Seit Ende 2019 ist die Ransomware EKANS im Umlauf, die auf Industriesteuerungssysteme und kritische Infrastrukturen abzielt. Das Design dieser Malware ähnelt dem des Schädlings MegaCortex, der vor knapp einem Jahr Kontrollsysteme ins Visier nahm. Daher liegt die Vermutung nahe, dass hinter beiden Ransomware-Varianten dieselben Entwickler stehen.
Die Sicherheitsforscher von FireEye, die die neue Ransomware unter dem Namen „Snakehose“ beobachten, gehen jedoch davon aus, dass diese Ähnlichkeiten rein zufällig sind.
Dazu ein Kommentar von Nathan Brubaker, Senior Manager Analysis:
Dass es bei den Services und Prozessen, die sowohl von Snakehose als auch von MegaCortex ins Visier genommen werden, Überschneidungen gibt, ist wahrscheinlich Zufall. Der oder die Malware-Entwickler von Snakehose haben möglicherweise Teile der Liste von Prozessen, die von MegaCortex gescannt wurden, kopiert, die öffentlich verfügbar war.
Oder die Entwickler zielen auf einen ähnlichen Effekt und eine ähnliche Ausbeute ab wie MegaCortex. Basierend auf unserer Analyse glauben wir, dass Snakehose bestimmte Prozesse in Industriesystemen lahmlegt, um sicherzustellen, dass die Ransomware auch Daten und Dateien manipulieren kann, die von diesen Systemen verwendet werden. Dahinter könnte die Absicht stehen, den Schaden durch Ransomware zu erweitern.
Zumindest deutet es darauf hin, dass es ein Bewusstsein über Mensch-Maschinen-Schnittstellen sowie veraltete Software in den Zielumgebungen gibt. Derzeit gibt es jedoch keine stichhaltigen Beweise dafür, dass Snakehose speziell für OT-Umgebungen entwickelt wurde. Sonst hätten wir wahrscheinlich in der Liste der Prozesse, die von der Malware beendet wurden, zusätzliche OT/ICS-Software und -Prozesse entdeckt.