Startseite > Embedded > Software > Ramsonware tarnt sich als Bewerbung

Cyber-Angriff

Ramsonware tarnt sich als Bewerbung

6. September 2018, 9:17 Uhr |

Sie haben In Ihrem Mail-Postfach eine Initiativ-Bewerbung erhalten? Dann ist die Wahrscheinlichkeit hoch, dass es sich um eine Cyber-Attacke handelt.

▶ Diesen Artikel anhören

Sicherheitsexperten entdecken täglich neue Versionen. Allen gemeinsam ist bisher, dass die Mail das Bewerbungsfoto einer Frau und eine Zip-Datei mit den angeblichen Bewerbungsunterlagen enthält.

Die Kampagne ist professionell aufgezogen: Das Bewerbungsfoto ist professionell aufgenommen und im Text finden sich keine orthographischen Fehler. Verdächtig ist nur, dass das Anschreiben sehr allgemein gehalten ist und sich für fast jede Stelle eigenen würde. Die Malware wird in einer Zip-Datei ausgeliefert und enthält darin zwei identische ausführbare Dateien (.exe) die sich nur vom Dateinamen her unterscheiden. Beide Dateien starten bei Ausführung die Verschlüsselung des Systems mit der symmetrischen Stromverschlüsselung Salsa20.

Die aktuelle Kampagne läuft seit rund einer Woche, an fast jedem Tag wird eine neue Bewerbung erstellt und versendet. Am Montag wurden die Bewerbungen unter dem Namen Hannah Sommer verschickt, frühere Wellen wurden mit den Namen Viktoria Hagen, Caroline Schneider, Nadine Bachert und Sofia Bachmann versehen.

Experten von G DATA haben die E-Mail mit dem bösartigen Anhang analysiert. Sie weisen häufig angepasste, unterschiedliche Betreffzeilen auf und haben verschiedene Absender – Spam-Filter werden die Mails daher häufig nicht erkennen. Verwendet wird das Ransomware-Framework GandCrab in Version 4. Die Software wird von Kriminellen häufig gegen Geld oder Provision weitergegeben und kann dann von ganz unterschiedlichen Akteuren genutzt werden - und auch über unterschiedliche Angriffsvektoren verbreitet werden.

Sobald das Opfer die angehängt EXE-Datei aufruft, beginnt die Schadsoftware mit der Verschlüsselung der Festplatteninhalte. Wer das bemerkt, sollte den Rechner sofort vom Netz trennen und nicht darauf warten, bis er geordnet heruntergefahren ist. Die Polizei rät dringend davon ab, auf Lösegeldforderungen einzugehen und stattdessen Anzeige zu erstatten.