Forschende des Security-Anbieters Check Point haben bei der Untersuchung eines Cyberangriffs auf ein US-Unternehmen einen neuen Ransomware-Stamm entdeckt. Sie beschreiben diesen als eine Mischung aus den effektivsten Ransomwares, die derzeit im Einsatz stehen. Weil alle Personen, die den Schadcode untersucht haben, etwas anderes gesehen haben, wurde die Malware nach dem Rorschach-Test benannt.

Gerade dieses unterschiedliche Auftreten mache die Ransomware so besonders, schreibt das Security-Unternehmen. Darüber hinaus wird die Schadsoftware als "die schnellste und eine der raffiniertesten" bezeichnet. Sie soll aus unterschiedlichen technischen Merkmalen bestehen, die von verschiedenen Ransomware-Familien übernommen wurden.

So schreibt Check Point im Bericht zur Entdeckung, dass die Löse­geld­for­de­rung­en denjenigen der Yanluowang- und Darkside-Gruppen ähneln, während der Code an den durchgesickerten Quellcode der Ransomware-Stämme Babuk und Lockbit angelehnt war. Trotzdem sei Rorschach einzigartig und keinem bekannten Ransomware-Stamm zuzuordnen.

Die Forschenden sind nicht nur erstaunt über die gesteigerten Ge­schwin­dig­keit des Verschlüsselungsprozesses, sondern auch darüber, dass ein Teil der Ransomware autonom ist und es den Angreifern ermöglicht, Aufgaben auszuführen, die sie normalerweise manuell erledigen müssten. Ausserdem sei der Schadcode sehr anpassungsfähig und würde den Angreifern eine breite Palette von Tools bieten.

Die Ransomware sei in der Lage, Backups zu löschen und den Betrieb be­stimm­ter Dienste wie Firewalls zu unterbinden, schreibt Check Point. Damit wird die Wiederherstellung erschwert. Die Forschenden waren auch überrascht, als sie feststellten, dass die Ransomware nicht nur eine Umgebung verschlüsselt, sondern auch ungewöhnliche Techniken verwendet, um Abwehrsysteme zu umgehen.

Ausserdem haben die Entwickler des Schadcodes dafür gesorgt, dass mit Systemprüfungen die Sprache des Opfers analysiert wird. Je nach gewählter Einstellung wurden dann bestimmte Operationen angehalten. Wenn die Sprache etwa aus einem Land der Gemeinschaft Unabhängiger Staaten (GUS) wie Armenien, Aserbaidschan, Kasachstan, Russland, Ukraine, Weissrussland, Tadschikistan, Georgien, Kirgisistan, Turkmenistan, Usbekistan und Moldawien stammte, wurde die Ransomware nicht ausgeführt.

Trotzdem seien die Betreiber und Entwickler der Rorschach-Ransomware unbekannt, schreibt Check Point. Die Angreifer würden auch kein Branding verwenden, was bei Ransomware-Operationen relativ selten sei. Experten schätzen, dass es sich wahrscheinlich um eine erfahrene Ransomware-Gruppe handelt, die sich auf etwas Neues einlässt.