HybridPetya Möglicher Nachfolger der Ransomware Petya entdeckt

Anbieter zum Thema

FAST LTA GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Eset hat eine neue Ransomware-Variante entdeckt, die Merkmale der bekannten Schadprogramme Petya und NotPetya kombiniert und moderne Systeme mit UEFI Secure Boot angreifen kann.

Die Sicherheitsforscher von Eset haben ein Ransomware-Sample entdeckt, das sie „Hybrid­Petya“ nennen. Denn die Daten sind den berüchtigten Ransomware-Varianten Petya und NotPetya überraschend ähnlich. So verschlüsselt HybridPetya ebenso die Master File Table (MFT) von NTFS-Partitionen, wodurch Dateien für die Opfer praktisch unzugänglich werden. Außerdem setzt die Schadsoftware wie ihre Vorgänger auf Manipulation des Bootprozesses, indem sie vor dem Start des Betriebssystems aktiv wird und etwa Fake-CHKDSK-Meldungen einblendet, um ihre Aktivitäten zu verschleiern. Neben der Code-Probe entdeckten die Forschenden auch einen Beitrag einer X-Userin namens „@hasherezade“, die auf ein Video hinweist, das die Ausführung von HybridPetya demonstriere.

Ransomware-Trends Q1 2025

So verändern neue Ransomware-Taktiken die Cyberabwehr

HybridPetya nutzt bekannte Schwachstelle aus

Alle drei Varianten verfolgen damit ein ähnliches Ziel: Sie wollen Systeme unbrauchbar machen, indem sie den Zugriff der Nutzer auf ihre Daten blockieren. Während Akteure mit Petya und HybridPetya einen typischen Ransomware-Ansatz verfolgen und nach dem Verschlüsseln Lösegeld fordern, gilt NotPetya als besonders destruktiv, da es in vielen Fällen keine reale Möglichkeit zur Wiederherstellung bot.

Allerdings geht HybridPetya Eset zufolge noch einen Schritt weiter: Die Schadsoftware sei die erste bekannte Petya-Variante, die gezielt den Schutzmechanismus UEFI Secure Boot umgehen könne. Dafür nutze HybridPetya die Sicherheitslücke CVE-2024-7344 bei Microsoft aus, um trotz aktivem Secure Boot eigenen Code in der EFI-Systempartition auszuführen. Diese Schwach­stelle hat Eset bereits Anfang 2025 gemeldet. Eset ordnet HybridPetya zudem als mindestens viertes öffentlich bekannte Beispiel eines UEFI-Bootkits mit Secure-Boot-Bypass ein, nach BlackLotus, BootKitty und dem Hyper-V-Backdoor-PoC.

Malware nutzt Windows-Schwachstelle aktiv aus

BlackLotus-Bootkit umgeht UEFI Secure Boot von Windows

„Ende Juli 2025 stießen wir auf verdächtige Ransomware-Samples unter verschiedenen Dateinamen, darunter notpetyanew.exe und ähnliche. Dies deutet auf eine Verbindung zu der berüchtigt zerstörerischen Malware hin, die 2017 die Ukraine und viele andere Länder heimsuchte. Der NotPetya-Angriff gilt als der verheerendste Cyberangriff der Geschichte mit einem Gesamtschaden von über 10 Milliarden US-Dollar. Aufgrund der gemeinsamen Merkmale der neu entdeckten Samples mit Petya und NotPetya haben wir diese neue Malware HybridPetya genannt“, erklärt Eset-Forscher Martin Smolár, der die Entdeckung machte, in einem Blogbeitrag.

Unsicherer PE-Loader

Cyberangreifer können UEFI Secure Boot von Microsoft umgehen

Technische Analyse von HybridPetya

Neben den Unterschieden und Gemeinsamkeiten von HybridPetya mit Petya und NotPetya haben die Forschenden sich auch angesehen, wie die neue Malware-Variante vorgeht.

