Ordinypt: Erpressungstrojaner bedroht deutsche Firmen
Allem Anschein nach geht in Deutschland ein neuer Trojaner um, der auf Personalabteilungen zielt und Lösegeld erpresst. Der in Delphi verfasste Trojaner lässt Opfern allerdings keine Chance, ihre Daten wiederzubekommen.
Von Ordinypt befallene Dateien
(Bild: G-Data)
- Fabian A. Scherschel
Ein Erpressungstrojaner grassiert momentan in Deutschland und bedroht vor allem die Daten von Firmen. Laut einem Bericht der Sicherheitsfirma G-Data handelt es sich bei Ordinypt um einen Wiper-Trojaner, der vorgibt, wichtige Daten auf dem Rechner des Opfers zu verschlüsseln. Für die Opfer sieht also erst mal alles so aus, als sei das System von einer Ransomware befallen. Allerdings machen sich die Angreifer wohl nicht die Mühe, Daten zu verschlüsseln sondern löschen stattdessen deren Inhalt – das geforderte Lösegeld zu zahlen ist also sinnlos.
Angriff zielt erneut auf Personalabteilungen
(Bild: G-Data)
Ähnlich wie damals beim Goldeneye-Angriff nutzen die Drahtzieher hinter Ordinypt (auch bekannt als HSDFSDCrypt) sehr sauber verfasste Phishing-Mails in nahezu fehlerfreiem Deutsch, die sie mit Vorliebe direkt an personalverantwortliche Personen in deutschen Firmen schicken. Interessanterweise ist der vermeintliche Erpressungstrojaner in Delphi geschrieben – was eine Programmiersprache für Malware angeht eine eher ungewöhnliche Wahl.
Anders als bei der Mischa/Petya/Goldeneye-Familie scheinen es die Kriminellen auch nicht darauf angelegt zu haben, sich mit gutem Branding einen Namen in der Szene zu machen. Der Trojaner ist eher unauffällig und legt für jedes Opfer-System eine eigene Bitcoin-Adresse an. Die Dateinamen der befallenen Dateien werden anscheinend zufällig vergeben.
(Bild: G-Data)
G-Data geht davon aus, dass der Verfasser der Erpressernachricht des Trojaners ein deutscher Muttersprachler ist. Dass jedes Mal eine neue Bitcoin-Adresse angelegt wird, soll es wohl erschweren, die Zahlungen in der Bitcoin-Blockchain zu verfolgen. Ob und wie der Trojaner die Adressen und dazugehörige geheime Schlüssel an die Erpresser übermittelt, ist momentan unklar. Auch ist nicht bekannt ob die Urheber der Malware mit ihrem Schadcode Geld scheffeln wollen, oder ob es sich ähnlich wie im Fall NotPetya vorrangig um einen Angriff handelt, der einen möglichst großen Schaden anrichten soll.
Nach bisherigen Erkenntnissen zielt Ordinypt nur auf Windows-Rechner. Ob die Malware auf Windows-10-Rechnern erfolgreich zur Ausführung gebracht werden kann, ist momentan ungewiss.
(fab)
