TorrentLocker: Erpressungs-Malware nach Analyse von ESET weiter in Deutschland, Österreich und Schweiz aktiv

Unternehmen aus Energie-, Post- und Telekommunikationssektor im Visier

Fake-Website von A1 (Bild: ESET)

Jena (pts024/01.09.2016/17:00) Die bereits seit dem Jahr 2014 bekannte Verschlüsselungs-Malware "TorrentLocker" ist auch nach zwei Jahren noch aktiv und nimmt weiterhin lokale Firmen aus dem Energie-, Post- und Telekommunikationssektor ins Fadenkreuz. Dies geht aus einer Untersuchung des europäischen Security-Software-Herstellers ESET http://www.eset.com/de hervor, in der aktuelle Malware-Samples von TorrentLocker analysiert wurden.

Ein heute veröffentlichter Artikel im ESET-Security-Blog WeLiveSecurity beleuchtet Ähnlichkeiten und Unterschiede zwischen TorrentLocker-Mustern aus den Jahren 2014 und 2016. Die Ergebnisse der Analyse:

Die Infektionsbenachrichtigung hat sich verändert

Wo 2014 nach Infektion von einem "CryptoLocker virus" gesprochen wurde, ist heute von "Crypt0l0cker" die Rede, obwohl der Schadcode und die Angriffsstrategie weitgehend unverändert blieben. Es handelt sich somit um eine alte Malware in neuem Gewand. Diese Indizien sprechen dafür, dass die Hintermänner der Malware identisch geblieben sind.

Identische Verbreitungsstrategie

Wie schon 2014 werden auch weiterhin verseuchte E-Mails mit einem Link zu einem als wichtig gekennzeichneten Dokument verschickt, wie eine Rechnung oder ein Tracking-Code. Nach Download und Ausführen der Datei wird TorrentLocker aktiv und nimmt Verbindung zum Command & Control (C&C)-Server auf. Es folgt die Verschlüsselung der lokalen Dateien.

Geo-lokalisiertes Auftreten

TorrentLocker tritt in gut getarnten, lokalisierten Versionen auf. Dies erschwert es den Opfern, die Software als bösartig zu identifizieren. In der DACH-Region fällt die gute Tarnung dreier Beispiele ins Auge, die sich allesamt als österreichische Unternehmen ausgeben (die vollständige Auflistung inklusive Bildmaterial findet sich im unten verlinkten Blog-Beitrag auf WeLiveSecurity):

- A1 Telekom
- Österreichische Post
- Verbund

Die URL-Adressen der Downloadseiten sind exklusiv aus dem Land abrufbar, das Ziel der Malware-Kampagne ist. Die Fake-Webseiten der österreichischen Unternehmen sind folglich nur von Österreich abrufbar - Deutsche oder Schweizer haben keinen Zugriff.

Kontaktaufnahme mit C&C-Server über Tor-Netzwerk

TorrentLocker nutzt neuerdings das Tor-Netzwerk zur Verschleierung der Adresse des C&C-Servers - 2014 lief die Verbindung noch über fest codierte Domains über HTTPS. Die Verschleierung über das Tor-Netzwerk macht es für Malware-Forscher und Ermittlungsbehörden extrem schwierig, die physikalische Adresse der C&C Server ausfindig zu machen.

TorrentLocker verschlüsselt private Daten mit AES-256-CBC

Wo 2014 noch die kryptografische Bibliothek LibTomCrypt zum Einsatz kam, setzt die Malware neuerdings weitgehend auf die Microsoft CryptoAPI als Basiswerkzeug für die AES-256-Verschlüsselung. Je nach Kampagne variiert der Schlüssel. Die Kommunikation mit dem C&C-Server läuft AES-256-verschlüsselt. Im Gegensatz zu 2014 chiffriert die Schadsoftware die privaten Dateien nicht mehr bis zu den ersten 2 Megabyte, sondern nur noch bis zum ersten Megabyte. Die verschlüsselten Dateien enden nun mit zufälligen Strings, nicht mehr mit sequentiellen Nummern. Systemdateien bleiben unangetastet, das System folglich nutzbar.

Eine tiefergehende technische Untersuchung des Schadcodes ist im Artikel auf WeLiveSecurity enthalten:
http://www.welivesecurity.com/deutsch/2016/09/01/torrentlocker-ransomware-mit-gleicher-taktik-aktiv

Das 43-seitige ESET Whitepaper aus Dezember 2014 mit einer Analyse von TorrentLocker kann weiterhin auf der ESET-Website heruntergeladen werden:
http://www.welivesecurity.com/wp-content/uploads/2014/12/torrent_locker.pdf

Aussender:	ESET Deutschland GmbH
Ansprechpartner:	Michael Klatte
Tel.:	+49 364 13114 257
E-Mail:	michael.klatte@eset.de
Website:	www.eset.de