Blog: Ransomware wird zur globalen Pandemie. Acronis hat ein Heilmittel.

München, Mai 2017 - Die massiven weltweiten Ransomware-Attacken vom 12. Mai 2017 brachte die Malware auf einen Schlag in die Schlagzeilen aller großen Zeitungen und machte sie über Nacht zum Sicherheitsproblem führender Unternehmen. Die so genannte WannaCry-Variante der Ransomware wurde von der amerikanischen National Security Agency (NSA) gestohlen und für den bislang weltweit größten Ransomware-Angriff eingesetzt. Bis Montagmorgen waren über 220.000 Rechner in mehr als 150 Ländern betroffen, darunter Die Bahn in Deutschland, der britische NHS, die spanische Telefonica, eine chinesische Ölfirma, Nissan, Hitachi und einige Universitäten. Zahlreiche Services fielen aus, so beispielsweise Bezahlautomaten am Berliner Flughafen, Patienten mussten in andere Krankenhäuser verlegt werden und Renault stellte kurzfristig die Produktion in Frankreich ein. Wer Ransomware bislang nicht kannte, der kennt es jetzt mit Sicherheit. Anwender nun nach einer passenden Lösung sucht, der wird unter anderem bei Acronis fündig: Der Hersteller bietet mit Acronis Active Protection besten Schutz vor Ransomware-Attacken, unter anderem auch vor solchen Zero-Day-Angriffen wie WannaCry. Die Active Protection Funktion ist in Acronis True Image 2017 NG und Acronis Backup 12 Advanced integriert. Sie blockt Ransomware-Attacken und stellt automatisch sofort eventuell beschädigte Daten wieder her.

Ransomware ist ein Computervirus, der PCs, Server oder Mobilgeräte infiziert. Das geschieht normalerweise, wenn ein unachtsamer Anwender einen nicht bekannten Link anklickt oder einen Dateianhang unbekannter Quelle öffnet. Die Malware verschlüsselt dann im Hintergrund alle Daten und lässt dann eine Erpressernachricht auf dem Bildschirm erscheinen: "Zahlen Sie Summe X (oftmals Hunderte Dollar, manchmal auch Tausende) in Bitcoin an folgenden Account. Danach erhalten Sie den Entschlüsselungscode für Ihre Daten. Sollten Sie nicht zahlen, bleiben die Daten verschlüsselt oder werden gelöscht." Weiterentwickelte Varianten verfügen über Wurm-Eigenschaften, mit denen sie sich über andere PCs und Server verbreiten können. Dadurch kann sich die Malware geometrisch ausbreiten, da jeder neu-infizierter Rechner wiederum zahlreiche neue Angriffsziele attackiert.

WannaCry nutzt eine Schwachstelle im SMB-Protokoll (Server Message Block, Microsofts File-Sharing-Protokoll), die erst kürzlich entdeckt und vielen Unternehmen noch nicht gepatcht wurde. Diese Schwachstelle und der von der NSA entwickelte waffenähnliche Wurm ermöglichten es WannaCry, sich zu vervielfältigen und rasant zu verbreiten. Dabei hinterließ die Ransomware in weniger als 24 Stunden einen Pfad der Zerstörung.

Acronis hat bereits seit langem vor Ransomware gewarnt und darauf hingewiesen, was man zum Schutz davor tun kann: Werden die Daten regelmäßig in einem Backup gesichert, auf unterschiedlichen Medien und an verschiedenen Standorten, so lassen sie sich Ransomware-befallene Rechner schnell wiederherstellen und in den Zustand vor der Infizierung versetzen. Dabei können eventuell die Daten von einigen Stunden oder wenigen Tagen verloren gehen, aber so ist man nicht erpressbar. Acronis schützt darüber hinaus auch die Backup-Kopien, die oftmals auch von Ransomware angegriffen werden, wobei die Schadsoftware Wiederherstellungen versucht zu boykottieren. Anfang des Jahres erweiterte Acronis seine Data Protection Lösung um ein fundamentales Feature: Active Protection.

