Erste Ransomware verbreitet sich selbst über Wechsel- und Netzmedien

Erpresser-Botschaft von zCryptor
Es handle sich um die erste bekannte Ransomware, die sich wie ein Wurm ausbreiten kann. Bei den zuvor bekannt gewordenen Kampagnen mussten die dahinter stehenden Kriminellen hingegen aktiv eingreifen und beispielsweise durch den Versand von Spam oder das Locken von Nutzern auf manipulierte Webseiten für Infektionen sorgen.

"Wir warnen die Windows-Nutzer vor einem neuen Ransomware-Typ, der wurmähnliches Verhalten an den Tag legt", teilte Microsofts Malware Protection Center mit. Die Ausbreitung des Krypto-Trojaners erfolge demnach selbstständig über Wechselmedien wie USB-Sticks, die unter Nutzern ausgetauscht werden. Aber auch gemeinsam genutzte Speicherplätze im Netz wurden bereits ausgenutzt, um den Schadcode von einem Rechner zum nächsten zu transferieren.

Aktivierung weiter nötig

Ganz von allein wird die Ransomware dabei aber auch in diesem Fall nicht aktiv. Stattdessen legt sie auf den gefundenen externen Laufwerken falsche Installationsdateien und Office-Dokumente mit integrierten Malware-Makros ab. Diese warten dann darauf, von unvorsichtigen Nutzern geöffnet zu werden.

Geschieht dies, nistet sich der Schädling auf dem System ein und beginnt damit, eine Reihe von Dateien zu verschlüsseln. Insgesamt 88 File-Typen sollen dabei im Visier der Ransomware stehen. Verschlüsselt werden die üblichen Dokumente, Bilder und Videos, aber auch Datenbanken, HTML-Files und auch Archive. Die Nutzer werden dann damit erpresst, dass sie den Key zur Wiederherstellung erhalten, wenn sie 1,2 Bitcoin, umgerechnet also rund 500 Dollar, an die Kriminellen überweisen.