So greift EKANS Ransomware kritische Infrastrukturen an

Die Forscher Ben Hunter und Fred Gutierrez von FortiGuard Labs, der Analyseabteilung von Fortinet, haben festgestellt,  dass Malware, die für den Angriff auf industrielle Kontrollsysteme (ICS) entwickelt wurde, für Bedrohungsakteure weiterhin lukrativ ist.

Lösegeldforderungen mittels Ransomware können eine Infektion hervorrufen, die verheerende Auswirkungen haben kann, wenn sie gezielt gegen zentrale, kritische Systeme wie Versorgungs- und Fertigungssysteme angewendet wird. Damit stellen die Erpresser sicher, dass die angegriffenen Unternehmer tatsächlich Lösegeld bezahlen.

Die EKANS-Familie ist eine Ransomware-Variante, die in gezielten ICS-Kampagnen eingesetzt wurde. Den Forschern gelang es, zwei Exemplare im Detail zu prüfen, eine aus dem Mai und eine aus dem Juni.

Beide Windows-basierten Beispiele sind in GO geschrieben, einer Programmiersprache, die in der Malware-Entwicklergemeinde weit verbreitet ist, da sie relativ einfach für die Arbeit auf verschiedenen Betriebssystemen kompiliert werden kann. So können Angreifer ohne großen Aufwand Attacken gegen Windows, Linux und MacOS starten.

Um bei der Analyse zu helfen, hat FortiGuard einen EKANS-spezifischen Dissembler erstellt und festgestellt, dass die Malware trotz einer großen Anzahl von Codierungsfehlern in der Mai-Version der Lösegeldforderung – über 1200 Strings, um genau zu sein – immer noch in der Lage ist, Angriffe auf ICS-Systeme effektiv durchzuführen.

Es scheint, dass EKANS so konzipiert wurde, dass seine Opfer bewusst ausgewählt werden. Die Malware wird versuchen, ihr Ziel zu bestätigen, indem sie die Domäne auflöst, die zu einer Firma des Opfers gehört, und diese Informationen mit IP-Listen vergleicht. Wenn der Zielstatus nicht bestätigt wird, wird die Routine beendet. Sobald ein Ziel erfasst ist, sucht die Lösegeldforderung nach Domänencontrollern, um eine Kompromittierung zu erreichen.

Beide Versionen haben die Funktionalität einer typischen Lösegeldforderung mit Ransomware. Sobald sie auf einem anfälligen Rechner gelandet ist, ist die Malware in der Lage, Dateien zu verschlüsseln und eine Lösegeldforderung anzuzeigen, die gegen einen Entschlüsselungsschlüssel, der den Zugriff auf Systemdateien wiederherstellen kann oder auch nicht, zur Zahlung auffordert.

Das Juni-Beispiel geht jedoch über diese Funktionen hinaus und ist in der Lage, Funktionen auf hohem Niveau zu bieten, die in einer industriellen Umgebung verheerende Folgen haben könnten, einschließlich der Fähigkeit, Host-Firewalls abzuschalten.

Diese neue Erweiterung der EKANS-Funktionalität war nicht die einzige Verbesserung. Um alle bestehenden ICS-Schutzmechanismen zu umgehen, wird die Lösegeldforderung auch versuchen, die Firewall vor der Verschlüsselung abzuschalten, „wahrscheinlich um Antivirus- und andere Verteidigungslösungen zu erkennen, indem jegliche Kommunikation des Agenten blockiert wird“, so die Forscher.

EKANS verwendet die RSA-Verschlüsselung, um betroffene Rechner zu sperren, und startet einen Amoklauf gegen Prozesse, wobei jedes System, das zu einer Barriere für die Aktivitäten der Malware werden könnte, beendet und dabei Schattenkopien gelöscht werden, um die Wiederherstellung von Dateien zu erschweren.

Neben der Untersuchung dieser interessanten ICS-Malware veröffentlichte FortiGuard auch einen Leitfaden über die nach Ansicht des Cybersicherheitsunternehmens aktuellsten Techniken und Taktiken, die von industriellen Bedrohungsakteuren eingesetzt werden.

Dazu gehören das Ausnutzen von Remote-Diensten, die Verwendung von Credential-Dumps, die laterale Bewegung in Netzwerken, die Deaktivierung oder Änderung von Cyber-Sicherheitstools, die Beeinträchtigung der Verteidigung durch Deaktivierung von Windows-Ereignisprotokollen und die Änderung von Gruppenrichtlinien.