Erpresserwährung Bitcoin

Mit Bitcoin geht’s wieder bergauf; die Kurse sind seit Oktober letzten Jahres um rund 80 Prozent angestiegen. Ein Bitcoin kostet heute, am 7. April 2016, 405 Schweizer Franken. Der Wert des digitalen Geldes hat in den letzten Monaten genau wie die  Anzahl gemeldeter digitaler Erpressungsfälle ständig zugenommen. Das ist kein Zufall: Bitcoin ist perfekt dazu geeignet, durch Ransomware verursachte Geldübergaben anonym zu halten.

Mit den Bitcoinkursen geht's bergauf - und auch die Erpresser wissen das zu
schätzen.                                                                         Screenshot finanzen.net 

Ransomware, der Schrecken jedes IT-Administrators. Ein verseuchtes File wird auf einen PC hochgeladen – aus der Cloud oder per E-Mail – und schon geht gar nichts mehr. Die betroffenen Daten sind nicht mehr zugänglich, weil verschlüsselt; um sie zu entschlüsseln verlangen die Cyber-Erpresser ein Lösegeld, fast immer in Form von Bitcoin. Eines der bekanntesten Beispiele ist ein amerikanisches Spital: Das Hollywood Medical Center in Los Angeles bezahlte anfangs dieses Jahres 40 Bitcoins (zu diesem Zeitpunkt rund 17‘000 US-Dollar) um wieder Zugang zu den eigenen Daten zu bekommen.
Das elektronische Zahlungssystem mache es den Tätern leicht, bestimmte Vorgänge zu automatisieren.  Zitat aus der “Zeit“:

“Jedes Locky-Opfer muss an eine eigens eingerichtete Bitcoin-Wallet zahlen. Eine einzige Wallet, auf der immer wieder der gleiche Betrag eingeht, der irgendwann zudem sehr groß wird, könnte Ermittlern auffallen. Tausende Wallets, die jeweils nur 0,5 bis ein Bitcoin enthalten, nicht. Gleichzeitig kann die Software der Kriminellen selbsttätig prüfen, ob das Lösegeld schon in der jeweiligen Wallet eingetroffen ist, und dem Opfer dann einen Link zum Entschlüsseln seiner Daten schicken.“

Dass die Erpresser erwischt werden, passiert nur sehr selten, obwohl die angerichteten Schäden in die Milliarden gehen, wie die “Süddeutsche“ berichtet:

“5,25 MilliardenDateien soll allein die Erpresser-Software CryptoWall zwischen Mitte März und Ende August 2014 verschlüsselt haben. Knapp 1700 Opfer zahlten ein Lösegeld von insgesamt mehr als 1,1 Milliarden Dollar. Die verlangten Summen variierten zwischen 200 und 10 000 Dollar, bei den meisten verlangten die Erpresser 500 Dollar. Da das Lösegeld mittlerweile meist in der Kryptowährung Bitcoin bezahlt werden muss, lassen sich die Geldflüsse kaum nachverfolgen. Beim CoinVault-Fall, bei dem zwei junge Niederländer, zur Tatzeit 18 und 22 Jahre alt, verhaftet wurden, war es Kaspersky gelungen, die Spur der bösartigen Software zu verfolgen - auch das ist oft sehr schwierig. Die beiden hatten mindestens 1500 Windows-Computer attackiert, die meisten davon in ihrem Heimatland, in Deutschland, den USA, Frankreich und England.“

Dass es sich beim Phänomen der Bitcoin-Erpressungen um ein Problem handelt, das zahlreiche Unternehmen betrifft, zeigt eine Umfrage von Akamai bei Deutschen Unternehmen: Mehr als ein Drittel der Befragten gaben an, dass ihr Unternehmen schon einmal von einem Cyber-Angriff betroffen wurde. Als neues Phänomen kristallisierten sich dabei laut Akamai im letzten Jahr DDoS-Angriffe mit dem Ziel der Bitcoin-Erpressung heraus. So ergab die Akamai-Umfrage, dass immerhin neun Prozent der angegriffenen Unternehmen von Bitcoin-Erpressern attackiert wurden.

