DanaBot arbeitet nun als Ransomware

Check_Point_logo

Sicherheitsforscher von Check Point Software Technologies bestätigen, dass die Malware DanaBot nach einem Update als Ransomware eingesetzt wird.

SAN CARLOS, Kalifornien — 04. Juli 2019 – Sicherheitsforscher von Check Point® Software Technologies Ltd. (NASDAQ: CHKP), einem weltweit führenden Anbieter von Cyber-Sicherheitslösungen, untersuchen seit August 2018 fortlaufend die Malware DanaBot. Nun bestätigen sie, dass ein Update das Schadprogramm befähigt, als Ransomware eingesetzt zu werden, um Lösegelder für verschlüsselte Dateien zu fordern.

Die Angreifer versenden gefälschte E-Mails mit unterschiedlichen Inhalten, die einen Link zu angeblichen Dokumenten enthalten, die auf GoogleDocs hochgeladen wurden. Die angebotene Datei enthält ein VBS-Script, das als Dropper für die Malware dient. Wird die Datei nach dem Herunterladen geöffnet, dann entpackt der Dropper automatisch die DanaBot Downloader DLL in den Temp-Ordner des Betriebssystems und registriert sie als Dienst. Danach versucht DanaBot eine Verbindung mit dem Command & Control (C&C)-Server der Angreifer aufzubauen.

Beispiel einer Phishing-E-Mail mit Link zum DanaBot-Dropper  

Seit April 2019 wurde DanaBot nun um die Funktion erweitert, als Ransomware zu arbeiten. Dabei fällt die Malware unter die Kategorie der NonRansomware-Distribution. Das bedeutet, dass die Software irgendwelche Daten auf den lokalen Festplatten auswählt und verschlüsselt, aber nicht den Windows-Systemordner. Die verschlüsselten Daten bekommen die neue Endung .non angehängt. Außerdem wird in jedem Ordner, der verschlüsselte Datensätze enthält, eine Lösegeldforderung als .txt-Datei platziert.

Die Lösegeldforderung des Schädlings DanaBot

Die Sicherheitsforscher von Check Point weisen darauf hin, dass die Entwickler hinter DanaBot die Software seit einem Jahr kontinuierlich weiterentwickeln und erwarten auch in naher Zukunft neue Funktionen und Verbesserungen. Zudem versuchen die Cyberkriminellen ihre Zusammenarbeit mit anderen Gruppierungen zu erweitern.

Check Point empfiehlt außerdem ausdrücklich, auf keine Lösegeldforderung einzugehen, um die Motivation der Kriminellen nicht anzufeuern. Stattdessen bietet Check Point ein Entschlüsselungsprogramm gegen Angriffe durch NonRansomware-Schädlinge. Kunden von Check Point sind gegen DanaBot und ähnliche Bedrohungen durch den SandBlast Agent geschützt.

Weitere technische Einzelheiten und Bilder finden Sie im Check Point Research Blog unter: https://research.checkpoint.com/danabot-demands-a-ransom-payment/