Wie können Sicherheitsexperten Ransomware entschlüsseln

How can security experts unravel ransomware wird von BTW Media profiliert, weil veröffentlichte Nachweise es mit Internetinfrastruktur, Governance, Betriebsabhängigkeiten oder Marktsichtbarkeit verbinden.

• Auf der Grundlage der gesetzlosen Praktiken von Hackern arbeiten immer mehr Sicherheitsexperten mit Strafverfolgungsbehörden zusammen, um kostenlose Entschlüsselungswerkzeuge bereitzustellen.
• Ransomware-Entschlüsselungsexperten entwickeln Tools auf mehrere Arten: Reverse Engineering der Fehler, Zusammenarbeit mit der Polizei und Sammlung öffentlich verfügbarer Verschlüsselungsschlüssel.

Das Zeitalter des grassierenden Hackings

Hacker nutzenRansomware, um jede Branche zu verfolgen und so viel Geld wie möglich für den Zugriff auf die Dateien der Opfer zu verlangen. Dies ist ein lukratives Geschäft. In den ersten sechs Monaten des Jahres 2023 erpressten Ransomware-Banden ihre Ziele um449 Millionen Dollar.
Zunehmend arbeiten Sicherheitsexperten jedoch mit Strafverfolgungsbehörden zusammen, um kostenlose Entschlüsselungswerkzeuge bereitzustellen.

Lesen Sie auch:Hacker scheinen mit Kryptowährungsdiebstahl nie zufrieden zu sein!

Mehrere gängige Lösungen

Es gibt mehrere Hauptwege, wie Ransomware-Entschlüsselungsexperten Werkzeuge entwickeln: Reverse Engineering von Fehlern, Zusammenarbeit mit der Polizei und Sammlung öffentlich verfügbarer Verschlüsselungsschlüssel. Die Dauer dieses Prozesses hängt von der Komplexität des Codes ab, erfordert aber in der Regel Informationen über die verschlüsselte Datei, die unverschlüsselte Version der Datei und die vom Hacking-Team bereitgestellten Serverinformationen.

„Allein die Ausgabedatei der verschlüsselten Datei zu haben, ist normalerweise nutzlos. Sie brauchen das Sample selbst, die ausführbare Datei", sagte Jakub Kroustek, Leiter der Malware-Forschung beim Antivirenunternehmen Avast. Es ist nicht einfach, aber wenn es funktioniert, bringt es den betroffenen Opfern Vorteile.

Ransomware-Entschlüsselungsexperten nutzen ihre Kenntnisse in Softwareentwicklung und Kryptographie, um die Ransomware-Schlüssel zu erhalten und daraus ein Entschlüsselungswerkzeug zu entwickeln, so Kroustek. Fortgeschrittenere Verschlüsselungsprozesse können einen Brute-Force-Angriff oder eine fundierte Schätzung auf der Grundlage der verfügbaren Informationen erfordern. Manchmal verwenden Hacker pseudozufällige Zahlengeneratoren, um Schlüssel zu erstellen. Ein echter Zufallszahlengenerator wäre zufällig, aber das bedeutet, dass er nicht einfach vorhersagbar ist.

Wie van der Wiel erklärt, kann ein Pseudo-RNG ein bestehendes Muster nutzen, um zufällig zu erscheinen, obwohl er es nicht ist – zum Beispiel könnte das Muster auf dem Zeitpunkt seiner Erstellung basieren. Wenn die Forscher einen Teil davon kennen, können sie verschiedene Zeitwerte ausprobieren, bis sie den Schlüssel ableiten.

Um die Schlüssel zu erhalten, ist jedoch oft die Zusammenarbeit mit den Strafverfolgungsbehörden erforderlich, um mehr Informationen darüber zu erhalten, wie eine Hacking-Gruppe arbeitet. Wenn die Forscher die IP-Adresse des Hackers ermitteln konnten, können sie die örtliche Polizei bitten, den Server zu beschlagnahmen und einen Speicherauszug des Serverinhalts zu erstellen. Oder, wenn Hacker Proxyserver verwenden, um ihren Standort zu verschleiern, kann die Polizei Verkehrsanalyse-Tools wie NetFlow einsetzen, um zu bestimmen, wohin der Datenverkehr fließt und daraus Informationen extrahieren, so Vanderwiel.

Das Budapester Übereinkommen über Cyberkriminalität macht grenzüberschreitende Maßnahmen möglich, da es der Polizei erlaubt, dringend Abbilder von Servern in einem anderen Land anzufordern, während sie auf eine offizielle Anfrage wartet.

Lesen Sie auch:674 Millionen Dollar an Kryptowährung von 2,6 Milliarden gestohlenen wiedererlangt

Zusammenarbeit mit der Justiz

Arbeitete mit Strafverfolgungsbehörden zusammen, um Cisco Talos bei der Erstellung eines Entschlüsselungstools für die Babuk-Tortilla-Ransomware zu helfen. Diese Version von Ransomware zielt auf das Gesundheitswesen, das verarbeitende Gewerbe und die nationale Infrastruktur ab, verschlüsselt die Geräte der Opfer und löscht wertvolle Backups. Avast hat einen universellen Babuk-Entschlüsseler entwickelt, aber der Tortilla-Stamm hat sich als schwer zu knacken erwiesen. Die niederländische Polizei und Cisco Talos arbeiteten zusammen, um die Verantwortlichen hinter dem Virus zu verhaften, und erlangten dabei den Tortilla-Entschlüsseler.

Im Allgemeinen können Experten nicht zu viele Informationen über den Prozess preisgeben, ohne Ransomware-Banden Vorteile zu verschaffen. Wenn sie häufige Fehler aufdecken, können Hacker diese nutzen, um den nächsten Ransomware-Versuch einfach zu verbessern. Wenn die Forscher verraten, an welchen verschlüsselten Dateien sie arbeiten, wird die Bande wissen, dass sie ihnen auf der Spur sind. Der beste Weg, das oben Genannte zu vermeiden, ist proaktiv zu sein.