Ransomware ist die wohl perfideste Kryptografie-Anwendung, die je erfunden wurde. Das Prinzip: Eine Software verschlüsselt Daten und verlangt für die Entschlüsselung ein Lösegeld.

Wer (versehentlich) eine Datei unbekannter Herkunft auf seinem PC zur Ausführung bringt, kann schnell sein blaues Wunder erleben. Denn wenn es sich dabei um eine so genannte Ransomware handelt, sind im Nu sämtliche wichtigen Daten verschlüsselt, und ein Fenster zeigt an: Den Schlüssel zur Entschlüsselung (und damit zur Wiederherstellung) der Daten gibt es nur gegen Lösegeld. Dieses liegt meist in der Größenordnung von einigen Hundert Euro.

Ransomware-Blue

Keine Frage, Ransomware ist eine äußerst perfide Kryptografie-Anwendung. Lukrativ ist sie jedoch allemal. Denn nachvollziehbarerweise zahlen viele Opfer lieber einige Hundert Euro, als den Datenverlust hinzunehmen. Und immerhin: Meistens funktioniert es sogar.

Zwar nutzt nicht jede Ransomware Verschlüsselung (es gibt auch andere Möglichkeiten, einen PC zu blockieren), doch die Verschlüsselungsvariante hat sich längst als die effektivste erwiesen. Deshalb sind inzwischen kaum noch andere Ransomwares anzutreffen.

Es ist nicht zu übersehen, dass sich die Qualität der diversen Ransomwares – in vielerlei Hinsicht – ständig erhöht. Nicht mehr ganz neu ist beispielsweise der Trick, die NSA als vermeintliche Organisation im Hintergrund auszugeben:

Ransomware-NSA

Auch die deutsche Bundespolizei musste schon als angeblicher Ransomware-Urheber herhalten (bleibt zu hoffen, dass die echte Bundespolizei etwas besser Deutsch kann):

Ransomware-Bundespolizei

Etwas neuer ist die Idee einer „Themed Ransomware“. Der folgende Screenshot zeigt beispielsweise ein Motiv aus der Fernsehserie „Breaking Bad“ (einen konkreten Nutzen hat das “Theme” nicht, außer dem Nutzer die missliche Lage zu versüßen):

Ransomware-Breaking-Bad

Auch der Support verbessert sich ständig. Die folgende Ransomware nennt E-Mail-Adressen, an die man sich bei technischen Problemen wenden kann. Es wird garantiert, dass sich innerhalb von 12 Stunden ein Service-Mitarbeiter meldet.

Ransomware-Support

Es wird sogar noch besser: Die Ransomware PadCrypt ist mit einer Live-Chat-Funktion ausgestattet. Über diese kann das Opfer direkt Kontakt mit einem Service-Mitarbeiter aufnehmen. Gerüchteweise soll der Service der Ransomware-Urheber besser sein als bei so mancher Telefongesellschaft. Es gibt sogar entsprechende Call Center.

Ransomware-Live-Chat

Die gleiche Ransomware bietet übrigens ein weiteres praktisches Feature: einen Uninstaller. Mit diesem lässt sich die Ransomware bequem vom PC entfernen. Aus nahe liegenden Gründen sollte man den Uninstaller nur einsetzen, wenn man bereits bezahlt hat oder nicht bezahlen will.

Der Trend zu Kryptoverfahren auf Basis elliptischer Kurven (ECC-Verfahren) geht auch an Ransomware nicht vorbei. Die folgende Variante nutzt diese besonders effektive Krypto-Variante:

Ransomware-ECC

Doch auch Ransomware-Entwickler haben ein Herz – oder sie tun wenistens so. So verspricht eine Ransomware namens CyptMix (ich habe leider keinen Screenshot gefunden), das Lösegeld an eine karikative Einrichtung zu spenden. Die Presse spricht bereits von einer Robin-Hood-Ransomware.

