Praxis: Die Schadsoftware WannaCry erkennen und abwehren

Bisher bekannte C&C-Server sind:

• cwwnhwhlz52ma.onion
• gx7ekbenv2riucmf.onion
• xxlvbrloxvriy2c5.onion
• 57g7spgrzlojinas.onion
• 76jdd2ir2embyv47.onion

Zudem sollten unbedingt die Updates für die eingesetzte Anti-Virus- und Anti-Ransomware-Software eingespielt werden. Auch eine funk­tionierende Backup-Strategie ist hilfreich, um nötigenfalls Daten wiederher­zustellen, die von der Ransomware verschlüsselt wurden.

Erkennungsmethoden

Prozesse des Schadcodes lassen sich durch Mionitoring-Tools am Endpunkt erkennen, indem die folgenden Erkennungs­merkmale aktiviert werden:

• Shadow Copy: delete
• Persistence: File created in roaming startup folder
• Behavior: Process executed by cmd.exe /c start
• Behavior: Filename with one character

Außerdem erstellt der Schadcode auf den Endsystemen, also Windows-Rechnern, Registry-Einträge. Auch mithilfe dieser Einträge lässt sich die Schad­software identifizieren:

• HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\\ = "\tasksche.exe"
• HKLM\SOFTWARE\WanaCrypt0r\\wd = ""
• HKCU\Control Panel\Desktop\Wallpaper: "\@WanaDecryptor@.bmp"

Patch unbedingt einspielen

Es ist jedoch zu beachten, dass die Empfehlung, die Ports zu blockieren, nur vor dem SMB-Wurm schützt. Sollte ein Anwender den Schadcode via E-Mail, Torrent oder andere Angriffsvektoren außerhalb des SMB-Protokolls erhalten, gilt: Unbedingt den Patch von Microsoft einspielen.

Fidelis hat für Unternehmen entsprechende Yara-Regeln zur Erkennung verfügbar gemacht. Sie stehen auf Github unter dieser URL zur Verfügung.

Der Angriff ist jedoch noch nicht ausgestanden. Zwar lässt sich die aktuelle Welle durch den Kill-Switch stoppen. Neue Attacken können jedoch denselben Exploit nutzen. Daher ist es in jedem Fall wichtig, die genannten Empfehlungen umzusetzen.