Erpressungs-Trojaner für Linux stümpert – noch
Wer sich die Ransomware Linux.Encoder.1 eingefangen hat, darf hoffen: Durch einen Anfängerfehler lässt sich der Schlüssel zum Dekodieren der verschlüsselten Dateien leicht finden.
(Bild: dpa, Karl-Josef Hildenbrand/Symbol)
Erpressungs-Trojaner wie CryptoWall sind der Kassenschlager der Malware-Branche. Weil ein beträchtlicher Teil der betroffenen Windows-Opfer zahlt, war es nur eine Frage der Zeit, bis sich die Betrüger auch Linux zuwenden. Doch der erste Anlauf mit dem jetzt von Dr.Web entdeckten Schädling Linux.Encoder.1 wird kaum Geld in ihre Kassen spülen. Die Antiviren-Experten von Bitdefender analysierten den Schädling nämlich und entdeckten einen einfachen Weg, die benötigten Schlüssel zu finden, ohne zu bezahlen.
Verschlüsselung mit AES
(Bild: Dr. Web )
Auf die als Opfer auserkorenen Linux-Systeme gelangt Encoder.1 gemäß Dr.Web etwa über die kürzlich bekannt gewordenen Sicherheitslücken in Magento. Nach seinem Start verschlüsselt er zunächst Dateien in /home, /root/, /var/lib/mysql und weitere Server-Verzeichnisse; anschließend nimmt er sich das Root-Verzeichnis vor und verschlüsselt von dort ausgehend bestimmte Dateitypen. Laut Dr.Web sind bereits zig Linux-Nutzer betroffen.
Die Verschlüsselung der Dateien erledigen nahezu alle Erpressungs-Trojaner mit AES, so auch der Linux.Encoder. Der dazu jeweils zufällig ausgewürfelte Schlüssel wird mit einem öffentlichen RSA-Schlüssel chiffriert an den Anfang der Datei geschrieben. Da AES und RSA nicht zu knacken sind, muss man normalerweise den Erpressern viel Geld in den Rachen werfen, um den zugehörigen geheimen RSA-Schlüsssel zu bekommen, der die AES-Schlüssel der Dateien dechiffrieren kann.
Nicht zufällig genug
Allerdings haben die Entwickler bei der Erzeugung der AES-Schlüssel geschlampt, erklären die Analysten von Bitdefender. Sie verwenden dazu die Funktion rand() aus der System-Bibliothek libc und initialisieren diese mit der aktuellen Systemzeit. Letztere lässt sich aber schon anhand der Zeitstempel der Datei so genau rekonstruieren, dass man die verbleibenden Möglichkeiten schnell durchprobieren kann. Bitdefender stellt ein kostenloses Decrypt-Tool bereit, das das erledigt und die betroffenen Dateien wieder entschlüsselt.
Das Problem ist, dass die Betrüger in der Regel aus solchen Fehlern schnell lernen und dann eine verbesserte Version ihrer Schadprogramme bauen, die sich dann nicht mehr so einfach knacken lässt; Linux.Encoder.2 dürfte schon nicht mehr so leicht zu überlisten sein.
(Bild: Bleeping Computer )
Windows-Nutzer können bereits länger ein Lied davon singen: Dort sind die Erpressung-Trojaner wie CryptoWall bereits so gut, dass angeblich sogar das FBI Opfern empfiehlt, das Lösegeld zu zahlen, wenn sie ihre Daten zurück haben wollen. Die soeben in freier Wildbahn gesichtete Version CryptoWall 4.0 verschlüsselt jetzt sogar Dateinamen. Aus Namen wie 27p9k967z.x1nep und 9242on6c.6la9 kann der Anwender nicht einmal entnehmen, welche der Dateien nun die wirklich wichtigen Daten enthält. (ju)
