Was ist 0xxx Ransomware? Erkennung, Schutz und Wiederherstellung
0xxx ist eine Art von Ransomware, die erstmals Anfang 2021 auftauchte und seitdem Unternehmen weltweit massiven Schaden zufügt. Im Grunde handelt es sich bei 0xxx um eine Ransomware-Infektion, die Dateien auf dem PC eines Nutzers verschlüsselt, indem sie .0XXX an gängige Dateiendungen wie .txt, .docx, .xlsxanhängt. Nach der Infektion sind die umbenannten Dateien für die Nutzer nicht mehr zugänglich. Um den Zugriff auf die gesperrten Daten wiederzuerlangen, wird das Opfer aufgefordert, ein Lösegeld in Bitcoin zu zahlen. Im Gegenzug versprechen die hinter der 0xxx-Infektion stehenden Cyberkriminellen, eine Entschlüsselung bereitzustellen.
Nach einer kurzen Einführung in das Thema Ransomware und ihre beiden Haupttypen befasst sich dieser Blogbeitrag mit der Ransomware 0xxx , Methoden zur Datensicherheit und dem Wiederherstellen von Daten im Falle einer Infektion Ihres Systems.
Was ist Ransomware?
Ransomware ist eine Art von Malware, die sich in der Regel ohne Wissen oder Zustimmung des Nutzers auf einem Gerät installiert. In den meisten Fällen verschlüsselt Ransomware nach der Infektion eines Geräts einige oder alle Dateien, und Cyberkriminelle fordern eine Zahlung als Gegenleistung für ein Programm zur Entschlüsselung (das möglicherweise auch nach Zahlung des Lösegelds nicht bereitgestellt wird). Ransomware wird meist durch das Anklicken von Links in Phishing-E-Mails oder das Öffnen bösartiger Anhänge von unbekannten Absendern installiert.
Ransomware blockiert nicht nur den Zugriff auf Dateien, sondern kann sich auch innerhalb eines Netzwerks von einem Gerät auf ein anderes ausbreiten, indem sie sich auf Netzwerkspeichergeräte oder in Cloud-Speicherkonten kopiert. Allein dies macht Ransomware zu einer der gefährlichsten Formen von Malware und Cyberbedrohungen im Allgemeinen.
Das Ziel von Ransomware ist es, es den Opfern so schwer wie möglich zu machen, ihre Daten wiederherzustellen. Einige Ransomware-Varianten opfern nach der Verschlüsselung die Datenintegrität oder ermöglichen es Hackern sogar, Änderungen vorzunehmen oder Dateien zu löschen. Dies erschwert den Opfern das Wiederherstellen der Daten erheblich und kann zu einem dauerhaften Datenverlust führen, wenn keine Backups für eine zeitpunktbezogene Wiederherstellung vorhanden sind.
Arten von Ransomware
Ransomware lässt sich in zwei Haupttypen einteilen: nicht verschlüsselnde und verschlüsselnde.
Nicht verschlüsselnde Ransomware verschlüsselt keine Dateien. Stattdessen nimmt sie Ihr System als Geisel. Diese Art von Ransomware zeigt beim Start des Betriebssystems oder beim Öffnen eines Browsers eine Anzeige an, in der behauptet wird, das verwendete Gerät sei aufgrund illegaler Aktivitäten von der Regierung (oder einer Regierungsbehörde) beschlagnahmt worden. Als Gegenleistung für die Aufhebung der angeblichen Vorwürfe gegen Sie und die Entsperrung Ihres Geräts wird ein Lösegeld gefordert. Im Allgemeinen beeinträchtigt nicht-verschlüsselnde Ransomware die Integrität Ihrer Daten nicht und kann vom Gerät entfernt werden.
Andererseits dringt verschlüsselnde Ransomware in Ihr Gerät ein – typischerweise über einen bösartigen E-Mail-Anhang oder einen Phishing-Link – und blockiert den Zugriff auf Dateien und Programme auf diesem Gerät, bis Sie das angegebene Lösegeld zahlen. Doch selbst nach Zahlung des Lösegelds gibt es keine Garantie dafür, dass Sie ein Programm für die Entschlüsselung erhalten, mit dem Sie wieder Zugriff auf Ihre Dateien erlangen. In einigen Fällen drohen Angreifer zudem damit, sensible Daten zu veröffentlichen.
