NotPetya: Der zerstörerische Wurm aus einem Software-Update

Am 27. Juni 2017 verbreitete sich ein Programm, das wie Ransomware aussah, durch Firmennetzwerke in der Ukraine, und Microsoft sah Infektionen in 64 weiteren Ländern. Ransomware sperrt Dateien und verlangt Geld, um sie wieder freizugeben; dieses Programm zerstörte Daten, und Zahlen brachte sie nicht zurück. Sein wichtigster Weg hinein war ein gekapertes Update von M.E.Doc, einem in der Ukraine weit verbreiteten Buchhaltungsprogramm. Innerhalb der Netzwerke nutzte es zudem die Windows-Lücke, die auch hinter WannaCry steckte.

So funktionierte der Angriff

Die Angreifer übernahmen die Update-Server von M.E.Doc. Ab April 2017 schleusten sie eine Hintertür, einen versteckten Zugang zu einem Computer, in drei reguläre Updates des Programms ein: am 14. April, 15. Mai und 22. Juni. Am 27. Juni, fünf Tage nach dem letzten davon, nutzten sie diesen Kanal, um NotPetya auf einen Schlag in Tausende Firmennetzwerke zu bringen. Cisco Talos fand den schädlichen Datenverkehr in den Protokollen des Update-Servers von 9:11 bis 12:31 Uhr UTC.

Innerhalb eines Netzwerks verbreitete sich NotPetya auf zwei Wegen. Es zog Passwörter aus dem Arbeitsspeicher des Computers und nutzte sie mit den üblichen Windows-Verwaltungswerkzeugen PsExec und WMIC, um sich auf jeden Rechner zu kopieren, den es erreichen konnte. Das funktionierte sogar auf Computern mit allen Updates. Auf Rechnern ohne das Microsoft-Update vom März 2017 nutzte es zudem EternalBlue und EternalRomance, zwei geleakte Angriffswerkzeuge des US-Geheimdienstes National Security Agency (NSA). Sie nutzen Schwachstellen in SMB Version 1 aus, dem alten Windows-Protokoll für die Dateifreigabe.

Dann überschrieb es den Boot-Record der Festplatte, den Teil, den ein Computer beim Start als Erstes liest. Es startete den Computer hinter einem gefälschten Bildschirm zur Festplattenprüfung neu und verschlüsselte den Index des Dateisystems, die Tabelle, die festhält, wo jede Datei liegt. Die Erpressernachricht verlangte 300 US-Dollar in Bitcoin, doch die Daten ließen sich auch nach der Zahlung nicht wiederherstellen. Forscher stuften NotPetya deshalb als Wiper ein: ein Programm, das Daten zerstören soll, verkleidet als Ransomware.

Ein gekapertes Update ist kein Fehler im Code des Programms, und eine CVE-Nummer dafür wurde nicht gefunden. Deshalb nennt diese Seite die Windows-Schwachstelle CVE-2017-0144, die EternalBlue ausnutzt, als Haupt-CVE, obwohl sie nur einer der Wege war, auf denen sich NotPetya verbreitete. Microsoft ordnet EternalRomance einer zweiten Lücke zu, CVE-2017-0145.

Reichweite und Schaden

In den Telemetriedaten von Microsoft, den Daten, die das Unternehmen von den Computern seiner Kunden erhält, trafen mehr als 12.500 Rechner in der Ukraine auf NotPetya, dazu kamen Infektionen in 64 weiteren Ländern. Das ist keine vollständige Zählung: Microsoft sieht nur seine eigenen Kunden. Die ukrainische Cyberpolizei bestätigte allein in der Ukraine mehr als 2.000 betroffene Unternehmen, berichtete Cisco Talos. Laut Talos nutzen 80 % der ukrainischen Unternehmen M.E.Doc für ihre Buchhaltung.

Die US-Regierung nannte NotPetya den zerstörerischsten und teuersten Cyberangriff der Geschichte, mit Schäden in Milliardenhöhe in Europa, Asien und Amerika. Die britische Regierung sagte, der Angriff habe Organisationen in ganz Europa Hunderte Millionen Pfund gekostet. Keine der beiden nannte eine genaue Gesamtsumme. Höhere Summen, die kursieren, etwa 10 Milliarden US-Dollar, stammen aus Presseinterviews, nicht aus offiziellen Dokumenten.

Eine Zahl für ein einzelnes Unternehmen stammt aus der Presse: Die Reederei Maersk rechnete laut Reuters mit Kosten von 200 bis 300 Millionen US-Dollar, vor allem im dritten Quartal 2017.

Die Angreifer verdienten fast nichts. Die einzige Bitcoin-Adresse der Angreifer erhielt bis zum 3. August 2017 insgesamt 33 Lösegeldzahlungen im Wert von 9.835,86 US-Dollar. Das ist im Vergleich zum Schaden verschwindend wenig und passt eher zu einem Wiper als zu Ransomware.

Der Fix und die Reaktion

Microsoft hatte die SMB-Lücken am 14. März 2017 mit dem Sicherheitsupdate MS17-010 geschlossen. Dieses Update stoppte EternalBlue und EternalRomance, nicht aber die Verbreitung mit gestohlenen Passwörtern. Unternehmen mussten die M.E.Doc-Versionen mit der Hintertür entfernen. Weil sich die verschlüsselten Daten nicht entschlüsseln ließen, mussten betroffene Systeme neu aufgesetzt werden.

Noch am Tag des Ausbruchs beschrieb Microsoft, wie sich der Wurm verbreitete. ESET fand die Hintertür in den M.E.Doc-Updates, und Cisco Talos untersuchte den Update-Server; beide veröffentlichten ihre Analysen Anfang Juli 2017. Am 15. Februar 2018 erklärten die britische Regierung und das Weiße Haus das russische Militär für verantwortlich.