Petya ist zurück - wieder einmal

Derzeit gibt es einiges an Verwirrung um die Benennung der aktuellen "Petya"-Version. Da der Basiscode auf Petya basiert, hatten wir uns zunächst dazu entschlossen, den Namen "Petya" beizubehalten. An anderer Stelle tauchten die Namen NotPetya, EternalPetya, PetyaBlue, Petna, PetyaWrap, Petrwrap, SortaPetya, Nyetya, Expetr und andere auf.

Um zu verdeutlichen, dass wir es hier mit einer neuen Ransomware zu tun haben, werden wir künftig den Namen Petna benutzen, wenn es um diese Ransomware geht.  Der Name, der in den Meldungen unserer Lösungen auftaucht, wird weiterhin bleiben wie oben genannt.  

Nach der anfänglichen Verwirrung und teilweise Panik um Petna haben viele Menschen nun Fragen zu den Hintergründen des Zwischenfalls. Allerdings ist jetzt aufgrund eines Mangels an verlässlichen Informationen noch nicht die richtige Zeit für Antworten. Dies gilt insbesondere für die Frage nach den Urhebern. Zuallererst sollten wir allerdings festhalten, dass Betroffene derzeit keinerlei Möglichkeit haben, die von Petna verschlüsselten Daten zurück zu bekommen, selbst nach Zahlung der 300 Dollar Lösegeld. Grund dafür ist, dass die von den Angreifern angegebene Mailadresse nicht mehr erreichbar ist, nachdem sie vom Provider gesperrt wurde. Desweiteren ist zu sagen, dass der bisher erbeutete Gesamtbetrag gemessen am Ausmaß der Infektionswelle eher klein ist. Wir haben Ähnliches bereits bei WannaCry gesehen. Im Fall von WannaCry sind 337 Zahlungen geleistet worden (eine verschwindend geringe Anzahl im Vergleich zu den Zehntausenden infizierten Maschinen), wohingegen Petna bisher nur etwa 30 Zahlungen für sich verbuchen konnte. Das einzige, was man also bereits jetzt mit einiger Sicherheit sagen kann, ist, dass Petna zumindest bei der Generierung von Umsätzen kein sehr großer Erfolg war. 

Dies ist bereits das zweite Mal, dass man es mit einer scheinbaren Ransomware zu tun hat. Allerdings kann man aus der Art der Zahlungsverarbeitung und der Art, mit der die Entschlüsselung von Dateien gehandhabt wird, schließen, dass hier noch andere Faktoren eine Rolle spielen. Warum sollte man eine aggressive Erpressersoftware auf die Öffentlichkeit loslassen, wenn durch ein schlecht implementiertes Zahlungssystem so wenig Gewinn damit erzielt wird? Man könnte vor diesem Hintergrund durchaus zu dem Schluss gelangen, dass Profitgenerierung nie das Ziel von Petna war, sondern vielmehr für Chaos und Betriebsunterbrechungen zu sorgen - womit Petna auch großen Erfolg hatte. Wir werden in einem künftigen, spearaten Artikel weiter auf die Hintergründe von Petna Überlegungen hinsichtlich der Urheberschaft eingehen. 

Je weiter die Analysen fortschreiten, desto mehr Hinweise finden Forscher auf das, was wir in unserem letzten Updaten bereits angedeutet hatten: dass Petna nicht dazu gedach ist, Profit zu generieren. Es war anfangs zugegebenermaßen einfach, Petna als "nur eine weitere Ransomware" abzutun, und anzunehmen, dass sich die Funktionsweise nicht von anderer Ransomware unterscheidet. Es gibt in der Tat einige sehr prägnante Ähnlichkeiten zwischen der ersten Petya-Version von 2016 und dessen Nachfolger "GoldenEye". Die Low-Level-Funktionen von Petna (Überschreiben von MFTs und Bootsektoren) sind mit denen von Petya/GoldenEye identisch. Der Teufel steckt allerdings im Detail: Petya/GoldenEye waren bemüht, den Entschlüsselungscode wiederherstellbar zu halten, um die verschlüsselten Dateien nach Zahlung des Lösegeldes wieder freizugeben. Dagegen verschlüsselt Petna zwar die Dateien nach dem selben Prinzip wie seine Vorgänger, allerdings wirft Petna - vereinfach ausgedrückt - den Schlüssel weg, nachdem die Dateien verschlüsselt sind. Damit haben Betroffene keine Möglichkeit mehr, die verschlüsselten Daten wiederherzustellen, selbst nach Zahlung eines Lösegeldes. Es scheint also, dass die Aufgabe von Petna in erster Linie der eines "Wipers" entspricht, also einer Malware, deren einziger Zweck es ist, Daten unbrauchbar zu machen. Dazu erhielt Petna ein dünnes Ransomware-Mäntelchen, um den Eindruck einer Ransomware zu erwecken. In diesem Zusammenhang ist auch die Wahl der Erscheinung als Petya-Variante bemerkenswert, da Petya selbst nicht besonders "anwenderfreundlich" ist. Betroffene (oder "Kunden", wie sie von Ransomware-Machern bezeichnet werden) müssen manuell eine lange Zeichenfolge auf der Bezahlseite bzw. eine E-Mail eintippen - das ist fehleranfällig und somit nicht erstrebenswert, wenn man mit einer Malware Profit machen will. 

Auf jeden Fall ist Petna in vielerlei Hinsicht eine bemerkenswerte Malware. Wer auch immer hinter Petna steckt, ein großes Medienecho ist ihnen sicher. Dies wiederum kann einer Reihe von Zwecken dienlich sein, vom Ablenkungsmanöver, das von einem anderen Zusammenhang ablenken soll bis hin zur bloßen "Ruhmsucht". Diese Frage werden wir jedoch in einem späteren Artikel genauer beleuchten, wenn sich die allgemeine Aufregung etwas gelegt hat.