Verschlüsselnde Ransomware ist die schädlichste Art von Ransomware und wohl eine der bösartigsten Cyberbedrohungen, die in den letzten Jahren aufgetreten sind. Unternehmen, die hohe Summen zahlen, um ihre Daten zurückzubekommen, ermutigen Cyberkriminelle dazu, ihre Aktivitäten auszuweiten und weitere Opfer ins Visier zu nehmen.
Was ist 0xxx?
0xxx ist eine Art verschlüsselnder Ransomware, die die Algorithmen AES und RSA zur Verschlüsselung von Dateien verwendet. AES und RSA sind leistungsstarke Standards für die Verschlüsselung der Sicherheit, die von Regierungen und Organisationen mit sensiblen Daten eingesetzt werden. Im Laufe der Jahre haben sich die Standards „ AES “ und „ RSA “ langsam zu einem festen Bestandteil der Ransomware-Welt entwickelt, da beide Algorithmen als treibende Kraft hinter einigen der berüchtigtsten Varianten gelten, wie beispielsweise „ Cryptolocker “ und „ Teslacrypt“.
Genau wie andere Ransomware derselben Kategorie, beispielsweise „ Redeemer“, „ Ouelezin Zebi “ und „ Iqll“, verweigert „ 0xxx “ den Zugriff auf Dateien, indem es diese verschlüsselt, ihre Dateiendungen umbenennt und in jedem einzelnen Ordner auf dem infizierten Laufwerk eine Textdatei erstellt, die eine Nachricht mit einer Lösegeldforderung enthält.
Die generierte Datei “!0XXX_DECRYPTION_README.TXT” enthält eine Reihe von Anweisungen, die die Opfer befolgen müssen, um ihre Daten zu entschlüsseln. Zunächst werden die Opfer jedoch darüber informiert, dass alle ihre Dateien mit dem 0xxx-Virus verschlüsselt wurden und dass ein Tool für die Entschlüsselung gegen Zahlung in Bitcoin erworben werden kann.
Die Opfer werden dann aufgefordert, die ihnen zugewiesene eindeutige ID (einen 32-stelligen Hex-Code in Großbuchstaben) zusammen mit drei verschlüsselten Dateien per E-Mail an die angegebene E-Mail-Adresse zu senden. Als Proof-of-Concept erhalten die Opfer per E-Mail die drei zuvor gesendeten Dateien zurück – vollständig entschlüsselt und virenfrei. In derselben E-Mail erhalten die Opfer die Bitcoin-Wallet-Adresse, an die das angegebene Lösegeld überwiesen werden muss. Schließlich versprechen die Cyberkriminellen hinter dem 0xxx -Virus, die Entschlüsselung zu senden, sobald die Zahlung erfolgt ist.
Hier ist ein Screenshot einer Textdatei der Ransomware „ 0xxx “, in der einem Opfer erklärt wird, wie das Lösegeld zu zahlen ist:
Wie infiziert „ 0xxx “ Computer?
Während Ransomware zur Verbreitung auf eine Vielzahl von Infektionsvektoren zurückgreift, sind die beiden gängigsten Methoden, mit denen Cyberkriminelle heutzutage „ 0xxx “ verbreiten, Phishing-E-Mails und Trojaner.
Phishing, der am weitesten verbreitete aller Vektoren, ist ausgefeilter und gefährlicher geworden als je zuvor. Eine Phishing-E-Mail ist eine Betrugs-E-Mail, die den Empfänger dazu verleitet, auf einen Link zu klicken oder schädliche Inhalte herunterzuladen, was zu einem Ransomware-Angriff führen kann. Phishing-E-Mails sind so gestaltet, dass sie den Anschein erwecken, von einer vertrauenswürdigen Quelle zu stammen, beispielsweise einer Bank oder einem Kreditkartenunternehmen. Solche E-Mails können Dateien enthalten, die als Träger von Ransomware dienen. Sobald die schädlichen Dateien heruntergeladen und installiert sind, können sie das System sofort mit der Ransomware „ 0xxx “ infizieren.
Ein Trojaner ist eine Art von Malware, die auf den ersten Blick wie eine legitime Software aussieht, jedoch darauf programmiert ist, Daten auf einem System oder in einem Netzwerk zu beschädigen. Trojaner werden oft versehentlich von verdächtigen Websites heruntergeladen, die vorgeben, illegale Aktivierungstools (auch als „Crack“ bezeichnet) und gefälschte Updates für Anwendungen wie Google Chrome oder Microsoft Office anzubieten. Nach der Installation kann die Trojaner-Malware einem Angreifer eine Hintertür öffnen, über die dieser Daten auf dem Host-System einsehen und manipulieren kann. Gelingt es dem Angreifer, sich vollständigen Zugriff auf das System zu verschaffen, ist das Einschleusen von Ransomware wie 0xxxdann ein Leichtes.
Wie lässt sich die Ransomware „ 0xxx “ erkennen?
Es gibt einige Anzeichen, die Ihnen helfen können, die Ransomware „ 0xxx “ auf Ihrem Gerät zu erkennen:
- Verdächtige Änderungen an Dateinamenerweiterungen : Die erste Aktion der Ransomware „
0xxx“ besteht darin,.0XXXan alle Dateiendungen anzuhängen. Diese spezielle Ransomware behält die ursprünglichen Dateinamen bei. Beispielsweise wird ausdocument.pdfdocument.pdf.0XXX. Dies ist keine einfache Umbenennung der Dateiendung, sondern ein Hinweis darauf, dass die Datei verschlüsselt wurde. - Hohe CPU-Auslastung : Die Ransomware
0xxxverbraucht viele Ressourcen, was dazu führt, dass Programme merklich langsamer laufen und geladen werden. Das Verschlüsseln und Umbenennen von Tausenden von Dateien ist eine CPU-intensive Aufgabe und kann Ihr System so stark verlangsamen, dass es nicht mehr reagiert. - Unmöglichkeit, auf Dateien zuzugreifen : Das Hauptziel der 0xxx-Ransomware ist es, Ihnen den Zugriff auf Ihre Dateien zu verwehren. Einmal verschlüsselte Dateien und Dokumente lassen sich nicht mehr öffnen und erfordern eine Entschlüsselung, um in ihren ursprünglichen Zustand zurückversetzt zu werden. Die Entschlüsselung wird erst bereitgestellt, wenn das geforderte Lösegeld gezahlt wurde.
- Anormale Netzwerkkommunikation : Wenn Ihr System mit der Ransomware
0xxxinfiziert ist, kann es zu einer Verlangsamung Ihrer Internetverbindung kommen. Cyberkriminelle, die hinter Ransomware-Angriffen stehen, können ein Kommunikationssystem zwischen ihren Servern und infizierten Computern einrichten, um Dateien zu manipulieren. Dies kann zu ständigen Verbindungsproblemen führen.
Wie lassen sich Systeme vor Ransomware schützen?
Unternehmen jeder Größe dürfen die Bedrohung durch Ransomware nicht unterschätzen. Ganz gleich, wie robust Ihr System der Sicherheit ist – Ransomware kann dennoch ihren Weg auf Ihren Computer oder den eines Mitarbeiters finden. Kein Unternehmen ist vollständig vor der Bedrohung durch Ransomware geschützt. Um die Daten Ihres Unternehmens vor jeder Form von Ransomware zu schützen, müssen Sie daher einen mehrschichtigen Ansatz verfolgen.
Schulen Sie Ihre Mitarbeiter
Erstellen Sie ein effektives Schulungsprogramm zum Thema Ransomware, um Ihre Mitarbeiter darüber aufzuklären, was Ransomware ist und wie sie funktioniert. Sie sollten dabei auch darauf eingehen, wie sich eine Infektion mit Malware vermeiden lässt und wie man auf einen Ransomware-Angriff reagieren sollte, falls es doch einmal dazu kommen sollte.
Es hat sich bewährt, Mitarbeiter regelmäßig per E-Mail über Neuigkeiten zu Ransomware und die mit Cyberbedrohungen verbundenen Gefahren zu informieren, insbesondere wenn der Arbeitsablauf Ihres Unternehmens auf cloudbasierten Produktivitäts- und Kollaborationstools wie Microsoft Office 365 basiert.
Die Durchführung regelmäßiger Schulungen zur Sensibilisierung für Ransomware kann Mitarbeitern erheblich dabei helfen, zwischen betrügerischen und legitimen Inhalten in E-Mails, Anhängen und auf Websites zu unterscheiden. Dadurch lässt sich die Wahrscheinlichkeit von Fehlhandlungen wie dem Öffnen von Phishing-Links und dem Herunterladen von Schadsoftware deutlich verringern.
