Ransomware-Attacke Petya legt zahlreiche Unternehmen lahm

Ein Abkömmling des Verschlüsselungstrojaners Petya dringt in interne Netzwerke ein.   Bild: ERDEM SAHIN/EPA/KEYSTONE

Cyber-Attacke: Immer mehr Schweizer Firmen betroffen

Obwohl Microsoft längst Updates veröffentlicht hat, um Sicherheitslücken zu schliessen, hat ein neuer Verschlüsselungstrojaner namens Petya zahlreiche Unternehmen lahmgelegt.

Daniel Schurter

Die Zahl der von der neuen Cyber-Attacke betroffenen Schweizer Unternehmen steigt: Die Schweizer Melde- und Analysestelle Informationssicherung (MELANI) hat Kenntnis von sieben infizierten Firmen, wie sie am Mittwoch auf Anfrage der Nachrichtenagentur sda mitteilte.

Zu den einzelnen angegriffenen Firmen machte MELANI aus Vertraulichkeitsgründen keine näheren Angaben. Eines der Unternehmen ist die Werbeplattform Admeira (siehe unten).

Das Wichtigste in Kürze

• Eine massive Malware-Attacke auf Windows-Computer hat weltweit private Unternehmen und öffentliche Institutionen betroffen und einige vorübergehend lahmgelegt.
• Sicherheitsexperten nennen die neue Schadsoftware Petya, aber auch «NotPetya», in Anlehnung an einen 2016 entdeckten Verschlüsselungstrojaner, der nach dem gleichen Prinzip Rechner befällt bzw. einen zentralen Windows-System-Bereich («Master Boot Record») attackiert.
• Es handelt sich um eine Ransomware. Das heisst, das Schadprogramm infiziert fremde Computer, verschlüsselt Daten und fordert von den Opfern Lösegeld, um die Sperre aufzuheben und die Daten wieder freizugeben.
• Mac-Computer und Linux-Rechner sind nicht gefährdet.
• Betroffene sollten die geforderte Bitcoin-Summe nicht überweisen, weil die von den Erpressern verwendete E-Mail-Adresse inzwischen stillgelegt wurde.
• Die Programmierer der Schadsoftware haben eine Windows-Schwachstelle ausgenutzt, die auf einem Exploit basiert, der mit grösster Wahrscheinlichkeit dem US-Geheimdienst NSA gestohlen wurde und Eternal Blue genannt wird.
• Das Patchen dieser Schwachstelle mit einem seit Monaten verfügbaren Software-Update von Microsoft hätte in vielen Fällen eine Infektion verhindert. Doch hatten offenbar viele Firmen dieses Update (noch) nicht installiert.
• Sicherheitsexperten schätzen Petya als gefährlicher ein als WannaCry, weil die Schadsoftware mehrere Methoden anwendet, um sich rasant in Firmen-Netzwerken zu verbreiten. Dazu schreiben deutsche Sicherheitsexperten: «In internen Netzen benutzt Petya zusätzlich ein gängiges Administrationswerkzeug zur Weiterverbreitung und kann damit auch Systeme befallen, die auf aktuellem Patchstand sind».
• Es soll aber einen einfachen Trick geben, um die Ausbreitung zu verhindern. Mehr Informationen zum «Kill Switch».
• Wer hinter dem Malware-Angriff steckt, ist nicht bekannt. Europol und weitere Polizeibehörden ermitteln.
• Der Angriffs könnte in der Ukraine begonnen haben. Dort wurde eine Software-Firma gehackt, die das Buchhaltungs-Programm M.E.Doc anbietet. Dann lieferten die Angreifer ein manipuliertes Software-Update mit der Ransomware aus.

Psst @CNN - this is what a real hack looks like #Petya pic.twitter.com/7heX21F8V4

— Jack Posobiec 🇺🇸 (@JackPosobiec) 27. Juni 2017

So berichtete die Nachrichtenagentur SDA heute früh

Der mit der Erpressungssoftware Petya verübte Cyberangriff auf zahlreiche Firmen und Behörden in Europa hat in der Nacht auf Mittwoch auch Ziele in den USA erfasst. Strafverfolger in verschiedenen Ländern nahmen Ermittlungen gegen Unbekannt auf.

Auch am Mittwoch war weiter unklar war, wer hinter dem Virus steckt. Der oder die Erpresser fordern zur Wiederherstellung infizierter Computersysteme eine Art Lösegeld in der Digitalwährung Bitcoin.