Und was kommt als nächstes? Ransomware mit Post-Quanten-Kryptografie dürfte nur eine Frage der Zeit sein. Und wenn das Internet der Dinge weiter Fortschritte macht, kommt vielleicht irgendwann die Meldung: “Zahlen Sie 1.000 Euro, oder ich schalte Ihren Herzschrittmacher ab.”

Zum Weiterlesen: Hacker verschlüsseln Daten und verlangen Lösegeld für Herausgabe des Schlüssels

Kommentare (21)

  1. #1 Dampier
    10. Juni 2016

    das Lösegeld an eine karikative Einrichtung zu spenden

    An notleidende Cartoonisten? *g*

    Offenbar schlafen manche Programme auch erstmal eine Weile auf deinem Rechner, um sich auch auf die letzten Backups verbreiten zu könnnen (so man denn welche macht …).

    Kann man sich noch einigermaßen sicher sein, wenn man keine unverlangt eingesandten Mailanhänge öffnet? Oder gibt es noch andere Verbreitungswege?

  2. #2 Kurt Behnke
    Düsseldorf
    10. Juni 2016

    Zu Ransomware im Allgemeinen: besonders perfide ist Ransomware in Kombination mit “Spearfishing”, wie neulich hier passiert. Dabei wird die verschlüsselnde Datei punktgenau auf den Empfänger zugeschnitten: ein Projekt-Manager bekommt eine Rechnung, vermeintlich von einem Lieferanten, ein Accountmanager eine Bestellung von einem “tatsächlichen” Kunden. Dabei muß der Empfänger natürlich vorher ausspioniert worden sein. Scheint umständlich, geht aber anscheinend halbautomatisch (vermutet wegen der Ähnlichkeit der Dokumente) und erhöht die Trefferquote dramatisch (der Durchschnitts-User wird heute ja kaum noch was ernsthaftes auf der Festplatte speichern, und entsprechend unempfindlich gegen Erpressungsversuche sein).

    Zum Thema Sicherheit beim Internet of Things in diesem Zusammenhang (“ich schalte sonst Deinen Herzschrittmacher ab”): Es wird Zeit, massentaugliche Lösungen zur Bestätigung der Korrektheit und des Ursprungs von Daten in quasi-Echtzeit zu entwickeln, die ohne die üblichen rechenintensiven Public Key Verfahren auskommen. Die Estnische Firma Guardtime hat so ein hochinteressantes Verfahren entwickelt auf der Basis von Haschwerten mit Zeitstempeln. Sie hatte dabei aber in erster Linie grosse Institutionen wie Banken oder Regierungsstellen im Auge. Es wäre interessant, hieraus oder aus ähnlichen Ansätzen ein massentaugliches Produkt zu machen, bevor wie gesagt Herzschrittmacher ausgeschaltet oder Autos gegen Bäume gelenkt werden.

  3. #3 Tobias Schrödel
    10. Juni 2016

    Hallo Klaus,
    mein “Lieblings-Ransomware-Trojaner” ist Chimera, der im November 2015 erstmals auftauchte. Da wird gedroht, dass die persönlichen Daten VERÖFFENTLICHT werden, wenn man nicht bezahlt 😉
    Einen Screenshot habe ich auch: https://ich-glaube-es-hackt.de/locky-2-0-jetzt-wirds-eklig/

    • #4 Klaus Schmeh
      10. Juni 2016

      >die persönlichen Daten VERÖFFENTLICHT werden
      Das ist ja noch schlimmer.

  4. #5 Dr. Webbaer
    11. Juni 2016

    Doch auch Ransomware-Entwickler haben ein Herz – oder sie tun wenistens so.

    Ja, sehr lustig, pardon, perfide, danke für den Bericht und die Warnung an alle.
    Es lohnt sich oft nicht Rechner, die für den pers. Internetzugang vorgesehen sind, besonders abzusichern, wegen des Aufwands und des benötigten Know-Hows nicht, stattdessen wären pers. Daten per lokalem Backup oder per Web-Backup fortlaufend zu sichern – wobei pers. oder wichtige Daten nicht auf derartigen Rechnern liegen müssen.

