TeslaCrypt

Was ist TeslaCrypt?

TeslaCrypt bezeichnet eine Ransomware-Familie, deren Betreiber 2016 das Ende ihrer Aktivitäten ankündigten und die als Krypto-Trojaner Dateien auf infizierten Windows-Systemen verschlüsselte und anschließend Lösegeld für die Entschlüsselung forderte. Verbreitet wurde die Schadsoftware unter anderem über das Botnetz Avalanche sowie über Spam-E-Mails mit schädlichen Anhängen. Die Familie zählt zu den Krypto-Trojanern der mittleren 2010er-Jahre; das BSI führt TeslaCrypt in seinem Lagedossier Ransomware unter den in Deutschland verbreiteten Familien des Jahres 2016. In einer Befragung des BSI nannten Unternehmen in Deutschland Infektionen mit TeslaCrypt nach Locky am zweithäufigsten.

Auch wenn die Betreiber 2016 das Ende ihrer Aktivitäten ankündigten, können aktive Krypto-Trojaner Bestandsdaten eines Versicherers auf vergleichbare Weise unbrauchbar machen. Wie andere Ransomware-Familien löschte TeslaCrypt zudem ältere, über die Windows-Volumeschattenkopie gesicherte Dateiversionen. TeslaCrypt eignet sich deshalb als Beispiel, um die Wirkungsweise eines Krypto-Trojaners und die Bedeutung eines rechtzeitigen Backup-Konzepts nachzuvollziehen. Ein aktuelles Backup-Konzept mit getrennter Aufbewahrung bleibt deshalb unabhängig davon relevant, ob die jeweilige Ransomware-Familie noch aktiv betrieben wird oder nicht.

Wie funktioniert TeslaCrypt?

TeslaCrypt gelangte unter anderem über Spam-E-Mails mit schädlichen Anhängen, über Schadsoftware-Downloader oder über die Infrastruktur des Botnetzes Avalanche auf Windows-Systeme und verschlüsselte anschließend Dokumente, Bilder sowie Spieldateien. Nach Abschluss der Verschlüsselung zeigte die Schadsoftware eine Lösegeldforderung an, die eine Zahlung in Bitcoin für die Entschlüsselung verlangte. Je nach Version trugen die verschlüsselten Dateien eine veränderte Endung wie .xxx, .ttt oder .micro; ab Version 4 verschlüsselte TeslaCrypt laut BSI, ohne die Dateiendung zu ändern.

Bei korrekter Implementierung ist die Wiederherstellung verschlüsselter Daten laut BSI nur mit dem passenden Schlüssel möglich; bei den neueren TeslaCrypt-Varianten lag der dafür nötige Generalschlüssel bei den Betreibern. Nachdem die Betreiber von TeslaCrypt 2016 das Ende ihrer Aktivitäten ankündigten und den Generalschlüssel veröffentlichten, stellte ESET ein kostenloses Entschlüsselungstool für die Varianten 3.0.0 bis 4.2 bereit, mit dem Betroffene ihre Dateien nachträglich ohne Zahlung wiederherstellen konnten. Der veröffentlichte Generalschlüssel gilt nur für TeslaCrypt und lässt sich nicht auf andere Ransomware-Familien übertragen.

Woran erkenne ich TeslaCrypt?

Schutz im Ernstfall

Vorbeugen

• Vorsicht bei E-Mail-Anhängen aus unbekannten Quellen, da TeslaCrypt laut BSI unter anderem über Spam-E-Mails mit Anhängen verteilt wurde.
• Regelmäßige Backups auf getrennten Speichermedien vorhalten, unabhängig davon, ob eine bekannte Ransomware-Familie aktiv ist.
• Sicherheitssoftware und Signaturen aktuell halten, da bekannte Krypto-Trojaner-Familien wie TeslaCrypt darüber erkannt werden.

Was tun im Ernstfall

• Die angezeigte Lösegeldforderung und gegebenenfalls veränderte Dateiendungen mit bekannten Merkmalen von TeslaCrypt abgleichen, bevor ein Entschlüsselungstool eingesetzt wird.
• Den 2016 veröffentlichten Generalschlüssel beziehungsweise ein darauf basierendes kostenloses Entschlüsselungstool eines Sicherheitsanbieters nutzen, statt Lösegeld zu zahlen.
• Keine Zahlung leisten, da die kostenlose Entschlüsselung seit der Veröffentlichung des Schlüssels möglich ist.
• Betroffene Systeme vom Netzwerk trennen, eine Kopie der verschlüsselten Dateien sichern und das System vor dem Entschlüsselungsversuch mit einem Antivirenprogramm vollständig prüfen und bereinigen.