Entlarvte KMU: Das versteckte Risiko hinter „WantToCry“-Ransomware-Angriffen

Entlarvte KMU: Das versteckte Risiko hinter „WantToCry“-Ransomware-Angriffen

Einführung

In der heutigen digitalen Landschaft entwickeln sich Ransomware-Angriffe mit alarmierender Geschwindigkeit und nutzen übersehene Schwachstellen, um in Systeme einzudringen. Eine solche Schwachstelle ist falsch konfigurierte Server Message Block (SMB)-Dienste, die Angreifern unbefugten Zugriff auf sensible Daten ermöglichen.

SMB, ein Protokoll, das häufig für die gemeinsame Nutzung von Dateien und Ressourcen in Netzwerken verwendet wird, ist oft ungeschützt, weil schwache Anmeldeinformationen, veraltete Software und schlechte Sicherheitskonfigurationen. Diese Fehlkonfigurationen schaffen einen Einstiegspunkt für Cyberkriminelle, um:

• Erhalten Sie unbefugten Zugriff zu Systemen.
• Seitlich bewegen innerhalb von Netzwerken.
• Bereitstellen bösartiger Nutzlasten die kritische Dateien verschlüsseln.

Die jüngsten Aktivitäten von die WantToCry-Ransomware-Gruppe verdeutlichen, wie leicht Angreifer SMB-Schwachstellen ausnutzen können, um Ransomware-Kampagnen durchzuführen. Als Cyber-Bedrohungen sind anspruchsvoller geworden, Die Sicherung von SMB-Konfigurationen ist nicht länger optional, sondern eine Notwendigkeit zum Schutz kritischer Daten und Infrastrukturen.

Erste Spuren von WantToCry

Entstehung und Angriffsvektoren:

Das WantToCry-Ransomware-Gruppe, aktiv seit Dezember 2023, hat seine Aktivitäten intensiviert in 2024, die auf mehrere Netzwerkdienste abzielen, darunter:

• SMB (Server-Nachrichtenblock)
• SSH (Sichere Shell)
• FTP (Dateiübertragungsprotokoll)
• RPC (Remoteprozeduraufruf)
• VNC (Virtuelles Netzwerk-Computing)

Die Verwendung von Brute-Force-Angriffe, nutzt die Malware eine Datenbank mit über eine Million Passwörter Systeme mit schwachen oder Standardanmeldeinformationen zu kompromittieren.

Sobald der Zugriff erlangt ist, verschlüsselt die Ransomware per Fernzugriff öffentlich zugängliche Netzwerklaufwerke und NAS-Geräte (Network-Attached Storage)Der Angreifer hinterlässt eine Lösegeldforderung mit Zahlungsdetails.

Kommunikationskanäle der Bedrohungsakteure

Die Betreiber von WantToCry nutzen verschlüsselte Messaging-Plattformen, um mit den Opfern zu kommunizieren. Die Lösegeldforderung enthält typischerweise Folgendes:

• Telegramm-ID: https://t.me/want_to_cry_team
• Tox-ID: 963E6F7F58A67DEACBC2845469850B9A00E20E4000CE71B35DE789ABD0BE2F70D4147D5C0C91

Eigenschaften von WantToCry

WantToCry folgt einem klassisches Ransomware-Muster, indem sie Dateierweiterungen ändern und Lösegeldforderungen hinterlassen, um die Zahlung zu fordern.

• Dateiverschlüsselung: Die Ransomware verschlüsselt Dateien und hängt die Erweiterung an „.will_weinen“ zu jeder betroffenen Datei.

• Lösegeldforderung: Eine Textdatei namens „!will_weinen.txt“ wird in betroffenen Verzeichnissen erstellt und enthält Anweisungen zur Lösegeldzahlung und Kontaktdaten.

Ablauf der Ausführung:

• Aufklärung:

Der Angreifer führt eine Netzwerkaufklärungsphase durch, um Systeme mit exponierten SMB-Ports (üblicherweise TCP-Port 445) zu identifizieren. Dieser Schritt umfasst das Scannen nach zugänglichen SMB-Diensten und die Analyse der Systemantworten, um potenzielle Ziele mit schwachen Sicherheitskonfigurationen oder ungepatchten Schwachstellen zu ermitteln.

• Ausnutzung durch Brute Force:

Nachdem der Angreifer offene SMB-Dienste identifiziert hat, startet er einen Brute-Force-Angriff auf den SMB-Dienst und nutzt dabei ein umfangreiches Wörterbuch häufig verwendeter Passwörter. Ziel dieses Prozesses ist es, gültige Anmeldeinformationen zu erhalten und sich unbefugten Zugriff auf das System des Opfers zu verschaffen.

