{"id":8155,"date":"2016-07-11T07:28:14","date_gmt":"2016-07-11T07:28:14","guid":{"rendered":"https:\/\/kasperskydaily.com\/germany\/?p=8155"},"modified":"2020-06-30T17:19:13","modified_gmt":"2020-06-30T15:19:13","slug":"satana-ransomware","status":"publish","type":"post","link":"https:\/\/www.kaspersky.de\/blog\/satana-ransomware\/8155\/","title":{"rendered":"Satana: eine h\u00f6llische Ransomware"},"content":{"rendered":"<p>Dieses Jahr kamen die Meldungen \u00fcber Ransomware-Angriffe wie Telegramme von einem Schlachtfeld \u2013 ununterbrochen. Jeden Tag finden Forscher neue Arten von Ransomware und entdecken neue und unkonventionelle Wege, mit denen Kriminelle Geld direkt von Verbrauchern und Unternehmen stehlen. Und sobald Sicherheitsexperten einen Fortschritt machen, haben die Betr\u00fcger bereits neue Ransomware-Ans\u00e4tze und Techniken entwickelt.<\/p>\n<p>https:\/\/media.kasperskydaily.com\/wp-content\/uploads\/sites\/96\/2016\/07\/30171908\/satan-featured.jpg<\/p>\n<p>K\u00fcrzlich wurde ein weiteres anspruchsvolles Beispiel von Ransomware entdeckt. Diese Malware wurde Satana (\u201eTeufel\u201c) getauft, was auf einen russischsprachigen Ursprung hindeuten k\u00f6nnte. Der Trojaner f\u00fchrt zwei Aktionen aus: Er verschl\u00fcsselt Dateien und besch\u00e4digt den Master Boot Record (MBR) von Windows, und blockiert dadurch den Windows-Bootvorgang.<\/p>\n<p>Wir haben bereits \u00fcber Trojaner gesprochen, die den MBR manipulieren \u2014 die ber\u00fcchtigte <a href=\"https:\/\/www.kaspersky.de\/blog\/petya-ransomware\/7375\/\" target=\"_blank\" rel=\"noopener\">Ransomware Petya<\/a> ist eine solche Malware. In gewisser Hinsicht weist das Vorgehen von Satana \u00c4hnlichkeiten auf, da sie zum Beispiel ihren eigenen Quelltext in den MBR einf\u00fcgt. W\u00e4hrend Petya jedoch die Master File Table (MFT) verschl\u00fcsselt, verschl\u00fcsselt Satana den MBR. Um PC-Dateien zu verschl\u00fcsseln, verwendete Petya zur Unterst\u00fctzung einen weiteren Trojaner mit dem Namen <a href=\"https:\/\/www.kaspersky.de\/blog\/mischa-ransomware\/7703\/\" target=\"_blank\" rel=\"noopener\">Mischa<\/a><u>;<\/u> Satana verwaltet beide Aufgaben selbst.<\/p>\n<blockquote class=\"twitter-tweet\" data-width=\"500\" data-dnt=\"true\">\n<p lang=\"en\" dir=\"ltr\"><a href=\"https:\/\/twitter.com\/hashtag\/Petya?src=hash&amp;ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">#Petya<\/a> <a href=\"https:\/\/twitter.com\/hashtag\/ransomware?src=hash&amp;ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">#ransomware<\/a> eats your hard drives \u2013 <a href=\"https:\/\/t.co\/BSqbmRBmGf\" target=\"_blank\" rel=\"noopener nofollow\">https:\/\/t.co\/BSqbmRBmGf<\/a> <a href=\"https:\/\/t.co\/WpvijrPlSP\" target=\"_blank\" rel=\"noopener nofollow\">pic.twitter.com\/WpvijrPlSP<\/a><\/p>\n<p>\u2014 Kaspersky (@kaspersky) <a href=\"https:\/\/twitter.com\/kaspersky\/status\/715232633316384772?ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">March 30, 2016<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/p>\n<p>F\u00fcr diejenigen, die mit dem Innenleben von Computern nicht vertraut sind, wollen wir ein bisschen Licht ins Dunkel bringen. Der MBR ist Teil der Festplatte. Er beinhaltet Informationen \u00fcber das Dateisystem, das von verschiedenen Festplattenpartitionen verwendet wird, sowie auf welcher Partition das Betriebssystem gespeichert ist.<\/p>\n<p>Wenn der MBR besch\u00e4digt \u2014 oder verschl\u00fcsselt \u2014 wird, verliert der Computer den Zugriff auf eine wichtige Information: darauf, welche Partition das Betriebssystem enth\u00e4lt. Wenn der Computer das Betriebssystem nicht finden kann, kann er nicht gestartet werden. Die Kriminellen hinter Ransomware wie Satana machten sich dies zu Nutzen und verbesserten ihre Cryptolocker, indem sie sie um F\u00e4higkeiten von Bootlockern erweiterten. Die Hacker tauschen den MBR aus, ersetzen ihn mit dem Quelltext der L\u00f6segeldforderung und verschl\u00fcsseln und verschieben den MBR zu einer anderen Speicherstelle.<\/p>\n<p>Die Ransomware verlangt \u00fcber 0,5 Bitcoins (ungef\u00e4hr 290 EUR), um den MBR zu entschl\u00fcsseln und den Code zur Entsch\u00fcsselung der betroffenen Dateien bereitzustellen. Sobald das L\u00f6segeld bezahlt wurde \u2014 so die Entwickler von Satana \u2014 wird der Zugriff auf das Betriebssystem wiederhergestellt und alles sieht wie zuvor aus. Zumindest ist es das, was sie behaupten.<\/p>\n<p>Sobald sie sich einmal im System befindet, scannt Satana alle Laufwerke und Netzwerkinstanzen und sucht nach den folgenden Dateiformaten, die sie anschlie\u00dfend verschl\u00fcsselt: .bak, .doc, .jpg, .jpe, .txt, .tex, .dbf, .db, .xls, .cry, .xml, .vsd, .pdf, .csv, .bmp, .tif, .1cd, .tax, .gif, .gbr, .png, .mdb, .mdf, .sdf, .dwg, .dxf, .dgn, .stl, .gho, .v2i, .3ds, .ma, .ppt, .acc, .vpd, .odt, .ods, .rar, .zip, .7z, .cpp, .pas und .asm. Au\u00dferdem f\u00fcgt sie dem Dateinamen eine E-Mail-Adresse und drei Unterstriche hinzu (test.jpg w\u00e4re zum Beispiel Sarah_G@ausi.com___test.jpg).<\/p>\n<p>https:\/\/media.kasperskydaily.com\/wp-content\/uploads\/sites\/96\/2016\/07\/30171912\/satan_mbr_en.png<\/p>\n<p>Die E-Mail-Adressen sollen als Kontaktinformationen f\u00fcr die Opfer dienen, die an diese Adresse schreiben sollen, um Zahlungsanweisungen und dann den Entschl\u00fcsselungsschl\u00fcssel zu erhalten. Bisher haben Recherchen sechs E-Mail-Adressen ergeben, die in dieser Aktion verwendet werden.<\/p>\n<blockquote class=\"twitter-pullquote\"><p>Der neue Satana-#Ransomware-Trojaner verschl\u00fcsselt Ihre Dateien und blockiert den Start von Windows<\/p><a href=\"https:\/\/twitter.com\/share?url=https%3A%2F%2Fkas.pr%2FbGY8&amp;text=Der+neue+Satana-%23Ransomware-Trojaner+verschl%C3%BCsselt+Ihre+Dateien+und+blockiert+den+Start+von+Windows+\" class=\"btn btn-twhite\" data-lang=\"en\" data-count=\"0\" target=\"_blank\" rel=\"noopener nofollow\">Tweet<\/a><\/blockquote>\n<p>Die gute Nachricht ist, dass es m\u00f6glich ist, die Blockierung teilweise zu umgehen: Wer \u00fcber die entsprechenden Kenntnisse verf\u00fcgt, kann den MBR reparieren. Experten vom Blog \u201eThe Windows Club\u201c stellten eine detaillierte <a href=\"http:\/\/www.thewindowsclub.com\/repair-master-boot-record-mbr-windows\" target=\"_blank\" rel=\"noopener nofollow\">Anleitung<\/a> zur Reparatur des MBR durch Verwendung der Wiederherstellungsoption des Betriebssystems in Windows bereit. Allerdings wurde dieses Feature f\u00fcr erfahrene Nutzer entworfen, die sicher im Umgang mit Befehlseingaben und dem bootrec.exe-Dienstprogramm sind; ein durchschnittlicher Nutzer hat f\u00fcr gew\u00f6hnlich Probleme, diese umst\u00e4ndliche Methode direkt auszuf\u00fchren.