WannaCry ist ein Ransomware-Wurm, der im Mai 2017 weltweit hunderttausende Windows-Systeme infizierte und verschl\u00fcsselte. Das Schadprogramm nutzte den EternalBlue-Exploit gegen eine durch MS17-010 behobene Schwachstelle im Windows-SMB-Protokoll aus, um sich ohne weiteres Zutun von Nutzern selbstst\u00e4ndig im Netzwerk zu verbreiten. F\u00fcr die Entschl\u00fcsselung forderte WannaCry ein L\u00f6segeld von zun\u00e4chst umgerechnet etwa 300 US-Dollar in Bitcoin<\/strong>. Sp\u00e4ter stieg die Forderung auf 600 US-Dollar. F\u00fcr die weitere Verbreitung von WannaCry war keine Nutzerinteraktion erforderlich; es gen\u00fcgte eine erreichbare, ungepatchte Schwachstelle im Netzwerk. Betroffen waren unter anderem Krankenh\u00e4user, Telekommunikationsunternehmen und Beh\u00f6rden gleichzeitig in mehreren L\u00e4ndern<\/strong>, was den Angriff von zuvor bekannten, gezielteren Ransomware-Vorf\u00e4llen unterschied.<\/p>\n Nutzt WannaCry die Schwachstelle im SMB-Protokoll aus, kann sich der Wurm ohne weiteres Zutun der Mitarbeiter auf weitere verwundbare Windows-Systeme im Netzwerk eines Versicherers ausbreiten und diese verschl\u00fcsseln. Ungepatchte Systeme im selben Netzwerksegment bleiben dabei besonders gef\u00e4hrdet, sofern die SMB-Schwachstelle nicht durch ein Sicherheitsupdate geschlossen wurde. Ein einzelnes ungepatchtes System kann so zum Ausgangspunkt f\u00fcr die Verschl\u00fcsselung weiterer erreichbarer Systeme im selben Netzwerk werden, ohne dass ein Mitarbeiter daf\u00fcr eine E-Mail \u00f6ffnen oder einen Link anklicken muss<\/strong>.<\/p>\n WannaCry verbreitet sich, indem es den EternalBlue-Exploit gegen die SMB-Schwachstelle einsetzt, um sich ohne Zutun von Nutzern eigenst\u00e4ndig von System zu System im Netzwerk fortzupflanzen. Sobald ein verwundbares System erreicht ist, verschl\u00fcsselt die Ransomware lokale Dateien und sucht anschlie\u00dfend aktiv nach weiteren erreichbaren Zielen im selben Netzwerk<\/strong>. Diese Selbstst\u00e4ndigkeit unterscheidet den Wurm von Ransomware, die auf eine einzelne Nutzerinteraktion wie einen E-Mail-Anhang angewiesen ist, und erkl\u00e4rt, warum sich die Infektion ohne weiteres Zutun der Angreifer eigenst\u00e4ndig fortsetzte.<\/p>\n Vor der eigentlichen Verschl\u00fcsselung pr\u00fcfte die urspr\u00fcngliche WannaCry-Variante eine im Code hinterlegte Domain; war diese Domain erreichbar, beendete sich das Schadprogramm, ohne die Verschl\u00fcsselung auszul\u00f6sen. Diese Kill-Switch-Domain war zum Zeitpunkt des Angriffs nicht registriert<\/strong>; ein Sicherheitsforscher registrierte sie und aktivierte damit den Kill Switch, wodurch die Ausbreitung der urspr\u00fcnglichen Variante erheblich gebremst wurde. Sp\u00e4ter tauchten Varianten mit ge\u00e4nderten Kill-Switch-Domains auf, sodass die Registrierung einer einzelnen Domain nicht alle Varianten stoppte. Systeme, die zu diesem Zeitpunkt bereits verschl\u00fcsselt waren, blieben verschl\u00fcsselt. F\u00fcr neu erreichte Systeme gen\u00fcgte hingegen die erfolgreiche Abfrage der Domain, um die Verschl\u00fcsselung auf diesem konkreten System zu verhindern.<\/p>\nWie funktioniert WannaCry?<\/h2>\n
Woran erkenne ich WannaCry?<\/h2>\n