Sophos: Ransomware WastedLocker trickst Sicherheitsanwendungen aus

Sophos hat die Ransomware WastedLocker analysiert, die angeblich auch gegen Garmin eingesetzt wurde. Sie ist demnach besonders erfolgreich, weil sie in der Lage ist, eine Windows-Funktion zu missbrauchen, um eine Erkennung durch verhaltensbasierte Anti-Ransomware-Tools und andere Sicherheitsanwendungen zu umgehen.

WastedLocker interagiert der Analyse zufolge innerhalb des Arbeitsspeichers mit Funktionen von Windows-Programmierschnittstellen, was eine verhaltensbasierte Bewertung durch Sicherheitsanwendungen erschwert. Konkret soll die Erpressersoftware Dateien in den Arbeitsspeicher laden und dort verschlüsseln, um charakteristische Festplattenspeichervorgänge zu vermeiden.

Normalerweise würde laut Bleeping Computer eine Sicherheitsanwendung sich wiederholende Dateioperationen erkennen, die durch die Verschlüsselung ausgelöst werden: eine Datei muss zu diesem Zweck geöffnet, verändert und direkt danach wieder geschlossen werden.

Diesen Vorgang verlagern die Hintermänner von WastedLocker von der Festplatte in den Windows Cache Manager. Der Cache Manager wiederum ist für eine Sicherheitsanwendung ein legitimer Prozess – und die darin ausgeführten Operationen unauffällig.

„Das ist wirklich raffiniertes Zeug, sie graben sich tief in die Dinge ein, von denen nur die Leute, die die Interna von Windows geschrieben haben, ein Konzept haben sollten, wie die Mechanismen funktionieren könnten und wie sie Sicherheitswerkzeuge und Anti-Ransomware-Erkennung verwirren können“, sagte Chester Wisniewski, Principal Research Scientist bei Sophos.

Die Angriffe der Cyberkriminellen seien zudem sorgfältig geplant. Oftmals kämen gestohlene Anmeldedaten zum Einsatz, beispielsweise für VPN- oder Remote-Desktop-Lösungen. Die Covid-19-Pandemie begünstige offenbar dieses Vorgehen, das Unternehmen mehr Systeme für den Zugriff von außen zugänglich machten.

Generell geht Wisniewski davon aus, dass sich das Ransomware-Problem in absehbarer Zeit nicht lösen wird. Unternehmen müssten vor allem für eine zeitnahe Installation von Patches sorgen, um sich gegen WastedLocker und andere Erpressersoftware zu schützen.