Open Sourcecode senkt die Einstiegshürden
Neue Ransomware-Gruppe Yurei: Open Source-Code erleichtert weltweite Angriffe
Laut Check Points Sicherheitsforschern verbreitet sich die neue Bedrohung in rasantem Tempo
Check Point Software Technologies warnt vor einer neuen Ransomware-Bedrohung namens Yurei, ein Begriff aus der japanischen Folklore für rastlose Geister. Check Point Research hat die Gruppe am 5. September 2025 erstmals entdeckt. Bereits in der ersten Woche konnte Yurei drei Unternehmen auf seiner Leak-Seite im Darknet aufführen:
>> Sri Lanka: Ein Lebensmittelhersteller wurde als erstes Opfer kompromittiert. Hier zielten die Angreifer auf kritische Produktions- und Lieferketteninformationen, deren Veröffentlichung weitreichende Folgen für die Versorgungssicherheit und die Markenreputation hätte.
>> Indien: Nur wenige Tage später folgte ein weiteres Unternehmen, dessen interne Finanz- und Geschäftsdaten entwendet wurden. Diese Informationen können nicht nur für Erpressung, sondern auch für Wirtschaftsspionage genutzt werden.
>> Nigeria: Als drittes Opfer wurde ein regionales Dienstleistungsunternehmen angegriffen. Hier droht die Offenlegung von Kunden- und Vertragsdaten, was potenziell schwerwiegende rechtliche und finanzielle Konsequenzen nach sich ziehen könnte.
Diese drei Vorfälle zeigen, wie schnell und global Yurei agiert – und, dass unterschiedliche Branchen und Regionen innerhalb kürzester Zeit ins Visier geraten können.
Die technische Basis der Angriffe verdeutlicht jedoch auch eine gefährliche Entwicklung: Yurei nutzt nahezu unverändert den öffentlich verfügbaren Code des Open-Source-Projekts Prince-Ransomware, der in der Programmiersprache Go geschrieben wurde. Diese frei zugängliche Codebasis senkt die Hürden für Cyber-Kriminelle drastisch. Sie müssen keine eigene Schad-Software entwickeln, sondern können den bestehenden Code mit nur minimalen Anpassungen übernehmen und innerhalb weniger Tage eine funktionsfähige Ransomware-Kampagne starten.
Check Point Research konnte im Code sogar noch nicht entfernte Symboltabellen nachweisen – ein klarer Hinweis darauf, dass die Angreifer den offenen Quell-Code nahezu unverändert übernommen haben. Dies macht deutlich, wie leicht selbst wenig erfahrene Täter mit vorhandenen Bauplänen schnell operativ werden können.
Doppelter Erpressungsansatz mit Fokus auf Datendiebstahl
Yurei folgt dem klassischen Double-Extortion-Modell und setzt das Opfer gleich doppelt unter Druck:
>> Dateiverschlüsselung: Die Schad-Software verschlüsselt Dateien auf allen Laufwerken parallel mit dem ChaCha20-Algorithmus und versieht sie mit der Endung ".Yurei".
>> Exfiltration sensibler Daten: Noch wichtiger als die Verschlüsselung ist jedoch der Diebstahl vertraulicher Informationen. Yurei droht damit, diese Daten zu veröffentlichen, um die Opfer zur Zahlung zu zwingen.
Obwohl die Malware einen technischen Mangel aufweist – auf Systemen mit aktivierten Windows Shadow Copies lassen sich teilweise Daten wiederherstellen – bleibt die Gefahr erheblich. Denn selbst wenn die Opfer ihre Dateien aus Backups rekonstruieren können, bleibt die Erpressung durch die Androhung einer Datenveröffentlichung ein wirksames Druckmittel.
Globale Ausbreitung und mögliche Herkunft aus Marokko
Innerhalb weniger Tage hat Yurei seine Angriffe auf mehrere Kontinente ausgeweitet. Erste Hinweise, darunter VirusTotal-Uploads aus Marokko und ein arabischer Kommentar im HTML-Code der Darknet-Seite, deuten mit geringer Sicherheit auf einen Ursprung in Marokko hin. Unabhängig von der genauen Herkunft zeigt dieser Fall, dass Ransomware heutzutage weltweit und ohne geografische Einschränkungen entstehen kann.
Handlungsempfehlungen für Unternehmen
Die schnelle Ausbreitung von Yurei macht deutlich, wie einfach sich Open-Source-Ransomware für Angriffe nutzen lässt. Check Point empfiehlt daher:
>> Eine ganzheitliche Sicherheitsarchitektur aufbauen, die Endpunkte, Netzwerke und Identitäten integriert und auch hybride sowie Multi-Cloud-Umgebungen abdeckt.
>> Anti-Phishing-Maßnahmen skalieren, inklusive automatisierter E-Mail-Analyse, fortlaufender Awareness-Trainings und Verhaltensanalysen, um auch KI-generierte Lockversuche zu erkennen.
>> Backups segmentieren und regelmäßig testen, damit Daten im Notfall schnell wiederhergestellt werden können – auch wenn dies keine Garantie gegen die Veröffentlichung gestohlener Informationen ist.
>> Frühzeitige Erkennung durch Threat Hunting und Deception-Technologien einsetzen, um Angriffe bereits in der Anfangsphase zu identifizieren und zu stoppen.
Lehren aus Yurei
Yurei macht deutlich, dass moderne Ransomware keine hochentwickelte Technik benötigt, um erheblichen Schaden anzurichten. Durch frei zugänglichen Quellcode werden die Einstiegshürden so stark gesenkt, dass auch wenig erfahrene Täter in kürzester Zeit internationale Kampagnen starten können. Die Kombination aus Datendiebstahl und Erpressung erhöht den Druck auf Unternehmen erheblich – selbst dann, wenn eine teilweise Datenwiederherstellung möglich ist.
Organisationen sollten deshalb ihre Sicherheitsstrategien kritisch prüfen, mehrschichtige Schutzkonzepte implementieren und vor allem auf präventive Maßnahmen setzen: von der Segmentierung und regelmäßigen Überprüfung von Backups über die kontinuierliche Überwachung von Netzwerken bis hin zur umfassenden Sensibilisierung der Mitarbeiter. Nur ein vorausschauender, umfassender Ansatz kann das Risiko solcher Angriffe nachhaltig senken. (Check Point Software Technologies: ra)
eingetragen: 06.10.25
Check Point Software Technologies: Steckbrief
Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.