E-Mail-Filter konfigurieren
Die meisten großen E-Mail-Dienste verfügen über Filter, die Sie oder Ihre Kollegen vor Cyberbedrohungen, einschließlich Ransomware, schützen können. Einige Dienste bieten erweiterte Maßnahmen zur Sicherheit, wie die Automatische Erkennung und Abwehr verdächtiger E-Mails aus nicht vertrauenswürdigen oder unbekannten Quellen. Ich habe bereits unter So konfigurieren Sie die Anti-Phishing- und Anti-Identitätsbetrugs-Richtlinien von Microsoft Defender für Office 365 alle erforderlichen Schritte zur Maximierung der E-Mail-Sicherheit aufgeführt.
Scannen und Überwachen Ihres Systems
Die Durchführung geplanter vollständiger Systemscans mit einem aktualisierten Antiviren- oder Anti-Malware-Programm kann dabei helfen, verdächtige Aktivitäten wie die massenhafte Umbenennung von Dateiendungen oder ungewöhnliche Festplattennutzung zu erkennen. Ein Antivirenprogramm mit den neuesten Definitionen kann eine Ransomware-Bedrohung neutralisieren, indem es die heruntergeladene Schadsoftware unter Quarantäne stellt und so die Ausbreitung der Infektion in Ihrem System und Netzwerk begrenzt. Stellen Sie außerdem sicher, dass Sie die aktuellsten Sicherheitspatches für Ihr Betriebssystem installieren, sobald diese verfügbar sind.
Datensicherung
Regelmäßige Backups nach der 3-2-1-Regel stellen sicher, dass Ihre Daten einen Angriff mit Ransomware mit minimalem Schaden überstehen. Die 3-2-1-Regel ist eine gängige und effektive Methode zum Backup Ihrer Daten. Die Regel besagt, dass Sie mindestens 3 Kopien Ihrer Daten behalten und diese auf 2 verschiedenen Speichermedien speichern sollten, wobei 1 der Kopien außerhalb des Standorts gelagert wird.
Außerdem sollten Sie möglicherweise neue Backup-Technologien wie unveränderliche Backups einsetzen, um Ihre Datenbestände vor Ransomware zu schützen. Bei unveränderlichen Backups, die auf dem Modell „ WORM (Write Once Read Many) “ basieren, werden Ihre Daten auf einem Speicher gesichert, auf den nur einmal geschrieben werden kann. Auf die Daten auf diesem Medium kann zwar mehrfach zugegriffen werden, sie können jedoch für einen bestimmten Zeitraum weder überschrieben, geändert noch gelöscht werden.
Wie lassen sich Dateien nach einem 0xxx Ransomware-Angriff wiederherstellen?
Wenn Ihr Computer mit der 0xxx-Ransomware infiziert ist, können Sie keine Daten wiederherstellen, es sei denn, Sie zahlen das Lösegeld – zumindest möchten die Cyberkriminellen Ihnen das glauben machen. Antiviren- oder Anti-Malware-Software kann zwar die Malware entfernen und deren Ausbreitung eindämmen, bietet Ihnen jedoch keine Option, bereits infizierte Dateien wiederherzustellen. Die einzige Lösung besteht darin, die Dateien aus einem Backup wiederherzustellen, sofern vor der Infektion eines erstellt und an einem anderen Standort gespeichert wurde.
Wenn Sie auf der Suche nach einer umfassenden Lösung für die Datensicherheit sind, sollten Sie den Einsatz von NAKIVO Backup & Replication in Betracht ziehen. NAKIVO Backup & Replication gewährleistet erstklassigen Schutz für alle Umgebungen, einschließlich virtueller, physischer, Cloud- und SaaS-Umgebungen. Nutzen Sie die Lösung zum Schutz von VMware vSphere, Microsoft Hyper-V, Nutanix AHV, Amazon EC2, Windows-/Linux-Rechnern und Microsoft 365-Daten.
NAKIVO Backup & Replication bietet Ihren gesicherten Daten eine zusätzliche Schutzebene vor Ransomware. Die Lösung ermöglicht es Ihnen, Ihre Sicherungsdaten so lange wie nötig unveränderlich zu machen – sowohl im lokalen Linux-Betriebssystemspeicher als auch in Amazon S3-Buckets. Auf diese Weise können Ihre Backupkopien bis zum Ablauf dieses Zeitraums weder verändert, überschrieben noch gelöscht werden. Da Ihre Backups gesperrt sind, sind die Sicherungsdaten vor einer Verschlüsselung durch Ransomware geschützt, und Sie können sie schnell wiederherstellen, falls ein böswilliger Angriff wie 0XXX Ihre Systeme trifft.
