TorrentLocker: Erpressungs-Malware weiter in Österreich aktiv TorrentLocker: Erpressungs-Malware weiter in Österreich aktiv - Computerwelt

Computerwelt: Aktuelle IT-News Österreich


02.09.2016 Wolfgang Franz/pi

TorrentLocker: Erpressungs-Malware weiter in Österreich aktiv

Laut ESET nimmt TorrentLocker Unternehmen aus Energie-, Post- und Telekommunikationssektor ins Visier.

Downloadseite der österreichischen Kampagne ahmt A1 Telekom nach.

Downloadseite der österreichischen Kampagne ahmt A1 Telekom nach.

© ESET

Die bereits seit dem Jahr 2014 bekannte Verschlüsselungs-Malware TorrentLocker ist auch nach zwei Jahren noch aktiv und nimmt weiterhin lokale Firmen aus dem Energie-, Post- und Telekommunikationssektor ins Fadenkreuz. Dies geht aus einer Untersuchung des europäischen Security-Software-Herstellers ESET hervor, in der aktuelle Malware-Samples von TorrentLocker analysiert wurden.
 
Ein  veröffentlichter Artikel im ESET Security-Blog WeLiveSecurity beleuchtet Ähnlichkeiten und Unterschiede zwischen TorrentLocker-Mustern aus den Jahren 2014 und 2016. Die Ergebnisse der Analyse:

Die Infektionsbenachrichtigung hat sich verändertWo 2014 nach Infektion von einem CryptoLocker virus gesprochen wurde, ist heute von Crypt0l0cker die Rede, obwohl der Schadcode und die Angriffsstrategie weitgehend unverändert blieben. Es handelt sich somit um eine alte Malware in neuem Gewand. Diese Indizien sprechen dafür, dass die Hintermänner der Malware identisch geblieben sind.


Identische Verbreitungsstrategie
Wie schon 2014 werden auch weiterhin verseuchte E-Mails mit einem Link zu einem als wichtig gekennzeichneten Dokument verschickt, wie eine Rechnung oder ein Tracking-Code. Nach Download und Ausführen der Datei wird TorrentLocker aktiv und nimmt Verbindung zum Command & Control (C&C)-Server auf. Es folgt die Verschlüsselung der lokalen Dateien.

Geo-lokalisiertes Auftreten
TorrentLocker tritt in gut getarnten, lokalisierten Versionen auf. Dies erschwert es den Opfern, die Software als bösartig zu identifizieren. In der DACH-Region fällt die gute Tarnung dreier Beispiele ins Auge, die sich allesamt als österreichische Unternehmen ausgeben. Die URL-Adressen der Downloadseiten sind exklusiv aus dem Land abrufbar, das Ziel der Malware-Kampagne ist. Die Fake-Webseiten der österreichischen Unternehmen sind folglich nur von Österreich abrufbar – Deutsche oder Schweizer haben keinen Zugriff.

Kontaktaufnahme mit C&C-Server über Tor-Netzwerk
TorrentLocker nutzt neuerdings das Tor-Netzwerk zur Verschleierung der Adresse des C&C-Servers – 2014 lief die Verbindung noch über fest codierte Domains über HTTPS.
Die Verschleierung über das Tor-Netzwerk macht es für Malware-Forscher und Ermittlungsbehörden extrem schwierig, die physikalische Adresse der C&C Server ausfindig zu machen.

TorrentLocker verschlüsselt private Daten mit AES-256-CBC
Wo 2014 noch die kryptografische Bibliothek LibTomCrypt zum Einsatz kam, setzt die Malware neuerdings weitgehend auf die Microsoft CryptoAPI als Basiswerkzeug für die AES-256-Verschlüsselung. Je nach Kampagne variiert der Schlüssel.
Die Kommunikation mit dem C&C-Server läuft AES-256-verschlüsselt.

Im Gegensatz zu 2014 chiffriert die Schadsoftware die privaten Dateien nicht mehr bis zu den ersten 2 Megabyte, sondern nur noch bis zum ersten Megabyte.
Die verschlüsselten Dateien enden nun mit zufälligen Strings, nicht mehr mit sequentiellen Nummern. Systemdateien bleiben unangetastet, das System folglich nutzbar.

Diesen Artikel

Bewertung:

Übermittlung Ihrer Stimme...
Noch nicht bewertet. Seien Sie der Erste, der diesen Artikel bewertet!
Klicken Sie auf den Bewertungsbalken, um diesen Artikel zu bewerten.
  Sponsored Links:

IT-News täglich per Newsletter

E-Mail:
Weitere CW-Newsletter

CW Premium Zugang

Whitepaper und Printausgabe lesen.  

kostenlos registrieren

Aktuelle Praxisreports

(c) FotoliaHunderte Berichte über IKT Projekte aus Österreich. Suchen Sie nach Unternehmen oder Lösungen.

Zum Thema

  • Anexia

    Anexia Application Service Providing, Auftragsentwicklung für Software, Individual-Softwareentwicklung, RZ-Dienstleistungen, Übernahme von Softwareprojekten, User Helpdesk-Systeme und Hotlines mehr
  • APC Business Services GmbH

    APC Business Services GmbH IT-Personalbereitstellung, Individual-Softwareentwicklung, IKT-Consulting mehr
  • free-com solutions gmbh

    free-com solutions gmbh Werbewirtschaft, Wasser- und Energieversorgung, Vereine und Verbände, Umweltschutz, Touristik, Personenverkehr, Öffentliche Verwaltung,... mehr
  • eyepin GmbH

    eyepin GmbH Application Service Providing, Auftragsentwicklung für Software, Individual-Softwareentwicklung, Programmierung, Übernahme von Softwareprojekten mehr

Hosted by:    Security Monitoring by: