WastedLocker ist eine Ransomware-Familie, die Dateien verschlüsselt, nachweislich ab Mai 2020 in sogenannten Big-Game-Hunting-Kampagnen gezielt gegen große Unternehmen eingesetzt wurde und mit der Cybercrime-Gruppe Evil Corp in Verbindung gebracht wird.
Auf einen Blick
Verschlüsselte Dateien tragen ein Namensschema mit einer Abkürzung des Opfernamens und der Zeichenkette wasted.
Ein eigener Crypter namens CryptOne fügt Junk-Code ein, um Sicherheitsanalysen zu erschweren.
Weitere Ransomware-Familien aus dem Evil-Corp-Umfeld sind laut MITRE ATT&CK BitPaymer und Hades.
Was ist WastedLocker?
WastedLocker ist eine Ransomware-Familie, die nachweislich ab Mai 2020 im Rahmen sogenannter Big-Game-Hunting-Kampagnen gezielt gegen große Unternehmen eingesetzt wurde. Angreifer verschlüsseln nach dem Eindringen in ein Netzwerk Dateien auf den betroffenen Systemen und fordern anschließend Lösegeld für deren Freigabe. Sicherheitsforscher bringen die Schadsoftware mit der Cybercrime-Gruppe Evil Corp in Verbindung, die sich auf finanziell motivierte Angriffe gegen zahlungskräftige Opfer spezialisiert hat. Eine gezielte Zielauswahl unterscheidet diese Kampagnen von breit gestreuten Ransomware-Wellen ohne vorherige Auswahl einzelner Opfer. Diese Vorgehensweise verschafft den Angreifern in Einzelfällen deutlich höhere Lösegeldsummen als bei ungezielten Massenangriffen. Evil Corp werden laut MITRE ATT&CK auch die Ransomware-Familien BitPaymer und Hades zugeschrieben.
Der CryptOne-Crypter erschwert durch eingefügten Junk-Code die Analyse der Schadsoftware, bevor WastedLocker die eigentliche Verschlüsselung ausführt. Trifft der Angriff auf die Systeme eines Versicherers, verschlüsselt WastedLocker dort erreichbare Dateien und blockiert damit den Zugriff auf Kunden- und Vertragsdaten. Je nachdem, wie weit sich der kompromittierte Zugang im Netzwerk ausbreiten konnte, bleibt die Verschlüsselung auf einzelne Systeme begrenzt oder erfasst zentrale Serverstrukturen.
Wie funktioniert WastedLocker?
Bei WastedLocker-Kampagnen, die Evil Corp zugeschrieben werden, dienten gefälschte Software-Updates auf kompromittierten Webseiten typischerweise als erster Zugang ins Netzwerk; die Ransomware selbst brachten die Angreifer erst später zur Ausführung. Laut MITRE ATT&CK handelte es sich dabei um legitime, zuvor kompromittierte Websites. Im Netzwerk setzte die Gruppe zudem Werkzeuge wie Cobalt Strike ein und führte ein Ransomware-Skript per PsExec aus. Der eigens entwickelte Crypter CryptOne verschleiert den Schadcode dabei durch eingefügten Junk-Code und erschwert so die automatisierte Analyse durch Sicherheitsprodukte. Nach der Ausführung verschlüsselt WastedLocker Dateien auf dem System und benennt sie nach einem festen Schema um, das eine Abkürzung des Opfernamens sowie die Zeichenkette wasted enthält. Diese Umbenennung liefert Sicherheitsteams auch ohne vollständige forensische Analyse einen ersten Hinweis auf einen WastedLocker-Vorfall. Zudem kann WastedLocker erreichbare Netzlaufwerke und Wechseldatenträger erkennen sowie Volumenschattenkopien löschen, was eine Wiederherstellung über Windows-Bordmittel erschwert. Eine vollständige Entschlüsselung ohne den beim Angreifer verbliebenen Schlüssel ist nach bisherigen Erkenntnissen von Sicherheitsforschern nicht dokumentiert.
Woran erkenne ich WastedLocker?
| Signal | Woran erkennbar |
|---|---|
| Umbenannte, verschlüsselte Dateien | Dateinamen enthalten eine Abkürzung des Unternehmensnamens sowie die Zeichenkette wasted. |
| Verschleierter Schadcode durch CryptOne | Sicherheitsanalysen stoßen auf umfangreichen Junk-Code, der die automatisierte Erkennung erschwert. |
| Zugriff über gefälschte Software-Updates | Nutzer haben im Vorfeld ein vermeintliches Browser- oder Software-Update von einer kompromittierten Webseite ausgeführt. |
| Gelöschte Schattenkopien | Die Volumenschattenkopien des Systems wurden gelöscht, was eine Wiederherstellung über Windows-Bordmittel erschwert. |
Schutz im Ernstfall
Vorbeugen
- Software- und Browser-Updates nur über offizielle Update-Mechanismen beziehen, nicht über Pop-ups auf Webseiten.
- Endpoint-Schutzlösungen einsetzen, die verhaltensbasiert statt rein signaturbasiert erkennen, um verschleierten Code wie CryptOne zu erfassen.
- Netzwerksegmentierung und eingeschränkte Administratorrechte nutzen, um die Ausbreitung nach einem ersten kompromittierten Endgerät zu begrenzen.
- Sicherungskopien getrennt vom Produktivnetzwerk vorhalten.
Was tun im Ernstfall
- Betroffene Systeme umgehend isolieren.
- Herkunft des vermeintlichen Updates identifizieren und den entsprechenden Zugangsweg schließen.
- IT-Forensik und gegebenenfalls spezialisierte Incident-Response-Dienstleister einbeziehen.
- Daten erst nach Eindämmung und Bereinigung aus geprüften, integren und getrennt aufbewahrten Backups wiederherstellen, sofern verfügbar.
Beispiele aus der Praxis
- Im Jahr 2020 wurde ein großes US-amerikanisches GPS- und Navigationsunternehmen laut Medienberichten Opfer eines WastedLocker-Angriffs.
- Als ersten Zugang nutzten die Evil Corp zugeschriebenen WastedLocker-Kampagnen kompromittierte legitime Websites, die Besuchern gefälschte Browser-Updates unterjubelten.
- Laut MITRE ATT&CK entschlüsselt der eigene Crypter CryptOne die eigentliche WastedLocker-Schadsoftware mit einem XOR-basierten Algorithmus.
- Erschwert der CryptOne-Crypter die Analyse der Schadsoftware und verschlüsselt WastedLocker anschließend Systeme eines Versicherers, bleibt der Zugriff auf Kunden- und Vertragsdaten blockiert, bis eine Wiederherstellung aus Backups gelingt.
Häufiger Irrtum
Mythos „WastedLocker richtet sich nur gegen kleine, schlecht geschützte Unternehmen.“
Richtig Die dokumentierten Kampagnen richteten sich im Gegenteil überwiegend gegen große, zahlungskräftige Unternehmen im Rahmen von Big-Game-Hunting – ein Vorgehen, das auf hohe Lösegeldsummen statt auf eine große Opferzahl abzielt.