Zu viele PC-Erpressungsopfer bezahlen Lösegeld

Wieso ist immer noch ungefähr die Hälfte  des weltweiten E-Mail-Verkehrs Spam? Wieso gibt es immer mehr Ransom-Software-Trojaner, die es darauf abgesehen haben, PC-Nutzer zu erpressen? Richtig: Weil sich in beiden Cyber-Crime-Sparten prächtig Geld verdienen lässt. Spam-Mail rentiert, weil zu viele User darauf reagieren, Erpresser-Software verbreitet sich immer schneller, weil zu viele Opfer die Erpresser bezahlen.

Die deutschsprachige Version des digitalen Erpresserbriefes, den die Locky-Opfer
zu sehen bekommen, nachdem ihre Daten verschlüsselt wurden. (Zum Vergrössern
bitte anklicken).                                                                                             Wikimedia

Der neuste Trojaner der Erpresser-Sorte, der seit Wochen Schlagzeilen macht, heisst Locky und wütet momentan vor allem in Deutschland. Dort, so meldete der Spiegel kürzlich, hat die Software an einem einzigen Tag 17‘000 Rechner lahmgelegt – weltweit sind es wohl gegen eine halbe Million Computer:

“Die Erpresser infizieren Windows-Rechner mit einem Trojaner, der wichtige Dateien zunächst verschlüsselt und dann umbenennt. Die Dokumente haben nach dem Prozess die Endung .locky, daher hat der Trojaner auch seinen Namen. Die Verschlüsselung ist kaum zu knacken, wenn die Angaben der Erpresser stimmen. Demnach werden die Dateien mit einem RSA-Kryptoschlüssel und einer AES-Verschlüsselung unbrauchbar gemacht. Sobald die Dateien verschlüsselt sind, erscheint ein Erpresserbrief mit einer Lösegeldforderung. Der Brief existiert in mehreren Sprachen und erscheint hierzulande auch in deutscher Sprache bei den betroffenen Nutzern. Darin steht, dass die Dateien nur mit einer speziellen Software namens "Locky Decryptor" gerettet werden können. Und für diese Software verlangen die Erpresser einen Betrag von 0,5 Bitcoin, was laut dem aktuellen Kurs der Kryptowährung rund 200 Euro entspricht.“

 Szenenkenner gehen davon aus, dass die Erpresser mit diesem Verfahren bereits viele 100‘000 Dollar verdient haben – was dazu führt, dass der Trick in verschiedensten Varianten immer wieder ausgeführt wird. Im Falle einer Kleinstadt in Deutschland hiess die Software nicht “Locky“, sondern „Tesla-Crypt“. Der Trojaner brachte die Stadtverwaltung dazu, mehrere hundert Euro Erpressergeld zu bezahlen. Ärger gab es dann trotzdem:

“Die Erpresser hatten die Stadtverwaltung Dettelbach zur Zahlung von 1,3 Bitcoin aufgefordert, umgerechnet rund 490 Euro. Der Polizei zufolge führte eine von der Stadtverwaltung beauftragte Fachfirma die Zahlung durch. Anschließend war es möglich, einen Teil der Daten wiederherzustellen.
Dennoch sei es anschließend zu einem "weitreichenden Ausfall des EDV-Systems mit Datenverlusten" gekommen, teilte die Stadtverwaltung an diesem Donnerstag mit.“

Die Dettelbacher sind bei weiten nicht die einzigen, die sich erpressen lassen. Eine Umfrage in Europa hat ergeben, dass mehr als ein Drittel der betroffenen User, das Lösegeld überweisen.
Was tun? Wir haben an dieser Stelle schon früher über Erpressersoftware berichtet. Wenn Sie kein Datenbackup von ihrem PC haben, wird es sehr schwierig werden, ihre verschlüsselten Dateien zurückzubekommen. Denn, was immer Sie tun, bezahlen Sie kein Geld. Erstens wird es wahrscheinlich nichts nützen, und zweitens machen Sie sich und andere User dadurch zum Ziel weiterer Attacken. Wichtig ist, dass Sie immer eine aktuelle Backup-Kopie Ihrer PC-Daten zur Hand haben. Öffnen Sie keine Anhänge von unbekannten E-Mail-Absendern. Und vermeiden Sie zwielichtige Internetseiten. Wenn Sie dann noch ein anerkanntes Sicherheitsprogramm auf Ihrem PC installiert haben, halten Sie Ihr Risiko in annehmbaren Grenzen.

