Mortar Ransomware

Malware zählt weiterhin zu den größten Cybersicherheitsbedrohungen für Unternehmen und Privatpersonen. Moderne Ransomware-Angriffe können innerhalb weniger Stunden Geschäftsabläufe lahmlegen, erhebliche finanzielle Verluste verursachen und sensible Daten gefährden. Da Ransomware-Gruppen immer raffinierter vorgehen, sind strenge Sicherheitskontrollen und proaktive Abwehrmaßnahmen unerlässlich, um wertvolle Daten zu schützen und die Betriebskontinuität zu gewährleisten.

Mortar-Ransomware auf einen Blick

Mortar Ransomware ist eine von Cybersicherheitsforschern identifizierte Malware-Variante, die Dateien verschlüsselt. Die Bedrohung zielt primär auf Unternehmensnetzwerke ab, wo Angreifer maximale Betriebsstörungen verursachen und den Druck auf die Opfer erhöhen wollen, ein Lösegeld zu zahlen. Nach dem Eindringen in ein kompromittiertes Netzwerk verschlüsselt Mortar Dateien und hinterlässt eine Lösegeldforderung, die nach der eindeutigen Kennung des Opfers benannt ist und dem Format „README-[Opfer-ID].txt“ folgt.

Ein besonderes Merkmal dieser Ransomware ist ihr Verhalten bei der Dateiumbenennung. Während der Verschlüsselung fügt Mortar jeder betroffenen Datei eine eindeutige Opfer-ID hinzu. So kann beispielsweise eine ursprünglich „1.png“ genannte Datei in „1.png.4RcrXfvVksS5ACA“ umbenannt werden, während ein Dokument wie „2.pdf“ in „2.pdf.4RcrXfvVksS5ACA“ umgewandelt werden kann. Derselbe Bezeichner wird dann im Dateinamen der Lösegeldforderung verwendet, wodurch eine direkte Verbindung zwischen dem Opfer und dem Angriff hergestellt wird.

Verschlüsselungsprozess und Lösegeldforderungen

Nach dem Eindringen in ein Netzwerk verschlüsselt Mortar eine Vielzahl von Daten, darunter Dokumente, Datenbanken, Fotos und andere wichtige Geschäftsdateien. In der Lösegeldforderung wird behauptet, die Angreifer hätten die Verschlüsselungsalgorithmen AES-256 und RSA-2048 verwendet, um die Daten des Opfers zu sperren. Obwohl solche Behauptungen unter Ransomware-Betreibern üblich sind, bleibt das übergeordnete Ziel dasselbe: Daten ohne den entsprechenden Entschlüsselungsschlüssel unzugänglich zu machen.

Die Lösegeldforderung informiert die Opfer darüber, dass die Dateien nur durch den Kauf eines Entschlüsselungstools von den Angreifern wiederhergestellt werden können. Anstatt eine feste Lösegeldsumme zu fordern, leiten die Kriminellen die Opfer auf ein Tor-basiertes Portal weiter und stellen ihnen Zugangsdaten (Benutzername und Passwort) zur Verfügung. Dadurch können die Angreifer die Zahlungen individuell aushandeln und die Lösegeldforderung gegebenenfalls an den geschätzten Wert des Opferunternehmens anpassen.

Können verschlüsselte Dateien wiederhergestellt werden?

Die Wiederherstellung von durch Ransomware verschlüsselten Dateien ist ohne Zugriff auf den Entschlüsselungsmechanismus der Angreifer oft extrem schwierig. In seltenen Fällen entdecken Cybersicherheitsforscher Implementierungsfehler oder kryptografische Schwächen, die die Erstellung kostenloser Entschlüsselungsprogramme ermöglichen. Solche Fälle sind jedoch selten, und Opfer von gut programmierter Ransomware haben häufig nur begrenzte Wiederherstellungsmöglichkeiten.

Die Zahlung des Lösegelds gilt allgemein als riskante Entscheidung. Cyberkriminelle sind nicht verpflichtet, nach Zahlungseingang ein funktionierendes Entschlüsselungstool bereitzustellen. Viele Opfer haben erlebt, dass zwar Geld überwiesen wurde, die Wiederherstellungstools aber nie geliefert wurden oder die bereitgestellten Tools die Daten nicht erfolgreich wiederherstellen konnten. Folglich kann die Zahlung zu weiteren finanziellen Verlusten führen, ohne die Wiederherstellung der Dateien zu garantieren.

Infektionsvektoren und Angriffstechniken

Mortar kann Opfer über verschiedene Angriffsmethoden erreichen, die häufig bei Ransomware-Kampagnen eingesetzt werden. Phishing ist nach wie vor einer der häufigsten Infektionswege. Angreifer versenden E-Mails mit schädlichen Anhängen wie komprimierten Archiven, ausführbaren Dateien oder Microsoft Office-Dokumenten, die mit schädlichen Makros versehen sind. Nach dem Öffnen dieser Dateien kann die Ransomware installiert werden.

Weitere Infektionswege umfassen Trojaner, gefälschte Update-Mechanismen, schädliche Werbekampagnen, unseriöse Downloadportale und über inoffizielle Kanäle verbreitete Raubkopien. Diese Methoden nutzen das Vertrauen der Nutzer und unzureichende Sicherheitsvorkehrungen aus, um sich Zugang zu Systemen zu verschaffen.

