Bewerbungs-Trojaner Gandcrab: Polizei warnt Firmen vor Schadsoftware
Aktuell warnt die Polizei Niedersachsen vor dem Verschlüsselungstrojaner ‘Gandcrab’. Mitarbeiter, Personalverantwortliche und Chefs sollten aktuell besonders vorsichtig sein, wenn es um das Öffnen von Mails mit vermeintlichen Bewerbern für einen Job geht. Der Verschlüsselungsvirus verbirgt sich in vermeintlichen Bewerberprofilen. Ist die sogenannte Ransomware aktiviert, verschlüsselt sie sämtliche Dateien auf dem PC und Zugangsdaten. Erpresserisch wird dann verlangt, eine Summe X in Form von Bitcoins zu zahlen, um die Daten wieder entschlüsseln zu können.
Warum sind Unternehmen als Ziel des Trojaners Candicrab?
Offenbar haben es die Täter besonders auf Firmen als Ziel ihrer Angriffe abgesehen, weil sie sich aufgrund der Bedeutung der Firmendaten auf den PCs eine höhere Chance versprechen, dass auf den Erpressungsversuch eingegangen wird. Immerhin drohen schnell große Verluste in Unternehmen, wenn kein Zugriff auf wichtige Daten besteht oder Mitarbeiter einfach nicht ihrer Arbeit nachgehen können.
So funktioniert die Trojaner-Masche mit Gandcrab
Im Betreff der Mail taucht eine unverfängliche Angabe auf, die so aussehen kann:
„Bewerbung auf die ausgeschriebene Stelle – Susanne Pirchner”
Es folgt ein kurzer Begrüßungstext mit dem Bild einer meist jungen Dame, die auf angebliche Bewerbungsunterlagen im Anhang verweist. Dabei handelt es sich um eine Zip-Datei. Dies ist ein Komprimierungsformat. Dabei handelt es sich lapidar ausgedrückt um einen Container, in welchem sich alle möglichen Dateien befinden können.
In diesem Fall befindt sich eine Datei mit der Endung .exe darin.
Wird diese geöffnet, nimmt das Unglück seinen Lauf. Ein Programm startet und beginnt damit, die auf dem PC befindlichen Dateien zu verschlüsseln. Diese tragen nun die Dateiendung *KRAB.
Fortan geht nichts mehr auf dem Firmenrechner. Auf dem Bildschirm erscheint lediglich eine Anleitung für den Download des TOR-Browsers (ermöglicht anonymes Surfen) sowie die Anweisung eine bestimmte Website anzusteuern und „Datenlösegeld“ in Form von BitCoins (eine digital erzeugte Kryptowährung) zu zahlen. Angeblich würde man danach einen privaten Schlüssel erhalten, mit dem sich dann die verschlüsselten Dateien wieder decodieren ließen.
Welche Systeme sind von Gandcrab betroffen?
Aktuell scheint der Gandcrab Trojaner ausschließlich auf Windows-Firmenrechnern sein Unwesen zu treiben. Meldungen über betroffene Linux-Distributionen und Rechner mit dem Apple-Betriebssystem macOS sind aktuell nicht bekannt.
Gibt es ein kostenloses Entschlüsselungs-Tool für Gandcrab Trojaner?
In manchen Fällen stellen seriöse Quellen einige Zeit nach dem ersten Bekanntwerden von Schadsoftware dieser Art hilfreiche Entschlüsselungstools kostenlos zur Verfügung. Mit denen lassen sich Dateien dann wiederherstellen. Für Opfer von Gandcrap gibt es ein solches Tool leider aktuell noch nicht.
Umgang mit Crab-Trojaner: Das raten Polizei & IT-Experten
- Öffne niemals Container-Dateien (z.B. Zip oder Rar) und erst Recht keine Datei-Formate, die sie nicht kennen, wenn du den Absender nicht kennst und einen ganz bestimmten Inhalt erwartest.
- Achte in E-Mails auf Formulierungen. Die E-Mails mit den gefälschten Bewerbungsunterlagen sind so allgemeingehalten, dass man stutzig werden kann.
- Sollte die Zip-Datei in der Fake-Bewerbungs-Mail heruntergeladen worden sein, lösche diese sofort komplett (nicht erst in den Papierkorb verschieben)
- Solltest du die Zip-Datei entpacken und die Exe-Datei extrahiert haben, ist auch noch nichts verloren. Lösche beide Dateien ebenfalls direkt von deinem Firmen-PC oder Notebook.
- Hast du die Datei hingegen angeklickt, beginnt die Software mit der Verschlüsselung. Jetzt ist schnelles Handeln gefragt. Ziehe sofort den Netzstecker deines PCs heraus, um Ihn von der Stromversorgung zu trennen und / oder das Netzwerkkabel.
- Die Polizei rät, danach direkt Anzeige zu erstatten und keinesfalls den Forderungen nachzukommen und die BitCoins zu zahlen. Es gäbe keine Garantie dafür, dass wirklich ein Entschlüsselungscode geliefert würde.
- Betroffene Unternehmen können sich an die Zentrale Ansprechstelle Cybercrime (ZAC) der Polizei Niedersachsen wenden. Hier geht’s zur ZAC