Ordinypt-Ransomware nimmt Nutzer in Deutschland ins Visier

Der Bochumer Sicherheitsanbieter G Data hat die in der vergangenen Woche entdeckte Ransomware Ordinypt untersucht. Sie wird derzeit offenbar fast ausschließlich in Deutschland verteilt, wie Bleeping Computer unter Berufung auf Zahlen von VirusTotal berichtet. Auch die Lösegeldforderung ist demnach in „fehlerfreiem“ Deutsch verfasst.

Die Verbreitung erfolgt wie bei anderen Schadprogrammen auch per E-Mail. Ordinypt versteckt sich in angeblichen Bewerbungsunterlagen, die massenhaft an Personalabteilungen deutscher Unternehmen verschickt werden. Bei den Anhängen handelt es sich um ausführbare Dateien, die ein PDF-Logo sowie zwei Dateiendungen haben. Da ab Werk auf Windows-Systemen bekannte Dateiendungen ausgeblendet werden, wird aus der ausführbaren Datei „Viktoria Henschel – Bewerbung – November.pdf.exe“ die vermeintlich harmlose PDF-Datei „Viktoria Henschel – Bewerbung – November.pdf“.

Ordinypt gibt sich jedoch nicht die Mühe, die Dateien seiner Opfer zu verschlüsseln. Stattdessen generiert die Malware eine zufällige Zeichenfolge aus Groß- und Kleinbuchstaben sowie Zahlen und ersetzt damit die Originaldatei, die unwiderruflich gelöscht wird. Die „verschlüsselten“ Dateien haben laut dem auf Reverse Engineering spezialisierten Forscher Philipp Mackensen anschließend jeweils eine Größe zwischen 8 und 24 KByte, und zwar unabhängig von der Größe des Originals.

Die „Platzhalter“ würden wahrscheinlich angelegt, um den Opfer vorzugaukeln, sie hätten es tatsächlich mit einer Ransomware zu tun und nicht mit einem sogenannten Wiper, der Dateien löscht. Der Algorithmus für die Generierung der zufälligen Daten werde zudem benutzt, um Namen für die Ersatzdateien zu erzeugen.

Seine Lösegeldforderung legt Ordinypt trotzdem in jedem Ordner ab, dessen Inhalt zuvor vernichtet wurde. Darin wird ein Betrag von 0,12 Bitcoin gefordert, der ungefähr 600 Euro entsprechen soll. Außerdem beschreiben die Erpresser darin, wo man Bitcoins erwerben kann und wie die Zahlung erfolgt. Schließlich versprechen sie, nach Erhalt des Lösegelds eine „Entschlüsselungs-Software sowie den dazugehörigen Decrypt-Key“ zur Verfügung zu stellen. Die Zahlung müsse innerhalb von sieben Tagen erfolgen – danach werde der Decrypt-Key unwiderruflich gelöscht, was eine Wiederherstellung unmöglich mache.

Eine Möglichkeit die Erpresser zu kontaktieren gibt es dem Bericht zufolge nicht. Alle Anzeichen deuteten darauf hin, dass es den Hintermännern nur darum gehe, Daten zu zerstören.