Ausprobiert: Wo Locky nach Nutzerdaten sucht und wo sie sicher sind
Immer neue Wellen der Ransomware Locky gehen durchs Netz. Und die Erpresser hinter der Malware reagieren auf die gestiegene Aufmerksamkeit der Nutzer, indem sie mit größer werdenden Mengen an Spam versuchen, zusätzliche Nutzerkreise zu erreichen und die Zahl der Opfer so weiter zu steigern.
Unterdessen haben unsere Kollegen von SemperVideo weitere Experimente mit der Ransomware angestellt. Nachdem zuletzt ja bereits demonstriert werden konnte, wie der Krypto-Trojaner grundsätzlich arbeitet, stellte sich bei vielen Nutzern nun die Frage, wo Kopien wichtiger Dateien vielleicht sicher davor sind, verschlüsselt zu werden. Es zeigt sich, dass die Erpresser nicht gerade viele Stellen unangetastet lassen.
Klar ist natürlich, dass der lokale Nutzerordner zuerst im Visier von Locky ist. Denn hier dürften die meisten privaten Daten zu finden sein, mit denen die Anwender zur Zahlung des gewünschten Betrages erpresst werden können. Allerdings sollte niemand auf die Idee kommen, die eigenen Daten wären sicher, wenn sie einfach an anderen Stellen ablegt werden - mit einer Ausnahme.
Grundsätzlich sucht die Ransomware nicht nur auf dem lokalen Speicher nach Dateien, die lohnenswerte Ziele darstellen können. Grundsätzlich wird nahezu alles abgegrast, was diekt ins Datei-System eingebunden ist. Dabei ist es unerheblich, ob es sich um externe Laufwerke, Cloud-Speicherdienste oder geöffnete TrueCrypt-Container handelt. Dies ist besonders auch dann wichtig, wenn man sich mit dem Anlegen von Backups schützen will. Diese sind nur dann vor dem Zugriff der Ransomware sicher, wenn sie auf einem Datenträger gespeichert sind, der nicht mit dem lokalen System verbunden ist.
Es gibt aber eine Stelle, wo Locky wohl nicht nach Dateien des Nutzers sucht: Das Windows-Verzeichnis. Dieses wird aus naheliegenden Gründen in Ruhe gelassen. Immerhin soll nicht riskiert werden, dass der Rechner nicht mehr hochfährt, denn dann wäre es schwierig, dem Anwender klarzumachen, wohin ein Lösegeld zu überweisen ist.
Verwandte Videos
-
So findet man alle Ransomware-Ziele auf dem eigenen PC
-
Locky: Warum Cloud-Speicher dann doch hilfreich sein kann
-
Immer neue Locky-Wellen: Wie sie aussehen, was zu tun ist
-
Locky in Aktion: So infiziert die Ransomware ein Windows-System
-
Microsoft, aufpassen! So fantastisch könnte Windows 12 aussehen
HIGHLIGHT
Verwandte Tags
Das ist wie wenn einer eine Kopie deines Wohnungsschlüssel hätte und dein Vermieter bietet dir an kostenlos das Schloss auszutauschen und lässt das erst zum ende des Monats machen.
Aber rein kommen die, denn Geld für besseren Schutz wird nicht ausgegeben!
Wie viele davon von uns wieder in Umlauf gebracht wurden... das kann man nicht mal schätzen, da keinerlei Anhaltspunkte vorliegen... leider.
Brain.exe ist die am seltensten genutzte Anwendung in Unternehmen! Und wenn man dann noch an der IT Infrastruktur generell und Sicherheit im speziellen spart... wundert mich das in Deutschland das nicht täglich im öffentlichen Dienst passiert.
Wer also ein Backup auf Wechselplatte macht und die Festplatte am USB mit zugewiesenem Laufwerksbuchstaben dran lässt, hätte sich die Mühe sparen können. Das ist ja das Fatale in den Unternehmen, daß ein infizierter Rechner im Netz ausreicht, um alle für seinen Zugriff freigegebene Dateien auf dem Server zu verschlüsseln.
In großen Unternehmen mit vielen Kontakten findet sich halt immer jemand, der gerade auf eine Mail mit einem Angebot oder einer Rechnung aus dem Ausland wartet. Da kann der private Computerfreak noch so von Brain.exe schwafeln...
Wenn Du ein Laufwerk mit Passwort schützt, wirst Du dieses irgendwann eingeben müssen, um an die Daten auf diesem Laufwerk zugreifen zu können. Damit kann jedes unter Deinem Account aktive Programm ebenfalls darauf zugreifen. Schutz bieten da höchstens Applications-Locker, bei Denen Du die zugreifende Software definieren kannst.
Und die Virenscanner hängen ein paar Stunden in der Aktualität hinterher.
- Eine leere Partition mit z.B. diskcryptor komplett als versteckt verschlüsseln (nicht mit
Kontainer!)
- diese Partition nur bei bedarf mounten und ansonsten unmounted lassen
- da für die Ransomware die Partition als leer angezeigt wird dürfte eigentlich keine dort abgelegte Datei betroffen werden. (solange die Partition nicht wie erwähnt "gemounted" ist!)
Edit: diese Ransomwares waren (bisher zumindest, soweit ich das mitbekommen habe) nicht darauf, dass jemand eine USB-Platte oder sowas an den Rechner hängt, sobald der Virus ausgeführt ist geht die Verschlüsselung los, insofern sollte diese Methode evtl. funktionieren, auch ohne ständig die externe Festplatte abklemmen zu müssen.
Thunderbird dient nur als Archiv und wird nur einmal im Monat angeworfen. LibreOffice reicht locker für die private Post. Daten liegen auf einem Netzlaufwerk das nur bei Bedarf mit Passwort eingebunden wird...
Laufwerksmappings werden nach Gebrauch getrennt, benutzte Geräte vor und nach dem Homebanking neu gestartet...
Den Rest fangen die Virenscanner und hoffentlich mein Verstand.
Das macht natürlich nur Sinn wenn man X Versionen der Backups vorhält und diese nicht rollieren.
Ansonsten überschreibt das neuste infizierte Backup das älteste Backup welches noch unverschlüsselte Dateien enthält.
Mal angenommen mein System ist von Locky befallen. Ich fahre den Rechner runter, stecke den USB-Stick mit Backupsoftware ein und schließe meine externe Festplatte mit meinen System-Backup's an. Ich starte den Rechner vom USB-Stick um ein Backup von der externen Festplatte wiederherzustellen. Hätte das befallene System, obwohl noch nicht hochgefahren, nicht doch schon Zugriff auf den USB-Stick und die externe Platte ?