«Windows-Update» verseucht Festplatte mit Virus

Windows-Update mit schwerwiegenden Folgen: Die Ransomware Fantom gibt sich als kritisches System-Update aus, um unerfahrene Nutzer zur Installation zu bewegen. Wie die IT-Webseite BleepingComputer berichtet, wurde der Schädling vom AVG-Sicherheitsexperten Jakub Kroustek entdeckt.

Fantom gelangt als herkömmliche EXE-Datei auf das System. In den Dateieigenschaften gibt der Schädling vor, ein kritisches Windows-Update von Microsoft zu sein. Sobald diese Datei ausgeführt wird, entpackt die Schadsoftware ein weiteres Tool zur Tarnung mit dem Namen WindowsUpdate.exe. Dieses führt ein Bildschirm-Overlay aus, das den Windows-Update-Screen nachahmt.

Während das vorgetäuschte Update läuft, beginnt die Ransomware bereits damit, Verzeichnisse zu verschlüsseln und darin enthaltene Dateien mit der Endung .fantom zu versehen. Dabei kommt eine AES-Verschlüsselung mit 128 Bit Schlüssellänge zum Einsatz. Der Schlüssel wird automatisch an den Kontroll-Server des Urhebers gesendet.

Ausserdem platziert die Ransomware in jedem Ordner eine HTML-Datei mit dem Namen DECRYPT_YOUR_FILES. Diese Datei führt die Schadsoftware nach der Verschlüsselung aus, sie öffnet ein Browserfenster mit dem Erpresserschreiben des Urhebers. Anschliessend lädt Fantom ein Hintergrund-Wallpaper mit den Kontaktdaten für die Entschlüsselung herunter. Die Erpresser verwenden unter anderem eine Mailadresse des russischen Anbieters Yandex.

Wie sich Fantom verbreitet, ist derzeit nicht bekannt. Allerdings soll der Trojaner bereits von einigen Virenscannern als Bedrohung erkannt worden sein. Wer von der Schadsoftware betroffen ist, sollte aber keinesfalls das Lösegeld bezahlen. Denn ob die verschlüsselten Dateien nach einer Zahlung wieder freigegeben werden, ist nicht sicher. Ausserdem ermutigen Zahlungen die Kriminellen nur, mit ihren Machenschaften fortzufahren.

Regelmässige Backups wichtiger Daten auf externen Geräten stellen die beste und oftmals einzig effiziente Absicherung gegen Ransomware-Angriffe dar. Egal, ob es sich bei den Trojanern um Locky, Cerber oder nun Fantom handelt.