Emergency Summary
WannaCry verbreitete sich ab dem 12. Mai 2017 als Wurm über die SMBv1-Schwachstelle MS17-010 (EternalBlue) weltweit. Die Ausbreitung wurde durch die Registrierung einer im Code enthaltenen Kill-Switch-Domain gestoppt. Die US-Regierung schrieb WannaCry Nordkorea zu.
- Dateiendung
.WNCRY,.wcry- Ransom Note
@Please_Read_Me@.txt- Zielsysteme
- Windows
- Entschlüsselung
- Teilweise entschlüsselbar
So erkennen Sie WannaCry
- Dateien erhalten die Endung
.WNCRY(weitere dokumentierte Varianten:.wcry). Ob die Endung angehängt oder der Dateiname vollständig ersetzt wird, kann je nach Variante abweichen. - In betroffenen Verzeichnissen liegt typischerweise die Datei
@Please_Read_Me@.txt. Kopieren Sie eine Ransom Note als Beweismittel, statt sie auf produktiven Systemen zu öffnen oder zu löschen. - Wurmartige Verbreitung über SMB (u. a. TCP 445/139) – ungepatchte Systeme ohne MS17-010 sind gefährdet; SMBv1 sollte deaktiviert werden.
[1] - Kill-Switch: Ist die hartkodierte Domain erreichbar, bricht der Dropper ab.
[1] - Laut Sophos wurden allein im August 2019 fast 7.000 Varianten beobachtet; alle über 2.700 analysierten Kill-Switch-umgehenden Samples hatten eine defekte Ransomware-Komponente.
[3] - Hängt .WNCRY an, legt @Please_Read_Me@.txt ab und löscht nach der Verschlüsselung Volumenschattenkopien.
[4] - Entschlüsselung ohne Lösegeld nur in Sonderfällen (wanakiwi, kein Neustart seit Infektion).
[2]
Sofortmaßnahmen bei WannaCry
- Isolieren statt löschen: Betroffene Systeme vom Netzwerk trennen (LAN, WLAN, VPN). Ob ein System ausgeschaltet wird, hängt vom Szenario ab: Beim Ausschalten gehen flüchtige Spuren im Arbeitsspeicher verloren, bei laufender Verschlüsselung kann sofortiges Abschalten dennoch richtig sein.
- Verschlüsselte Originale nicht verändern: Keine Umbenennung von
.WNCRY-Dateien, kein Cleanup-Tool und keine Neuinstallation auf den Originaldatenträgern. - Merkmale dokumentieren: Ransom Note (
@Please_Read_Me@.txt), Dateiendung, Zeitpunkt der ersten Auffälligkeit und betroffene Systeme festhalten. - Backups schützen: Backup-Repositories nicht mit kompromittierten Systemen verbinden und Zugangsdaten zum Backup-System ändern – von einem sauberen Gerät aus.
- Logs sichern: Windows-Ereignisprotokolle, EDR-Telemetrie, Firewall- und VPN-Logs exportieren, bevor sie rotieren.
- Zwei Fragen getrennt klären: Wer dämmt den Angriff ein (Incident Response)? Wer prüft die Wiederherstellbarkeit der Daten (Datenrettung)?
Technische Merkmale
| Familie / Bezeichnung | WannaCry |
|---|---|
| Bekannte Aliasnamen | WannaCrypt, WCry, Wanna Decryptor |
| Dateiendung(en) | .WNCRY, .wcry |
| Lösegeldnotiz (Ransom Note) | @Please_Read_Me@.txt |
| Zielsysteme | Windows |
| Verschlüsselungsverfahren | nicht belastbar dokumentiert |
| Decryptor-Verfügbarkeit | Teilweise entschlüsselbar |
| Datenexfiltration / Double Extortion | nicht belegt |
| Ransomware-as-a-Service | nein |
| Aktivität | inaktiv · erstmals beobachtet 2017 |
Kann WannaCry entschlüsselt werden?
Teilweise entschlüsselbar
Für WannaCry ist eine Entschlüsselung nur teilweise möglich – abhängig von Variante, Zeitraum oder verfügbaren Schlüsseln.
- wanakiwi (Benjamin Delpy (gentilkiwi), Matt Suiche u. a.): Nur wenn der WannaCry-Prozess noch im Speicher ist (kein Neustart seit der Infektion) und die Primzahlen des Schlüssels noch nicht überschrieben wurden; laut Projekt bestätigt für Windows XP, Windows 2003 und Windows 7 (jeweils x86), x64 ungeklärt.
Decryptoren immer zuerst an Kopien testen und nur aus seriösen Quellen beziehen, etwa über das Projekt No More Ransom. Angebliche Decryptoren aus Foren oder Videos sind häufig selbst Schadsoftware.
Mehr dazu: Ransomware entschlüsseln – Möglichkeiten und Grenzen.
