{"data":{"case":{"actions":{"de":["Installiere **MS17-010** oder ein späteres Windows-Update auf jedem Computer und schalte **SMB Version 1** ab.","Verwende nicht dasselbe Administratorpasswort auf vielen Computern: NotPetya verbreitete sich mit gestohlenen Passwörtern, und das verhindert kein Patch.","Falls noch eine alte M.E.Doc-Installation vorhanden ist, entferne die Versionen 10.01.175–10.01.176, 10.01.180–10.01.181 und 10.01.188–10.01.189: Diese Versionen enthielten die Hintertür."],"en":["Install **MS17-010** or any later Windows update on every computer, and switch off **SMB version 1**.","Do not use the same administrator password on many computers: NotPetya spread with stolen passwords, which no patch prevents.","If an old M.E.Doc installation is still around, remove versions 10.01.175–10.01.176, 10.01.180–10.01.181 and 10.01.188–10.01.189: they carried the backdoor."]},"criteria":{"damage":{"de":"Die US-Regierung beziffert den Schaden in Europa, Asien und Amerika auf Milliarden US-Dollar; allein Maersk rechnete mit 200–300 Millionen US-Dollar (Weißes Haus; Reuters, Pressebericht).","en":"The US government puts the damage at billions of dollars across Europe, Asia and the Americas; Maersk alone expected USD 200–300 million (White House; Reuters, press report).","met":true},"exploitation":{"de":"NotPetya verbreitete sich selbstständig durch Netzwerke und traf allein in der Ukraine über 2.000 Unternehmen (ukrainische Cyberpolizei über Cisco Talos).","en":"NotPetya spread through networks on its own and hit over 2,000 companies in Ukraine alone (Ukraine's Cyber Police via Cisco Talos).","met":true},"reach":{"de":"Die gemessenen Zahlen bleiben unter der Schwelle: mehr als 12.500 Rechner in der Ukraine und Infektionen in 64 weiteren Ländern in den Daten von Microsoft sowie über 2.000 Unternehmen in der Ukraine (Microsoft; ukrainische Cyberpolizei über Cisco Talos).","en":"Measured counts stay below the threshold: more than 12,500 machines in Ukraine and infections in 64 more countries in Microsoft's data, and over 2,000 companies in Ukraine (Microsoft; Ukraine's Cyber Police via Cisco Talos).","met":false},"response":{"de":"Die Regierungen Großbritanniens und der USA machten das russische Militär verantwortlich, doch einen Angreifer zu benennen schützt niemanden, und keine Maßnahme über den vorhandenen Patch hinaus ist belegt (britisches Außenministerium; Weißes Haus).","en":"The UK and US governments named the Russian military as responsible, but naming an attacker does not protect anyone, and no measure beyond the existing patch is documented (UK Foreign Office; White House).","met":false}},"cves":["CVE-2017-0144","CVE-2017-0145"],"cvss":8.8,"cvss_version":"3.1","dates":[{"date":"2017-03-14","key":"patched"},{"date":"2017-04-14","de":"Erstes M.E.Doc-Update mit einer versteckten Hintertür","en":"First M.E.Doc update with a hidden backdoor"},{"date":"2017-06-22","de":"Drittes und letztes M.E.Doc-Update mit der Hintertür","en":"Third and last M.E.Doc update with the backdoor"},{"date":"2017-06-27","key":"outbreak"},{"date":"2018-02-15","de":"Die Regierungen Großbritanniens und der USA machen das russische Militär verantwortlich","en":"The UK and US governments name the Russian military as responsible"}],"de":{"credit":"Analysiert von ESET, Cisco Talos und Microsoft","fixed":"MS17-010 (14. März 2017) für die SMB-Lücken; kein Patch verhindert die Ausbreitung mit gestohlenen Passwörtern, und die Daten ließen sich nicht wiederherstellen","product":"Windows-Netzwerke, erreicht über die ukrainische Buchhaltungssoftware M.E.Doc","summary":"Ein als Ransomware getarnter Wurm kam über ein gekapertes Software-Update, zerstörte Daten in der Ukraine und 64 weiteren Ländern und kostete Milliarden US-Dollar."},"disclosed":"2017-06-27","en":{"credit":"Analyzed by ESET, Cisco Talos and Microsoft","fixed":"MS17-010 (March 14, 2017) for the SMB flaws; no patch stops the spread with stolen passwords, and the data could not be recovered","product":"Windows networks, reached through the Ukrainian accounting software M.E.Doc","summary":"A worm posing as ransomware came through a hijacked software update, destroyed data in Ukraine and 64 more countries, and cost billions of dollars."