Friends Ransomware

Der Schutz von Geräten vor Schadsoftware ist wichtiger denn je, da moderne Cyberbedrohungen wertvolle Daten verschlüsseln, Geschäftsabläufe stören und sensible Informationen offenlegen können. Ransomware zählt nach wie vor zu den schädlichsten Schadsoftware-Formen, da sie Datenverschlüsselung mit Erpressungstaktiken kombiniert, um Opfer zur Zahlung hoher Geldsummen zu zwingen. Ein bekanntes Beispiel ist Friends Ransomware, eine ausgeklügelte Bedrohung, die eine Vielzahl von Dateitypen angreift und gleichzeitig Datendiebstahl nutzt, um die Wahrscheinlichkeit einer Zahlung zu erhöhen.

Friends-Ransomware: Eine Cyberbedrohung mit doppelter Erpressung

Friends Ransomware ist ein von Cybersicherheitsforschern entdecktes Schadprogramm, das Dateien auf kompromittierten Systemen verschlüsselt und im Gegenzug für den Entschlüsselungsschlüssel ein Lösegeld fordert. Neben der Dateiverschlüsselung behaupten die Hintermänner dieser Bedrohung, vertrauliche Informationen von den Opfern zu stehlen, bevor sie deren Daten sperren. Diese Taktik, die gemeinhin als doppelte Erpressung bekannt ist, ermöglicht es Angreifern, sowohl mit Datenverlust als auch mit der Veröffentlichung sensibler Informationen zu drohen.

Nach der Ausführung auf einem System durchsucht die Friends-Ransomware zahlreiche Dateitypen und verschlüsselt diese. Dabei wird den betroffenen Dateien die Dateiendung „.friends124“ angehängt. Beispielsweise wird aus einer Datei namens „1.png“ die Datei „1.png.friends124“, während aus „2.pdf“ die Datei „2.pdf.friends124“ wird. Diese Dateiendung dient als eindeutiger Hinweis darauf, dass die Dateien von der Schadsoftware verarbeitet wurden und nicht mehr auf normalem Wege zugänglich sind.

Verschlüsselungsprozess und Lösegeldforderungen

Nach Abschluss der Verschlüsselung erstellt die Ransomware eine Datei namens „RANSOM_NOTE.html“, die Anweisungen für das Opfer enthält. Die Datei informiert die Nutzer über die Verschlüsselung ihrer Dateien und bietet Kontaktinformationen für die Einleitung von Lösegeldverhandlungen. Die Opfer werden angewiesen, über die E-Mail-Adressen „recovery1@salamati.vip“ und „recovery1@amniyat.xyz“ mit den Angreifern zu kommunizieren. Eine alternative Kontaktmöglichkeit über das Tor-Netzwerk wird ebenfalls erwähnt.

In der Lösegeldforderung wird behauptet, dass vertrauliche und persönliche Daten auf einem von den Angreifern kontrollierten Server gespeichert wurden. Laut der Nachricht werden diese Informationen veröffentlicht oder an Dritte verkauft, falls das Opfer die Lösegeldforderungen nicht erfüllt. Um die Opfer von der Möglichkeit der Datenwiederherstellung zu überzeugen, bieten die Kriminellen an, zwei oder drei unwichtige Dateien kostenlos zu entschlüsseln. Weiterhin wird gewarnt, dass sich die Lösegeldsumme erhöht, falls innerhalb von 72 Stunden kein Kontakt hergestellt wird, und den Opfern wird empfohlen, vor der Kontaktaufnahme ein ProtonMail-Konto anzulegen.

Warum die Zahlung des Lösegelds eine riskante Entscheidung ist

Opfer erwägen oft die Zahlung eines Lösegelds, wenn wichtige Dateien unzugänglich werden. Die Zahlung an Cyberkriminelle garantiert jedoch keine erfolgreiche Datenwiederherstellung. Zahlreiche Ransomware-Angriffe haben Zahlungen erhalten, ohne funktionierende Entschlüsselungstools bereitzustellen, oder Hilfsprogramme geliefert, die nicht alle betroffenen Daten wiederherstellen konnten.

Selbst wenn Angreifer ein Entschlüsselungstool bereitstellen, unterstützt die Zahlung kriminelle Aktivitäten und fördert zukünftige Angriffe gegen andere Personen und Organisationen. Aus diesen Gründen raten Cybersicherheitsexperten dringend davon ab, Lösegeldforderungen zu bezahlen. In den meisten Fällen lassen sich verschlüsselte Dateien ohne den Entschlüsselungsschlüssel der Angreifer nicht wiederherstellen, es sei denn, die Ransomware weist gravierende Implementierungsfehler auf, die Forscher ausnutzen können, um einen kostenlosen Entschlüsseler zu entwickeln.

Wiederherstellung und Reaktion auf Vorfälle

Nach einer Infektion hat die Entfernung der Friends-Ransomware vom betroffenen System oberste Priorität. Die Beseitigung der Schadsoftware verhindert die Verschlüsselung weiterer Dateien und reduziert das Risiko weiterer Angriffe. Bereits verschlüsselte Daten können jedoch durch die alleinige Entfernung der Schadsoftware nicht wiederhergestellt werden.