Wie Sie am PC zum Erpressungsopfer werden können

CryptoLocker heisst eine der neusten Bedrohungen in der Kategorie der “Ransomware“,  was etwa soviel heisst, wie Lösegeld-Erpressungssoftware. Tatsächlich geht es im Fall von CryptoLocker genau darum: um das Erpressen von Lösegeld.  Wer nichtsahnend ein PDF-Attachment, bei dem es sich in Wirklichkeit allerdings um eine Programmdatei handelt, in einer unschuldig aussehenden E-Mail-Nachricht anklickt, kann plötzlich nicht mehr auf seine PC-Daten zugreifen, weil diese verschlüsselt sind. Allerdings, so verspricht es die Nachricht auf dem Bildschirm, kann das Problem für nur 300 Dollar gelöst werden.

Dieser Screenshot von PCtuneup.org zeigt, wie die Erpressersoftware
Cryptolocker auf dem Bildschirm aussieht, wenn sich der Trojaner ein-
geschlichen hat.

Die gute Nachricht zuerst: Symantec gibt an, dass CryptoLocker definiert sei und und von Norton erkannt werde. Die schlechte Nachricht: Wenn Sie kein Datenbackup von ihrem PC haben, wird es sehr problematisch, von Erpressern verschlüsselte Dateien zurückzugewinnen. Denn, was immer Sie tun, bezahlen Sie den Kriminellen kein Geld. Erstens wird es Ihnen wahrscheinlich nicht helfen, und zweitens machen Sie sich möglicherweise dadurch nur zum Ziel weiterer Attacken. Wie funktioniert CryptoLocker? Heise.de erklärt:

“CryptoLocker, bei einigen Antiviren-Herstellern auch unter dem Namen Crilock geläufig, verschlüsselt die Daten seiner Opfer mit RSA oder AES und speichert den geheimen Schlüssel auf einem Server unter der Kontrolle seiner Entwickler. Dann blendet die Software einen Countdown ein und droht, den Schlüssel zu löschen, wenn das Opfer nicht zahlt. Der Trojaner scheint dabei für jeden Rechner ein einzigartiges Schlüsselpaar zu erstellen, so dass es unmöglich ist, die verschlüsselten Daten ohne Zugriff auf den geheimen Schlüssel wieder lesbar zu machen. Sowohl Microsoft als auch Sophos gehen davon aus, dass die Verschlüsselung zu gut umgesetzt ist, um sie zu knacken. Zum Schutz empfehlen sie, regelmäßige Datensicherungen anzulegen und sich gar nicht erst mit dem Trojaner infizieren zu lassen…“

CryptoLocker ist nicht das Erste Erpressungsprogramm das für Aufsehen sorgt. Vor einigen Monaten machte ein Trojaner von sich reden, der unbescholtenen Anwendern Kinderpornographie auf den PC lud, um sie nachher zu erpressen:

“Der berüchtigte BKA-Trojaner ist in einer neuen, extrem fiesen Version im Umlauf: Der Schädling lädt Kinderpornographie auf Ihren Rechner herunter und täuscht anschließend vor, dass das Bundeskriminalamt daher gegen Sie ermittle. […]Als Druckmittel werden dabei oft angebliche Funde von illegal kopierten Songs oder Filmen auf dem Rechner angegeben, im aktuellen Fall ist die Lage jedoch noch deutlich perfider: Die neueste Inkarnation des BKA-Trojaners zeigt bei der Warnmeldung "Sie sind im Besitz von Kinderpornographie" tatsächlich vier kinderpornographische Bilder an, die angeblich die minderjährigen Mädchen "Gabriela Nunez", "Linda Green", "Chin-Sun Kim" und "Ashlee Stiller" darstellen. Dafür werden diese Fotos aus dem Internet auf den Computer des Nutzers heruntergeladen. Da in Deutschland schon allein der Besitz von Kinderpornographie – unabhängig von der Art der Beschaffung – strafbar ist, stimmt die Kernaussage des Erpressers sogar: Der PC-Nutzer hat sich unfreiwillig strafbar gemacht…“

Was tun? Auf die Gefahr hin, dass wir uns wiederholen: Stellen Sie sicher, dass Sie immer eine aktuelle Backup-Kopie Ihrer PC-Daten zur Hand haben. Öffnen Sie keine Anhänge von unbekannten E-Mail-Absendern. Und vermeiden Sie zwielichtige Internetseiten. Wenn Sie dann noch ein anerkanntes Sicherheitsprogramm auf Ihrem PC installiert haben, halten Sie Ihr Risiko in annehmbaren Grenzen.