},"figures":[{"de":"Millionen US-Dollar Kosten erwartete allein die Reederei Maersk (Pressebericht)","en":"million US dollars in costs expected by the shipping group Maersk alone (press report)","value":"200–300"},{"de":"Unternehmen allein in der Ukraine getroffen, bestätigt von der ukrainischen Cyberpolizei","en":"companies hit in Ukraine alone, as confirmed by Ukraine's Cyber Police","value":"2,000+"},{"de":"weitere Länder neben der Ukraine mit Infektionen in den Daten von Microsoft","en":"countries besides Ukraine with infections in Microsoft's data","value":"64"},{"de":"Lösegeldzahlungen bis zum 3. August 2017, zusammen 9.835,86 US-Dollar wert","en":"ransom payments by August 3, 2017, worth USD 9,835.86","value":"33"}],"kev":"2022-02-10","key":"notpetya","name":"NotPetya","product":"Microsoft Windows (SMBv1), M.E.Doc","sources":[{"de":"Microsoft: Neue Ransomware, alte Techniken – Petya kann sich jetzt als Wurm verbreiten","title":"Microsoft: New ransomware, old techniques: Petya adds worm capabilities","url":"https://www.microsoft.com/en-us/security/blog/2017/06/27/new-ransomware-old-techniques-petya-adds-worm-capabilities/"},{"de":"ESET: Analyse der Hintertür in den M.E.Doc-Updates","title":"ESET: analysis of the backdoor in M.E.Doc updates","url":"https://www.welivesecurity.com/2017/07/04/analysis-of-telebots-cunning-backdoor/"},{"de":"Cisco Talos: The MeDoc Connection, die Untersuchung des Update-Servers","title":"Cisco Talos: The MeDoc Connection, forensics of the update server","url":"https://blog.talosintelligence.com/2017/07/the-medoc-connection.html"},{"de":"NVD: CVE-2017-0144","title":"NVD: CVE-2017-0144","url":"https://nvd.nist.gov/vuln/detail/CVE-2017-0144"},{"de":"Weißes Haus: Erklärung zu NotPetya (Februar 2018)","title":"White House: statement on NotPetya (February 2018)","url":"https://trumpwhitehouse.archives.gov/briefings-statements/statement-press-secretary-25/"},{"de":"Britisches Außenministerium: Erklärung zu NotPetya (Februar 2018)","title":"UK Foreign Office: statement on NotPetya (February 2018)","url":"https://www.gov.uk/government/news/foreign-office-minister-condemns-russia-for-notpetya-attacks"},{"de":"Bitcoin-Analyse der Lösegeldzahlungen an WannaCry und NotPetya (Computers \u0026 Security, 2018)","title":"Bitcoin analysis of WannaCry and NotPetya ransom payments (Computers \u0026 Security, 2018)","url":"https://arxiv.org/pdf/1804.01341"},{"de":"Reuters über Business Insurance: die erwarteten Kosten von Maersk (Presse)","title":"Reuters via Business Insurance: Maersk's expected cost (press)","url":"https://www.businessinsurance.com/article/20170816/NEWS06/912315214/Maersk-upbeat-on-shipping-outlook-faces-hefty-cyber-attack-bill"}],"vector":"CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H","year":2017}},"description":"Ein gekapertes Update einer ukrainischen Buchhaltungssoftware brachte einen Wurm, der sich als Ransomware tarnte, Daten zerstörte und Milliarden kostete.","language":"de","latest_measurement":"2026-10-23","method":"latency-v3","method_page":"https://crackthe.net/de/methode/","source":"https://crackthe.net/","text":"Am 27. Juni 2017 verbreitete sich ein Programm, das wie Ransomware aussah, durch Firmennetzwerke in der Ukraine, und Microsoft sah Infektionen in 64 weiteren Ländern. Ransomware sperrt Dateien und verlangt Geld, um sie wieder freizugeben; dieses Programm zerstörte Daten, und Zahlen brachte sie nicht zurück. Sein wichtigster Weg hinein war ein gekapertes Update von M.E.Doc, einem in der Ukraine weit verbreiteten Buchhaltungsprogramm. Innerhalb der Netzwerke nutzte es zudem die Windows-Lücke, die auch hinter WannaCry steckte.\nSo funktionierte der Angriff Die Angreifer übernahmen die Update-Server von M.E.Doc. Ab April 2017 schleusten sie eine Hintertür, einen versteckten Zugang zu einem Computer, in drei reguläre Updates des Programms ein: am 14. April, 15. Mai und 22. Juni. Am 27. Juni, fünf Tage nach dem letzten davon, nutzten sie diesen Kanal, um NotPetya auf einen Schlag in Tausende Firmennetzwerke zu bringen. Cisco Talos fand den schädlichen Datenverkehr in den Protokollen des Update-Servers von 9:11 bis 12:31 Uhr UTC.