<\/p>\n<p>Die schlechte Nachricht ist, dass, selbst wenn Windows erfolgreich entsperrt wurde, der andere Teil des Problems bestehen bleibt \u2014 die verschl\u00fcsselten Dateien. Hierf\u00fcr gibt es bisher noch keine L\u00f6sung.<\/p>\n<p>Zu diesem Zeitpunkt scheint es, dass Satana ihre Karriere gerade erst begonnen hat: Sie ist nicht weit verbreitet, und Recherchen haben einige Schwachsellen in ihrem Quelltext ergeben. Jedoch ist die M\u00f6glichkeit sehr gro\u00df, dass sie sich mit der Zeit verbessern wird und zu einer ernstzunehmenden Bedrohung werden kann.<\/p>\n<blockquote class=\"twitter-tweet\" data-width=\"500\" data-dnt=\"true\">\n<p lang=\"en\" dir=\"ltr\">10 tips to protect your files from ransomware <a href=\"https:\/\/t.co\/o0IpUU9CHb\" target=\"_blank\" rel=\"noopener nofollow\">https:\/\/t.co\/o0IpUU9CHb<\/a> <a href=\"https:\/\/twitter.com\/hashtag\/iteducation?src=hash&amp;ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">#iteducation<\/a> <a href=\"https:\/\/t.co\/I47sPIiWFF\" target=\"_blank\" rel=\"noopener nofollow\">pic.twitter.com\/I47sPIiWFF<\/a><\/p>\n<p>\u2014 Kaspersky (@kaspersky) <a href=\"https:\/\/twitter.com\/kaspersky\/status\/671348678607642624?ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">November 30, 2015<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/p>\n<p>Unser vorrangiger Rat an Nutzer ist zurzeit stets aufmerksam zu sein. Unsere einfachen Tipps werden Ihnen helfen, das Risiko einer Infizierung einzugrenzen und Sie so weit wie m\u00f6glich vor Problemen zu sch\u00fctzen:<\/p>\n<p><strong>1. Machen Sie regelm\u00e4\u00dfig Sicherheitskopien Ihrer Daten<\/strong><br>\nDies ist Ihre Absicherung. Im Fall eines erfolgreichen Ransomware-Angriffs k\u00f6nnen Sie so einfach das Betriebssystem erneut installieren und Dateien von der Sicherungskopie wiederherstellen.<\/p>\n<p><strong>2. Besuchen Sie keine verd\u00e4chtigen Webseiten und \u00f6ffnen Sie keine verd\u00e4chtigen E-Mail-Anh\u00e4nge<\/strong>, selbst wenn Sie den Link oder die E-Mail von jemandem erhalten, den Sie kennen. Seien Sie sehr vorsichtig: Es ist sehr wenig \u00fcber die Ausbreitungstechniken von Satana bekannt.<\/p>\n<p><strong>3. Stellen Sie sicher, dass Sie eine verl\u00e4ssliche Antivirenl\u00f6sung verwenden<\/strong>. <a href=\"https:\/\/www.kaspersky.com\/de\/internet-security\" target=\"_blank\" rel=\"noopener nofollow\">Kaspersky Internet Security<\/a> erkennt Satana und f\u00fchrt die Ransomware als \u201eTrojan-Ransom.Win32.Satan\u201c auf; sie h\u00e4lt Satana von der Verschl\u00fcsselung von Dateien oder der Blockierung des Systems ab.<\/p>\n<p><strong>4. Und folgen Sie nat\u00fcrlich unseren News<\/strong>!