Frankfurt, 15. Mai 2017

Am Freitag, dem 12. Mai wurden Computer auf der ganzen Welt von Trojan.Encoder.11432, der auch unter den Namen WannaCry, WannaCryptor, WanaCrypt0r, WCrypt, WCRY und WNCRY bekannt ist, angegriffen. Als Folge sind Schäden bei Regierungs- und Nichtregierungsorganisationen sowie Privatpersonen entstanden. Dr.Web Nutzer waren aber noch vor der massenhaften Verbreitung des Schädlings sicher geschützt.

Die erste Version des Trojaners, die Dr.Web als Wanna Decryptor 1.0 kennt, wurde uns am 27. Mai 2017 um 07:20 Uhr zugeschickt. Wenige Stunden später wurden deren Kennungen um 11:51 Uhr in der Virendefinitionsdatei von Dr.Web erfasst.

Der Verschlüsselungstrojaner Trojan.Encoder.11432, der auch als WannaCry bekannt ist, begann sich aktiv am Freitagabend zu verbreiten. Am Wochenende wurden Großorganisationen weltweit angegriffen.

Das Team von Doctor Web erhielt ein Muster des Encoders am 12. Mai um 10:45 Uhr und nahm dieses in die Dr.Web Virendefinitionsdatei auf.

Noch bevor das Muster zur Verfügung stand, konnte der Schädling durch Dr.Web als BACKDOOR.Trojan erkannt werden.

Der Verschlüsselungstrojaner, der jetzt als Trojan.Encoder.11432 geführt wird, besteht aus vier Komponenten - Netzwurm, Dropper, Encoder und Decoder.

Trojan.Encoder.11432 verschlüsselt Dateien auf dem infizierten PC und fordert Lösegeld für die Dekodierung. Das Lösegeld soll in Bitcoin auf ein elektronisches Konto überwiesen werden.

Die massenhafte Verbreitung des Trojaners ist auf die Lücke im SMB-Protokoll zurückzuführen. Von dieser Sicherheitslücke sind alle Windows-Betriebssysteme bis auf Version 10 bedroht. Für Dr.Web Nutzer war die massenhafte Verbreitung von Trojan.Encoder.11432 aber von Anfang an keine Bedrohung.

Um die Einschleusung des Encoders auf Ihren PC zu verhindern, empfehlen wir Ihnen Folgendes:

• Update MS17-010, das unter technet.microsoft.com/en-us/library/security/ms17-010.aspx verfügbar ist, sowie alle aktuellen Sicherheitsupdates installieren;
• Virenschutz-App aktualisieren;
• Angreifbare Ports (139, 445) durch die Firewall schließen;
• Angreifbare Services im Betriebssystem deaktivieren;
• Auf Installation und Starten neuer Apps (ausführbare Dateien) verzichten;
• Unnötige Rechte der Benutzer (Ausführen und Installieren von neuen Apps) deaktivieren;
• Unnötige Services aus dem Betriebssystem löschen;
• Zugang zu Tor sperren.