Am 2. Mai dieses Jahres wurde bekannt, dass gefälschte Windows-10-Updates im Umlauf sind. Kriminelle hatten auf Warez- und Crack-Sites im Internet Dateien mit den Bezeichnungen Win10.0_System_Upgrade_Software.msi und Security_Upgrade_Software_ Win10.0.msi platziert. Solche Websites sammeln Seriennummern und Tools zum Entfernen von Lizenzabfragen für Software aller Art. Viele der dort angebotenen Programme sind virenverseucht, so auch die beiden genannten, angeblichen Updates. Wer sie installiert, holt sich die Ransomware Magniber auf den Rechner. Sie verschlüsselt sämtliche Dateien auf dem jeweiligen PC und setzt in jeden Ordner eine Textdatei mit einer Lösegeldforderung und einer Anleitung, wie das Opfer die Summe bezahlen soll. Die Kriminellen verlangen 0,068 Bitcoins, was Anfang Mai rund 2500 Euro entsprach.
Das Beispiel zeigt, dass nicht nur Unternehmen, sondern auch Privatanwender im Visier der Ransomware-Erpresser stehen. Die Kriminellen übertragen die Schadprogramme auf die PCs mit Software aus dubiosen Quellen, mit infizierten E-Mail-Anhängen, über Drive-by-Angriffe auf präparierten Webseiten oder auch mit USB-Sticks, die beim Einstecken automatisch einen Installer starten. Sobald sich der Virus auf dem Rechner befindet und sich ausbreiten kann, kommt in der Regel jede Abwehrmaßnahme zu spät. Sind die Dateien erst einmal verschlüsselt, ist es nur in den seltensten Fällen möglich, sie mit dem Tool eines Antivirenherstellers wieder zu entschlüsseln. Stattdessen gibt es oft nur die Möglichkeit, entweder das Lösegeld zu bezahlen und darauf zu hoffen, dass die Kriminellen tatsächlich ein Tool zum Entschlüsseln liefern. Oder man formatiert die Festplatte und installiert Windows samt sämtlicher Anwendungen neu. Da bei diesem Vorgang auch die gespeicherten Dokumente, Fotos, Videos und Musikstücke überschrieben werden, sollte jeder PC-Besitzer immer ein aktuelles Backup seiner wichtigsten Dateien auf einem separaten Medium vorhalten.
Anwendern drohen hohe Lösegeldzahlungen
Die immer stärkere Verbreitung von Ransomware weist auf einen bereits seit mehreren Jahren andauernden Trend hin: Den Computerkriminellen geht es heute in der Mehrheit nicht mehr darum, möglichst viel Schaden anzurichten. Stattdessen wollen sie Geld verdienen. Ransomware ist dabei das perfekte Werkzeug: Mit geringem Aufwand lassen sich hohe Summen erpressen.
Der Security-Hersteller Sophos nennt in seiner Studie „State of Ransomware 2022“ einige Zahlen. Von den befragten deutschen Unternehmen waren im Jahr 2021 67 Prozent von Ransomware-Attacken betroffen. Das durchschnittlich gezahlte Lösegeld betrug 253.160 Euro. Neun Prozent der deutschen Unternehmen, die bei der Befragung Auskunft gaben, erklärten, dass sie 925.789 Euro (entspricht 1 Million US-Dollar) oder mehr bezahlt hätten.
Viele Firmen gehen auf die Lösegeldforderungen ein, da eine Wiederherstellung der Daten aus den Backups nicht nur teurer wäre, sondern auch mehrere Wochen in Anspruch nehmen würde. In dieser Zeit ist nur eine eingeschränkte Geschäftstätigkeit möglich, so dass die Gefahr besteht, dass die Kunden aufmerksam werden. Um zu verbergen, dass die eigenen Security-Maßnahmen unzureichend waren, was ein schlechtes Licht auf die Firma werfen würde, scheint eine Lösegeldzahlung dann das kleinere Übel zu sein.
Zum Glück bietet heute praktisch jedes Antivirenprogramm einen speziellen Schutz gegen Ransomware. Wie wirksam die einzelnen Programme sind, haben wir in unserem Test von zwölf Antivirentools für Privatanwender überprüft.
