Try2Cry: Ransomware in Copy&Paste-Manier

Scheinbar befindet sich zurzeit eine neue Version von Ransomware in Entwicklung. Sie nennt sich „Try2Cry“ und bringt die schädlichen Funktionen eines Verschlüsselungstrojaners mit. Kann die technisch verhältnismässig simpel gestrickte Schadsoftware überhaupt erschreckende Ausmasse annehmen?

Ransomware im Entwicklungsstadium

Try2Cry ist offenbar noch nicht einmal wirklich im Umlauf. Das IT-Security-Unternehmen G Data entdeckte diese neue Ransomware-Variante und leitete den Fund direkt an Michael Gillespie weiter — ein wichtiges Mitglied des sogenannten Malware Hunter Teams.

Gillespie identifizierte Try2Cry daraufhin als Abkömmling der „Stupid“-Ransomware-Familie. Den Namen haben sich die Entwickler selbst gegeben. Zur Technik dahinter passt er: Ein wenig dümmlich wirkt das Ganze tatsächlich.

Denn die Ransomware hat es vor allem auf USB-Sticks abgesehen. Nach der Infektion eines Windows-Rechners zielt sie auf ans Netzwerk angeschlossene Sticks ab. Findet sie welche, kopiert sie eine Installationsdatei darauf. Try2Cry legt täuschend echte Verknüpfungen der Original-Dateien an — die Originale verschwinden dabei im Verborgenen. Öffnet das Opfer eine infizierte Datei, führt sich die Ransomware aus und verbreitet sich weiter.

Try2Cry ist Verschlüsselungstrojaner

Die Ähnlichkeiten mit bekannten Trojanern sind deutlich. Die Entdecker fanden zehn weitere Anwendungsbeispiele von Try2Cry — mindestens eines davon lässt sich klar der „Stupid“-Familie zuordnen. Die Ransomware basiert auf einem Open-Source-Code. IT-Experten gehen deshalb davon aus, dass Try2Cry schlicht eine billige Kopie ähnlicher Schadsoftware ist — entwickelt nach dem Copy&Paste-Prinzip.

Woher kommt der Name „Try2Cry“? Vermutlich von einer Bilddatei, die in den .NET-Ressourcen des Schädlings steckt: ein weinendes Smiley mit der Aufschrift „Don’t cry – try again“. Ein ebenfalls enthaltener Link führt zu einem Entschlüsselungs-Kontakt — de facto eine Lösegeldforderung.

Try2Cry als ungefährlich eingestuft

Das Risiko schätzen die Experten derzeit als gering ein. Grössere Kampagnen mit dem Schädling gab es nicht, Verbreitung und Infektionen blieben überschaubar.

Die Entdecker haben nach eigenen Angaben bereits passende Software zur Entschlüsselung infizierter Dateien entwickelt. Der Dienst ID Ransomware dürfte entsprechende Fälle bereits abdecken.