Tausende Behörden, Unternehmen und Einzelpersonen in dutzenden Ländern sind Opfer eines Hacker-Angriffs mit erpresserischer Schadsoftware geworden. In der Nacht auf Samstag meldeten dann Sicherheitsforscher, ein Mittel gegen die Attacke gefunden zu haben.
Die weltweite Cyber-Attacke mit Erpressungssoftware wurde laut Experten von einem IT-Forscher gestoppt. Der Betreiber des Blogs «MalwareTech» fand nach eigenen Angaben einen Web-Domainnamen im Computercode der Schadsoftware und registrierte ihn.
74 countries worldwide have now been targeted in a global hack linked to the cyber attack on the NHS today https://t.co/z9EzQduGUW pic.twitter.com/xfnAygl11R
— Sky News (@SkyNews) 12. Mai 2017
Offensichtlich sei die Domain von den Angreifern als eine Art Notbremse für ihre Software gedacht gewesen, erklärte Ryan Kalember von der IT-Sicherheitsfirma Proofpoint der Zeitung «Guardian» am Samstag. Die Registrierung durch «MalwareTech» dämmte die Attacke ein, auch wenn sich damit für bereits befallene Rechner nichts änderte.
Auch die IT-Sicherheitsfirma Malwarebytes stellte fest, dass mit der Anmeldung der Domain die Ausbreitung des Erpressungstrojaners gestoppt wurde. Der Sicherheitsforscher von «MalwareTech» selbst räumte ein, dass ihm anfangs nicht bewusst gewesen sei, dass er mit dem Schritt die Attacke abwürgen würde. Er sei ein «Held durch Zufall», erklärte auch Kalember von Proofpoint.
Die ersten Angaben zu dem Cyberangriff kamen aus Grossbritannien. Wie die britische Gesundheitsbehörde NHS mitteilte, waren insgesamt 16 Unternehmen im Gesundheitsbereich betroffen, von denen einige mehrere Spitäler betreiben.
Nach den Worten von Premierministerin Theresa May blieben Patientendaten von dem Angriff offenbar aber unberührt. Das Schadprogramm sorgte in vielen Spitälern für Chaos. In einigen Fällen mussten Krankenwagen zu anderen Kliniken umdirigiert werden, andere Spitäler forderten Patienten auf, sie nicht aufzusuchen.
Für das Chaos ist nach NHS-Angaben mutmasslich das Virus Wanna Decryptor verantwortlich. Im Internet kursierten Aufnahmen von NHS-Computerbildschirmen mit der Botschaft «Ups, deine Daten wurden verschlüsselt». Es folgte eine Lösegeldforderung in Höhe von 275 Euro, zahlbar in der Internet-Währung Bitcoin.
Opfer des Schadprogramms waren laut NHS auch Internet-Nutzer in Australien, Belgien, Frankreich, Italien, Mexiko und Deutschland. Insgesamt gab es aus rund 100 Ländern Schadensmeldungen.
In Spanien wurde beispielsweise der Telekommunikationsriese Telefónica lahmgelegt. Die Deutsche Bahn war von dem Trojaner erfasst worden, ohne aber dass der Zugsverkehr beeinträchtigt wurde, wie der Konzern am Samstagmorgen mitteilte. In den USA war unter anderem auch der Kurier- und Logistikkonzern Fedex betroffen.
Das russische Innenministerium erklärte, es sei Opfer eines Hacker-Angriffs geworden. Rund 1000 Computer seien attackiert worden, sagte eine Ministeriums-Sprecherin am Freitag der Nachrichtenagentur Interfax. Informationen seien dadurch aber nicht verloren gegangen, meldete Interfax unter Berufung auf Insider.
Auch Computer der Deutschen Bahn waren von der Schadsoftware erfasst worden. «Die Deutsche Bahn ist seit gestern Abend und in der Nacht Ziel eines Trojaners geworden, der weltweit zahlreiche Firmen und Institutionen infiziert hat», erklärte das Unternehmen am Samstagmorgen. Der Bahnbetrieb sei dadurch nicht beeinträchtigt. Es gebe keine Einschränkungen im Fern- und Nahverkehr.
An den Bahnhöfen gebe es technische Störungen an den digitalen Anzeigetafeln, hiess es in der Erklärung weiter. «Die DB arbeitet mit Hochdruck daran, die Störungen zu beheben.» Es sei jedoch noch bis zum Nachmittag mit Beeinträchtigungen zu rechnen. An grösseren Bahnhöfen sollen den Angaben zufolge zusätzliche Mitarbeiter zur Kundeninformation eingesetzt werden.
Die Hacker nutzten offenbar eine Sicherheitslücke, die vom US-Auslandsgeheimdienst NSA entdeckt worden war – sie wurde in illegal weiterverbreiteten NSA-Dokumenten beschrieben. Laut dem Unternehmen Kaspersky wurden diese Informationen im April von einer Hackergruppe namens «Shadow Brokers» veröffentlicht, die behauptete, die Lücke durch den NSA entdeckt zu haben.
Microsoft hatte im März einen Software-Patch herausgegeben, der den Mechanismus der Weiterverbreitung der Schadsoftware verhindert. Den Experten zufolge wurde der Patch auf vielen Computern aber noch nicht installiert.
Lance Cottrell von der US-Technologiefirma Ntrepid sagte, dass sich dieser Erpresser-Virus von einem Computer zum anderen ausbreiten kann, ohne dass eine E-Mail geöffnet oder ein Link angeklickt wird. (sda/afp/reu/dpa)
