Ech0raix

Überblick

Die als ech0raix bekannte Schadsoftware, auch unter der Bezeichnung QNAPCrypt geführt, ist eine Ransomware, die im Kern wie andere Erpressungsprogramme arbeitet: Sie verschlüsselt die Dateien des befallenen Systems und hinterlegt eine Erpressernachricht. In ihrem Vorgehen weist sie jedoch mehrere Besonderheiten auf, die auf ihr eigentliches Ziel zugeschnitten sind – Server statt klassischer Endgeräte. So wird die Lösegeldforderung ausschließlich als Textdatei abgelegt und nicht als Bildschirmmeldung angezeigt, da auf einem Server keine interaktive Sitzung erwartet wird. Jedem Opfer wird zudem eine eigene, eindeutige Bitcoin-Adresse zugewiesen, was den Angreifern die Verschleierung von Geldflüssen erleichtert und eine Rückverfolgung erschwert. Charakteristisch ist außerdem, dass die Schadsoftware nach der Kompromittierung zunächst eine Wallet-Adresse sowie einen öffentlichen RSA-Schlüssel von einem Command-and-Control-Server abruft, bevor die eigentliche Verschlüsselung der Dateien beginnt. Die Schlüsselverwaltung erfolgt damit serverseitig und außerhalb der Reichweite des Opfers.