    MFG + schönes Wochenende,
    Dr. Webbaer

  5. #6 Klaus Schmeh
    11. Juni 2016

    Bart Wenmeckers über Facebook:
    Klaus has an interesting post on his blog.
    I have read about ransomware previously but it seems a pretty nasty experience

    Mark Romo über Facebook:
    One of the bosses in another department got that on her laptop and so all of her employees thought they weren’t getting their salaries. Doh!

    Matt Coleman über Facebook:
    It is nasty. Happened at work.

  6. #7 Neutrullo
    11. Juni 2016

    Das Problem ist, diese Ransomware funktionieren leider nur mit Microsoft-Betriebssystemen. Wer ein anderes Betriebssystem wie MacOS oder Linux benutzt hat da leider Pech gehabt, und kommt nicht in den Genuss des Gratis-Dienstes der Verschlüsselung seiner Daten und muss stattdessen auf PGP oder ähnliches ausweichen.

    Als alternativer Sicherungsplattform seiner persönlichen Daten bietet sich immer die Cloud-basierende Lösung Facebook an, mit welcher man jeder Ransom-Software ein Schnippchen schlagen kann.

    • #8 Klaus Schmeh
      11. Juni 2016

      >bietet sich immer die Cloud-basierende Lösung Facebook an
      Stimmt. Mit der innovativen Cloud-basierten Lösung Facebook hat sich dann auch das von Tobias Schrödel angesprochene Thema “Geld her, oder ich veröffentliche deine Daten” erledigt.

  7. #9 Neutrullo
    11. Juni 2016

    Nicht nur das, man kann dann die Ransomware-Hersteller wegen Verletzung des geistigen Eigentums klagen, das die Veröffentlichungsrechte bei einem selbst leigen, soferne man nicht versehentlich mit Facebook diese bereits abgetreten hat. Da bin ich leider überfragt, was dann gilt! Wer liest denn bitte schon das klein-Gedruckte! 🙂

  8. #10 schorsch
    11. Juni 2016

    Zu Dampiers Frage bezüglich der Verbreitungswege:

    Grundsätzlich ist die Drive-by-Infection ein sehr häufiger Weg der Verbreitung von Schadsoftware. Dabei werden Webseiten so manipuliert, dass deren Besucher, soweit sie anfälligen Browsern oder Plugins einsetzen, automatisch ein Schadprogramm untergeschoben bekommen.

    Diese Methode ist aber wenig effektiv, sofern die entsprechenden Links nicht per Mail propagiert werden. Auch andere Methoden wie z. B. Angriffe auf Router, welche dann eine Vielzahl von DNS-Einträgen fälschen, um auf diese Weise die Benutzer hinter diesen Routern gezielt auf manipulierte Webseiten zu führen, oder direkte Zugriffe auf PCs, andere Endgeräte oder Peripherie im Anwender-Netz betreffen nur (jeweils) relativ kleine, spezifische Gruppen von Betroffenen.

    Insofern kann man sagen, dass die Mail das bei weitem wichtigste Medium ist, Ransomware-Angriffe bzw. Angriffe allgemein einzuleiten. Eine hinreichende Vorsicht beim Mail-Handling schützt i. d. R. also überaus zuverlässig vor solchen Schädlingen. Aber was ist ‘hinreichende Vorsicht’?

    Dampiers Frage bezog sich ausdrücklich auf ‘unverlangte’ Mails – woran erkennt man denn, dass eine Mail unverlangt ist? Wann ist z. B. im Verkauf eines Unternehmens eine eingehende Mail je ‘unverlangt’? Oder ist die – ausweislich des Absenders – von Großmutter eingehende Mai wirklich ‘unverlangt’? Die aus London eingehende Mail der Freundin, die sich tatsächlich regelmäßig in Großbritannien aufhält?