Bei gezielten Angriffen auf Unternehmensnetzwerke setzen Angreifer unter Umständen fortgeschrittenere Techniken ein. Häufig versuchen sie, Remote Desktop Protocol (RDP)-Dienste durch Brute-Force-Angriffe auf schwache Anmeldeinformationen zu kompromittieren. Sie nutzen unter Umständen auch ungepatchte Sicherheitslücken in Systemen mit Internetzugang aus, um sich zunächst Zugriff zu verschaffen, bevor sie sich lateral im Netzwerk ausbreiten und Ransomware gleichzeitig auf mehreren Geräten installieren.

Reaktion auf eine Mörtelinfektion

Sobald Mortar entdeckt wurde, ist eine sofortige Eindämmung entscheidend. Die Entfernung der Ransomware von betroffenen Systemen verhindert weitere Verschlüsselungsaktivitäten und reduziert das Risiko zusätzlicher Schäden im gesamten System. Die Entfernung der Schadsoftware ist jedoch nicht mit der Datenwiederherstellung zu verwechseln. Die Beseitigung des Schadprogramms stellt verschlüsselte Dateien nicht automatisch wieder her.

Die zuverlässigste Wiederherstellungsmethode ist nach wie vor die Wiederherstellung sauberer Backups, die vor dem Angriff erstellt wurden. Backups sollten getrennt von den Produktivsystemen gespeichert werden, um zu verhindern, dass Ransomware die Backup-Speicherorte während eines Angriffs verschlüsselt. Organisationen, die sichere, isolierte Backups pflegen, sind in der Regel deutlich besser gerüstet, um sich von Ransomware-Angriffen zu erholen, ohne mit Cyberkriminellen in Kontakt treten zu müssen.

Aufbau starker Abwehrmechanismen gegen Ransomware

Wirksamer Schutz vor Ransomware erfordert eine mehrschichtige Sicherheitsstrategie, die Technologie, Sensibilisierung der Nutzer und proaktive Wartung kombiniert. Unternehmen sollten Betriebssysteme, Anwendungen und Netzwerkgeräte regelmäßig aktualisieren, um Schwachstellen zu beseitigen, die Angreifer häufig ausnutzen. Strenge Authentifizierungsrichtlinien, insbesondere für Fernzugriffsdienste, können das Risiko unbefugten Zugriffs deutlich reduzieren.

Ebenso wichtig ist die Entwicklung einer robusten Backup-Strategie. Kritische Daten sollten an mehreren Orten gesichert werden, darunter auch auf Offline- oder getrennten Speichermedien, die von kompromittierten Systemen aus nicht erreichbar sind. Regelmäßige Backup-Tests gewährleisten, dass die Wiederherstellungsverfahren im Notfall korrekt funktionieren.

Zu den wichtigsten Sicherheitspraktiken gehören:

• Regelmäßige Datensicherungen an separaten und geschützten Orten erstellen und speichern.
• Sicherheitsupdates und Patches sollten umgehend nach deren Verfügbarkeit eingespielt werden.
• Verwenden Sie starke, individuelle Passwörter und aktivieren Sie die Multi-Faktor-Authentifizierung.
• Unnötige Fernzugriffsdienste einschränken und Anmeldeversuche überwachen.
• Schulung der Mitarbeiter im Erkennen von Phishing-E-Mails und verdächtigen Anhängen.
• Einsatz bewährter Lösungen für Endpunktschutz und Netzwerküberwachung.

Organisationen sollten zudem das Prinzip der minimalen Berechtigungen anwenden und Benutzern nur die für ihre Aufgaben notwendigen Zugriffsrechte gewähren. Kontinuierliche Überwachung, Sicherheitsaudits und die Planung von Maßnahmen zur Reaktion auf Sicherheitsvorfälle stärken die Widerstandsfähigkeit gegen Ransomware-Angriffe wie Mortar zusätzlich. Eine Kombination aus präventiven Maßnahmen, schnellen Erkennungsfunktionen und zuverlässigen Datensicherungssystemen ist nach wie vor der wirksamste Schutz gegen moderne Bedrohungen durch Dateiverschlüsselung.

Abschluss

Mortar-Ransomware stellt aufgrund ihrer Fähigkeit, wertvolle Daten zu verschlüsseln, den Betrieb zu stören und Opfer zur Zahlung eines Lösegelds zu zwingen, eine ernsthafte Bedrohung für Unternehmensnetzwerke dar. Indem sie verschlüsselten Dateien eindeutige Kennungen hinzufügen und die Opfer auf ein spezielles Lösegeldportal weiterleiten, demonstrieren die Angreifer ein strukturiertes und zielgerichtetes Vorgehen. Die Wiederherstellung verschlüsselter Dateien kann zwar schwierig sein, doch Organisationen, die strenge Cybersicherheitspraktiken priorisieren, isolierte Backups erstellen und Schwachstellen proaktiv beheben, können die Auswirkungen von Ransomware-Angriffen erheblich reduzieren und ihre allgemeine Sicherheitslage verbessern.