Die zuverlässigste Wiederherstellungsmethode besteht darin, Dateien aus Backups wiederherzustellen, die vor der Infektion erstellt wurden. Backups sollten getrennt vom Hauptsystem gespeichert werden, damit sie während eines Angriffs unberührt bleiben. Sind Backups mit demselben Netzwerk verbunden oder dauerhaft zugänglich, kann Ransomware versuchen, auch diese zu verschlüsseln, wodurch die Opfer keine Möglichkeit zur Datenwiederherstellung mehr haben.

Wie sich Friends-Ransomware verbreitet

Wie viele Ransomware-Familien nutzt auch Friends Ransomware verschiedene Verbreitungskanäle, um potenzielle Opfer zu erreichen. Phishing-E-Mails gehören nach wie vor zu den effektivsten Methoden. Diese Nachrichten enthalten häufig schädliche Anhänge oder Links, die beim Öffnen Malware herunterladen. Angreifer verwenden üblicherweise Dokumentdateien mit schädlichen Makros, komprimierte Archive, ausführbare Dateien, PDFs und JavaScript-basierte Schadsoftware.

Weitere Infektionswege umfassen Trojaner, die unbemerkt Ransomware installieren, gefälschte Software-Update-Mechanismen, schädliche Werbung, kompromittierte Websites und Downloads aus unseriösen Quellen. Freeware-Portale, Peer-to-Peer-Netzwerke und andere inoffizielle Vertriebsplattformen bieten häufig Schadsoftware an, die als legitime Software getarnt ist. Infizierte USB-Sticks können ebenfalls die Verbreitung von Ransomware zwischen Systemen begünstigen.

Ein besonders häufiges Infektionsszenario umfasst Software-Cracks und illegale Aktivierungstools. Cyberkriminelle tarnen Schadsoftware oft als kostenlose Alternative zu kostenpflichtiger Software und nutzen so Nutzer aus, die bereit sind, offizielle Vertriebskanäle zu umgehen. Einmal ausgeführt, können diese scheinbar harmlosen Programme ohne Vorwarnung Ransomware installieren.

Stärkung der Abwehr gegen Ransomware

Wirksamer Schutz vor Ransomware erfordert eine mehrstufige Sicherheitsstrategie, die technische Schutzmaßnahmen mit sicherem Nutzerverhalten kombiniert. Organisationen und Privatpersonen sollten zuverlässige Sicherheitssoftware verwenden, regelmäßige Updates für Betriebssysteme und Anwendungen gewährleisten und unnötige Funktionen deaktivieren, die von Angreifern missbraucht werden könnten. E-Mail-Anhänge und Links unbekannter oder unerwarteter Absender sollten stets mit Vorsicht behandelt werden, selbst wenn sie legitim erscheinen.

Regelmäßige Datensicherungen gehören zu den wichtigsten Schutzmaßnahmen. Die Aufbewahrung mehrerer Sicherungskopien an verschiedenen Orten, beispielsweise auf externen Festplatten und sicheren Remote-Speicherlösungen, verbessert die Wiederherstellungschancen nach einem Angriff erheblich. Zudem sollten regelmäßig Backup-Tests durchgeführt werden, um sicherzustellen, dass die Daten bei Bedarf erfolgreich wiederhergestellt werden können.

Zu den wichtigsten Sicherheitspraktiken gehören:

• Halten Sie Betriebssysteme, Browser und Anwendungen mit den neuesten Sicherheitspatches auf dem aktuellen Stand.
• Verwenden Sie eine seriöse Endpoint-Protection-Software mit Echtzeit-Bedrohungserkennungsfunktionen.
• Halten Sie mehrere Backups bereit, darunter mindestens eine Offline- oder anderweitig isolierte Kopie.
• Vermeiden Sie es, unaufgefordert zugesandte E-Mail-Anhänge zu öffnen oder verdächtige Links anzuklicken.
• Laden Sie Software nur von offiziellen und vertrauenswürdigen Quellen herunter.
• Verzichten Sie auf die Verwendung von Raubkopien, Cracks oder nicht autorisierten Aktivierungstools.
• Beschränken Sie administrative Berechtigungen nach Möglichkeit.
• Sensibilisieren Sie die Nutzer für Phishing-Taktiken und Social-Engineering-Angriffe.

Abschlussbewertung

Friends-Ransomware stellt eine ernsthafte Bedrohung für die Cybersicherheit dar, die Dateiverschlüsselung mit Datendiebstahl und Erpressung kombiniert. Indem die Angreifer die Dateiendung „.friends124“ anhängen, eine Lösegeldforderung mit dem Titel „RANSOM_NOTE.html“ hinterlassen und mit der Veröffentlichung der gestohlenen Informationen drohen, versuchen sie, den Druck auf die Opfer zu maximieren. Ohne zuverlässige Backups sind die Wiederherstellungsmöglichkeiten oft begrenzt. Starke Cybersicherheitspraktiken, regelmäßige Datensicherungen, zeitnahe Software-Updates und vorsichtiges Online-Verhalten können die Wahrscheinlichkeit eines erfolgreichen Ransomware-Angriffs jedoch deutlich verringern und die Auswirkungen im Falle einer Infektion minimieren.