Deutschland und Frankreich am stärksten von Locky betroffen
Der Verschlüsselungstrojaner (Ransomware) Locky ist auch weiterhin aktiv. Kaspersky Lab kennt derzeit (Stand 26. Februar 2016) über 60 Modifikationen von Locky. Analysen von Kaspersky Lab ergaben, dass Internetanwender in Deutschland und Frankreich der höchsten Gefährdung durch Locky ausgesetzt sind. Eine hohe Gefährdung besteht auch für Nutzer in Südafrika, Österreich, Italien, den USA, China und Indien[1].
Nach wie vor nutzt Locky insbesondere zwei Angriffsvektoren: Locky gelangt über gefälschte Rechnungen im E-Mail-Anhang auf den Rechner. Sobald das der E-Mail angehängte Dokument geöffnet wird, wird die Schadsoftware aus dem Internet nachgeladen – sofern die für die Infizierung nötigen Makros aktiviert sind. Daneben kennt Kaspersky Lab auch legitime Internetseiten, auf denen die Locky-Schadsoftware platziert wurde. Besucht ein Nutzer – mit entsprechenden Software-Schwachstellen auf seinem Rechner – eine entsprechende Seite, versucht sich Locky automatisch auf diesem Rechner zu installieren. In neueren Versionen tarnt sich Locky auch als Fax- oder Scanner-Benachrichtigung. Sobald Locky [2] einen Weg auf den infizierten Rechner gefunden hat, startet der Trojaner seine Verschlüsselungsaktivitäten und fordert im Anschluss von den Opfern ein Lösegeld [3].
„Die Kriminellen hinter Locky versuchen derzeit aus der Erpressersoftware alles rauszuholen und größtmöglichen Profit zu erzielen“, sagt Marco Preuss, Leiter des europäischen Forschungs- und Entwicklungsteams von Kaspersky Lab. „Locky ist kein ‚Kinderfasching‘, hier hat jemand viel kriminelle Energie investiert.“
Wird das Jahr 2016 zum Jahr der Ransomware?
Erpressungs- und Verschlüsselungstrojaner sind kein neues Phänomen. Bekannte Fälle sind beispielsweise Coinvault oder Teslacrypt. Auch mobile Ransomware, die sich gegen Android-Nutzer richtet, ist weiter auf dem Vormarsch. Laut des Kaspersky Security Bulletin 2015/2016 [4] hatte es bereits im vergangen Jahr 2015 jede sechste Ransomware-Attacke auf Android-Geräte abgesehen. Insgesamt gab es 2015 bei den von Ransomware attackierten Nutzern weltweit einen Anstieg um 48,3 Prozentpunkte [5].
Locky setzt diesen Trend fort. „2016 wird wohl das Jahr der Ransomware. Allein im Februar 2016 haben wir auf unsere Kunden so viele Angriffsversuche durch Ransomware gezählt wie etwa in den vorangegangenen fünf Monaten“, ergänzt Marco Preuss.
Aktuell zählt Kaspersky Lab im Februar 2016 bereits über 40.000 infizierungsversuche durch Ransomware auf seine Kunden. Im weltweiten Vergleich liegt Deutschland auf Rang 3 der durch Ransomware gefährdeten Länder, hinter Russland und Indien.
Kaspersky-Sicherheitstipps
Um sich vor einem Ransomware-Angriff zu schützen, empfiehlt Kaspersky Lab die folgenden Sicherheitsmaßnahmen:
- Vorsicht bei E-Mail-Anhängen: Nutzer sollten keine Attachments innerhalb von E-Mails von unbekannten Personen öffnen. Zudem empfiehlt es sich, die Makro-Funktion in Dokumenten zu deaktivieren, weil sich Locky über eben diese auf einem Rechner einnistet.
- Regelmäßig Backups erstellen, damit man im Ernstfall wieder auf die verschlüsselten Daten zurückgreifen kann.
- Software aktualisieren: Betriebssystem, Browser und alle weiteren genutzten Programme sollten immer mit den aktuell verfügbaren Patches auf den neuesten Stand gebracht werden.
- Aktuelle Sicherheitssoftware einsetzen: Moderne Antivirenschutzlösungen wie Kaspersky Total Security – Multi-Device [6] schützen vor einer Infizierung. Mittels spezieller Technologien wie dem Aktivitätsmonitor von Kaspersky Lab können bei einer unerlaubten Verschlüsselung die betroffenen Daten wiederhergestellt und ein System auf den ursprünglichen Zustand zurückgesetzt werden.
- Nicht bezahlen: Kaspersky Lab rät davon ab, das geforderte Lösegeld zu bezahlen. Stattdessen sollten bei digitalen Erpressungsversuchen die Strafverfolgungsbehörden eingeschaltet werden.
Die Lösungen von Kaspersky Lab erkennen und blockieren Locky unter dem Namen „Trojan-Ransom.Win32.Locky“. Die Signaturdatenbanken wurden bereits am 07. Februar 2016 entsprechend aktualisiert. Zudem wurde die maliziöse Aktivität eines laufenden Locky-Prozesses bereits proaktiv durch die verhaltensbasierte Kaspersky-Technologie Aktivitätsmonitor [7] erkannt, die einen speziellen Ransomware-Schutz bietet.
[1]http://newsroom.kaspersky.eu/fileadmin/user_upload/de/Downloads/PDFs/Kaspersky-Grafik_Locky-Infizierungskarte.png / Die Analyse von Kaspersky Lab basiert auf anonymen Daten, die aus dem cloudbasierten Kaspersky Security Network (KSN) gewonnen werden. Am KSN können Kaspersky-Kunden auf freiwilliger Basis teilnehmen. Die von Kaspersky Lab erhobenen Daten werden anonym und vertraulich behandelt. Es werden keine persönlichen Daten wie zum Beispiel Passwörter gesammelt. Über das KSN erhält Kaspersky Lab Informationen über Infizierungsversuche und Malware-Attacken. Die dabei gewonnenen Informationen helfen vor allem den Echtzeitschutz für Kaspersky-Kunden zu verbessern. Ausführliche Informationen über das KSN sind in einem Whitepaper aufgeführt, das unter http://www.kaspersky.com/images/KESB_Whitepaper_KSN_ENG_final.pdf abrufbar ist.
[3]http://newsroom.kaspersky.eu/fileadmin/user_upload/de/Downloads/PDFs/Kaspersky_Screenshot_Locky-Verschluesselung.jpg und http://newsroom.kaspersky.eu/fileadmin/user_upload/de/Downloads/PDFs/Kaspersky_Screenshot_Locky-Verschluesselung_2.jpg
[6]http://www.kaspersky.com/de/total-security-multi-device
[7]http://www.kaspersky.com/images/Kaspersky_Lab_Whitepaper_System_Watcher_ENG.pdf
Nützliche Links:
- Blog zu mobiler Ransomware: https://securelist.com/blog/mobile/63767/the-first-mobile-encryptor-trojan/
- Gesammelte Blogbeiträge zu Ransomware: https://securelist.com/all/?tag=121
