Der südkoreanische Webhoster Nayana ist Opfer einer Ransomware-Attacke geworden und hat sich mit über einer Million Dollar Lösegeld freigekauft. Das Unternehmen zahlte die Rekordsumme von 1,3 Milliarden Won (1,14 Millionen Dollar), um wieder an die verschlüsselten Daten zu kommen.
Nayana wurde am 10. Juni angegriffen und informierte daraufhin die Aufsichtsbehörde Korea Internet and Security Agency (KISA). Von der Verschlüsselung betroffen waren 153 von insgesamt 300 Servern, und damit wurden auch Tausende von Websites unerreichbar. Die Angreifer sperrten die ursprünglichen Daten und das Backup mit einem Passwort, sodass Nayana auch keine Wiederherstellung möglich wear.
Die Forderung betrug zuerst 826,2 Bitcoin oder 2,7 Milliarden südkoreanische Won. Wie ZDNet Korea (Google-Übersetzung) berichtet, reduzierten die Erpresser ihre Forderung später auf 1,8 Milliarden Won und einigten sich schließlich mit Nayana auf zu zahlende 1,3 Milliarden Won.
Loading ...Die Zahlung wurde in drei Teilbeträgen vereinbart. Um sie leisten zu können, musste Nayana Firmenanteile durch ein Unternehmen beleihen, das ihm zuvor ein Übernahmeangebot unterbreitet hatte. Die Hacker lieferten bislang den Schlüssel, um 50 der betroffenen 153 Server wiederherstellen zu können. Bis zum Ende des Monats hofft der erpresste Hoster, wieder über 90 Prozent seiner Server verfügen zu können.
Trend Micro machte die Ransomware Erebus hinter dem Angriff aus. Diese Schadsoftware war früher nur für Angriffe auf Windows-Rechner ausgelegt, wurde aber kürzlich in einer Variante modifiziert, um Linux-Systeme angreifen zu können. Die Verschlüsselung erfasste insgesamt 433 Dateitypen. Dabei ging es den Angreifern nicht nur um übliche Office-Dokumente, Datenbanken, Archive und Multimedia-Dateien, sondern gezielt um um die Verschlüsselung von Webservern und den auf ihnen gespeicherten Daten.
So lassen sich Risiken bei der Planung eines SAP S/4HANA-Projektes vermeiden
Ziel dieses Ratgebers ist es, SAP-Nutzern, die sich mit SAP S/4HANA auseinandersetzen, Denkanstöße zu liefern, wie sie Projektrisiken bei der Planung Ihres SAP S/4HANA-Projektes vermeiden können.
Wie der Angriff im Detail erfolgte, ist noch unklar. Die Sicherheitsexperten merken aber an, dass Nayana sich auf ebenso veraltete wie angreifbare Software verließ. So soll die Website des Hosters auf dem Linux-Kernel 2.6.24.2 laufen, der 2008 kompiliert wurde. Durch längst bekannte und nicht gepatchte Sicherheitslücken könnten die Angreifer daher Root-Rechte erlangt haben. Weitere Einfallstore öffneten 2006 veröffentlichte Versionen von Apache (1.3.36) und PHP (5.1.4) – auch für sie gibt es inzwischen reichlich Exploits. 
[mit Material von Cho Mu-Hyun, ZDNet.com]
Neueste Kommentare
8 Kommentare zu Ransomware: Webhoster zahlt 1 Million Dollar Lösegeld
Kommentar hinzufügenVielen Dank für Ihren Kommentar.
Ihr Kommentar wurde gespeichert und wartet auf Moderation.
Ich frage mich wieso man Bitcoin als Zahlungsmittel zulässt.
Ohne Bitcoin könnte so eine Erpressung gar nicht möglich sein.
Ohne Bitcoin zahlt man halt auf irgendein offshore Konto, Cayman Islands oder sonstige Bankparadise die keine Fragen stellen und keine beantworten.
Und die Frage ist:“Dabei ging es den Angreifern nicht nur um übliche Office-Dokumente, Datenbanken, Archive und Multimedia-Dateien, sondern gezielt um“ WAS?
Denn der Satz hört da nämlich auf.
Ich hoffe, dass nicht auch hier die Ransomware zugeschlagen hat, und ZDNet deshalb auch jede Menge Bitcoin oder Dollar bezahlen muss. ;-)
Der restliche Satz verschwand wohl beim späteren Einfügen der Webinar-Box und ist wieder da. Danke für den Hinweis!
Linux-Kernel 2.6.24.2, Apache 1.3.36, PHP 5.1.4…
… die Frage ist doch, kam der Angriff von innen oder außen?
Ohne Kenntnis des Weges der Eindringlinge kann ja eher schlecht über Schuld oder Nicht-Schuld von älteren Softwareversionen spekuliert werden…
Sicher stellt sich auch die Frage, ob der Angriff von innen oder von außen kam.
Nichtsdestotrotz ist die Nutzung veralteter angreifbarer Software für einen Hoster ein absolutes NoGo. Allein aufgrund dieser Tatsache werden ihm (hoffentlich) viele Kunden kündigen und sich einen seriöseren Anbieter suchen.
Ransomware-Angriffe kommen grundlegend von „Außen“, aber der eigentliche Auslöser sitzt meist im Unternehmen. Die meisten Angriffe dieser Art erfolgen durch Anhänge in e-mails. Sich dagegen zu schützen ist einerseits ein technischer Weg durch Überwachung des Mailverkehrs, und andererseits durch Schulung der Mitarbeiter.
Offensichtlich hat der Updateprozess nicht funktioniert, oder war nicht eingerichtet. Seine Software (alle installierte Software) auf dem aktuellen Stand zu halten ist eine Grundlage für jeden Nutzer von Computer und Co., und gerade natürlich für Unternehmen der IT-Branche.
Ein guter Schutz wäre billiger gewesen ………
Ich glaube wer so veraltete Software einsetzt, der hat auch alte Php Scripte und da ist Codeinjection ja einfach. Der Server sendet auch brav informationen die Nmap usw. nutzen also muss man nur einen Brückenkopf ins Netzwerk finden, intern ist es meist viel einfacher und das scheint passiert zu sein.