Tycoon: Ransomware holt alte Java-Methoden aus der Trickkiste

Da standardmäßige Ransomware an die Grenzen ihrer Möglichkeiten ge­rät, werden die Entwickler zunehmend kreativ bei ihren Ideen für neue Va­ri­anten. Aktuell probieren sie es mit einer plattformübergreifend ar­bei­ten­den Malware auf Java-Basis. Java war ursprünglich einmal entwickelt worden, um Software zu bekommen, die nach einmaliger Entwicklung auf vielen Betriebssystemen eingesetzt werden kann. In der Anwendungsentwicklung spielt dieses Prinzip schon lange keine nennenswerte Rolle mehr. Umso bemerkenswerter ist es, dass jetzt Malware-Programmierer das Konzept noch einmal aus der Mottenkiste holen.

Nicht weniger ungewöhnlich sind die Entdecker des Schadcodes: Die Analyse wurde nicht von einem klassischen Security-Unternehmen, sondern von Sicherheitsexperten bei BlackBerry mit Unterstützung von IT-Spezialisten des Beratungshauses KPMG durchgeführt. Diese haben die Ransomware, die wohl schon seit dem Dezember 2019 aktiv ist, aufgrund von Referenzen im Quellcode auf den Namen Tycoon getauft.

Unauffällig bleiben

Der Schadcode selbst verwendet verschiedene recht verbreitete Techniken, mit denen er in kompromittierten Systemen und Netzwerken halbwegs gut getarnt bleiben kann. Nach den bisherigen Erkenntnissen zielt die Ransomware in erster Linie auf Nutzer ab, die im Bildungssystem oder in der Software-Industrie arbeiteten.

Der Einsatz von Java könnte dabei nicht nur dem Zweck dienen, gleich mehrere Plattformen angreifen zu können - gefunden wurde Tycoon auf Windows- und Linux-Rechnern. Es kommt auch relativ selten vor, dass Malware-Autoren auf diese Sprache setzen und ihren Code in Java-Image-Files verpacken. Eventuell spekulierten sie darauf, so unauffälliger zu agieren. Ansonsten folgt die Ransomware der üblichen Vorgehensweise des Verschlüsselns von Dateien des Nutzers in Verbindung mit entsprechenden Lösegeldforderungen.

Siehe auch: