Als Wiper wird Schadsoftware bezeichnet, deren Hauptzweck darin besteht, Daten auf einem System oder in einem Netzwerk zu zerstören oder unbrauchbar zu machen, statt sie gegen Lösegeld wieder freizugeben.
Auf einen Blick
In der HermeticWiper-Kampagne wurde der Wiper in einem Fall per Gruppenrichtlinie (GPO) verteilt, in einem anderen kompromittierten Netzwerk diente ein Wurm seiner Verbreitung.
Nach Einschätzung der Forscher waren die betroffenen Organisationen bei HermeticWiper schon lange vor dem Einsatz des Wipers kompromittiert.
In Cloud-Umgebungen können Angreifer laut MITRE ATT&CK ihren Zugriff nutzen, um Cloud-Speicherobjekte, Maschinen-Images, Datenbankinstanzen und weitere betriebswichtige Infrastruktur zu löschen.
Was ist Wiper?
Wiper zielen darauf ab, Daten zu zerstören und damit die Verfügbarkeit von Systemen, Diensten und Netzwerkressourcen zu unterbrechen. Laut MITRE ATT&CK macht Datenzerstörung gespeicherte Daten wahrscheinlich für forensische Verfahren nicht wiederherstellbar, weil Dateien oder Daten auf lokalen und entfernten Laufwerken überschrieben werden. Das Ausmaß kann vom Löschen einzelner Dateien bis zur Beschädigung ganzer Datenbanken reichen, deren kritische Informationen dann vollständig unbrauchbar sind. Manche Wiper treten wie Ransomware auf und zeigen eine Lösegeldforderung an, obwohl eine Wiederherstellung der Daten nicht vorgesehen ist.
Gelangt ein Wiper auf Systeme eines Versicherers, kann er die dort gespeicherten Daten vernichten, ohne dass wie bei Ransomware eine Entschlüsselung gegen Zahlung vorgesehen ist; vernichtete Bestandsdaten lassen sich dann wahrscheinlich nur aus einer unbeschädigten Sicherung wiederherstellen. Laut MITRE ATT&CK sollten Sicherungen außerhalb des Systems gespeichert und vor den gängigen Methoden geschützt werden, mit denen Angreifer sie erreichen und zerstören können, um eine Wiederherstellung zu verhindern. Fehlen Sicherungen oder sind auch sie betroffen, bleibt Unternehmen unter Umständen nur eine Datenrettung durch externe Dienstleister, ohne Erfolgsgarantie.
Wie funktioniert Wiper?
Ein Wiper beginnt nach der Installation auf dem System mit einer Reihe von Lösch- oder Überschreibbefehlen auf sensiblen Daten. Disk-Wiper löschen ganze Laufwerke oder Partitionen, MBR-Wiper dagegen zielen auf den Master Boot Record, der Informationen darüber enthält, wie das Betriebssystem geladen wird. Ist der MBR beschädigt, kann das Betriebssystem nicht mehr starten; der Rechner ist dann nicht nutzbar, bis das System wiederhergestellt ist. Laut MITRE ATT&CK können Angreifer Dateien und Verzeichnisse zudem mit zufällig erzeugten Daten überschreiben, damit sie nicht wiederherstellbar sind. In fortgeschrittenen Fällen können Datenstrukturen oder Metadaten des Dateisystems manipuliert werden, um Daten unwiederherstellbar zu machen.
Laut MITRE ATT&CK kann Schadsoftware zur Datenzerstörung wurmartige Funktionen besitzen, um sich über ein Netzwerk zu verbreiten. Als Einstieg dienen etwa Phishing-E-Mails mit Links oder Anhängen oder Wechselmedien wie USB-Sticks. In einem in MITRE ATT&CK genannten Beispiel werden Dateien auf Netzlaufwerken gelöscht, lokal gespeicherte Dateien dagegen beschädigt und mit Zufallsdaten überschrieben.
Wiper im Vergleich
| Kriterium | Wiper | Ransomware |
|---|---|---|
| Hauptzweck | Zerstörung der Daten; Chaos zu stiften oder den Betrieb zu stören kann wichtiger sein als finanzieller Gewinn | Finanzielle Motive stehen im Vordergrund |
| Umgang mit den Daten | Daten werden zerstört oder überschrieben, bei NotPetya ohne vorgesehene Wiederherstellung verschlüsselt; ohne Sicherung sind sie wahrscheinlich nicht wiederherstellbar | Daten werden verschlüsselt |
| Lösegeldforderung | Kann vorgetäuscht sein: NotPetya trat als Ransomware auf, GermanWiper zeigte nach dem Überschreiben eine Lösegeldforderung an | Gehört zum Vorgehen: Daten verschlüsseln und Lösegeld fordern |
| Wirkung einer Zahlung | In den dokumentierten Fällen ohne Nutzen: Bei NotPetya konnten Opfer ihre Daten auch nach einer Zahlung nicht wiederherstellen, bei GermanWiper waren die Dateien endgültig mit Nullen überschrieben | Kann bei Zahlung den Entschlüsselungsschlüssel liefern |
Woran erkenne ich Wiper?
