Ransomware EKANS nimmt Industriekontrollsysteme ins Visier

Forscher von FortiGuard Labs haben die Ransomware EKANS analysiert, die auf Industriekontrollsysteme ausgerichtet ist. Sie befällt ausschließlich Windows-basierte Systeme und ist in der Lage, Dateien zu verschlüsseln. Seit Juni ist zudem eine weiterentwickelte Version im Umlauf, die sogar die Firewalls von infizierten Systemen abschalten kann.

Das erste Muster, das den Forschern Ben Hunter und Fred Gutierrez in die Hände fiel, wurde im Mai kompiliert. In dessen Code fanden sie zahlreiche Fehler – insgesamt mehr als 1200 Strings. Auf die Funktion der Erpressersoftware hatten sie jedoch keinen Einfluss.

Ihrer Analyse zufolge sucht sich EKANS seine Opfer gezielt aus. Dazu versucht die Malware, die Domain des infizierten Systems aufzulösen und mit einer Liste von IP-Adressen abzugleichen. Sollte das Ziel dabei nicht bestätigt wird, bricht die Ransomware ihre Routinen ab.

Wurde jedoch das richtige Ziel angegriffen, such die Ransomware nach Domänencontrollern. Sie verschlüsselt schließlich Dateien und zeigt auch eine Lösegeldforderung an. Ob die Hintermänner nach erfolgter Zahlung tatsächlich einen Entschlüsselungsschlüssel bereitstellen beziehungsweise oder dieser dann auch funktioniert, ist nicht bekannt.

Das zweite, im Juni kompilierte Muster, bietet zusätzliche Funktionen. Es ist offenbar in der Lage, Einstellungen des Industriekontrollsystems zu verändern. Unter anderem kann eine Firewall abgeschaltet werden. Die Forscher vermuten, dass auf diese Art Sicherheitsanwendungen und andere Schutzmaßnahmen erkannt und blockiert werden sollen.

Dateien macht EKANS mit einer RSA-Verschlüsselung unbrauchbar. Darüber hinaus soll die Erpressersoftware beliebige Prozesse beenden, die seine eigenen Aktivitäten behindern könnten. Zudem versucht EKANS, Schattenkopien zu löschen, um eine Wiederherstellung von Daten ohne Schlüssel zu erschweren.

Schon im März hatte FireEye vor einer Zunahme von Schadprogrammen und Hacking-Tools für Industriekontrollsysteme gewarnt. Die Mehrheit der bekannten ICS-Schädlinge ist demnach nicht auf bestimmte Hersteller beschränkt. Es soll aber auch Varianten geben, die nur Produkte eines spezifischen Anbieters befallen.