Ordinypt: Der Trojaner, der vorgibt Ransomware zu sein

Dieser Rückblick beschreibt einen Fall vom November 2017, die Angaben zum Schadprogramm stammen aus dem damaligen Stand. Das Angriffsmuster ist geblieben: Das BSI beschreibt Wiper als Programme zum unwiederbringlichen Löschen von Daten und nennt als Beispiel ihren Einsatz gegen ukrainische Banken in den ersten Tagen des Krieges 2022 (Quelle: BSI, Die Lage der IT-Sicherheit in Deutschland 2022, abgerufen am 18.10.2026). Im November 2017 tauchte mit Ordinypt eine ungewöhnliche Malware auf, die gezielt deutsche Personalabteilungen angriff. Ordinypt, auch bekannt als HSDFSDCrypt, ähnelt auf den ersten Blick typischer Ransomware, verhält sich aber anders: Der Trojaner löscht Dateien, statt sie zu verschlüsseln, und fordert trotzdem Lösegeld.

Warum Ordinypt gefährlicher als Ransomware ist

Bei echter Ransomware sind Dateien verschlüsselt, aber technisch noch vorhanden. Mit dem richtigen Schlüssel oder einem Backup ist eine Wiederherstellung möglich. Ordinypt macht das unmöglich: Die Dateien werden gelöscht und durch Dummy-Inhalte ersetzt. Wer Lösegeld zahlt, bekommt nichts zurück. Das BSI grenzt Wiper im Glossar seines Lageberichts 2024 genau so ab: Sie zielen nicht auf Verschlüsselung mit anschließender Erpressung, sondern auf Sabotage durch endgültige Vernichtung von Daten.

Verbreitung und Angriffsmuster

Ordinypt verbreitet sich als ZIP-Archiv über Phishing-E-Mails, die auf Stellenausschreibungen oder Bewerbungsunterlagen hinweisen. Die ZIP-Datei enthält zwei ausführbare Dateien mit Endungen wie “.pdf.exe”. Durch gefälschte PDF-Icons wirken die Dateien auf den ersten Blick wie harmlose Dokumente.

Der Trojaner ist in Delphi geschrieben, einer Programmiersprache, die in der Malware-Entwicklung ungewöhnlich ist und von einigen Antivirusprogrammen zunächst übersehen wurde.

Was der Trojaner tut

Nach der Ausführung:

• Dateien verschiedenster Formate werden umbenannt (Bilder, Videos, Dokumente, Backup-Archive)
• Die Dateiinhalte werden gelöscht und durch Zufallsdaten ersetzt
• Windows-Systemdateien bleiben unberührt
• Ein HTML-Dokument mit einer Erpresserbotschaft und Bitcoin-Zahlungsanweisung wird erstellt
• JavaScript wählt aus etwa hundert verschiedenen Bitcoin-Adressen aus

Auf Windows XP, Vista, 7 und 8 wurden erfolgreiche Dateilöschungen bestätigt. Ein Windows-10-System blieb in Tests unberührt, wobei die Ursache unklar blieb.

Schutzmaßnahmen

Antivirusprogramme erkannten Ordinypt bereits zum Zeitpunkt der Veröffentlichung im November 2017. Die wichtigste Schutzmaßnahme bleibt dennoch Prävention, auch gegen heutige Schadprogramme mit dem gleichen Angriffsweg:

• E-Mail-Anhänge unbekannter Absender nicht öffnen
• Dateiendungen in Windows anzeigen lassen, damit “.pdf.exe” sichtbar wird
• Mitarbeitende in Personalabteilungen gezielt für Phishing-Angriffe sensibilisieren
• Regelmäßige Backups nach dem 3-2-1-Prinzip (drei Kopien, zwei Medien, eine Kopie an einem anderen Ort), sodass eine Löschattacke keine dauerhaften Schäden hinterlässt

Häufige Fragen

Warum ist Ordinypt gefährlicher als klassische Ransomware?

Bei echter Ransomware sind Dateien verschlüsselt, aber technisch noch vorhanden, mit Schlüssel oder Backup lässt sich wiederherstellen. Ordinypt löscht die Dateien und ersetzt sie durch Zufallsdaten. Wer Lösegeld zahlt, bekommt nichts zurück, weil es nichts zum Entschlüsseln gibt.

Wie verbreitet sich Ordinypt?

Über ZIP-Archive in Phishing-E-Mails, die auf Stellenausschreibungen oder Bewerbungsunterlagen hinweisen. Die ZIP-Datei enthält ausführbare Dateien mit Endungen wie “.pdf.exe”, die durch gefälschte PDF-Icons harmlos wirken.

Erkennen Antivirusprogramme Ordinypt?

Ja, Antivirusprogramme erkannten Ordinypt bereits zum Zeitpunkt der Veröffentlichung im November 2017. Die wichtigste Schutzmaßnahme bleibt trotzdem Prävention, also unbekannte Anhänge nicht öffnen, Dateiendungen anzeigen lassen und Mitarbeitende in Personalabteilungen gezielt sensibilisieren.

Netzleiter betreut KMU in Hamburg und der Metropolregion bei Phishing-Prävention und dem Aufbau belastbarer Backup-Strategien nach dem 3-2-1-Prinzip.