Havanacrypt ist eine neue Ransomware. Sie ist schwer zu erkennen, tarnt sich als Fake-Google-Update und nutzt Microsoft-Funktionen im Rahmen der Attacken.
Angreifer missbrauchen bei ihren Attacken häufig das Vertrauen von Nutzern, um die Schutzmaßnahmen von Unternehmen zu umgehen. Die Verwendung von vertrauenswürdigen Adressräumen und Hosts, die von den meisten Unternehmen als seriös und sicher eingestuft werden und auf der Whitelist stehen, ist also nicht neu. Cyberkriminelle nutzen zum Beispiel AWS-Hosting oder kapern andere „saubere“ Hosts oder Adressräume. Doch es sind nicht nur vertrauenswürdige Adressen, die für Ransomware-Angriffe missbraucht werden, sondern auch allgemein als vertrauenswürdig eingestufte Tools und Anwendungen, die in vielen Unternehmen zum Einsatz kommen.
„Entsprechend haben herkömmliche Detection- und Defense-Maßnahmen, die auf statischen Indikatoren und Signaturen beruhen oder bestimmte Adressräume, Anwendungen, Nutzer oder Prozesse als vertrauenswürdig einstufen, schon vor langer Zeit versagt. Stattdessen sollte die Cyberabwehr von Unternehmen auf der Erkennung von Verhaltensmustern basieren, die auf den tatsächlichen TTPs (Tactics, Techniques, Procedures) der Angreifer beruhen. Man sollte sich nicht auf ein einziges Sicherheitstool verlassen oder auf einen Ansatz, der bestimmte Systemelemente automatisch als vertrauenswürdig oder nicht vertrauenswürdig einstuft. Die Bedrohungsabwehr muss genau auf die tatsächlichen Vorgehensweisen der Angreifer abgestimmt werden. Das erfordert kontinuierliche Forschung und Weiterentwicklung, da sich diese bei der Vielzahl möglicher Angriffe fast täglich ändern. All das muss bei Sicherheitsmaßnahmen bedacht werden“, erklärt Daniel Thanos, VP, Arctic Wolf Labs.
„Es ist sehr wahrscheinlich, dass der Autor der Havanacrypt-Ransomware plant, über den Tor-Browser zu kommunizieren, da Tor zu den Verzeichnissen gehört, in denen er die Verschlüsselung von Dateien verhindert. Aktuell hinterlässt Havanacrypt keine Lösegeldforderung, was ein Hinweis darauf sein könnte, dass sie sich noch in der Entwicklungsphase befindet. Wenn sie sich tatsächlich noch in der Beta-Phase befindet, sollten Unternehmen die Chance nutzen, sich darauf vorzubereiten. Für den Fall, dass Tor verwendet wird, sollte der Browser blockiert werden – in den meisten Unternehmen wird Tor ohnehin nicht gebraucht“, so Daniel Thanos.
Weitere Erkenntnisse über Havanacrypt:
- Tarnt sich als Google-Software-Update-Anwendung.
- Verwendet Microsoft-Webhosting als Command-and-Control-Server, um die Detection zu umgehen
- Nutzt die QueueUserWorkItem-Funktion, eine Methode des .NET System.Threading Namespace. Außerdem verwendet die Ransomware die Module von KeePass Password Safe, einem Open-Source-Passwortmanager, während der Dateiverschlüsselung.
- Ist eine .NET-kompilierte Anwendung und wird durch Obfuscar geschützt, einen Open-Source-.NET-Obfuscator, der den Code in einer .NET-Assembly schützt.
- Verfügt über mehrere Anti-Virtualisierungstechniken, um eine dynamische Analyse zu vermeiden, wenn sie in einer virtuellen Maschine ausgeführt wird.
- Nachdem Havanacrypt sich vergewissert hat, dass der Computer des Opfers nicht in einer virtuellen Maschine ausgeführt wird, lädt sie eine Datei mit dem Namen „2.txt“ von 20[.]227[.]128[.]33, einer IP-Adresse eines Microsoft-Webhosting-Dienstes, herunter und speichert sie als Batch-Datei (.bat) mit einem Dateinamen, der 20 bis 25 zufällige Zeichen enthält.
- Verwendet während seiner Verschlüsselungsroutine Module von Keepass-Password-Safe. Insbesondere nutzt sie die Funktion Cryptorandom, um Zufallsschlüssel zu erzeugen, die für die Verschlüsselung benötigt werden.
- Verschlüsselt Dateien und fügt „.Havana“ als Dateinamenerweiterung hinzu.
#ArcticWolf
