Bad Rabbit ist eine Ransomware-Familie, die Systeme verschlüsselt und für die Wiederherstellung ein Lösegeld verlangt.
Sie wurde als gezielte Kampagne gegen Organisationen bekannt und verbreitete sich über kompromittierte Webangebote mit einem vorgetäuschten Update.
Für die Abwehr zählen der Infektionsweg, das Verhalten der Verschlüsselung und die Fähigkeit, ohne Zahlung wieder arbeitsfähig zu werden.
Ursprünge und Verbreitung von Bad Rabbit
Bad Rabbit trat als in sich geschlossene Kampagne auf und nicht als dauerhaft nachladbarer Dienst.
Der Einstieg lief über präparierte Nachrichtenseiten, die Besuchern ein angebliches Update zur Ausführung anboten.
Betroffen waren vor allem Organisationen in der Ukraine und in Russland, der Mechanismus selbst ist unabhängig von dieser Region lehrreich.
Bemerkenswerte Angriffe
Bemerkenswert war die Kombination aus einer vertrauenswürdig wirkenden Website und einer lokalen Ausbreitung im Netz des Opfers.
Nach dem Start versuchte die Schadsoftware, weitere Rechner über erreichbare Freigaben und schwache Anmeldedaten zu erreichen.
Der sichtbare Schaden war die Verschlüsselung von Datenträgern, nicht ein stiller Datendiebstahl als Hauptzweck.
Technische Details von Bad Rabbit
Technisch handelt es sich um einen mehrstufigen Ablauf aus Dropper, Ausbreitung und Verschlüsselung.
Die Verschlüsselung setzte auf Komponenten, die an ein bekanntes Werkzeug zur vollen Datenträgerverschlüsselung angelehnt waren.
Ein Neustart machte den Schaden für die Benutzer sichtbar, weil das System nicht mehr regulär startete.
Verbreitungsmechanismen
Die Verbreitung verband einen Wasserloch-Einstieg im Browser mit anschließender Bewegung im lokalen Netz.
Benutzer wurden aufgefordert, eine Datei auszuführen, die sich als benötigtes Update ausgab.
Im Netz wurden administrative Freigaben und wiederverwendete Kennwörter als nächster Schritt genutzt.
Verschlüsselung und Lösegeldforderung
Die Verschlüsselung machte Dateien und Startbereiche unbrauchbar und hinterließ eine Zahlungsaufforderung.
Ein Lösegeld stellt den Zugriff nicht zuverlässig wieder her und bestätigt den Angreifern, dass die Methode trägt.
Wiederherstellung aus getrennt gelagerten, geprüften Sicherungen ist der tragfähige Weg.
Strategien zur Prävention und Schadensbegrenzung
Vorbeugung setzt am Ausführen unerwarteter Updates, an der Netzsegmentierung und an der Qualität der Sicherungen an.
Arbeitsplätze sollten keine freien administrativen Freigaben ins interne Netz anbieten.
Ein Übungsplan stellt sicher, dass Systeme aus Sicherungen tatsächlich wieder anlaufen.
Reaktion auf Vorfälle
Die Reaktion trennt betroffene Systeme, stoppt die weitere Ausbreitung und sichert Protokolle, bevor Datenträger überschrieben werden.
Kommunikation an Betrieb und Kunden nennt, welche Dienste ausfallen und welcher Wiederanlauf gilt.
Zahlung ist keine Betriebsentscheidung der Technik allein, sondern eine Lageentscheidung mit rechtlichen Folgen.
Fazit
Bad Rabbit zeigt, wie eine einzelne täuschende Ausführung und schwache interne Anmeldedaten eine ganze Umgebung verschlüsseln können.
Der Schutz liegt vor dem Klick, in der Trennung der Netze und in Sicherungen, die der Angreifer nicht mitverschlüsselt.
Wer diesen Ablauf übt, ist auf ähnliche Erpressungssoftware vorbereitet, auch wenn die Familie einen anderen Namen trägt.