71 Opfer seit September: Forscher warnen vor Ransomware Egregor

Der Cybersicherheitsanbieter Digital Shadows hat die Aktivitäten der erstmals im September entdeckten Ransomware Egregor analysiert. Die in erster Linie gegen Organisationen und Unternehmen eingesetzte Erpressersoftware fand seitdem mindestens 71 Opfer in 19 Ländern weltweit. Darunter sind auch namhafte Unternehmen wie der Buchhändler Barnes & Noble und die Spieleentwickler Ubisoft und Crytek.

Die Forscher gehen davon aus, dass dies erst der Anfang einer möglicherweise langen Karriere der Ransomware Egregor ist. „Der Grad der Perfektion ihrer Angriffe, die Anpassungsfähigkeit an die Infizierung eines so breiten Spektrums von Opfern und die deutliche Zunahme ihrer Aktivitäten lassen vermuten, dass die Egregor-Ransomware-Betreiber ihre Malware schon seit einiger Zeit entwickeln und sie erst jetzt (bösartig) einsetzen“, sagte Lauren Palace, Analystin bei Digital Shadows.

Zum Erfolg von Egregor soll auch das Verschwinden der Ransomware Maze beigetragen habe. „Angesichts ihrer ausgefeilten technischen Fähigkeiten, die die Analyse von Malware erschweren und auf eine Vielzahl von Organisationen abzielen, können wir nur zu dem Schluss kommen, dass die Egregor-Erpresser wahrscheinlich auch in Zukunft fortbestehen und ein immer größeres Risiko für Organisationen darstellen wird“, ergänzte Palace.

Da Egregor noch nicht vollständig erforscht ist, ist den Forschern zufolge auch noch nicht klar, wie die Hintermänner in die Netzwerke ihrer Opfer eindringen. Der Code der Schadsoftware sei stark verschleiert, und zwar in einer Art, die es gezielt Sicherheitsexperten erschwere, die Malware vollständig zu analysieren. Trotzdem geht Digital Shadows davon aus, dass sich Egregor über Phishing-E-Mails verbreitet.

Darüber hinaus folge Egregor dem Beispiel anderer Ransomware-Familien. Um den Druck auf die Opfer zu erhöhen, verschlüssele die Schadsoftware nicht nur Dateien im Netzwerk, sondern ziehe zuvor auch unverschlüsselte Kopien ab, um mit deren Veröffentlichung zu drohen. In einigen Fällen würden sogar zusammen mit der Lösegeldforderung Auszüge aus diesen Daten veröffentlicht, um die Ernsthaftigkeit der Forderung zu unterstreichen.

Obwohl die Opfer sehr breit gestreut sind, fanden die Forscher von Digital Shadows doch ein Muster bei der Verbreitung von Egregor. Mehr als ein Drittel der Angriffe richtete sich gegen Hersteller von Industrieprodukten. Außerdem ist die Mehrheit der Opfer in den USA ansässig.

Kürzlich traf es allerdings den chilenischen Handelskonzern Cencosud. Bei diesem Angriff präsentierten die Hintermänner zudem eine neue Funktion von Egregor: Im Fall von Cencosud wurde die Lösegeldforderung nicht nur auf Bildschirmen ausgegeben, sondern auch auf allen im Netzwerk verfügbaren Druckern. Als Folge tauchten die Forderungen auch Quittungsdruckern an Kassen des Handelsunternehmens auf – für die Öffentlichkeit sichtbar.