Startseite > Office & Kommunikation > Auf den Spuren von Cryptolocker

Ransomware

Auf den Spuren von Cryptolocker

11. Juli 2014, 10:19 Uhr | Quelle: Bitdefender

Fortsetzung des Artikels von Teil 1

Botnetz noch lange aktiv

Währenddessen überspielte die Cryptolocker-Bande ihre Daten auf einen anderen Rechner. Am 28. Januar 2014 wurde von einem infizierten Computer eine Verbindung an zwei IPs aufgebaut, die in einem russischen Rechenzentrum gehostet wurden – ein klarer Indikator, dass das Botnetz noch aktiv war. Durch eine ständige Überwachung der Domains, die vom entsprechenden Algorithmus erzeugt wurden, konnte die IP-Adresse herausgefunden werden. Eine dieser IP-Adressen wurde auf einem Server in der Ukraine gehostet. Die Entwickler von Bitdefender fanden heraus, dass der Tier-1-Proxy-Server den Datenverkehr seiner Opfer auf einen zweiten Server weiterleitete, um seine Anonymität sicherzustellen. Da Bitdefender Zugang zu dem Tier-1-Proxy hatte, konnte das Unternehmen die Konfigurationsdateien verfolgen und auf den Tier-2-Proxy zugreifen. Diesem Server waren mehr als 10 verschiedene IP-Adressen zugewiesen.

Enge Verbindung mit Gameover Zeus

Am 2. Juni 2014 konnten die Sicherheitsbehörden das Botnetz Gameover Zeus ausschalten, das eine tragende Rolle bei der Verbreitung und Koordination von Cryptolocker spielte. Allerdings sind derzeit noch eine Reihe von Computern mit Cryptolocker infiziert, die bislang noch nicht „aktiviert“ worden sind. Sobald dies geschieht, ist davon auszugehen, dass Anwender den Zugriff auf ihre Daten sofort verlieren werden.

„Um einen inaktiven CryptoLocker zu erkennen und zu beseitigen, sollten Anwender daher unbedingt einen Virenscan auf ihrem Rechner durchführen“, erläutert Catalin Cosoi, Chief Security Researcher bei Bitdefender. „Zwar scheint die Gefahr mittlerweile gebannt, dennoch sollten Anwender neben der Verwendung einer Anti-Malware-Lösung auch Software-Updates für Produkte von Drittanbietern wie Java, Adobe Reader oder Flash einsetzen, sobald diese Verfügbar sind.“

Weitere Informationen zu CryptoLocker sowie die Infrastruktur dahinter erläutern Experten auf der diesjährigen Virus Bulletin-Konferenz vom 24. bis 26. September 2014 in Seattle.