    Tatsächlich wird Ransomware nur in sehr seltenen Fällen direkt per Mail verschickt sondern modular installiert. Verschickt werden i. d. R. vielmehr Installationsprogramme, welche, wenn vom Anwender ausgeführt, erst die Ransomware aus dem Internet herunterladen und ausführen. Diese Unterscheidung mag akademisch klingen, ist aber tatsächlich von großer Bedeutung. Denn Ransomware gibt es nur in wenigen, gut erkennbaren Varianten. Klaus hat neun Produkte aufgeführt, deren verschiedene Versionsstände mitgezählt kommt man auf ein paar Dutzend Varianten. Davor kann man sich sehr gut mit Virenscannern schützen.

    Die Installer hingegen sind speziell darauf eingerichtet, sich vor Virenscannern und achtsamen Anwendern zu verbergen. Beispielsweise das angeblich vom Kunden, der Großmutter oder der Freundin eingehende Word-Dokument oder Foto sieht völlig harmlos aus. Ein Check der Datei auf https://virustotal.com ergibt, dass kein einziger von über 50 Virenerscannern eine Gefahr darin sieht. Tatsächlich wird aber auf ungepatchten Windowssystemen ein Fehler in einer Grafik-DLL ausgenutzt, einen Master-Installer aus dem Internet nachzuladen, welche dann seinen Command&Control-Server anfragt und von dort den Befehl bekommt, Locky zu installieren. Oder Dridex. Oder…

    Zudem wird oft auf verdächtige Anhänge völlig verzichtet, oder die Anhänge sind tatsächlich zunächst völlig harmlos. Es ist vielmehr der Link in der Mail oder im Anhang, der erst auf die manipulierte Webseite führt, welche den Rechner auf offene Exploits hin abklopft. Und wenn Großmutter oder Freundin einen Link auf ihre Urlaubsfotos schicken – wer wird da groß Verdacht hegen und die Mail verwerfen?

    Tatsächlich reicht es nicht aus, keine unverlangt eingesandten Mails zu öffnen. Es reicht auch nicht aus, auch bei harmlos scheinenden Mails grundsätzliches Mißtrauen zu hegen. Um wirklich einigermaßen sicher zu sein, heisst es
    – Patchen, patchen, patchen
    – keine per se aktiven Plugins im Browser
    – kein Javascript im Browser

    Drei Forderungen, die von Laien kaum, und auf Smartphones oder Android-Tablets fast unmöglich zu erfüllen sind!

  9. #11 Chemiker
    11. Juni 2016

    – Patchen, patchen, patchen
    – keine per se aktiven Plugins im Browser
    – kein Javascript im Browser

    Ohne JavaScript macht Surfen heute aber nicht wirklich Spaß. Die bessere Antwort ist BACKUP.

    Ein derartiger Trojaner kann mir zwar (mit sehr viel Pech) mein System zer­schießen, aber alle meine per­sön­lichen Daten liegen auf einer oder mehre­ren ex­ter­nen Fest­platten. Im schlimm­sten Fall setze ich mir die Gurke neu auf und spiele die Daten wieder ein. Selbst mit allem Fine­tuning des Be­triebs­systems dauert das höchstens ein paar Tage.

    Das setzt natürlich voraus, daß ich meine Daten in offenen Formaten speichere und generell einen Über­blick habe, was auf der Fest­platte wo liegt (bei Phones wahr­schein­lich un­mög­lich). Binaries ge­hören nicht wirklich ins Backup (wenn, dann die Tar­balls), und Be­triebs­system­kompo­nen­ten schon gar nicht.

  10. #12 Dr. Webbaer
    12. Juni 2016

    Im schlimm­sten Fall setze ich mir die Gurke neu auf und spiele die Daten wieder ein. Selbst mit allem Fine­tuning des Be­triebs­systems dauert das höchstens ein paar Tage.

