GandCrab ist eine Ransomware-Familie für Microsoft Windows, die von 2018 bis Juni 2019 als Ransomware-as-a-Service betrieben wurde und Dateien auf befallenen Systemen verschlüsselte; für mehrere Versionen existieren inzwischen kostenlose Entschlüsselungswerkzeuge.
Auf einen Blick
GandCrab entwickelte sich laut SecurityWeek zu einer der aktivsten Ransomware-Familien.
Das kostenlose No-More-Ransom-Projekt veröffentlichte Entschlüsselungstools für mehrere GandCrab-Versionen.
Ohne passendes Entschlüsselungstool oder den Schlüssel der Angreifer lassen sich die verschlüsselten Dateien in der Regel nicht entschlüsseln.
Was ist GandCrab?
GandCrab ist eine Ransomware-Familie für Microsoft Windows, die von 2018 bis Juni 2019 als Ransomware-as-a-Service betrieben wurde. Kriminelle mieteten den Zugang zur Schadsoftware gegen einen Anteil am erpressten Lösegeld, statt die Verschlüsselungstechnik selbst zu entwickeln. Nach einer Infektion verschlüsselt die Ransomware Dateien auf dem betroffenen System und hinterlegt eine Lösegeldforderung, die zur Zahlung in Kryptowährung auffordert. Die Verbreitung erfolgte über verschiedene Angriffsvektoren, darunter manipulierte E-Mail-Anhänge und die Ausnutzung von Schwachstellen in Softwaresystemen. Weil einzelne Mieter des RaaS-Programms unabhängig voneinander agierten, konnten einzelne Kampagnen eigene Verbreitungswege und Zielspektren wählen. Die Entwickler kündigten an, den Support für GandCrab im Juni 2019 einzustellen.
Weil GandCrab über mehrere Angriffswege gleichzeitig verbreitet wurde, konnte die Ransomware auf unterschiedlichen Pfaden in ein Firmennetzwerk gelangen. Bei einem Versicherer reicht dafür ein einziges kompromittiertes Postfach oder eine ungepatchte Anwendung an der Netzwerkgrenze aus, wenn Angreifer darüber Zugriff auf interne Systeme erhalten. Ab diesem Einstiegspunkt kann sich die Verschlüsselung auf weitere Systeme im Netzwerk ausbreiten, sofern keine Segmentierung den Zugriff begrenzt und Zugriffsrechte nicht ausreichend eingeschränkt sind. Ein einzelner ungepatchter Servicezugang kann so ausreichen, um eine große Zahl an Arbeitsplätzen im gesamten Unternehmen zu betreffen.
Wie funktioniert GandCrab?
GandCrab funktioniert nach dem Ransomware-as-a-Service-Modell: Die Entwickler stellen die Schadsoftware anderen Kriminellen gegen eine Gewinnbeteiligung zur Verfügung, sodass diese eigene Kampagnen ohne eigene Entwicklungsarbeit durchführen können. Nach der Infektion eines Systems verschlüsselt GandCrab lokale Dateien und, sofern die Zugriffsrechte des kompromittierten Kontos dies zulassen, auch erreichbare Netzlaufwerke. Ohne den passenden Schlüssel lassen sich die Originaldateien in der Regel nicht entschlüsseln; für mehrere Versionen stehen jedoch kostenlose Entschlüsselungswerkzeuge zur Verfügung. Anschließend hinterlegt die Ransomware eine Lösegeldforderung mit Zahlungsanweisung in Kryptowährung.
Die Verbreitung lief über mehrere Kanäle, darunter Phishing-E-Mails mit manipulierten Dokumentanhängen, infizierte Webseiten mit Exploit-Kits und die Ausnutzung von Schwachstellen in Softwaresystemen. Welcher Kanal im Einzelfall genutzt wurde, hing von der jeweiligen Kampagne der Betreiber ab, die den RaaS-Zugang gemietet hatten. Kostenlose Entschlüsselungswerkzeuge gab es bereits während der aktiven Zeit von GandCrab: ab Februar 2018 über das No-More-Ransom-Projekt, bereitgestellt von der rumänischen Polizei mit Bitdefender und Europol. Im Oktober 2018 folgte ein Werkzeug von ESET, das auf Schlüsseln beruht, die die Angreifer selbst für syrische Opfer veröffentlicht hatten.
Woran erkenne ich GandCrab?
| Signal | Woran erkennbar |
|---|---|
| Lösegeldforderung mit Kryptowährungs-Zahlungsanweisung | Nach der Verschlüsselung erscheint eine Lösegeldforderung mit Anweisung zur Zahlung in Kryptowährung |
| Verschlüsselte Dateien auf Windows-Systemen | Betroffen sind Windows-Systeme, für die GandCrab entwickelt wurde |
| Eintrittspunkt über E-Mail-Anhang oder Softwarelücke | Infektion erfolgt unter anderem über manipulierte Dokumentanhänge in E-Mails oder über ausgenutzte Software-Schwachstellen |
Schutz im Ernstfall
Vorbeugen
- Sicherheitsupdates für Software und Betriebssysteme zeitnah einspielen, um bekannte Schwachstellen zu schließen.
- E-Mail-Anhänge mit Makros in Dokumenten standardmäßig blockieren oder in einer isolierten Umgebung öffnen.
- Zugriffsrechte auf Netzlaufwerke begrenzen, damit ein kompromittiertes Konto nicht automatisch weitere Systeme erreicht.
Was tun im Ernstfall
- Infiziertes System vom Netzwerk trennen, um eine weitere Verschlüsselung zu verhindern.
- Kein Lösegeld zahlen und prüfen, ob für die betroffene GandCrab-Version ein kostenloses Entschlüsselungstool über das No-More-Ransom-Projekt verfügbar ist.
- Vorfall an die zuständige IT-Sicherheitsstelle melden und bei der Polizei anzeigen.
Beispiele aus der Praxis
- Häufig kamen Spam-E-Mails mit manipulierten Dokumentanhängen zum Einsatz, die GandCrab anschließend auf die Rechner der Opfer nachluden.
- Das No-More-Ransom-Projekt stellte kostenlose Entschlüsselungstools für mehrere GandCrab-Versionen bereit, sodass betroffene Opfer ihre Daten ohne Lösegeldzahlung wiederherstellen konnten.
- Durch das RaaS-Modell von GandCrab konnten technisch weniger versierte Kriminelle die Ransomware als Dienstleistung nutzen und eigenständig gegen Ziele einsetzen.
- Gelangt GandCrab über einen dieser Angriffsvektoren in das Netzwerk eines Versicherers, kann sich die Verschlüsselung von einem einzelnen Arbeitsplatzrechner auf weitere erreichbare Systeme ausbreiten.
Häufiger Irrtum
Mythos „Bei einer GandCrab-Infektion bleibt nur die Zahlung des geforderten Lösegelds, um die Daten zurückzubekommen.“
Richtig Für GandCrab veröffentlichte das No-More-Ransom-Projekt kostenlose Entschlüsselungstools, mit denen Opfer der meisten damals bekannten Versionen ihre Daten ohne Zahlung wiederherstellen konnten.
