Experten warnen vor neuer Malware 05.08.2019, 13:48 Uhr

Ransomware GermanWiper vernichtet Daten und will trotzdem Lösegeld

Ransomware verschlüsselt Nutzerdaten und verlangt eine Zahlung, um sie wieder nutzbar zu machen. Der neue Typus GermanWiper ist noch aggressiver und macht Dateien gänzlich unbrauchbar. Experten des BSI warnen.

Daten wegfegen

Alle Daten weg: Dann kann es sein, dass GermanWiper bei Ihnen am Werk war.

Foto: panthermedia.net/lightsource

Das IT-Notfallteam Cert-Bund (Computer Emergency Response Team des Bundes), das zum BSI (Bundesministerium für Sicherheit in der Informationstechnik) gehört, warnt vor einem neuen Fall von Ransomware mit der Bezeichnung GermanWiper. Unter einem „Wipe“ versteht man nicht das ungefragte Wischen der Windschutzscheibe im Stau. In der IT bezeichnet es ein unwiederbringliches Entfernen eines Datensatzes – und genau das unterscheidet GermanWiper von üblicher Ransomware.

GermanWiper lächelt den Nutzer zunächst an

Ähnlich wie vergangene Ransomware-Typen verbreitet sich auch GermanWiper über unverdächtige Anhänge im Mail-Postfach. Das Cert-Bund gibt bekannt, dass eine der Erscheinungsformen wie das Bewerbungsschreiben einer gewissen Lena Kretschmer aussieht. Mit einem sauberen Sprachbild unterscheidet sich GermanWiper auch dahingehend von der Konkurrenz, die oftmals krude oder ungewollt komisch anmutet.

Stattdessen hängen der Mail  „Arbeitszeugnisse, Lebenslauf, Bewerbungsfoto“ an. Tatsächlich ist ein Bewerbungsfoto in die Mail eingebunden, auf dem eine junge Dame den Leser freundlich anstrahlt. Mit einem generischen Anschreiben umgehen die Macher von GermanWiper den gängigen Rat von IT-Experten, niemals unerwartete Anhänge zu öffnen.

GermanWiper – eine besonders freche Ransomware

Malware des Typs Ransomware geht für gewöhnlich sehr aggressiv vor: Wenn der nichtsahnende Nutzer die Schadsoftware aktiviert, verschlüsselt diese weite Teile der Festplatte oder SSD des Rechners. Dafür reicht es schon, den unschuldig aussehenden Anhang einer obskuren Mail doppelzuklicken. Die Verschlüsselung macht die Daten ohne den passenden Schlüssel unbrauchbar. Wer den Schaden hat, braucht für den Spott nicht zu sorgen: Die Software bietet „freundlicherweise“ gegen Zahlung einer üppigen Summe per Kryptowährung den Schlüssel an. Doch Experten warnen: Eine Zahlung garantiert noch längst keine Umkehr der Verschlüsselung.

GermanWiper funktioniert weniger subtil: Statt die Daten zu verschlüsseln, ersetzt es sämtliche einer Datei zugrundeliegenden Zeichen durch Nullen. Ein Textdokument mit einer Dateigröße von 25 Kilobyte zum Beispiel besteht aus etwa 25.000 Zeichen. Viele davon kodieren die für den Nutzer unsichtbaren Eigenschaften des Dokuments und komplexere Funktionen wie Tabellen oder Kommentare. Hinzu kommt der eigentliche Inhalt, der auf dem Bildschirm lesbar ist. Ersetzt GermanWiper all diese Zeichen durch 25.000 Nullen, geht nicht nur der Text irreversibel verloren, sondern auch alles, was die Datei zu einem Textdokument macht. Trotzdem hinderte die Macher von GermanWiper das nicht daran, eine Lösegeldforderung einzubauen, die nichts bewirken kann.