Typische Techniken (MITRE ATT&CK)
Diese Techniken sind für WannaCry dokumentiert. Sie helfen IT-Teams, Logs und EDR-Daten gezielt zu prüfen, und zeigen, an welchen Stellen Schutzmaßnahmen greifen.
| Taktik | Technik |
|---|---|
| Ausführung | T1047 Windows Management Instrumentation (WMI) |
| Persistenz | T1543.003 Systemprozess erstellen oder ändern: Windows-Dienst |
| Tarnung | T1564.001 Artefakte verbergen: Versteckte Dateien und Verzeichnisse |
| Schwächung der Abwehr | T1222.001 Änderung von Datei- und Verzeichnisberechtigungen: Windows-Berechtigungen |
| Erkundung | T1083 Datei- und Verzeichniserkundung |
| Erkundung | T1018 Erkundung entfernter Systeme |
| Seitliche Bewegung | T1210 Ausnutzung von Remote-Diensten |
| Seitliche Bewegung | T1570 Laterale Werkzeugübertragung |
| Command & Control | T1573.002 Verschlüsselter Kanal: Asymmetrische Kryptografie |
| Command & Control | T1090.003 Proxy: Multi-Hop-Proxy |
| Schadwirkung | T1489 Dienste stoppen |
| Schadwirkung | T1490 Systemwiederherstellung verhindern |
| Schadwirkung | T1486 Daten zur Schadwirkung verschlüsseln |
Quelle: MITRE ATT&CK: WannaCry (S0366)
Recovery-Optionen
Welche Methode greift, hängt vom Schadensbild ab. Keine der folgenden Optionen ist in jedem Fall möglich – sie sollten aber geprüft werden, bevor über eine Lösegeldzahlung nachgedacht wird.
| Verfahren | Voraussetzung | Grenze |
|---|---|---|
| Restore aus sauberem Backup | Backup ist unverändert, offline oder immutable und frei von Persistenz der Angreifer. | Backups können verschlüsselt, gelöscht oder bereits kompromittiert sein. |
| Snapshot-Recovery | Storage- oder Hypervisor-Snapshots wurden nicht gelöscht. | Angreifer löschen Snapshots häufig gezielt. |
| Schattenkopien (VSS) | Volume Shadow Copies sind noch vorhanden. | Werden von vielen Familien vor der Verschlüsselung gelöscht. |
| Dateisystem-Rekonstruktion | Verwertbare Strukturen (MFT, Inodes, Journale) und unverschlüsselte Bereiche existieren. | Abhängig vom Schadensbild; kein Ersatz für einen Schlüssel. |
| VM-/VMDK-/VHDX-Recovery | Virtuelle Festplatten sind nur teilweise verschlüsselt oder Datastores rekonstruierbar. | Abhängig von Variante und Verschlüsselungsmodus. |
| RAID-/NAS-Recovery | Datenträger sind physisch lesbar, RAID-Parameter rekonstruierbar. | Rebuilds oder Initialisierungen vor der Analyse können Daten zerstören. |
| Raw Recovery / Carving | Dateiinhalte liegen unverschlüsselt in freien oder nicht überschriebenen Bereichen. | Dateinamen und Ordnerstruktur gehen oft verloren. |
| Datenbank-/Applikations-Recovery | Datenbankdateien oder Transaktionslogs sind teilweise intakt. | Technisch aufwendig, Ergebnis vorher nicht garantierbar. |
Welcher Hilfeweg passt?
Häufige Fragen
Gibt es einen Decryptor für WannaCry?
Stand unserer Daten: Teilweise entschlüsselbar. Dokumentiert ist: wanakiwi (Benjamin Delpy (gentilkiwi), Matt Suiche u. a.). Prüfen Sie Decryptoren nur an Kopien und nur aus seriösen Quellen wie No More Ransom.
Welche Dateiendung nutzt WannaCry?
Dokumentiert sind die Endungen .WNCRY, .wcry. Je nach Variante kann die Endung abweichen; vergleichen Sie zusätzlich die Ransom Note.
Wie heißt die Ransom Note von WannaCry?
Dokumentiert ist @Please_Read_Me@.txt. Sichern Sie eine Kopie der Notiz als Beweismittel und nehmen Sie keinen Kontakt zu den Angreifern auf, bevor das Vorgehen abgestimmt ist.
Soll ich den betroffenen Server ausschalten?
Das hängt vom Szenario ab. Zuerst isolieren (Netzwerk trennen). Beim Ausschalten gehen flüchtige forensische Spuren verloren; läuft die Verschlüsselung jedoch noch oder breitet sie sich aus, kann ein sofortiges Abschalten richtig sein. Stimmen Sie das möglichst mit einem Incident-Response-Team ab.
Sind meine Backups ebenfalls betroffen?
Möglicherweise. Angreifer suchen gezielt nach Backup-Servern, Repositories und Snapshots. Prüfen Sie Backups isoliert, bevor Sie sie mit dem Netzwerk verbinden, und validieren Sie Restore Points auf Persistenz.
Darf ich die verschlüsselten Dateien kopieren?
Ja – Kopien verschlüsselter Dateien auf ein separates, sauberes Medium sind sinnvoll, damit spätere Entschlüsselungs- oder Rettungsversuche nicht an den Originalen stattfinden. Arbeiten Sie dabei nicht von kompromittierten Systemen aus.
Passende Ratgeber
Quellen und weiterführende Referenzen
- [1]CISA TA17-132A: Indicators Associated With WannaCry Ransomware cisa.gov
- [2]GitHub: gentilkiwi/wanakiwi github.com
- [3]Computer Weekly: WannaCry variants accidentally protecting against WannaCry (Sophos-Studie) computerweekly.com
- [4]Microsoft Security Blog: WannaCrypt ransomware worm targets out-of-date systems microsoft.com
- [5]No More Ransom – Entschlüsselungstools nomoreransom.org
- [6]ID Ransomware (MalwareHunterTeam) id-ransomware.malwarehunterteam.com
Basisdaten aus dem Ransomware-Reverse-Datenbestand, redaktionell ergänzt und mit den genannten Quellen abgeglichen.