nach oben
So sieht eine der Trojaner-Mails aus, die derzeit im Umlauf ist.
So sieht eine der Trojaner-Mails aus, die derzeit im Umlauf ist. © pz
14.09.2018

Nicht öffnen! Vor diesen Mails sollten sich Unternehmen in Acht nehmen

Pforzheim/Karlsruhe. Die Nachricht sieht durchaus vertrauenserweckend aus: Das beigefügte Bild zeigt eine junge, sympathische Frau, die Bewerbungsunterlagen sollen im beigefügten ZIP-Ordner liegen. Doch wer diesen öffnet, steht vor großen Problemen.

Auch bei der "Pforzheimer Zeitung" sind entsprechende Mails bereits eingegangen - ohne, das jemand draufklickte. Schließlich warnt genau davor auch stets der hausinterne Sicherheitsbeauftragte. Bei anderen Unternehmen war dies anders, wie aus einer Pressemitteilung der Polizei hervorgeht. Denn nach einer ersten Welle von Bewerbungsschreiben per E-Mail mit einem sogenannten Verschlüsselungstrojaner im Jahr 2015 warnen sowohl das Landeskriminalamt Baden-Württemberg als auch das Polizeipräsidium Karlsruhe nun aufgrund aktueller Fälle erneut vor solchen Bewerbungsmails. Im Zuständigkeitsbereich des Polizeipräsidiums sind in jüngerer Zeit solche bereits Fälle in Straubenhardt, Bretten-Gölshausen und Bruchsal bekanntgeworden.

Unbekannte Täter versenden dabei einen Verschlüsselungstrojaner, also sogenannte Ransomware, mit dem Ziel, eine Lösegeldzahlung für die Entschlüsselung der Daten zu erzielen. Bei der aktuellen Welle handelt es sich nun um eine leicht veränderte Version mit dem Namen "Gandcrab". Die Namensgebung rührt daher, dass die verschlüsselten Dateien mit der Endung .crab oder .krab versehen sind.

Aktuell sind wieder hauptsächlich Firmen betroffen, die tatsächlich Stellen ausgeschrieben haben. In der E-Mail befinden sich ein seriös erscheinender Bewerbungstext, ein Lichtbild des angeblichen Bewerbers und eine gepackte ZIP-Datei mit "Bewerbungsunterlagen".
Wird diese ZIP-Datei entpackt - was bis dahin schadlos möglich ist - befindet sich darin ein Lebenslauf oder eine Bewerbung mit einer .pdf.exe -Dateiendung. Das "exe" wird oft nicht dargestellt, da auf vielen Rechnern standardmäßig die erweiterten Dateiendungen ausgeblendet sind.

Öffnet man nun aber jene exe-Datei, verschlüsselt sie die auf dem Rechner vorhandenen persönlichen Dokumente und hinterlässt danach eine Textdatei auf dem Desktop (anbei KRAB-DECRYPT), in der auf eine individuelle Webseite im "TOR Netzwerk" verwiesen wird. Dort wiederum kann man eine kleine Datei zur Probe entschlüsseln, muss aber zur Entschlüsselung aller Dateien die Software "GandCrab Decryptor" für 1200 US-Dollar kaufen. Die Bezahlung soll in der Kryptowährung "Dash" oder "Bitcoin" innerhalb von drei Tagen erfolgen. Ansonsten verdopple sich die Summe.

Das Polizeipräsidium Karlsruhe rät daher, bei E-Mails mit unbekanntem Absender äußerste Vorsicht walten zu lassen und regelmäßige Datensicherungen auf Datenträgern durchzuführen, die nicht mit einem Netzwerk verbunden sind. Erfahrungsgemäß wird in den nächsten Wochen insbesondere an die Personalstellen von Firmen gerichteten Mails mit dem Trojaner im Anhang zu rechnen sein.