Regelmäßige Backups bieten Schutz vor Ransomware

Ransomware war in der Vergangenheit ein häufiges Phänomen. Das Ziel sind gewöhnlich Maschinen, die wichtige Daten speichern, aber keine regelmäßigen externen Backups genießen. Die Initiative „No More Ransom“, die unter anderem von der Europol geleitet wird, stellt auf ihrer Seite eine kurze Anleitung auf, mit der sich künftige Ransomware-Katastrophen verhindern lassen. Als wichtigsten Rat geben die Experten mit, regelmäßig Daten zu sichern. Dazu bietet sich eine Cloud oder eine externe Festplatte an – oder beides parallel. Wichtig ist bei letzterer, dass sie nicht permanent am Rechner hängt, denn sonst könnte ein Angriff sie ebenso verschlüsseln. Ein Nutzer, der seine Dokumente extern abgelegt hat, kann im Fall einer Infektion einfach seinen Rechner neu aufsetzen und die Ransomware verliert ihre Macht.

Darüber hinaus empfiehlt die Europol robuste Antivirensoftware, die auch auf experimentelle Muster reagiert. Das kann zwar zu mehr falschen Positiven führen, aber könnte im Ernstfall ein neuartiges Virus erkennen. Zudem betont No More Ransom die Wichtigkeit von Betriebssystem-Updates. Dateiendungen sichtbar zu machen, hilft, zu erkennen, ob es sich um eine ausführbare Datei handelt, die Code injizieren kann, etwa .exe, .vbs und .scr. Aneinandergekettete Endungen seien nicht unüblich. Generell rät die Europol, niemandem zu trauen, da Kriminelle grundsätzlich versuchen würden, über gewonnenes Vertrauen Nutzer dazu zu bewegen, Anhänge anzuklicken. Und falls doch etwas schiefgeht: Rechner vom Netz trennen – das verhindere eine weitere Ausbreitung der Malware.

Stellenangebote im Bereich Softwareentwicklung

AGCO GmbH-Firmenlogo
AGCO GmbH Entwicklungsingenieur (m/w/d) Systems Engineering für den Bereich Elektrik/ Elektronik Marktoberdorf
info-tech solutions GmbH & CO KG-Firmenlogo
info-tech solutions GmbH & CO KG Entwicklungsingenieur (w/m/d) Informatik / Elektrotechnik / Elektronik Feldberg / Schwarzwald
Zeltwanger Holding GmbH-Firmenlogo
Zeltwanger Holding GmbH Softwareingenieur (m/w/d) Automatisierungstechnik Raum Tübingen
Güntner GmbH & Co. KG-Firmenlogo
Güntner GmbH & Co. KG Elektroingenieur / SPS-Programmierer (m/w/d) Fürstenfeldbruck
MEKRA Lang GmbH & Co. KG-Firmenlogo
MEKRA Lang GmbH & Co. KG Entwicklungsingenieur (m/w/d) Hardware / Software Ergersheim
Deutsches Elektronen-Synchrotron DESY-Firmenlogo
Deutsches Elektronen-Synchrotron DESY Elektrotechnikerin, Physikerin oder Informatikerin als Firmwareentwicklerin (w/m/d) VHDL-Programmierung Hamburg
Collins Aerospace - HS Elektronik Systeme GmbH-Firmenlogo
Collins Aerospace - HS Elektronik Systeme GmbH Software-Entwicklungsingenieur TU/FH (m/w/d) Nördlingen
Knorr-Bremse Systeme für Nutzfahrzeuge GmbH Schwieberdingen-Firmenlogo
Knorr-Bremse Systeme für Nutzfahrzeuge GmbH Schwieberdingen Ingenieur Embedded Software Entwicklung (m/w/d) Schwieberdingen bei Stuttgart
AVM Computersysteme Vertriebs GmbH-Firmenlogo
AVM Computersysteme Vertriebs GmbH Entwicklungsingenieur (w/m/d) für Produktionstestsysteme Berlin
Ferrero-Firmenlogo
Ferrero Spezialist (m/w/d) Automatisierungstechnik Stadtallendorf

Alle Softwareentwicklung Jobs

Top 5 IT & TK