Petya ist eine Ransomware-Familie, die den Master Boot Record und die Master File Table einer Festplatte verschl\u00fcsselt und dadurch den Zugriff auf das gesamte Betriebssystem sperrt. Weil die Verschl\u00fcsselung tiefer im System ansetzt als bei dateibasierter Ransomware, kann der Rechner den Systemstart nicht mehr abschlie\u00dfen<\/strong>, noch bevor eine Zahlungsaufforderung erscheint. Eine Petya-Variante wurde mit der zus\u00e4tzlichen Ransomware-Komponente Mischa kombiniert, die eine klassische Dateiverschl\u00fcsselung durchf\u00fchrt, sofern Petya mangels Administratorrechten den Master Boot Record nicht \u00fcberschreiben kann. Dadurch bleibt die Schadsoftware auch auf Systemen wirksam, auf denen die tiefere Systemebene nicht erreichbar ist.<\/p>\n Auf einem Arbeitsplatzrechner eines Versicherers verhindert die Verschl\u00fcsselung des Bootsektors den Systemstart bereits, bevor eine Zahlungsaufforderung \u00fcberhaupt sichtbar wird. Ein Zugriff auf lokal gespeicherte Unterlagen oder Anwendungen ist damit ausgeschlossen, solange die betroffene Festplatte nicht neu aufgesetzt oder aus einem Systemabbild wiederhergestellt wird. F\u00fcr die Bearbeitung laufender Vorg\u00e4nge bedeutet das einen vollst\u00e4ndigen Stillstand des Arbeitsplatzes<\/strong>, unabh\u00e4ngig davon, ob einzelne Dateien darauf \u00fcberhaupt verschl\u00fcsselt wurden. Weil Kundenanliegen und Vertragsunterlagen teils lokal zwischengespeichert werden, wirkt sich der Stillstand unmittelbar auf die Bearbeitungsgeschwindigkeit aus.<\/p>\n Petya funktioniert, indem die Schadsoftware nach der Ausf\u00fchrung zun\u00e4chst einen Systemneustart erzwingt und dabei den Master Boot Record der Festplatte \u00fcberschreibt. Beim folgenden Start zeigt der Rechner eine gef\u00e4lschte Systempr\u00fcfung<\/strong>, hinter der sich die eigentliche Verschl\u00fcsselung der Master File Table verbirgt, w\u00e4hrend der Nutzer einen gew\u00f6hnlichen Wartungsvorgang vermutet.<\/p>\n Ohne eine intakte Master File Table kann das Betriebssystem den Speicherort seiner eigenen Dateien nicht mehr finden, wodurch der regul\u00e4re Systemstart bereits vor der Anmeldung scheitert<\/strong>. Erst danach erscheint auf dem gesperrten Bildschirm die L\u00f6segeldforderung mit Zahlungsanweisung. Fehlen einem Petya-Prozess die notwendigen Administratorrechte, um den Master Boot Record zu \u00fcberschreiben, springt bei manchen Varianten stattdessen die kombinierte Komponente Mischa<\/strong> ein und verschl\u00fcsselt einzelne Dateien direkt, ohne den Bootvorgang zu manipulieren. So bleibt die Schadsoftware auch dann wirksam, wenn ihr die f\u00fcr den ersten Angriffsweg n\u00f6tigen Rechte fehlen. Weder ein Virenscanner noch ein Backup einzelner Dateien verhindert diesen fr\u00fchen Eingriff, da beide erst nach dem eigentlichen Systemstart wirksam werden.<\/p>\nWie funktioniert Petya?<\/h2>\n
Woran erkenne ich Petya?<\/h2>\n