Sind Sie sich der Cybergefahr bewusst? Das Petya-Virus

Noch wird nach einem Abschaltmechanismus für Petya gesucht, den zweiten weltweiten Cyberangriff innerhalb des letzten Monats. Der am 27. Juni in der Ukraine begonnene Angriff betraf in nur 2 Tagen mehr als zweitausend Computer.

Im Mai 2017 war ein Cyberangriff auf die britischen Gesundheitssystemeerfolgt und hatte sich von dort auf viele Länder ausgebreitet. Das Virus hieß wanna cry ; in unserem früheren Beitragzu diesem Thema hatten wir davor gewarnt, dass weitere Cyberangriffe folgen könnten. Bei diesem Angriff war das Virus als Anhang einer harmlos wirkenden E-Mail in das System eingedrungen. Nach seiner Aktivierung verschlüsselte es alle wichtigen Dateien und verlangte anschließend Lösegeld auf ein nicht nachverfolgbares Konto in virtueller Währung – Bitcoin . Nach den Erklärungen waren weltweit 200.000 Computer betroffen. Während manche Unternehmen den Datenverlust akzeptierten, gab es auch solche, die wie ein Unternehmen in Südkorea bereit waren, ungefähr 1 Million Dollar zu zahlen.

Kaum schien Wanna Cry vorbei, kam das Petya-Virus

Nicht einmal 1 Monat später, am 27.06.2017, ereignete sich ein weiterer Cyberangriff, der durch dieselbe Schwachstelle in Microsoft Windowseindringen konnte. Nach Angaben der Forschenden hat das NotPetya / Petya genannte Virus bereits Systeme in vielen Ländern, insbesondere der Ukraine, Russland und Amerika, durcheinandergebracht. In der Ukraine wurden Systeme vieler Stellen einschließlich Regierungsbehörden gesperrt, einige Metros standen still, und sogar im Kernkraftwerk Tschernobylfielen Computer aus, sodass Leckagemessungen von Hand durchgeführt werden. Betroffen sind das US-Pharmaunternehmen Merck ebenso wie das französische Bahnunternehmen SNCF, das niederländische Frachtunternehmen TNT, das dänische Transportunternehmen Moller-Maersk, das in den USA ansässige Lebensmittelunternehmen Mondelezund die US-Anwaltskanzlei DLA Piper von diesem Petya-Virus.

Screenshot eines mit dem Petya-Virus infizierten Computers mit verschlüsselten Dateien

Zu den gemeinsamen Merkmalen der betroffenen Unternehmen gehören fehlende Softwareaktualisierungen und ständig laufende Systeme wie an Flughäfen.

Hat das Petya-Virus die Türkei getroffen?

Auch die Türkei war von diesem weltweiten Cyberangriff betroffen, jedoch traf nur %1 des Angriffs unser Land. Es gibt Informationen, dass Systeme einiger Privatbanken betroffen sind. Als Grund für die vergleichsweise geringe Betroffenheit wird genannt, dass die meisten Unternehmen mit gemeinsamem E-Mail-System wegen der Feiertage geschlossen waren. Es besteht Sorge, dass diese Zahl rasch steigt.

Was wird aus den verschlüsselten Dateien?

Laut Forschenden von Kaspersky wird dieses Virus, da es der 2016 aufgetretenen Ransomware Petya nicht ähnelt, NotPetya genannt. Weil die verschlüsselten Dateien nicht wiederherstellbar sind, wurde der Softwaretyp als Wiper also Löscher eingestuft. Menschen, die 300 Dollar Lösegeld bezahlt haben, um das Virus loszuwerden, können ihre Dateien entgegen ihrer Annahme nicht mehr zurückbekommen. Denn die zentrale E-Mail-Adresse des Virus wurde geschlossen, der Entschlüsselungsschlüssel (private key) kann nicht bezogen werden, und die gezahlten 300 Dollar werden nichts bewirken.

Wie auch die Erklärung des Pharmaunternehmens Merck auf Twitter zeigt, dauert der Angriff an, und ein Weg zur Datenrettung wurde noch nicht gefunden. Nach Angaben von Fachleuten gelten die verschlüsselten Daten nun als verloren, weil der „Schlüssel“ nicht beschafft werden kann.

Die einzige Möglichkeit ist, das Eindringen des Virus ins System zu verhindern. Dafür ist Folgendes nötig:

Was muss man tun, um sich vor Petya und anderen Virusangriffen zu schützen?

Zunächst ist ein hohes Situationsbewusstsein nötig. Ein Virus, das in einen Computer eines gemeinsamen Netzwerks eindringt, springt auf alle Computer dieses Netzwerks über und sperrt sie. Zu den wichtigsten Maßnahmen gehört, E-Mails unbekannter Absender nicht zu öffnen. Außerdem sollten wir das Betriebssystem durch die Einstellung „automatisch aktualisieren“ auf dem neuesten Stand halten. Wird ein Antivirenprogramm verwendet, muss auch dieses aktualisiert werden. Um von einem möglichen Angriff nicht betroffen zu sein, muss in bestimmten Abständen unbedingt eine Dateisicherung durchgeführt werden.

Aktualisierung vom 01. Juli 2017

Die Behörde für Informationstechnologien und Kommunikation (BTK) veröffentlichte eine Warnung zu diesem Thema. Darin erklärte sie, dass die Schadsoftware Petya durch Ausnutzung einer Schwachstelle in Microsoft Officemit der Kennung (CVE-2017-0199) in Office-Dokumente eingebettet und als Anhang gefälschter E-Mails verschickt wurde.

Merck erklärte als Pharmaunternehmen am 30. Juni, beim Umgang mit dem Angriff gute Fortschritte erzielt und ein System integriert zu haben, das die Bedürfnisse der Kunden erfüllen könne. Zusätzlich erklärte das Unternehmen unter Verweis auf Berichte von US-Regierungsvertretern, dass die Software dank ihrer einzigartigen Zeichenfolge trotz Softwareaktualisierungen in das System eindringen könne.

Merck führt derzeit weltweit mehr als 3 tausend klinische Studien durch. Ein wesentlicher Teil davon betrifft die Krebsbehandlung. Die Angriffe bergen das Risiko, die Gesundheit der an laufenden klinischen Studien teilnehmenden Patienten zu gefährden.

Microsoft erklärte dagegen, die Schwachstelle im System sei behoben und bei Verwendung von Windows 10 müssten sich die Kunden keine Sorgen wegen Viren machen.

Auf Computern gibt es ein Werkzeug zur Festplattenprüfung, das je nach Festplattengröße etwa 1 Stunde benötigt und CHKDSK heißt. Softwarefachleuten zufolge erzeugt das Virus einen gefälschten CHKDSK-Bildschirm und ermittelt während 1 Stunde die anderen Computer, auf die es von diesem Computer überspringen wird (siehe obige Abbildung). Wird bei Erscheinen eines solchen Bildschirms die Stromversorgung des Computers unterbrochen, wird die Verbreitung gestoppt, und der Datenverlust bleibt auf einen einzigen Computer beschränkt.