    Dito, gerade auch dann, wenn Dritte den Rechner für ihren pers. Internetzugang gelegentlich nutzen.
    So etwas geht aber nur für den Privatgebrauch und setzt auch dort ein gewisses Know-How voraus, es muss nämlich vollständig gewusst werden, wo wichtige Daten liegen, wie diese zu sichern und wieder einzuspielen sind.

  11. #13 Dampier
    12. Juni 2016

    @Schorsch, danke für die ausführliche Antwort.

    Auf meinem privaten Rechner kann ich unverlangte E-Mails ohne weiteres erkennen – auf Arbeit wäre das schon schwieriger.
    Wenn aber der Absender gefakt ist … man fragt ja nicht jedesmal telefonisch bei der Oma nach, ob sie grad ne Mail geschickt hat …

    Für die tägliche Nachrichtenlektüre benutze ich einen Browser mit Scriptblocker, das reicht mir völlig. Wenn nötig, verwende ich einen anderen Browser ohne irgendwelche prsönliche Konfiguration (um keinen aussagefähigen Browser-Fingerprint zu hinterlassen), den ich jedesmal wieder auf die Grundeinstellungen zurücksetze. Ich bilde mir so zumindest ein, etwas sicherer unterwegs zu sein.

    (Etwas OT: Neulich habe ich auf einem frisch installierten neuen Browser Google Maps aufgerufen – und der zeigt mir gleich meine Wohngegend an! Fand ich ziemlich erschreckend. Vielleicht hat Google meine IP+Name und Adresse schon, weil ein Verwandter von mir sein ganzes Adressbuch bei Google+ hochgeladen hat. Daraufhin bekam ich Mails von Google, ich solle doch Mitglied werden. Da hab ich erstmal meinen Verwandten auf’n Pott gesetzt, er solle mich SOFORT aus seinem Adressbuch rausnehmen. Mein Fehler war wohl, dass ich in der Mail von Google den Link zum abbestellen von Mails geklickt habe. Seitdem haben die wohl spätestens auch meine IP.
    Fehlt nur noch, dass eine Nichte oder so Fotos vom letzten Familientreffen veröffentlicht: “Und das ist mein Onkel Dampier” – schon haben sie auch meine Visage, obwohl ich da kein Mitglied bin. Gilt in ähnlicher Form auch für Facebook etc.)

    Also letztlich haben wir wohl keine Chance, den Nachstellungen der Datenkraken und Cyberkriminellen zu entgehen. Hilft wohl nur noch ein extra Arbeitsrechner, den man strikt offline lässt. Aber wie kriegt man Daten aus dem Netz da rüber, ohne sich wieder irgendwelchen Schweinkram einzufangen? Es ist zum Verzweifeln.

    Ich merke aber auch, dass mein Internetkonsum insgesamt zurückgeht (Bei Facebook etc. war ich nie). Eigentlich lese ich nur noch Scienceblogs, Wikipedia und 2-3 Nachrichtenseiten ;]

  12. #14 Dampier
    12. Juni 2016

    @Chemiker

    The Tao of Backup

    Sehr schön :] Das meiste ist mir bekannt, aber wahrlich erleuchtet bin ich wohl auch nicht …

  13. #15 schorsch
    12. Juni 2016

    @Chemiker

    Dass Surfen ohne JavaScript wenig Spass macht, ist richtig. Die bessere Antwort ist aber nicht das Backup (das käme schon fast einer Kapitulationserklärung gleich), die bessere Antwort, wie von Dampier schon genannt, ist der Einsatz eines Scriptblockers. Z. B. NoScript für den Firefox.

  14. #16 schorsch
    12. Juni 2016

    P.S.: Mein voriger Beitrag ist in einem Punkt etwas missverständlich. Natürlich will ich den Backup nicht entwerten, der ist ein unverzichtbares Mittel gegen Datenverlust.

