Die Analysen der Sicherheitsexperten zeigen, dass nicht nur einzelne PC-Arbeitsplätze, sondern ganze Netzwerke und Server befallen sind. Die Malware breitet sich wie eine Infektion rasant aus und verschlüsselt alle auf den Systemen vorhandenen Daten. Neu ist bei Locky, dass nicht nur lokale Daten betroffen sind, sondern dass sich die Schadsoftware auch auf Cloud-Speicher ausbreitet und dort die Daten ebenfalls verschlüsselt. Betroffen sind also auch Netzwerk-Shares. Die Infektion erfolgt anscheinend über Phishing Mails mit fingierten Rechnungen, die als Word-Dokumente mit Schadcode-Makros bestückt wurden. Beim Öffnen des Dokuments wird das Makro so schnell ausgeführt, dass der Nutzer gar nicht merkt, was im Hintergrund mit seinem PC passiert. Bislang scheinen nur Windows-Systeme betroffen zu sein.

Neben der Erstellung von Backup-Dateien auf externen Speichermedien helfen vor allem Technologien zur Filterung von schadhaften E-Mail-Anhängen und Zero-Day-Schwachstellen, die noch nicht von signaturbasierten Sicherheitslösungen erkannt werden. In diesem Fall wird das Dokument in einer abgesicherten Umgebung auf verdächtiges Verhalten wie schadhafte Makros überprüft und sofort isoliert, so dass der maliziöse Dateianhang gar nicht erst zugestellt wird. Parallel können auch zusätzlich, die in diesem Fall beschriebenen Schadcode-Makros komplett deaktiviert werden, indem das Dokument dem Nutzer als reines PDF zur Verfügung gestellt wird. Auf diese Art werden proaktiv potentielle Gefahren und Schwachstellen einfach und effektiv umgangen. Eine dieser Technologien ist SandBlast von Check Point.

Christine Schönig (Technical Managerin bei Check Point Software Technologies)

Hier geht es zur Sandblast-Technologie