WastedLocker ist eine Ransomware-Familie, die seit Mai 2020 aktiv ist und gezielt gro\u00dfe Unternehmen im Rahmen sogenannter Big-Game-Hunting-Kampagnen angreift. Angreifer verschl\u00fcsseln nach dem Eindringen in ein Netzwerk Dateien auf den betroffenen Systemen und fordern anschlie\u00dfend L\u00f6segeld f\u00fcr deren Freigabe. Sicherheitsforscher bringen die Schadsoftware mit der Cybercrime-Gruppe Evil Corp<\/strong> in Verbindung, die sich auf finanziell motivierte Angriffe gegen zahlungskr\u00e4ftige Opfer spezialisiert hat. Ein hoher Automatisierungsgrad und eine gezielte Zielauswahl unterscheiden diese Kampagnen von breit gestreuten Ransomware-Wellen ohne vorherige Auswahl einzelner Opfer. Diese Vorgehensweise verschafft den Angreifern in Einzelf\u00e4llen deutlich h\u00f6here L\u00f6segeldsummen als bei ungezielten Massenangriffen<\/strong>. Verwandte Schadsoftware aus demselben Umfeld, etwa Hades, DoppelPaymer oder FriedEx, teilt einen Teil dieser Vorgehensweise.<\/p>\n Der CryptOne-Crypter erschwert durch eingef\u00fcgten Junk-Code die Analyse der Schadsoftware, bevor WastedLocker die eigentliche Verschl\u00fcsselung ausf\u00fchrt. Trifft der Angriff auf die Systeme eines Versicherers, verschl\u00fcsselt WastedLocker dort erreichbare Dateien und blockiert damit den Zugriff auf Kunden- und Vertragsdaten<\/strong>. Je nachdem, wie weit sich der kompromittierte Zugang im Netzwerk ausbreiten konnte, bleibt die Verschl\u00fcsselung auf einzelne Systeme begrenzt oder erfasst zentrale Serverstrukturen.<\/p>\n WastedLocker gelangt bei Evil-Corp-Kampagnen \u00fcber kompromittierte Webseiten mit gef\u00e4lschten Software-Updates auf ein System, sobald ein Nutzer das vermeintliche Update ausf\u00fchrt. Die betroffenen Webseiten sind dabei keine Zufallsauswahl, sondern Fachportale oder Nachrichtenseiten aus der Branche<\/strong> der anvisierten Zielunternehmen. Der eigens entwickelte Crypter CryptOne verschleiert den Schadcode dabei durch eingef\u00fcgten Junk-Code und erschwert so die automatisierte Analyse durch Sicherheitsprodukte. Nach der Ausf\u00fchrung verschl\u00fcsselt WastedLocker Dateien auf dem System und benennt sie nach einem festen Schema um, das eine Abk\u00fcrzung des Opfernamens sowie die Zeichenkette wasted enth\u00e4lt. Diese Umbenennung erlaubt es Sicherheitsteams, einen WastedLocker-Vorfall auch ohne vollst\u00e4ndige forensische Analyse anhand der Dateiendung von anderen Ransomware-Familien zu unterscheiden. Eine vollst\u00e4ndige Entschl\u00fcsselung ohne den beim Angreifer verbliebenen Schl\u00fcssel ist nach bisherigen Erkenntnissen von Sicherheitsforschern nicht dokumentiert<\/strong>. CryptOne kommt nach Angaben von Sicherheitsforschern auch bei verwandten Schadprogrammen wie ZLoader und Smokeloader zum Einsatz, was auf eine gemeinsame Werkzeugbasis der beteiligten Entwickler hindeutet.<\/p>\nWie funktioniert WastedLocker?<\/h2>\n
Woran erkenne ich WastedLocker?<\/h2>\n