Antivirenprogramme im Anti-Ransomware-Test: Die Ergebnisse
Der Test konzentriert sich ausschließlich auf einen Aspekt, nämlich die Abwehr von Ransomware und Data Stealern (siehe entsprechenden Abschnitt). Daher sind die Unterschiede zwischen den Programmen geringer, als wenn wir zusätzlich noch Funktionen wie die Firewall oder die Möglichkeiten zum Anlegen eines Notfallmediums getestet hätten. Auch Geschwindigkeit und Bedienung spielten in diesem Fall keine Rolle – entweder das Tool erkannte und stoppte die Attacke – oder eben nicht.
Zehn der zwölf getesteten Produkte erzielten ein perfektes Ergebnis. Sie entdeckten die für den Test eingesetzte Malware entweder direkt beim Eindringen ins System oder bei der Aktivierung und konnten sie sofort blockieren. In keinem der zehn Szenarien gelang es dem Schadprogramm bei diesen Kandidaten, Dateien zu verschlüsseln oder Daten abzuziehen. Es gibt daher nicht einen Testsieger, sondern zehn gleichwertige Produkte – allerdings ausschließlich auf die Abwehr von Ransomware und Data Stealern bezogen. In der Tabelle haben wir die Produkte, die auf dem gleichen qualitativen Level liegen, alphabetisch geordnet. Die Reihenfolge bei den Plätzen 1 bis 10 sowie 11 und 12 richtet sich also nicht nach der Qualität, sondern nach dem Namen des Herstellers.
Zwei der Kandidaten, nämlich Bullguard Internet Security und Protected.net Total AV scheiterten in einem Szenario, und zwar beide bei der gleichen Aufgabe. Es ging um einen Data-Stealer-Angriff: Er beginnt mit dem Eintreffen einer E-Mail im Posteingang des Benutzers. Im Anhang bringt sie ein Word-Dokument im DOC-Format mit einem versteckten Makro mit. Sobald der Anwender das Dokument öffnet, startet das Makro über WMI (Windows Management Instrumentation) ein eingebettetes, verschlüsseltes Powershell-Skript. Das Skript führt mithilfe der Windows-Datei runDLL32.exe eine heruntergeladene DLL aus. Die DLL fertigt eine Liste aller Dateien im Ordner „Eigene Dateien“ an und beginnt, einige von ihnen zum Server der kriminellen Hacker hochzuladen. Außerdem fügt das Programm einen Schlüssel in die Registrierdatenbank ein, der dafür sorgt, dass die Malware beim nächsten Windows-Start erneut aktiviert wird. Der Virus meldet die Zahl der hochgeladenen Dateien über Port 15332 an den Hacker-Server, lädt ein Hintergrundbild herunter, das den Anwender über die angebliche Ransomware-Infektion informiert, und installiert es. Zum Schluss legt der Virus auf dem Desktop noch eine Notiz ab.
Weder Bullguard noch Protected.net entdeckten das gefährliche Makro und konnten auch die folgenden Aktionen nicht verhindern. Am Ende stand in beiden Fällen ein infiziertes Windows-System.
Fazit: Zehn Testsieger
Es gibt eine gute Nachricht: Dieser Test hat nicht nur einen Sieger, sondern gleich zehn. Das ist deshalb gut, da es zeigt, dass die meisten aktuell verfügbaren Antivirenprodukte einen sicheren Schutz gegen Ransomware bieten. Anwender sind den erpresserischen Angriffen also nicht hilflos ausgeliefert und können davon ausgehen, dass sie einer Katastrophe wie der vollständigen Verschlüsselung ihrer Festplatte entgehen können. Trotzdem sollten alle User darüber hinaus grundlegende Vorsichtsmaßnahmen beachten. Das gilt vor allem für den Umgang mit E-Mail-Anhängen und Dateien aus unbekannten oder nicht vertrauenswürdigen Quellen. Dass unter den zehn Gewinnern auch der kostenlose Microsoft Defender ist, wird die anderen Hersteller schmerzen. Für die Windows-Anwender ist dieses Ergebnis jedoch ebenfalls eine gute Nachricht.
