NotPetya ist eine im Juni 2017 weltweit aufgetretene destruktive Schadsoftware, die sich äußerlich als Ransomware tarnte, tatsächlich jedoch Daten zerstörte, ohne den Betroffenen eine funktionierende Möglichkeit zur Entschlüsselung anzubieten.
Auf einen Blick
NotPetya verbreitete sich über den EternalBlue-Exploit sowie über die legitimen Windows-Administrationswerkzeuge PsExec und WMIC.
Wie die Ransomware Petya überschrieb auch NotPetya Teile des Master Boot Records, den Angreifern ging es dabei aber wohl nicht ums Geld.
Zu den betroffenen Unternehmen zählen der Logistikkonzern Maersk, der seine gesamte IT-Infrastruktur neu aufsetzen musste, und der Pharmakonzern Merck, dessen Umsatz der Angriff erheblich beeinträchtigte.
Was ist NotPetya?
NotPetya ist eine destruktive Schadsoftware, die im Juni 2017 weltweit massive Schäden verursachte und sich als Ransomware tarnte, obwohl sie tatsächlich ein Wiper war. Ein Wiper zerstört Daten, anstatt sie wiederherstellbar zu verschlüsseln; anders als bei echter Ransomware war für die betroffenen Dateien keine funktionierende Entschlüsselung vorgesehen. Die angezeigte Lösegeldforderung diente lediglich als Tarnung für den eigentlichen Zweck der Schadsoftware, nicht als Grundlage für eine echte Zahlungsverhandlung.
Gelangt NotPetya in das Netzwerk eines Versicherers, kann sich die Schadsoftware über legitime Administrationswerkzeuge auf weitere erreichbare Windows-Systeme ausbreiten und dort ebenfalls Daten zerstören. Betroffen sein können dabei ebenso Bestandsführungs- wie Abrechnungssysteme, sofern sie über das interne Netzwerk erreichbar sind und der Angriff nicht durch Segmentierung eingedämmt wird. Bei Versicherern bedeutet das destruktive Muster von NotPetya, dass sich zerstörte Daten in der Regel nur aus getrennt aufbewahrten Backups wiederherstellen lassen, weil für sie keine funktionierende Entschlüsselung existiert. Die Dauer eines Ausfalls hängt damit stärker vom Zustand der eigenen Sicherungen ab als von einer möglichen Zahlung an die Angreifer.
Wie funktioniert NotPetya?
NotPetya verbreitet sich über den EternalBlue-Exploit für eine Schwachstelle in SMBv1 sowie über die legitimen Windows-Administrationswerkzeuge PsExec und WMIC, mit denen sich die Schadsoftware ohne weiteres Zutun lateral im Netzwerk ausbreitet. Ein einzelner infizierter Rechner genügt damit als Einfallstor für die Ausbreitung auf weitere erreichbare Windows-Systeme im selben Netzwerk, sofern diese nicht durch Netzwerksegmentierung oder fehlende Berechtigungen abgeschottet sind.
Hat die Schadsoftware ein System erreicht, überschreibt sie Teile des Master Boot Records irreversibel und verschlüsselt Dateien mit wichtigen Daten, die sie zuvor anhand Dutzender Dateiendungen auswählt. Eine anschließend angezeigte Lösegeldforderung fordert zwar zur Zahlung auf, eine funktionierende Entschlüsselung ist dafür jedoch nicht vorgesehen. Das Fehlen einer vorgesehenen Wiederherstellung unterscheidet NotPetya von echter Ransomware, bei der eine Zahlung auf eine tatsächliche Entschlüsselung der Daten abzielt. Für die Wiederherstellung betroffener Daten bleibt deshalb in der Regel nur der Rückgriff auf Sicherungen, die getrennt vom betroffenen Netzwerk aufbewahrt wurden.
Woran erkenne ich NotPetya?
| Signal | Woran erkennbar |
|---|---|
| Lösegeldforderung erscheint, obwohl keine funktionierende Entschlüsselung angeboten wird | Laut MITRE ATT&CK beabsichtigten die Angreifer nie, die verschlüsselten Daten wiederherstellbar zu machen; die Zahlungsaufforderung war kein echter Wiederherstellungsweg |
| Verbreitung erfolgt zusätzlich über legitime Windows-Administrationswerkzeuge | Auffällige Nutzung von PsExec oder WMIC zur Ausbreitung im Netzwerk statt nur über eine einzelne Infektionsquelle |
| Angriff nutzt den EternalBlue-Exploit für eine bekannte SMBv1-Schwachstelle | Ungepatchte Systeme sind über diese Schwachstelle angreifbar |
Schutz im Ernstfall
Vorbeugen
- Sicherheitsupdates für SMB/Windows zeitnah einspielen
- Netzwerksegmentierung, um laterale Ausbreitung über Administrationswerkzeuge zu begrenzen
- Backups getrennt vom Netzwerk aufbewahren
- Zugriffsrechte für Administrationswerkzeuge wie PsExec und WMIC einschränken
Was tun im Ernstfall
- Betroffene Systeme sofort vom Netzwerk trennen
- Keine Lösegeldzahlung leisten, da keine funktionierende Entschlüsselung vorgesehen ist
- Systeme neu aufsetzen und Daten erst nach Eindämmung und Bereinigung aus geprüften, integren, getrennt aufbewahrten Backups wiederherstellen
- Vorfall an die zuständige Sicherheits- oder Meldestelle weiterleiten
Beispiele aus der Praxis
- Der Logistikkonzern Maersk musste nach dem NotPetya-Angriff laut SecurityWeek die Software seiner gesamten IT-Infrastruktur neu installieren, darunter rund 45.000 PCs und 4.000 Server; die Arbeiten dauerten zehn Tage.
- Das Pharmaunternehmen Merck erlitt durch NotPetya Produktionsausfälle und Datenverluste mit rund 135 Millionen US-Dollar entgangenem Umsatz allein im dritten Quartal 2017.
- NotPetya gelangte über den Update-Mechanismus einer legitimen Software in die Netzwerke der Opfer; als Hauptangriffsvektor diente laut SecurityWeek das Produkt eines ukrainischen Steuersoftware-Herstellers, ein klassisches Supply-Chain-Angriffsszenario.
- Trifft NotPetya das Netzwerk eines Versicherers, kann sich die Schadsoftware über legitime Administrationswerkzeuge lateral auf weitere erreichbare Windows-Systeme ausbreiten; für dabei zerstörte Daten steht anschließend keine funktionierende Entschlüsselung zur Verfügung.
Häufiger Irrtum
Mythos „NotPetya war eine gewöhnliche Ransomware, bei der eine Zahlung des Lösegelds die Daten wiederherstellt.“
Richtig NotPetya tarnte sich als Ransomware, war aber tatsächlich ein Wiper: Für die zerstörten Daten war keine funktionierende Entschlüsselung vorgesehen, die Lösegeldforderung diente lediglich als Tarnung.
