Mitarbeiter in Personalabteilungen, aber nicht nur diese, sollten aktuell auf der Hut sein. Ein neuer Kryptotrojaner namens “Goldeneye” (möglicherweise eine Anlehnung an die schlagkräftige Waffe in dem gleichnamigen James Bond Film) ist unterwegs und nimmt gezielt Personalabteilungen ins Visier. Die als Bewerbung getarnte Email enthält eine XLS Tabelle. Wird diese geöffnet und die Sicherheitsabfrage zur Aktivierung der “Bearbeitungsfunktion” (gemeint ist die Ausführung von Makros) bejaht, geht der bereits von anderer Ransomware bekannte Ablauf los. Da es sich bei Goldeneye augenscheinlich um einen Ableger von Petya handelt, einem zuvor bereits aktiven Verschlüsselungstrojaner, wird das System zu einem Neustart gezwungen und daraufhin die Verschlüsselung begonnen (der Betrachter sieht derweil einen Bildschirm, der an die Anzeige des Betriebssystemtools Chkdsk erinnert).
Mittlerweile hängt zahlreichen Emails noch ein zusätzliches PDF an. Email-Text und PDF-Inhalt sind in einwandfreiem Deutsch verfasst und gaukeln eine Bewerbung vor. Wie heise.de berichtet, werden teilweise sogar aktuelle Stellenausschreibungen der betroffenen Organisation erwähnt. Weiterhin werden in Teilen nur organisationsinterne Email-Adressen angesprochen, interne Ansprechpartner und Rufnummern genannt, die in der Form nicht frei verfügbar sind. Die Versender müssen demnach einiges an Aufwand betrieben haben, um die Daten für eine so zielgerichtete Kampagne zu beschaffen. Da die angehängte XLS Tabelle regelmäßig geändert wird, tun sich viele Virenscanner zur Zeit noch sehr schwer.
Als Absender fungiert ironischerweise eine Email-Adresse eines Unternehmens, das unter anderem Entschlüsselungshilfe für von Petya betroffene Organisationen anbietet. Sowohl das Unternehmen, die Ingenieursozietät Dipl.- Ing. Rolf B. Drescher VDI & Partner als auch der Träger des Absendernamens “Rolf Drescher” beteuern nachvollziehbar, mit dieser Angriffswelle nichts zu tun zu haben. Es wird vielmehr ein Racheakt vermutet, da sich Goldeneye und Petya sehr ähnlich sind. Aufgrund der vielen Anfragen und Beschwerden wurden die Arbeitsabläufe der Ingenieursozietät bereits stark beeinträchtigt. Ob auch weitere Email-Adressen für den Versand genutzt wurden, ist zur Zeit nicht bekannt.
Nach Meldungen von heise.de sind akut betroffen Windows 7, Windows 10 und Server 2008. Die Schadroutine scheint auf Windows Server 2012 nicht zu funktionieren. Verlassen sollte man sich darauf jedoch nicht. Auch zur Verschlüsselung von Dateien auf Netzfreigaben gibt es unterschiedliche Aussagen, ob diese von “Goldeneye” erreicht werden oder nicht.
Bitte sensibilisieren Sie Ihre Mitarbeiter zeitnah für diese aktuelle Bedrohung. Sie sollten sich dabei nicht auf Mitarbeiter im Personalbereich beschränken. Auch wenn Inhalt und Aufmachung der Email, gerade durch die Nennung nur organisationsinterner Fakten, noch so vertrauenswürdig erscheinen, es ist erhöhte Aufmerksamkeit geboten.
Update 08.1216:
Anscheinend bedienen sich die Macher von Goldeneye an Daten der Bundesagentur für Arbeit, um ihren Kryptotrojaner samt Text so passend wie möglich auf die Zielorganisation zuzuschneiden. Dabei werden Daten verwendet, die nicht den öffentlichen Stellenausschreibungen der Agentur zu entnehmen sind, sondern aus dem internen Bereich stammen. Laut heise.de hat die Agentur dazu bisher auf mehrmalige Nachfragen keine Stellung bezogen, sondern lediglich auf die unrechtmäßige Verwendung des Agentur-Logos in den der Anfrage beigefügten Screenshots hingewiesen.
Wir halten Sie informiert.