Unit221B und Krebs verwandeln Russlands eigenes Ransomware-Verbot in eine kostenlose PC-„Impfung“

Während des DarkSide-Angriffs im Mai 2021, der die Colonial Pipeline lahmlegte, bemerkte Krebs, dass praktisch alle russischen Ransomware-Stämme die Installation auf Windows-Rechnern verweigern, auf denen eine russische oder ukrainische Tastatur installiert ist – eine eingebaute Sicherung, die die Kriminellen vor der Strafverfolgung ihres eigenen Landes schützt. Leser wollten wissen, ob gewöhnliche Nutzer diese Regel ausnutzen könnten.

Die eigene Länderausschlussliste der Malware als Impfung nutzen: jeden Windows-PC russisch oder ukrainisch aussehen lassen, damit die Nicht-installieren-Prüfung der russischen Ransomware ihn verschont.

KrebsOnSecurity erklärte, wie: eine Tastaturbelegung eines GUS-Landes installieren oder das anklickbare zweizeilige Windows-Batchskript von Lance James von Unit221B ausführen, das einen russischen Sprachverweis zu den spezifischen Registrierungsschlüsseln hinzufügt, die Malware prüft, ohne Microsoft-Sprachdateien herunterzuladen. Allison Nixon rahmte den Trick strategisch ein: Wenn genug Menschen ihn anwendeten, stünden russische Hacker vor der Wahl, entweder den Rechtsschutz zu verlieren, der daraus entsteht, sich vom eigenen Territorium fernzuhalten, oder Einkommen zu verlieren.

Die Erklärung wurde zu einem der meistdiskutierten Sicherheitsbeiträge im Mai 2021 – 604 Punkte und 278 Kommentare auf Hacker News sowie 147 Kommentare auf der Website – und James' Skript verbreitete sich als kostenlose Ein-Schritt-Version der Lösung. Nixon argumentierte, eine massenhafte Übernahme würde Kriminelle zwingen, ihren eigenen Rechtsschild zu schwächen oder Verluste hinzunehmen, während der Beitrag ausdrücklich festhielt, dass die Verteidigung nur gegen Malware mit einem GUS-Ausschluss wirkt und dass eine von Mandiant analysierte neuere DarkSide-Variante die Sprachprüfung vollständig übersprang.

Im Mai 2021, als die DarkSide-Ransomware-Bande 5.500 Meilen der Colonial Pipeline lahmlegte und die US-Kraftstoffpreise steigen ließ, wies Brian Krebs auf eine Eigenheit der kriminellen Ökonomie hin: praktisch alle russischsprachige Ransomware verweigert die Installation auf Windows-Rechnern, die eine russische oder ukrainische Tastaturbelegung tragen. Die Ausschlussliste umfasst die Gemeinschaft Unabhängiger Staaten, und sie existiert, damit Affiliates niemals Opfer in ihren eigenen Ländern schaffen – wo die Polizei nur ermittelt, wenn ein lokales Opfer sich beschwert.

Krebs' kreativer Schachzug bestand darin, diese Regel den Verteidigern zurückzugeben: Wenn Malware Rechner selbst ausschließt, die russisch aussehen, dann lasse jeden Rechner russisch aussehen. Sein Artikel zeigte Lesern, wie man eine Tastatur eines GUS-Landes installiert, und Lance James von Unit221B lieferte ein zweizeiliges Batchskript, das einen russischen Sprachverweis zu genau den Registrierungsschlüsseln hinzufügt, die Malware prüft. Allison Nixon nannte es eine „Impfung“, deren eigentlicher Wert strategisch sei: Eine massenhafte Übernahme würde russische Hacker zwingen, zwischen dem Erhalt des Rechtsschutzes durch das Meiden inländischer Rechner oder dem Aufgeben der Prüfung und dem Risiko der Strafverfolgung zu wählen.

Der Beitrag wurde zu einer der meistgelesenen Sicherheitsgeschichten des Monats – 604 Punkte und 278 Kommentare auf Hacker News sowie 147 auf dem Artikel selbst –, wobei Leser Belegungen installierten, das Skript teilten und debattierten, ob Kriminelle sich anpassen würden. Die Einschränkungen gehörten zum Angebot: Der Trick bewirkt nichts gegen Malware ohne GUS-Ausschluss, er ersetzt keine Defense in Depth, und Mandiant fand heraus, dass eine neuere DarkSide-Variante die Sprachprüfung bereits aufgegeben hatte. Dennoch gab er gewöhnlichen Nutzern als kostenloser Zwei-Minuten-Schritt eine echte Verteidigung und ließ Angreifer für jede Umgehung zahlen.

Die Impfung braucht kein neues Sicherheitsprodukt: Sie bewaffnet die eigene Nicht-infizieren-Liste der Kriminellen, die bereits in ihrem Code existiert.

Ein zweizeiliges Registrierungsskript machte die Lösung trivial übernehmbar und verwandelte eine kluge Idee in etwas, das jeder Nutzer noch am selben Nachmittag ausführen konnte.

Der Kontext der Colonial Pipeline gab dem Trick einen Moment: Der sichtbarste Ransomware-Angriff seit Jahren machte einen kostenlosen defensiven Lifehack sofort berichtenswert.

Die strategische Rahmung – Kriminelle zwingen, Rechtsschutz gegen Einkommen zu tauschen – machte den Trick mehr als persönliche Hygiene, sie machte ihn zu einem kollektiven Schritt.

Ehrliche Einschränkungen (nicht jede Malware prüft, Varianten lassen die Prüfung bereits weg) hielten den Rat glaubwürdig genug, um sich durch ein skeptisches Sicherheitspublikum zu verbreiten.

Die Sicherheitsregel eines Gegners ist eine Kontrollfläche: Kriminelle bleiben von ihrem eigenen Territorium fern, um der lokalen Polizei zu entgehen, also zwingen Verteidiger, die dieses Territorium vortäuschen, Angreifer dazu, ihren Schutz zu schwächen oder Einkommen zu verlieren.

Der Trick wurde zu einem Bezugspunkt in der Ransomware-Debatte, die auf die Colonial Pipeline folgte: DarkSide kündigte an, den Betrieb einzustellen, nachdem seine Server und Bitcoins beschlagnahmt worden waren, und die Sprachprüfungs-Verteidigung zirkulierte als kostenloser Lückenfüller, während Verteidiger ihre Grenzen debattierten. Kommentatoren untersuchten die Schwächen – prüfen, welche Tastatur aktiv ist, beobachten, wann eine Belegung installiert wurde, die Prüfung ganz weglassen –, was Nixon als den Tausch beschrieb, den die Impfung erzwingen sollte. Der Beitrag blieb online und kommentiert, eine dauerhafte Erklärung dafür, wie aus der Geografieregel eines Kriminellen die Verteidigung jedes Einzelnen wurde.