AlienVault Labs-Team analysiert Ransomware-Familie

Kürzlich hat Security-Experte AlienVault die Urausy-Familie in seinem Labs genauer unter die Lupe genommen. Die Schädlinge zählen zur Ransomware: Schadprogramme, die Zugriffe auf oder die Nutzung von Daten sowie des gesamten Computers verhindern. Sie verbreiten sich über Exploit-Kits wie Blackhole, die Schwachstellen in Webbrowsern, Flash oder Java ausnutzen. Über diese Lecks installieren sie bösartige Software auf kompromittierten Rechnern. Infizierte Computer sperren plötzlich den Bildschirm und verlangen eine Geldstrafe einer angeblich rechtmäßigen Strafverfolgungsbehörde an. Erst nach Zahlung solle der Rechner wieder ordnungsgemäß arbeiten.

Hinter diesem Angreifer steckt eine Scam-Attacke. Die AlienVault-Experten weisen darauf hin, dass Strafverfolgungsbehörden zum einen niemals den Computer auf diese Weise sperren würden und zum anderen keinesfalls Geld verlangen. Ist der Rechner erst einmal infiziert, führt sich die Malware automatisch aus. Dabei ist sie so geschrieben, dass sie vor der Entdeckung durch Antiviren-Software geschützt ist. Außerdem verfügt der Schädling über mehrere Anti-Analyse-Tricks, um Debugging (Fehlersuche) und Ausführung in Sandbox-Umgebungen zu verhindern. Dazu prüft der Urausy-Threat, ob er unter den wachsamen Augen eines Debuggers läuft und kann ggf. seine Verhaltensweise verändern.

Kontrolle über die gesamte UI

Sobald sie gestartet wurde, injiziert sich die Malware in den Windows-Prozess svchost, kopiert sich in „C:\Documents and Settings\Administrator\Application Data\skype.dat“ und richtet eine .ini- Datei in „C:\Documents and Settings\Administrator\Application Data\skype.ini“ ein. Dadurch wird das Schadprogramm direkt beim Systemstart geladen. Danach verhält die Malware sich zunächst ruhig, um der Erkennung zu entgehen. Schließlich zeigt der Schädling den gesperrten Bildschirm an, was er mittels „CreateDesktopW“ und „CreateWindowEx“ schafft. Sie verschaffen ihm Kontrolle über die komplette Benutzeroberfläche.

Betroffenen Usern stellt AlienVault eine YARA-Regel zum Download bereit, um gegen infizierte Speicherprozesse vorzugehen. Sie steht unter https://github.com/jaimeblasco/AlienvaultLabs/blob/master/malware_analysis/Urausy/urausy_skypedat.yar zum kostenfreien Download bereit. Darüber hinaus schützt die von AlienVault entwickelte Unified Security Management-Plattform AV-USM(TM) vor diesen und weiteren Schädlingen aus dem Bereich Ransomware.

Weitere Informationen zu Urausy stehen im Blog der AlienVault Labs bereit.

Weiterführende Links

• Originalmeldung von AlienVault Central & Eastern Europe
• Alle Meldungen von AlienVault Central & Eastern Europe