Cerber ist eine Familie von Ransomware, eine Art Schadsoftware, die nach der Installation auf dem Computer eines Opfers dessen Dateien verschl\u00fcsselt und sie unzug\u00e4nglich macht. Die Angreifer fordern dann ein L\u00f6segeld als Gegenleistung f\u00fcr den Entschl\u00fcsselungsschl\u00fcssel.<\/p>\n
Cerber wurde erstmals im M\u00e4rz 2016 in freier Wildbahn als Dienst entdeckt, der in russischen Untergrundforen verkauft wurde. Es erlangte schnell Bekanntheit aufgrund seines \u201eRansomware as a Service\u201c-Modells (RaaS), das es sogar technisch unerfahrenen Kriminellen erm\u00f6glicht, Ransomware-Angriffe zu starten.<\/p>\n
Cerber infiltriert ein Computersystem, normalerweise \u00fcber einen b\u00f6sartigen E-Mail-Anhang, einen Web-Download oder ein Exploit-Kit. Nach der Ausf\u00fchrung durchsucht Cerber das System nach Datendateien und beginnt mit dem Verschl\u00fcsselungsprozess unter Verwendung einer starken AES-256-Verschl\u00fcsselung. Die Dateien werden umbenannt und jeder verschl\u00fcsselten Datei wird die Erweiterung \u201e.cerber\u201c oder \u201e.cerber2\u201c hinzugef\u00fcgt.<\/p>\n
Sobald die Verschl\u00fcsselung abgeschlossen ist, hinterl\u00e4sst die Ransomware eine L\u00f6segeldforderung, oft mit dem Namen \u201e# DECRYPT MY FILES #.txt\u201c oder \u201e.html\u201c, die das Opfer \u00fcber die Verschl\u00fcsselung informiert und eine L\u00f6segeldzahlung (normalerweise in Bitcoin) f\u00fcr den Entschl\u00fcsselungsschl\u00fcssel verlangt.<\/p>\n
Cerber verwendet eine Reihe technischer Strategien, um der Entdeckung zu entgehen, die Infektion zu maximieren und Analysen zu verhindern. Dazu geh\u00f6ren:<\/p>\n
Anti-Analyse-Techniken<\/strong>: Cerber verwendet verschiedene Techniken, um forensische Analysen zu verhindern, wie etwa Code-Verschleierung und -Komprimierung. Es kann erkennen, ob es in einer Sandbox oder einer virtuellen Maschine ausgef\u00fchrt wird, und sich selbst beenden, um eine Erkennung zu vermeiden.<\/p>\n<\/li>\n Persistenzmechanismen<\/strong>: Um sicherzustellen, dass es auf dem infizierten System verbleibt, etabliert Cerber Persistenz durch die Erstellung von Registrierungsschl\u00fcsseln, geplanten Aufgaben oder die Verwendung von Startordnern.<\/p>\n<\/li>\n Netzwerk-Kommunikation<\/strong>: Nach der Infektion kommuniziert Cerber mit seinen Command-and-Control-Servern (C&C) und verwendet dabei h\u00e4ufig einen Domain Generation Algorithm (DGA), um neue, schwer zu blockierende Dom\u00e4nennamen f\u00fcr diese Server zu generieren.<\/p>\n<\/li>\n<\/ol>\n Hier sind einige Unterscheidungsmerkmale der Cerber-Ransomware:<\/p>\n Sprachalarm<\/strong>: Cerber ist f\u00fcr seine ungew\u00f6hnliche Funktion bekannt, eine Text-to-Speech-Engine zu verwenden, um Opfer dar\u00fcber zu informieren, dass ihre Dateien verschl\u00fcsselt wurden.<\/p>\n<\/li>\n RaaS-Modell<\/strong>: Cerber gewann aufgrund seines RaaS-Modells an Popularit\u00e4t, bei dem die Malware-Entwickler die Ransomware gegen eine Gewinnbeteiligung an andere Kriminelle vermieten.<\/p>\n<\/li>\n Widerstandsf\u00e4higkeit<\/strong>: Die Verwendung eines DGA f\u00fcr die C&C-Kommunikation und h\u00e4ufige Updates machen es widerstandsf\u00e4hig gegen Gegenma\u00dfnahmen.<\/p>\n<\/li>\n<\/ol>\n Cerber hat sich im Laufe der Zeit weiterentwickelt und es wurden mehrere Varianten identifiziert. Hier sind einige wichtige:<\/p>\nHauptmerkmale der Cerber Ransomware<\/h2>\n
\n
Varianten der Cerber Ransomware<\/h2>\n