PC-Welt: Wie wir testen
Für diesen Artikel haben wir die Ergebnisse zweier Untersuchungen der AV-Test ausgewertet. Um bei ihrem Test der Ransomware-Abwehr verschiedener Antivirenpakete zu objektiven, vergleichbaren Ergebnisse zu gelangen, hat die Firma aus Magdeburg bei der Konzeption der Testszenarien auf die Datenbank Mitre Att&ck zurückgegriffen. Die Mitre Corporation ist aus dem Massachusetts Institute of Technology (MIT) hervorgegangen und betreibt heute im Auftrag der US-Regierung mehrere Forschungsinstitute. Mitre Att&ck ist entstanden aus der Beobachtung und Analyse der Angriffsmethoden zahlreicher Malware-Varianten.
Für den Test mussten sich die Antivirenprogramme in zehn verschiedenen Szenarien beweisen. Fünf davon simulierten den Angriff einer Ransomware, fünf weitere das Eindringen eines Data Stealer (die Unterschiede finden Sie im entsprechenden Abschnitt). Jedes Szenario umfasste mehrere Schritte, die alle in der Mitre-Att&ck-Datenbank eindeutig definiert sind. Der erste Schritt ist jedes Mal das Eindringen der Schadsoftware ins System, danach folgt die Ausführung des Programms, anschließend geht es je nach Szenario weiter mit der Erkundung der Datei- und Ordnerstruktur oder der Konfiguration einer Lösung, die verhindern soll, dass ein Neustart des Systems die Malware beseitigt oder ihre Ausführung beendet. Der letzte Schritt ist die Verschlüsselung des Dateisystems, bei Data Stealern kommt noch das Abziehen von vertraulichen Daten hinzu.
Falls ein Testkandidat den Angriff unterbinden konnte, erhielt er die volle Punktzahl. Gelang es dem Virus hingegen, die Festplatte zu verschlüsseln oder Daten zu einem externen Benutzer zu übertragen, bekam das Antivirentool in diesem Szenario keine Punkte. Alle getesteten Szenarien wurden identisch gewichtet und die Punkte für das Endergebnis zusammengezählt. Das bestmögliche Ergebnis von zehn Punkten erhielt ein Testkandidat, wenn er in allen Szenarien sowohl die Verschlüsselung wie auch den Datendiebstahl verhindern konnte.
Ransomware und Data Stealer
Bei einem Ransomware-Angriff schleusen die Hacker ein Programm in den Computer ein, das die vorhandenen Dateien verschlüsselt. Für den Code zum Entschlüsseln fordern die Angreifer ein Lösegeld.
Bei einer Data-Stealer-Attacke hingegen täuscht die Malware einen Ransomware-Angriff lediglich vor. Entweder sie benennt die Files nur um oder sie verschlüsselt nur einen kleinen Teil. Gleichzeitig sucht sie gezielt nach vertraulichen Dokumenten und schickt sie im Hintergrund an die Angreifer. Das Opfer soll von dem Datendiebstahl nichts bemerken.
Data-Stealer-Angriffe richten sich in den meisten Fällen gegen einzelne, ausgesuchte Ziele, die zuvor gründlich ausgeforscht wurden. Bei Ransomware-Angriffen versuchen die Hacker dagegen, ihre Malware auf möglichst vielen Rechnern zu verteilen, um ihren Profit zu erhöhen.
Im Überblick: Antivirenprogramme
Produkt | Erkannte Angriffe (von 10) | Testnote | Preis (UVP) Jahreslizenz für 1 / 5 PC |
|---|---|---|---|
10 | sehr gut | 50 Euro / 100 Euro | |
10 | sehr gut | kostenlos / kostenlos | |
10 | sehr gut | 37 Euro / 60 Euro1 | |
10 | sehr gut | 25 Euro / 33 Euro | |
10 | sehr gut | 30 Euro / 48 Euro | |
10 | sehr gut | 50 Euro / 82 Euro | |
10 | sehr gut | 38 Euro / 76 Euro | |
10 | sehr gut | 45 Euro / 40 Euro | |
Microsoft Defender 4.18 | 10 | sehr gut | kostenlos / kostenlos |
10 | sehr gut | 30 Euro / 35 Euro | |
10 | sehr gut | 60 Euro2 / – | |
10 | sehr gut | 29 Euro2 / 39 Euro | |
1 = für 10 Geräte 2 = für 3 Geräte | |||
Autor: Roland Freist
Roland Freist bearbeitet als freier IT-Fachjournalist Themen rund um Windows, Anwendungen, Netzwerke, Security und Internet.