" tatsächlich dazu in der Lage ist, Festplatten zuverlässig zu verschlüsseln. Die Erpresser behaupten, für die Verschlüsselung auf RSA (4096 Bit und AES (256 Bit) zu setzen. Berichte, der Trojaner könnte durch eine Reparatur des Master-Boot-Record ausgehebelt werden, konnte Heise bisher nicht bestätigen.


Quelle