• 1. Systemüberprüfung: Wenn HybridPetya startet, prüft die Malware zuerst, ob der Computer mit UEFI läuft und ob die Festplatte mit GPT-Partitionierung eingerichtet ist. Das sind technische Voraussetzungen, um bestimmte Schutzmechanismen zu nutzen beziehungsweise zu umgehen.

• 2. Installation eines Bootkits in der EFI-Systempartition: Wenn die Voraussetzungen erfüllt sind, legt HybridPetya verschiedene Dateien in der EFI-Systempartition ab. Dieses Ver­zeichnis ist normalerweise Teil des Startprozesses des Rechners. Ist es kompromittiert, funktioniert auch Secure Boot nicht. Zu den abgelegten Dateien gehören unter anderem Konfigurationsdateien, eine modifizierte Bootloader-Version und ein Fallback-Bootloader.

• 3. Manipulation des Bootloaders: Die Malware ersetzt den offiziellen Windows-Bootloader „bootmgfw.efi“ durch eine manipulierte Variante („reloader.efi“) und löscht oder entfernt andere Startdateien wie „bootx64.efi“. Dadurch wird sichergestellt, dass beim nächsten Neustart der kompromittierte Bootvorgang verwendet wird.

• 4. Täuschung und Neustart: Nachdem sich HybirdPetya installiert hat, erzeugt die Malware einen „Blue Screen of Death“ (BSOD) mit einer falschen Fehlermeldung. Dann startet das System neu, und das bösartige Bootkit wird aktiv, bevor das reguläre Betriebssystem hochfährt.

• 5. Verschlüsselung der Dateien: Sobald der Bootkit ausgeführt wird, beginnt HybridPetya damit, die Master File Table zu verschlüsseln. Verschlüsselt wird Eset zufolge mit dem Algorithmus Salsa20 unter Nutzung eines Schlüssels und eines sogenannten Nonce, die aus einer der Konfigurationsdateien stammen. Gleichzeitig zeigt die Malware eine gefälschte „CHKDSK“-Meldung an, um den Eindruck einer normalen Systemprüfung zu erwecken.

Zwar haben die Forschenden von Eset keine Hinweise dafür gefunden, dass HybridPetya bereits in der Praxis eingesetzt wurde. Dennoch fanden sie eine Erpressungsnachricht in dem analysierten Malware-Sample. In dieser wird das Opfer aufgefordert einen 32-stelligen Schlüssel einzugeben, um die verschlüsselten Daten zu entschlüsseln. Die Researcher weisen darauf hin, dass dieser analysierte Ablauf von HybridPetya sich von dem Proof of Concept der UEFI-Umgehung aus dem Video, das @hasherezade geteilt hat, unterscheidet. Dennoch vermuten sie, dass zwischen beiden Fällen eine Beziehung bestehen könnte. HybridPetya könnte ihrer Meinung nach sowohl von einem unbekannten Bedrohungsakteur wie auch für ein Forschungsprojekt entwickelt worden sein.

Rechtssicherheit für Cybersicherheitsforschende

Zwei Cybersicherheitsforschende in Simulation verwarnt

Schutz vor HybridPetya

Um sich vor HybridPetya zu schützen, empfiehlt Eset, dafür zu sorgen, dass das UEFI Secure Boot aktuell ist und die aktuellen DBX-Updates von Microsoft aufgespielt sind. Zudem sollten Unternehmen sicherstellen, dass auch alle weiteren Sicherheitsupdates zeitnah installiert werden. Zudem sollten sie die EFI-Systempartition auf unautorisierte Änderungen zu überwachen und die Bootloader-Integrität regelmäßig überprüfen. Eset hat die Indicators of Compromise über Github veröffentlicht. Diese können ebenfalls dabei helfen, sich vor HybridPetya zu schützen.

Objektspeicher als Antwort auf Ransomware

Lehren aus WannaCry und Petya

(ID:50549582)