    Aber er ist kein Mittel der Wahl gegen vermeidbaren Datenverlust. Da ist er allenfalls Notanker. Und der Datenverlust durch Ransomware ist vermeidbar.

    Andererseits – wenn ich selber schreibe, dass die notwendigen Maßnahmen gegen Ransomware ‘von Laien kaum’ durchführbar sind, kann man den Backup auch in einem ganz anderen Licht sehen. Nur stellt sich dann die Frage, ob der Laie, der sich alle möglichen Apps und Anwendungen auf sein Gerät installiert, aber nicht in der Lage ist, diese auch regelmäßig zu patchen (bzw. überhaupt erst auf ihre Sicherheitsimplikationen hin zu bewerten), je in der Lage sein wird, einen qualifizierten Backup hinzulegen.

  15. #17 Neutrullo
    12. Juni 2016

    Ich hörte folgendes von einem Bekannten, wortwörtlich:

    Wenn man in einer Firma arbeitet, in dem der extern zugemietete “Systemadministrator” meint, die eMails in unserer Firma seien sicher vor Trojanern und Viren, weil unser Exchange-Server die eMails prüfen würde, und außerdem könne man Absender-eMailadressen gar nicht faken.

    Der Bekannte meinte, er habe den externen Sysadmin verwundert angesehen und wollte prüfen, ob der das wirklich ernst meint, oder blos einen Scherz machte.

    Der meinte dies ernst, und das sogar nachdem auf dem Rechner des Chefs ein EMail mit einem Trojaner im “sicheren” Outlook auftauchte.

    Der Chef leitete das EMail, als der Bekannte noch in dieser Firma arbeitet an diesen weiter, da er innerhalb der fix Angestellten der kompetenteste war. Es war ein wie oben beschriebener Installer, der den Trojaner nachlädt, sobald man so dumm ist, die als Bild versteckte Exe-Datei auszuführen.

    Ist dieses Einzelbeispiel aussagekräftig für den Umstand, man habe in vielen Firmen sehr viel Inkompetenz, die es Ransomware und anderer bösartigen Software extrem leicht macht?

    Für den Umstand höre ich immer 2 Meinungen,
    1. Es gäbe zu wenig Fachkräfte
    2. Es gäbe zwar genug Fachkräfte, aber die Wirtschaft ist nicht bereit, die Leistung zu zahlen mit dem Ergebnis, “if you pay peanuts, you get monkeys.”

    Was meint ihr dazu?

  16. #18 Chemiker
    13. Juni 2016

    @schorsch

    Mit der Klarstellung wird es klarer. Backup ist eine un­verzicht­barer Not­anker und hilft gegen alles — von Hard­ware­schaden über Dieb­stahl bis zur Infektion mit Mist­ware. Da sind wir uns wohl einig.

    Infektionen soll man aber gar nicht erst einfangen. Gutes Prinzip, aber gegen 0Day hilft eben nichts, oder zumindest nicht viel. Ein Fehler in einer jpeg-Library, ein Buffer Over­flow im CSS-Renderer, oder ein Pro­blem im Video-Hand­ling, und man ist wehrlos und offen; das ist zwar un­wahr­schein­lich aber kommt eben doch mal vor, und dann kann man nur noch mit einem Backup punkten.

    Man kann aber die Infektionswahrscheinlichkeit herab­setzen. Eine schöne Regel ist, daß mög­lichst wenig Soft­ware mit etwas in Be­rüh­rung kommen sollte, was man ge­ra­de im Inter­net ge­fun­den hat. Damit be­schränkt man die An­griffs­fläche auf Browser und pdf-Viewer und nicht mehr viel sonst. Das sind dann auch die Pro­gramme, die man unbedingt up to date halten muß (Browser­hersteller sind da auch vor­bild­lich, egal ob Google oder Mozilla).