Die russische IT-Sicherheitsfirma Kaspersky verzeichnete nach eigenen Angaben allein am Dienstag rund 2000 Angriffe, die meisten davon in Russland und der Ukraine, aber auch in Deutschland, Polen, Italien, Grossbritannien, Frankreich und den USA.

Auch in der Schweiz war mindestens ein Unternehmen betroffen: Die Werbeplattform Admeira twitterte am Dienstagabend, dass das Unternehmen Opfer der Hacker geworden sei. Die Ausspielung von TV-Werbung bei der SRG und privaten TV-Sendern sei aber gewährleistet, hiess es.

Admeira bestätigt ggü Werbewoche Opfer der Cyber Attacke geworden zu sein. TV und Print Werbung wird heute (noch) ausgespielt. Stay tuned. pic.twitter.com/AJ6PeXhTvS

— Mediabeobachter (@mediabeobachter) June 27, 2017

Europol schaltet sich ein

Neben Europol nahmen auch französische Strafverfolgungsbehörden Ermittlungen auf.

Ersten Erkenntnissen zufolge handelte es sich um eine Version der bereits seit vergangenem Jahr bekannten Erpressungs-Software «Petya». Diese verschlüsselt Computer und verlangt Lösegeld.

Der Trojaner habe sich zumindest zum Teil über dieselbe Sicherheitslücke in älterer Windows-Software des Herstellers Microsoft verbreitet wie auch der im Mai für eine globale Attacke genutzte Erpressungstrojaner «WannaCry», erklärten die IT-Sicherheitsfirma Symantec und das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI).

Global ransomware attack. #Petya

Harbour terminals
Airports
Electricity grids
Banks
Factory's
Offices
Insurance company's
Military
Etc pic.twitter.com/EvfDctWfkK

— Ntisec #NeoSlave (@ntisec) June 27, 2017

300 Dollar «Lösegeld»

Berichten zufolge fordern die Erpresser für die Wiederherstellung der Systeme die Zahlung von jeweils 300 Dollar in der Cyberwährung Bitcoin, die anonyme Geldtransfers zulässt.

Allerdings sollten Opfer auf keinen Fall bezahlen, weil sie sich nicht mehr bei den Erpressern melden können. Der in Berlin ansässige E-Mail-Dienstleister Posteo sperrte nach eigenen Angaben einen Account, der für den Cyberangriff genutzt wurde.

Auch Tschernobyl betroffen

An der Ruine des ukrainischen Katastrophen-Atomkraftwerks Tschernobyl musste die Radioaktivität nach dem Ausfall von Windows-Computern manuell gemessen werden.

Die ukrainische Zentralbank warnte vor einer Attacke mit einem «unbekannten Virus», auch der Internetauftritt der Regierung war betroffen. Ebenfalls in Mitleidenschaft gezogen wurden der Lebensmittel-Riese Mondelez («Milka», «Oreo»), der russische Ölkonzern Rosneft, die US-Pharmafirma MSD und die dänische Reederei Maersk.

Sicherheitsupdate vorhanden

Die schlimmste Windows-Schwachstelle (ein Exploit namens «Eternal Blue») wurde ursprünglich vom US-Geheimdienst NSA entdeckt und für Cyber-Angriffe ausgenutzt. Eine Hackergruppe mit dem Namen The Shadow Brokers machte sie schliesslich öffentlich. Zudem kündigten die Unbekannten an, sie würden weitere gefährliche Hacker-Tools aus dem NSA-Arsenal verkaufen.

Der NSA-Whistleblower Edward Snowden kritisierte die US-Regierung und erinnerte daran, dass die Windows-Sicherheitslücke während mehr als fünf Jahren dem Hersteller Microsoft nicht gemeldet, respektive nicht geschlossen, wurde.

.@NSAGov kept open the hole (#ETERNALBLUE) hit by today's #Petya/#NotPetya ransomware attack–for more than 5 years. https://t.co/mAeIeCGiyY pic.twitter.com/coK1kd2MIv

— Edward Snowden (@Snowden) 27. Juni 2017

Mitte Mai hatte die «WannaCry»-Attacke hunderttausende Computer in mehr als 150 Ländern mit dem Betriebssystem Windows infiziert. Betroffen waren damals vor allem Privatpersonen – aber auch Unternehmen wie die Deutsche Bahn und Renault.