Spirals-Ransomware verschlüsselt Netzwerke in unter 24 Stunden

Eine auf Geschwindigkeit ausgelegte neue Ransomware-Variante

Sicherheitsforscher haben eine neue Ransomware-Variante namens Spirals identifiziert, die ein gesamtes Opfernetzwerk in unter 24 Stunden verschlüsseln kann – ein Zeitrahmen, der weit schneller ist als bei vielen etablierten Ransomware-Familien. Die Geschwindigkeit ist auf eine Technik namens intermittierende Verschlüsselung zurückzuführen, die die Malware auf alle Dateien anwendet, die größer als 5 MB sind. Anstatt jedes Byte einer großen Datei zu verschlüsseln, verschlüsselt Spirals nur Teile davon, wodurch die Verarbeitungszeit drastisch sinkt, die Daten aber ohne Entschlüsselungsschlüssel dennoch unbrauchbar bleiben.

Diese Effizienz ist entscheidend, denn Ransomware-Betreiber standen lange vor einem Zielkonflikt: Je länger ein Angriff dauert, um ein Netzwerk vollständig zu verschlüsseln, desto mehr Chancen haben Verteidiger, ungewöhnliche Aktivitäten zu erkennen und den Angriff zu stoppen, bevor echter Schaden entsteht. Indem Spirals dieses Zeitfenster auf einen einzigen Tag verkürzt, bleibt Sicherheitsteams nach der Aktivierung der Malware in einer kompromittierten Umgebung deutlich weniger Zeit, um zu reagieren.

Wie der Angriff abläuft

Sobald Spirals Dateien auf einem kompromittierten System verschlüsselt hat, legt sie eine Lösegeldforderung mit dem Namen RECOVERY_SECTION.log direkt auf dem Laufwerk C:\ des Opfers ab. Die Notiz enthält Anweisungen, wie die Zahlung mit den Angreifern verhandelt werden kann. Wie viele moderne Ransomware-Operationen verfolgt auch Spirals ein Modell der doppelten Erpressung: Die Gruppe dahinter behauptet, bereits vor der Verschlüsselung sensible Daten gestohlen zu haben, noch bevor die Dateien gesperrt wurden.

Den Opfern wird eine strenge Frist von sechs Tagen gesetzt, um zu zahlen – ansonsten drohen die Angreifer, die gestohlenen Informationen öffentlich zu machen. Diese Taktik hat sich im gesamten Ransomware-Ökosystem gerade deshalb als Standard etabliert, weil sie funktioniert. Selbst Organisationen, die solide Backups unterhalten und verschlüsselte Dateien ohne Lösegeld wiederherstellen können, stehen unter dem Druck, dass Kundendaten, Mitarbeiterinformationen oder proprietäre Daten auf einer Leak-Seite im Darknet auftauchen könnten. Dieses Muster ähnelt dem, was beim Genesis-Ransomware-Angriff auf United Personnel geschah, als eine Personaldienstleistungsfirma mit der Aussicht konfrontiert war, dass hunderte Gigabyte an Daten zusammen mit der Verschlüsselung selbst offengelegt werden.

Warum schnellere Verschlüsselung die Risiken für alle erhöht

Das verkürzte Angriffsfenster, das Spirals mit sich bringt, hat reale Konsequenzen, die über die unmittelbar betroffene Organisation hinausgehen. Ransomware-Vorfälle beinhalten zunehmend den Diebstahl persönlicher Daten von Kunden, Patienten oder Mitarbeitern, die keine direkte Rolle für die Sicherheitslage einer Organisation spielen, aber das nachgelagerte Risiko tragen, wenn diese Daten offengelegt werden. Besonders das Gesundheitswesen war häufig Ziel solcher Angriffe, wie Vorfälle wie der iRhythm-Ransomware-Verstoß, der Herzdaten von Patienten offenlegte, zeigen. Wenn die Verschlüsselung in Stunden statt in Tagen erfolgt, haben Sicherheitsteams weniger Gelegenheit, betroffene Systeme zu isolieren, bevor die Angreifer sowohl die Verschlüsselung als auch den Datendiebstahl abgeschlossen haben, der die Erpressung antreibt.

Für alltägliche Internetnutzer unterscheidet sich das praktische Ergebnis eines Ransomware-Angriffs selten danach, wie schnell die Malware Dateien verschlüsselt hat. Am wichtigsten ist, was mit persönlichen Daten geschieht, die in den Vorfall verwickelt wurden. Wie in unserer Aufschlüsselung darüber, was nach einem Datenleck mit Ihren Daten geschieht, dargelegt, zirkulieren gestohlene Informationen oft weit über die ursprüngliche Leak-Seite hinaus, werden gekauft, verkauft und für Phishing-Kampagnen, Identitätsdiebstahl und Credential-Stuffing-Angriffe wiederverwendet, lange nachdem die Schlagzeilen verblasst sind.

Was das für Sie bedeutet

Als einzelner Verbraucher müssen Sie sich nicht direkt gegen Spirals verteidigen. Diese Ransomware zielt auf Unternehmensnetzwerke ab, nicht auf persönliche Geräte. Der übergeordnete Trend, den sie repräsentiert – schnellere, effizientere Angriffe mit knapperen Erpressungsfristen – bedeutet jedoch, dass Benachrichtigungen über Datenschutzverstöße wahrscheinlich mit weniger Vorwarnung und potenziell größerem Umfang eintreffen werden. Wenn ein Unternehmen, mit dem Sie Geschäfte machen, oder ein Arbeitgeber einen Vorfall im Zusammenhang mit Spirals meldet, nehmen Sie ihn ernst und handeln Sie schnell, anstatt abzuwarten, ob Ihre Daten irgendwo auftauchen.

Für IT- und Sicherheitsteams verkürzt die sechstägige Frist bis zur Veröffentlichung auch die Zeitspanne für die Incident-Response. Erkennung und Eindämmung müssen zügig erfolgen, denn herkömmliche Reaktionsfenster, die in Tagen gemessen werden, sind möglicherweise nicht mehr ausreichend, wenn die Verschlüsselung selbst in unter 24 Stunden abgeschlossen ist.

Handlungsempfehlungen

Wenn Sie eine Benachrichtigung über einen Datenschutzverstoß erhalten, die auf Spirals oder einen ähnlich schnell agierenden Ransomware-Stamm verweist, ändern Sie sofort die Passwörter für alle betroffenen Konten und aktivieren Sie, wo immer angeboten, die Multi-Faktor-Authentifizierung. Überwachen Sie Ihre Kontoauszüge und Kreditberichte in den Wochen nach der Benachrichtigung auf ungewöhnliche Aktivitäten, da gestohlene Daten aus solchen Angriffen oft nicht sofort im offenen Web erscheinen. Erwägen Sie eine Betrugswarnung oder eine Kreditsperre, wenn der Vorfall sensible Identifikationsmerkmale wie Sozialversicherungsnummern oder medizinische Unterlagen betraf. Organisationen sollten auf Netzwerksegmentierung und schnelle Erkennungstools setzen, denn die Geschwindigkeit von Angriffen wie Spirals lässt wenig Spielraum für langsame Reaktionen. Sich darüber zu informieren, welche Unternehmen und Plattformen, die Sie nutzen, Vorfälle offengelegt haben, bleibt einer der einfachsten Wege, sich zu schützen, bevor Probleme eskalieren.