WhisperGate-Malware verfolgt ukrainische Ziele
WhisperGate ist eine neue Malware, die derzeit als Disk Wiper kategorisiert wird und auch den Master Boot Record (MBR) infizierter Geräte beschädigen kann. Diese Angriffe sind unglaublich zerstörerisch, da sie zwei Dinge erreichen. Erstens machen sie die Dateien des Opfers unzugänglich. Und zweitens sorgen sie auch dafür, dass der Benutzer sein System möglicherweise nicht booten kann, weil der Master Boot Record komplett überschrieben wurde. In den letzten Jahren wurden viele große Organisationen und Institutionen Opfer solcher Angriffe.
Ransomware-Tarnung von WhisperGate
Eines der Besonderheiten dieser Ransomware ist, dass sie eine benutzerdefinierte Nachricht verwendet, um den Master Boot Record zu überschreiben. Dies bedeutet, dass beim erneuten Hochfahren des Systems die Nachricht der Kriminellen angezeigt wird. Überraschenderweise fordert es die Opfer auf, eine Lösegeldgebühr von 10.000 US-Dollar per Bitcoin zu zahlen – und versichert ihnen, dass ihre Dateien nach der Zahlung wiederhergestellt werden. Die Analyse zeigt jedoch, dass WhisperGate Dateien nicht wirklich verschlüsselt – es überschreibt und korrumpiert einfach deren Inhalt. Das bedeutet, dass die Ersteller der Ransomware den Schaden, den ihre Malware anrichtet, nicht rückgängig machen können.
Der Angriff erfolgt in der Regel in zwei Stufen. Zuerst wird der MBR verschlüsselt und dann werden auch die Dateien beschädigt. Die WhisperGate-Malware zielt auf gängige Dateiformate ab, um ihren Schaden zu maximieren – eine gängige Vorgehensweise für Ransomware und Wiper. Eine weitere interessante Sache an der WhisperGate-Malware ist, dass sie ihren Angriff erst startet, wenn das Gerät heruntergefahren wird – das bedeutet, dass das Starten der Malware keine Änderungen bewirkt, bis das Gerät heruntergefahren wird.
Bisher wurde das WhisperGate ausschließlich bei Angriffen auf in der Ukraine ansässige Unternehmen und Organisationen eingesetzt – wie etwa große Namen im Energiesektor. Dies bedeutet wahrscheinlich, dass der Angreifer ein staatlich geförderter Bedrohungsakteur ist, dessen ultimatives Ziel es ist, kritische Infrastrukturen in der Ukraine auszuschalten.