• Zugriff auf und Konfiguration freigegebener Laufwerke:

Nach der Authentifizierung durchsucht der Angreifer Netzwerkfreigaben, um sensible oder kritische freigegebene Laufwerke zu identifizieren. Diese Laufwerke werden dann zugeordnet und für den Fernzugriff über das Internet konfiguriert. So kann der Angreifer dauerhaft Fuß fassen und die Ausführung der Nutzlast vorbereiten.

• Payload-Ausführung (Verschlüsselung ohne lokalen Footprint):

Diese Ransomware verschlüsseln ihre Daten ausschließlich über die freigegebenen Laufwerke externer Quellen, ohne Spuren auf dem lokalen System zu hinterlassen. Der Verschlüsselungsprozess erfolgt direkt auf den Dateien der freigegebenen Laufwerke, sodass keine Daten auf dem Computer des Opfers heruntergeladen oder verarbeitet werden müssen. Dadurch wird sichergestellt, dass die Ransomware alle über das freigegebene Laufwerk zugänglichen Dateien und Verzeichnisse erfasst und gleichzeitig die Wahrscheinlichkeit einer Erkennung oder forensischen Analyse auf dem lokalen System minimiert.

Problemübersicht

SMB ist ein weit verbreitetes Protokoll für die Datei- und Druckerfreigabe in Windows-Netzwerken. Obwohl es für die Zusammenarbeit unerlässlich ist, kann die Offenlegung von SMB ohne ordnungsgemäße Authentifizierung ein Einfallstor für Angreifer sein.

In diesen Fällen hatte eine öffentliche IP, die mit dem betroffenen System verknüpft war, SMB-fähig und über das Internet ohne Authentifizierung zugänglich. Dadurch konnten nicht autorisierte Benutzer remote auf freigegebene Laufwerke zugreifen. Werden solche Schwachstellen ausgenutzt, können sie die Systemabwehr umgehen, was zur Verschlüsselung von Dateien und potenziellem Datenverlust führen kann.

Detection

• Indikatoren für eine Kompromittierung (IOC)
  • 194 [.] 36 [.] 179 [.] 18
  • 194 [.] 36 [.] 178 [.] 133
• Wir haben bereits Detection (HEUR:Trojan.Win32.EncrSD) in Ort für die Verschlüsselungsaktivität des freigegebenen Laufwerks.

Folgen einer Fehlkonfiguration

Wenn SMB ohne Authentifizierung öffentlich zugänglich bleibt, kann dies schwerwiegende Folgen haben, darunter:

• Datenverletzungen: Unbefugter Zugriff auf vertrauliche Dateien.
• Ransomware-Angriffe: Verschlüsselung kritischer Dateien, sodass sie ohne Bezahlung unzugänglich sind.
• Betriebsunterbrechung: Längere Wiederherstellungszeiten führen zu finanziellen Verlusten und Reputationsverlusten.
• Erhöhte Angriffsfläche: Eine einfache Fehlkonfiguration kann opportunistische Angreifer anlocken.

Best Practices zur Risikominimierung

Um zu vermeiden, Opfer ähnlicher Angriffe zu werden, sollten Unternehmen die folgenden Sicherheitsmaßnahmen ergreifen:

1. Antivirus: Gewährleisten Seqrite / Schnelle Heilung wird regelmäßig mit den neuesten Definitionen aktualisiert.
2. Deaktivieren Sie die SMB-Freigabe, wenn sie nicht erforderlich ist: Wenn SMB nicht aktiv verwendet wird, deaktivieren Sie es, um die potenzielle Gefährdung zu verringern.
3. Authentifizierung für SMB-Zugriff erforderlich: Lassen Sie SMB-Freigaben niemals ohne die entsprechenden Anmeldeinformationen öffentlich zugänglich.
4. Öffentlichen Zugriff einschränken: Verwenden Sie Firewalls, um den externen Zugriff auf SMB-Ports (normalerweise 445 und 139) zu blockieren.
5. Überprüfen Sie regelmäßig die Konfigurationen: Überwachen und überprüfen Sie kontinuierlich die Netzwerk- und Dateifreigabekonfigurationen, um sicherzustellen, dass sie den bewährten Sicherheitspraktiken entsprechen.
6. Erweiterte Erkennungssysteme aktivieren: Verwenden Sie Tools wie verhaltensbasiertes Monitoring, um verdächtige Aktivitäten und Anomalien zu erkennen.

Autorin: Umar Khan A

Mitverfasser: Niraj Lazarus Makasare, Dixit Ashokbhai Panchal, Sumit Patil, Matin Tadvi