Netwalker ist eine Ransomware-Familie, die zwischen 2019 und 2021 als Ransomware-as-a-Service betrieben wurde, gezielt Unternehmen, Behörden, Bildungseinrichtungen und Gesundheitsbehörden in den USA und anderen Ländern angriff und deren Dateien bis zur Zahlung eines Lösegelds verschlüsselte.
Auf einen Blick
Einzelne Sicherheitsanbieter führen die Schadsoftware unter der Bezeichnung Ransom:Win32/NetWalker.
Im Januar 2021 schalteten bulgarische Behörden die Darknet-Seiten von Netwalker ab, zudem wurden Kryptowährungen beschlagnahmt; die US-Justiz erhob Anklage gegen einen mutmaßlichen Affiliate.
Der Name Netwalker steht sowohl für die Schadsoftware als auch für das dahinterstehende Partnerprogramm.
Was ist Netwalker?
Netwalker bezeichnet eine Ransomware-Familie, die Kriminelle zwischen 2019 und 2021 als Ransomware-as-a-Service betrieben. Ein Affiliate setzt die Schadsoftware gegen eine Umsatzbeteiligung ein, während die Kernentwickler die Schadsoftware und die technische Infrastruktur bereitstellen. Nach dem Eindringen in ein Netzwerk verschlüsselt Netwalker erreichbare Dateien und fordert im Anschluss Lösegeld für deren Freigabe. Zu den Zielen der Angreifer zählten Behörden, Bildungseinrichtungen, private Unternehmen und Gesundheitsbehörden. Der Name steht dabei sowohl für die eingesetzte Schadsoftware als auch für das dahinterstehende Partnerprogramm. Sicherheitsforscher beobachteten dieses Partnerprogramm zwischen 2019 und Anfang 2021 als eines der aktiven Beispiele für das RaaS-Geschäftsmodell.
Setzt ein Affiliate Netwalker erfolgreich im Netzwerk eines Versicherers ein, werden erreichbare Dateien verschlüsselt und der Zugriff darauf blockiert. Je nach Reichweite des kompromittierten Zugangs kann sich die Verschlüsselung auf einzelne Arbeitsplätze oder auf zentrale Serverstrukturen mit Kundendaten ausweiten. Die Bearbeitung laufender Verträge und Schadensfälle steht in einem solchen Fall still, bis der Zugriff wiederhergestellt ist. Die Wiederherstellung hängt davon ab, ob getrennt aufbewahrte Sicherungskopien zum Zeitpunkt des Angriffs verfügbar und unversehrt sind.
Wie funktioniert Netwalker?
Netwalker gelangt über einen von einem Affiliate bereitgestellten Zugang in ein Zielnetzwerk und verschlüsselt dort systematisch erreichbare Dateien. Der Affiliate wählt Ziel und Angriffsweg in der Regel eigenständig, während die Kernentwickler von Netwalker die Schadsoftware und die zugehörige Infrastruktur bereitstellen und im Gegenzug einen Anteil am gezahlten Lösegeld erhalten. Dieses Partnerprogramm-Modell erlaubt es mehreren unabhängigen Angreifern gleichzeitig, dieselbe Schadsoftware gegen unterschiedliche Ziele einzusetzen, wodurch sich die Angriffsmuster von Fall zu Fall unterscheiden können. Die Auswahl eines konkreten Ziels richtet sich dabei typischerweise nach den Zugängen und Fähigkeiten des jeweiligen Affiliates. Nach der Verschlüsselung hinterlässt die Schadsoftware eine Lösegeldforderung mit Zahlungsanweisung. Einzelne Sicherheitsanbieter erkennen die Schadsoftware anhand ihrer Signatur, etwa als Ransom:Win32/NetWalker. Im Januar 2021 schalteten bulgarische Behörden die Darknet-Seiten von Netwalker ab, und Ermittlungen der US-Justiz führten zur Anklage gegen einen mutmaßlichen Affiliate.
Woran erkenne ich Netwalker?
| Signal | Woran erkennbar |
|---|---|
| Unautorisierter Zugang mit Rechteausweitung | Ungewöhnliche Anmeldungen oder eine plötzliche Rechteausweitung über ein bislang unbekanntes Konto treten vor der Verschlüsselung auf. |
| Signaturerkennung als Ransom:Win32/NetWalker | Einzelne Antiviren- und EDR-Lösungen melden die Schadsoftware unter dieser Bezeichnung. |
| Plötzliche Verschlüsselung über mehrere Systeme hinweg | Dateien auf mehreren vernetzten Systemen werden innerhalb kurzer Zeit unlesbar; zusätzlich wird eine Lösegeldforderung als Datei abgelegt. |
Schutz im Ernstfall
Vorbeugen
- Zugänge für Fernwartung und Administratorkonten mit Mehr-Faktor-Authentifizierung absichern, da Affiliates kompromittierte Konten als Zugangsweg nutzen können.
- Rechteausweitung durch konsequente Trennung von Nutzer- und Administratorrechten erschweren.
- Sicherungskopien getrennt vom Produktivnetzwerk aufbewahren und regelmäßig auf Wiederherstellbarkeit prüfen.
- Signaturen und Verhaltenserkennung der eingesetzten Sicherheitsprodukte aktuell halten.
Was tun im Ernstfall
- Betroffene Systeme umgehend vom Netzwerk trennen.
- Zugangsdaten von Administrator- und Fernwartungskonten zurücksetzen.
- Vorfall den zuständigen Behörden melden und IT-Forensik hinzuziehen.
- Systeme erst nach Eindämmung und Bereinigung aus geprüften, integren Backups wiederherstellen, die getrennt aufbewahrt wurden, sofern verfügbar.
Beispiele aus der Praxis
- Im Jahr 2020 zahlte die Universität von Kalifornien in San Francisco nach einem Ransomware-Angriff, für den Netwalker verantwortlich gemacht wird, umgerechnet rund 1,14 Millionen US-Dollar Lösegeld.
- Während der COVID-19-Pandemie griffen Netwalker-Affiliates gezielt Krankenhäuser und Gesundheitsbehörden an.
- Im Januar 2021 wurden im Zuge einer koordinierten Aktion Kryptowährungen im Wert von rund 454.000 US-Dollar beschlagnahmt; bulgarische Behörden schalteten die Darknet-Seiten ab, über die die Netwalker-Betreiber mit Opfern kommunizierten.
- Setzt ein Affiliate Netwalker erfolgreich im Netzwerk eines Versicherers ein, werden erreichbare Dateien verschlüsselt und der Zugriff darauf blockiert, bis eine Wiederherstellung aus Sicherungskopien oder eine Entschlüsselung gelingt.
Häufiger Irrtum
Mythos „Da Netwalker offiziell zerschlagen wurde, geht von der Schadsoftware heute keine Gefahr mehr aus.“
Richtig Strafverfolgungsbehörden in den USA und Europa beschlagnahmten 2021 die Darknet-Seiten der Netwalker-Operation und klagten einen kanadischen Staatsbürger an; die Beschlagnahme von Infrastruktur schließt jedoch nicht aus, dass die Schadsoftware weiterhin eingesetzt werden kann.