Die patentierte Technologie nutzt heuristische Analysen und Machine Learning, um Ransomware-Attacken intelligent zu identifizieren und zu blockieren, wobei bereits beschädigte oder verschlüsselte Files automatisch und sofort wiederhergestellt werden. Mit anderen Worten: Die Software erkennt aktiv verdächtige Datei-Aktivitäten, die bei allen Ransomware-Attacken ähnlich sind, und stoppt sofort den ungewollten Vorgang. Lokales Caching ermöglicht es, die wenigen Files, die vor dem Auffinden des Angriffs verschlüsselt wurden, wiederherzustellen. Active Protection kann somit Zero-Day-Angriffe erkennen und abzuwehren. Bei Zero-Day-Attacken handelt es sich um Schwachstellen, die bis dahin unerkannt waren und die Signatur-basierte Virenschutzprogramme umgehen.

WannaCry hat es im Mai 2017 sehr abrupt in das breite öffentliche Bewusstsein geschafft, allerdings ist die Malware lediglich eine von zahlreichen, aktuellen Ransomware-Varianten, die schon seit Jahren Unternehmen und Privatanwendern Probleme bereiten. Ransomware-Kriminelle haben in den vergangenen Jahren über eine Milliarde US-Dollar von ihren Opfern erpresst. Etwa 47 Prozent aller Unternehmen weltweit verzeichneten mindestens eine Ransomware-Attacke. Es mag verlockend sein, einfach das Lösegeld zu bezahlen, aber davon ist generell abzuraten: Laut einer Statistik erhielt in der Vergangenheit einer von fünf Betroffenen nicht den Entschlüsselungscode, trotz Lösegeldzahlung. Darüber hinaus ist man nach einer bedienten Lösegeldforderung nicht vor weiteren Ransomware-Attacken gefeit. Gibt man solchen Ransomware-Forderungen nach, so bestätigt dies nur die Kriminellen und finanziert letztlich deren Entwicklungsaufwände. Entweder muss man eine Abwehrstrategie entwickeln oder man wird wiederholt zum Opfer von Ransomware.

WannaCry hat eindrücklich gezeigt, dass die Erpresser ständig die Spielregeln verändern. Das verstärkte Aufkommen von Ransomware-as-a-Service, bei dem Malware-Programmierer zahllose unerfahrene Kriminelle dazu befähigt, Zielrechner zu infizieren, beweist, dass die Weiterentwicklung dieser Bedrohungen rapide voranschreitet. Ransomware-as-a-Service ist dabei durchaus mit den legitimen Software-as-a-Service-Angeboten zu vergleichen. Nutzer, die weder die Ressourcen noch die Expertise haben, können sich diese extern einkaufen. Nur dass in diesem Fall das Wissen für kriminelle Tätigkeiten eingeholt wird.

Die Malware-Katastrophe vom 12. Mai 2017 zwingt derzeit viele Anwender, die dem Thema zuvor unvorsichtig oder gleichgültig gegenüberstanden, sich mit der Bedrohung von Ransomware aktiv auseinanderzusetzen. IT-Security-Experten werden einen vielschichtigen und komplexen Abwehransatz vorschlagen:

· Konsequente Backup-Routinen durchführen,

· jede bekannte Schwachstelle in Betriebssystemen und Anwendungen patchen,

· Maßnahmen für Endpunkt-Security realisieren (Anti-Virus-Programme und deren Datenbank aktuell halten),

· Netzwerke mit Firewalls und VLANs ausstatten, um Wurm-Viren abzuwehren,

· Anwender schulen, damit diese verdächtige Mails, Anhänge, Links, Webseiten, Online-Werbung oder beschädigte USB-Laufwerke erkennen.

Acronis empfiehlt jede dieser Maßnahmen. Wer sich aber absolut sicher sein will, dass seine Geschäftsdaten vor Ransomware - und auch neuen Versionen von WannaCry - geschützt sind, der kann eine narrensichere Lösung wählen: Aktive und passive Data Protection müssen eng integriert sein, damit Ransomware blockiert wird, beschädigte Dateien automatisch repariert und Backup-Daten vor Zerstörung geschützt werden. All dies findet sich in der Software Acronis Backup 12 Advanced mit Active Protection.