\nInnerhalb eines Netzwerks verbreitete sich NotPetya auf zwei Wegen. Es zog Passwörter aus dem Arbeitsspeicher des Computers und nutzte sie mit den üblichen Windows-Verwaltungswerkzeugen PsExec und WMIC, um sich auf jeden Rechner zu kopieren, den es erreichen konnte. Das funktionierte sogar auf Computern mit allen Updates. Auf Rechnern ohne das Microsoft-Update vom März 2017 nutzte es zudem EternalBlue und EternalRomance, zwei geleakte Angriffswerkzeuge des US-Geheimdienstes National Security Agency (NSA). Sie nutzen Schwachstellen in SMB Version 1 aus, dem alten Windows-Protokoll für die Dateifreigabe.\nDann überschrieb es den Boot-Record der Festplatte, den Teil, den ein Computer beim Start als Erstes liest. Es startete den Computer hinter einem gefälschten Bildschirm zur Festplattenprüfung neu und verschlüsselte den Index des Dateisystems, die Tabelle, die festhält, wo jede Datei liegt. Die Erpressernachricht verlangte 300 US-Dollar in Bitcoin, doch die Daten ließen sich auch nach der Zahlung nicht wiederherstellen. Forscher stuften NotPetya deshalb als Wiper ein: ein Programm, das Daten zerstören soll, verkleidet als Ransomware.\nM.E.Doc-Updatebringt NotPetya in Firmennetzwerke Gestohlene Passwörterkopieren es auf jeden erreichbaren Rechner EternalBlueübernimmt Rechner ohne das Update vom März FestplatteBoot-Record überschrieben, Daten verloren Zwei Wege der Ausbreitung im Netzwerk: Die gestohlenen Passwörter funktionierten sogar auf Computern mit allen Updates. Ein gekapertes Update ist kein Fehler im Code des Programms, und eine CVE-Nummer dafür wurde nicht gefunden. Deshalb nennt diese Seite die Windows-Schwachstelle CVE-2017-0144, die EternalBlue ausnutzt, als Haupt-CVE, obwohl sie nur einer der Wege war, auf denen sich NotPetya verbreitete. Microsoft ordnet EternalRomance einer zweiten Lücke zu, CVE-2017-0145.\nReichweite und Schaden In den Telemetriedaten von Microsoft, den Daten, die das Unternehmen von den Computern seiner Kunden erhält, trafen mehr als 12.500 Rechner in der Ukraine auf NotPetya, dazu kamen Infektionen in 64 weiteren Ländern. Das ist keine vollständige Zählung: Microsoft sieht nur seine eigenen Kunden. Die ukrainische Cyberpolizei bestätigte allein in der Ukraine mehr als 2.000 betroffene Unternehmen, berichtete Cisco Talos. Laut Talos nutzen 80 % der ukrainischen Unternehmen M.E.Doc für ihre Buchhaltung.\nDie US-Regierung nannte NotPetya den zerstörerischsten und teuersten Cyberangriff der Geschichte, mit Schäden in Milliardenhöhe in Europa, Asien und Amerika. Die britische Regierung sagte, der Angriff habe Organisationen in ganz Europa Hunderte Millionen Pfund gekostet. Keine der beiden nannte eine genaue Gesamtsumme. Höhere Summen, die kursieren, etwa 10 Milliarden US-Dollar, stammen aus Presseinterviews, nicht aus offiziellen Dokumenten.\nEine Zahl für ein einzelnes Unternehmen stammt aus der Presse: Die Reederei Maersk rechnete laut Reuters mit Kosten von 200 bis 300 Millionen US-Dollar, vor allem im dritten Quartal 2017.\nDie Angreifer verdienten fast nichts. Die einzige Bitcoin-Adresse der Angreifer erhielt bis zum 3. August 2017 insgesamt 33 Lösegeldzahlungen im Wert von 9.835,86 US-Dollar. Das ist im Vergleich zum Schaden verschwindend wenig und passt eher zu einem Wiper als zu Ransomware.\nIn derselben Studie erfasste Lösegeldzahlungen NotPetya, 27. Juni bis 3. August 201733 WannaCry, 12. Mai bis 2. Oktober 2017238 Quelle: Analyse von Bitcoin-Zahlungen, Computers \u0026amp; Security, 2018. Die beiden Zeiträume sind unterschiedlich lang.\nDer Fix und die Reaktion Microsoft hatte die SMB-Lücken am 14. März 2017 mit dem Sicherheitsupdate MS17-010 geschlossen. Dieses Update stoppte EternalBlue und EternalRomance, nicht aber die Verbreitung mit gestohlenen Passwörtern. Unternehmen mussten die M.E.Doc-Versionen mit der Hintertür entfernen. Weil sich die verschlüsselten Daten nicht entschlüsseln ließen, mussten betroffene Systeme neu aufgesetzt werden.\nNoch am Tag des Ausbruchs beschrieb Microsoft, wie sich der Wurm verbreitete. ESET fand die Hintertür in den M.E.Doc-Updates, und Cisco Talos untersuchte den Update-Server; beide veröffentlichten ihre Analysen Anfang Juli 2017. Am 15. Februar 2018 erklärten die britische Regierung und das Weiße Haus das russische Militär für verantwortlich.","title":"NotPetya: Der zerstörerische Wurm aus einem Software-Update","url":"https://crackthe.net/de/schwachstellen/notpetya/"}