    JavaScript läuft innerhalb des Browsers und kann eigen­tlich (Bugs aus­genom­men) nicht allzu viel an­stel­len, deshalb finde ich die Empfeh­lung von NoScript ein bißchen paranoid und außer­­dem ziem­lich un­bequem. Zumal Web­autoren immer weniger Lust haben, Fall­backs für aus­geschal­te­tes Java­Script zu im­plemen­tie­ren. Ich merke auch, daß ich da wenig kreativ bin und meist nur eine kleine Meldung Schalt Dein Ding ein! auf den Screen fummle, wenn ich sowas auf meinen Seiten detektiere.

  17. #19 schorsch
    13. Juni 2016

    Verschlüsselte Installer

    Ganz interessant in dem Zusammenhang ist übrigens auch, dass die Installer, die die Ransomware auf den Rechner bringen sollen, selbst oft in Form von verschlüsselten Javascript-Programmen daher kommen.

    Üblicherweise spricht man hier von “Obfuscation”, denn als vor knapp zwei Jahrzehnten die ersten verschlüsselten Javascript-Programme auf den Markt kamen war i. d. R. der Klartext lediglich von ASCII in (z.B.) Hex-Format umgesetzt. Aus ‘a’ wurde ‘0x61’, aus der ‘1’ wurde ‘0x31’ oder aus der Funktionsdefinition ‘function doEvil ()’ wurde ‘0x66, 0x75, 0x6e, 0x63, 0x74, 0x69, 0x6f, 0x6e, 0x20, 0x64, 0x6f, 0x45, 0x76, 0x69, 0x6c, 0x20, 0x28, 0x29’. Es geht hier (i. d. R.) auch nicht darum, den Code geheim zu halten oder Informationen zu übertragen, die kein Dritter sehen darf. Hauptsächlicher Zweck der Übung ist, den Code für Virenscanner oder andere Formen automatisierter Prüfungen undurchschaubar zu machen.

    Aber mittlerweile sind die Methoden so ausgefeilt, dass es stundenlange Arbeit bedeuten kann, solch ein Programm von nur wenigen Zeilen Code in (menschen-)lesbare Form zurück zu übersetzen.

    Allerdings kann auch ein Computer mit ‘0x66, 0x75, 0x6e, 0x63, 0x74…’ nichts anfangen. Wie also auf diese Weise Schadcode verbreiten?

    Hier liegt der entscheidende Unterschied zu herkömmlichen Chiffraten: Das verschlüsselte Objekt selbst beschreibt bzw. enthält die notwendigen Methoden und Schlüssel zu seiner eigenen Entschlüsselung!

    Oft gleichen solche JavaScript-Chiffrate den Bleiwüsten eines typischen FAZ-Leitartikels vor 30 Jahren: Ewige Folgen scheinbar sinnlos aneinandergereihter Zeichen… Aber irgendwo in dieser Wüste findet sich ein ganz unscheinbares ‘eval()’, und dieses eval bildet den Anfangspunkt des Fadens, dem folgend die Bleiwüste sich nach und nach in eine fruchtbare Oase der Zerstörung und Erpressung wandelt.