<br>\nWir versuchen, Sie immer so schnell wie m\u00f6glich \u00fcber die neuesten Bedrohungen zu informieren, damit Sie Malware nicht unvorbereitet trifft.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Eine neue Ransomware mit dem Namen Satana verschl\u00fcsselt Ihre Dateien und blockiert den Start des Betriebssystems.<\/p>\n","protected":false},"author":2194,"featured_media":8159,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[2711,6],"tags":[2179,1650,535,2180,2146,257],"class_list":{"0":"post-8155","1":"post","2":"type-post","3":"status-publish","4":"format-standard","5":"has-post-thumbnail","7":"category-threats","8":"category-news","9":"tag-cryptoblocker","10":"tag-malware","11":"tag-ransomware","12":"tag-satana","13":"tag-threats","14":"tag-trojaner"},"hreflang":[{"hreflang":"de","url":"https:\/\/www.kaspersky.de\/blog\/satana-ransomware\/8155\/"},{"hreflang":"en-us","url":"https:\/\/usa.kaspersky.com\/blog\/satana-ransomware\/7389\/"},{"hreflang":"en-gb","url":"https:\/\/www.kaspersky.co.uk\/blog\/satana-ransomware\/7413\/"},{"hreflang":"es-mx","url":"https:\/\/latam.kaspersky.com\/blog\/satana-ransomware\/7362\/"},{"hreflang":"es","url":"https:\/\/www.kaspersky.es\/blog\/satana-ransomware\/8652\/"},{"hreflang":"it","url":"https:\/\/www.kaspersky.it\/blog\/satana-ransomware\/8602\/"},{"hreflang":"ru","url":"https:\/\/www.kaspersky.ru\/blog\/satana-ransomware\/12442\/"},{"hreflang":"tr","url":"https:\/\/www.kaspersky.com.tr\/blog\/satana-ransomware\/2260\/"},{"hreflang":"x-default","url":"https:\/\/www.kaspersky.com\/blog\/satana-ransomware\/12558\/"},{"hreflang":"fr","url":"https:\/\/www.kaspersky.fr\/blog\/satana-ransomware\/5808\/"},{"hreflang":"pt-br","url":"https:\/\/www.kaspersky.com.br\/blog\/satana-ransomware\/6406\/"},{"hreflang":"pl","url":"https:\/\/plblog.kaspersky.com\/satana-ransomware\/5097\/"},{"hreflang":"ja","url":"https:\/\/blog.kaspersky.co.jp\/satana-ransomware\/11998\/"},{"hreflang":"ru-kz","url":"https:\/\/blog.kaspersky.kz\/satana-ransomware\/12442\/"},{"hreflang":"en-au","url":"https:\/\/www.kaspersky.com.au\/blog\/satana-ransomware\/12558\/"},{"hreflang":"en-za","url":"https:\/\/www.kaspersky.co.za\/blog\/satana-ransomware\/12558\/"}],"acf":[],"banners":"","maintag":{"url":"https:\/\/www.kaspersky.de\/blog\/tag\/cryptoblocker\/","name":"Cryptoblocker"},"_links":{"self":[{"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/posts\/8155","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/users\/2194"}],"replies":[{"embeddable":true,"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/comments?post=8155"}],"version-history":[{"count":3,"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/posts\/8155\/revisions"}],"predecessor-version":[{"id":24524,"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/posts\/8155\/revisions\/24524"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/media\/8159"}],"wp:attachment":[{"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/media?parent=8155"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/categories?post=8155"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/tags?post=8155"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}