Die Ransomware VECT 2.0 verfügt über einen grundlegenden Fehler im Verschlüsselungsmechanismus, der es zu einer Art Daten-Wiper macht — einem Werkzeug zur endgültigen Datenzerstörung. Das Sicherheitsforschungsunternehmen Check Point hat die technische Ursache analysiert und veröffentlicht alarmierende Erkenntnisse.
Das Kernproblem liegt in der Handhabung von Nonces (einmalig verwendete Verschlüsselungswerte). Bei der Verschlüsselung großer Dateien teilt VECT 2.0 diese in mehrere Chunks auf. Um den Prozess zu beschleunigen, nutzen alle Chunk-Verschlüsselungen denselben Speicherpuffer für die Nonce-Ausgabe. Dies führt dazu, dass jede neu generierte Nonce die vorherige überschreibt. Nachdem alle Chunks verarbeitet wurden, bleibt nur die letzte Nonce im Speicher und wird auf die Festplatte geschrieben.
Dies hat katastrophale Konsequenzen: Von einer verschlüsselten Datei sind nur die letzten 25 Prozent wiederherstellbar. Die ersten drei Viertel sind dauerhaft verloren, da die dazugehörigen Nonces nicht mehr vorhanden sind. Noch schlimmer: Die fehlenden Nonces werden nicht einmal an die Angreifer übermittelt, sodass selbst zahler Opfer ihre Daten nicht zurück erhielten.
Die Schwelle für “große Dateien” liegt bei nur 128 KB — kleiner als ein typisches Email-Attachment. Check Point warnt, dass dies praktisch alle geschäftskritischen Dateien umfasst: VM-Festplatten, Datenbanken, Sicherungen, Dokumente, Tabellen und Mailboxen. In einer typischen Unternehmensumgebung würde VECT 2.0 so wirken, als wolle der Angreifer Daten komplett vernichten.
Die Sicherheitslücke betrifft alle Varianten von VECT 2.0 — Windows, Linux und ESXi. Besonders bemerkenswert ist die Ankündigung einer Partnerschaft zwischen VECT-Operatoren und TeamPCP, der Hackergruppe hinter den Lieferkettenangriffen auf Trivy, LiteLLM, Telnyx und sogar die Europäische Kommission. Geplant ist, in kompromittierte Umgebungen dieser Angriffe Ransomware einzuschleusen.
Für deutsche Unternehmen, besonders in kritischen Infrastrukturen, Medizintechnik und Finanzsektor, bedeutet dies doppeltes Risiko: Lieferkettenangriffsrisiko plus Datenverlust statt Erpressbarkeit. Das BSI empfiehlt verstärkte Kontrollen für verdächtige Aktivitäten und sichere Backups, die vom Netzwerk getrennt sind.