    Oder, um es mit https://isc.sans.edu/forums/diary/Locky+JavaScript+Deobfuscation/20749 zu sagen:
    print((‘investment’, ‘cylinder’, ‘\u0047broker’.e()) + ‘ET’ , (‘copy’, ‘hall’, ‘positive’, ‘extract’, ‘perspective’, ‘hospital’, ‘\u0068initiative’.e()) + ‘tt’ + (‘catalogue’, ‘reservoir’, ‘\u0070accompany’.e()) + ‘:/’ + (‘o
    pera’, ‘plus’, ‘regularity’, ‘icon’, ‘illustrate’, ‘\u002fcontact’.e()) + ‘ww’ + (‘effect’, ‘argument’, ‘bandage’, ‘meridian’, ‘microphone’, ‘\u0077game’.e()) + ‘.b’ + (‘factor’, ‘tradition’, ‘saturation’, ‘\u0061acrobat’.e(
    )) + ‘g’ + (‘import’, ‘reason’, ‘amputate’, ‘\u002dpatrol’.e()) + ‘on’ + (‘phenomenon’, ‘navigate’, ‘march’, ‘compress’, ‘comment’, ‘\u006cdeclaration’.e()) + ‘in’ + (‘mechanic’, ‘camera’, ‘export’, ‘spindle’, ‘\u0065compact
    ‘.e()) + ‘.’ + (‘repetition’, ‘specific’, ‘arsenal’, ‘\u0063category’.e()) + ‘o’ + (‘vibration’, ‘\u006dcommander’.e()) + ‘/’ + (‘plus’, ‘analogy’, ‘junior’, ‘\u0073delegation’.e()) + ‘ys’ + (‘theorem’, ‘method’, ‘\u0074sche
    me’.e()) + ‘e’ + (‘audience’, ‘segment’, ‘hobby’, ‘origin’, ‘version’, ‘\u006dregistration’.e()) + ‘/’ + (‘command’, ‘speculation’, ‘\u006cvariant’.e()) + ‘o’ + (‘bus’, ‘cursive’, ‘theorem’, ‘boat’, ‘lexicon’, ‘compact’, ‘\u
    0067nature’.e()) + ‘s’ + (‘analogy’, ‘illustration’, ‘\u002fconfidential’.e()) + ‘5’ + (‘resolution’, ‘calendar’, ‘march’, ‘\u0036minor’.e()) + ‘y’ + (‘transportation’, ‘stand’, ‘\u0034disk’.e()) + ‘g4’ + (‘mass’, ‘title’, ‘
    \u0035canal’.e()) + ‘g’ + (‘atom’, ‘phrase’, ‘cube’, ‘absurd’, ‘resource’, ‘reform’, ‘\u0068composer’.e()) + ‘4’ + (‘march’, ‘guide’, ‘document’, ‘regenerate’, ‘region’, ‘positive’, ‘\u0035metaphor’.e()) + ‘h’, ((1*0)+(1|1))
    ==((0/19)^(12-12)));

  18. #20 Seb
    13. Juni 2016

    @7 Neutrullo

    Wer hat Ihnen denn den Unfug eingeredet, dass man unter unixoiden Systemen vor so etwas gefeit sei?
    Die Verschlüsselungstrojaner arbeiten ganz simpel mit den Rechten des angemeldeten Benutzers (Userspace), das ist ja eines der besonders perfiden Merkmale daran – es braucht außer dem Benutzer nicht zwangsläufig weitere Sicherheitlücken.
    Daher funktioniert das (mit leichten Unterschieden) unter jedem OS, sofern man den Benutzer (oder eben über Sicherheitslücken auch nur den Browser) dazu bringen kann, eine entsprechend präparierte Datei/JS-Script auszuführen.

  19. #21 Neutrullo
    13. Juni 2016

    @Seb Achtung, gewisse Beiträge von mir enthalten Ironie, den kann man zwischen den Zeilen – wenn man will – herauslesen! 🙂

    Jedes System hat Stärken und Schwächen, Windows hat die Stärke viele Schwächen zu haben relativ gesehen zu anderen Systemen. Die größte Schwäche ist der User, ja. Das sieht man auch immer am cloud-basierenden Daten-Sicherungssystem Facebook, wo sich User wundern, warum man nicht löschen könne aber sich vorher keinen Milli Meter um SLA gekümmert haben. Manchmal kann der problematische User auch der Chef selbst sein, wie im Beitrag von mir angedeutet.

    Wegen kleinerer Rechschreibfehler brauchen Sie sich nicht so sehr Sorgen machen, die Leser sind imstande mit Hilfe des Kontext diese zu korrigiern. (Autokorrektur während des Lesens)