| Signal | Woran erkennbar |
|---|---|
| Rechner startet nicht mehr | Bei Wipern, die den Master Boot Record beschädigen, kann das Betriebssystem nicht mehr geladen werden |
| Dateien auf lokalen oder entfernten Laufwerken fehlen oder sind unbrauchbar | Dateien oder Daten auf lokalen und entfernten Laufwerken werden überschrieben beziehungsweise gelöscht |
| Überschriebene Dateien mit geänderter Dateiendung (GermanWiper) | GermanWiper überschrieb Dateien mit Nullen und änderte die Dateiendung, bevor die Lösegeldforderung erschien |
| Bewerbungsmail mit Zip-Archiv und Windows-Link-Datei (GermanWiper) | Das Zip-Archiv enthielt statt des Lebenslaufs eine Windows-Link-Datei, die PowerShell startete, um die eigentliche Malware nachzuladen |
Schutz im Ernstfall
Vorbeugen
- Einen IT-Notfallplan mit Verfahren für regelmäßige Datensicherungen einführen, mit denen Organisationsdaten wiederhergestellt werden können; geplante Sicherungen einschließlich Systemabbildern können bei einem MBR-Wiper hilfreich sein
- Sicherungen außerhalb des Systems speichern und vor den Methoden schützen, mit denen Angreifer sie erreichen und zerstören könnten
- Integrität und Zugänglichkeit der Sicherungen in festen Abständen testen
- Mitarbeiter anweisen, Anhänge und Links in unerwarteten E-Mails, etwa ein Zip-Archiv in einer vermeintlichen Bewerbung, nicht zu öffnen, sondern der internen IT-Sicherheit zu melden
Was tun im Ernstfall
- Das betroffene System sofort vom Netzwerk trennen
- Den Vorfall umgehend der internen IT-Sicherheit melden, bevor Mitarbeiter selbst Dateien löschen oder das System bereinigen
- Zugangsdaten, die auf dem System verwendet wurden, umgehend und von einem nicht betroffenen Gerät aus ändern
- Durch die IT-Sicherheit prüfen lassen, ob weitere Systeme betroffen sind, weil Schadsoftware zur Datenzerstörung wurmartige Funktionen besitzen kann, und betroffene Systeme neu installieren lassen; Daten erst danach aus vorhandenen Sicherungen wiederherstellen und eine Lösegeldforderung nicht bezahlen, denn bei NotPetya erhielten Opfer ihre Daten auch nach einer Zahlung nicht zurück
Beispiele aus der Praxis
- NotPetya trat wie Ransomware auf; nach Analysen von Sicherheitsforschern erzeugte die Schadsoftware die angezeigte Installations-ID aus Zufallsdaten, sodass Opfer ihre Daten auch nach einer Zahlung nicht zurückerhielten.
- GermanWiper kam als Bewerbungsmail mit einem Zip-Archiv, das statt eines Lebenslaufs eine Windows-Link-Datei enthielt; sie startete PowerShell, um die eigentliche Malware nachzuladen; diese überschrieb Dateien mit Nullen, bevor eine Lösegeldforderung erschien.
- HermeticWiper deaktivierte den Volume Shadow Copy Service (VSS) und überschrieb seine eigene Datei mit Zufallsbytes; nach Einschätzung der Forscher sollte das wahrscheinlich die Analyse nach einem Vorfall verhindern.
- Trifft ein Wiper Systeme eines Versicherers, kann er die dort gespeicherten Daten zerstören, ohne dass wie bei Ransomware eine Entschlüsselung gegen Zahlung vorgesehen ist; zerstörte Bestandsdaten lassen sich dann wahrscheinlich nur aus einer unbeschädigten Sicherung wiederherstellen.
Die Varianten im Detail (3)
Data-Wiper Data-Wiper ist eine andere Schreibweise für Wiper, also Schadsoftware, die Daten zerstört oder überschreibt.
Die englische Wortbildung betont, dass Daten das Ziel sind und nicht die Hardware. In Berichten und Produktbeschreibungen steht sie neben Wiper-Malware und bezeichnet dieselbe Art von Schadsoftware.
Daten-Wiper Daten-Wiper ist die eingedeutschte Schreibweise von Data-Wiper und bezeichnet ebenfalls einen Wiper.
Mit Bindestrich und deutscher Wortreihenfolge erscheint der Begriff in Fachartikeln und Warnmeldungen. Inhaltlich unterscheidet er sich nicht von Wiper, sondern ist lediglich ein weiterer geläufiger Schreibweg.
Wiper-Malware Wiper-Malware ist Schadsoftware, deren Zweck die Zerstörung von Daten ist.
Anders als Ransomware verfolgt sie meist keinen finanziellen Zweck, sondern Sabotage. Mitunter tarnt sie sich als Verschlüsselungstrojaner, sodass der Eindruck einer Lösegeldforderung entsteht, obwohl keine Rettung möglich ist.
Häufiger Irrtum
Mythos „Schadsoftware, die als Ransomware auftritt, will die verschlüsselten Daten nach einer Zahlung auch wieder lesbar machen.“
Richtig Laut MITRE ATT&CK trat NotPetya zwar als eine Form von Ransomware auf, sein Hauptzweck war aber die Zerstörung von Daten und Datenträgerstrukturen; die Angreifer wollten die verschlüsselten Daten nie wiederherstellbar machen.
