Erpresser, Trojaner, Ransomware und kein Ende...

Ransomware, Erpresserviren, Verschlüsselungstrojaner, wie man die Dinger auch nennt, sie sind zu einer ernsthaften Bedrohung für unsere Daten geworden. Inzwischen enthält jede zweite EMail mit Anhang so ein Teil, aber auch Schwachstellen in Adobe Reader, Java, Flash, Internet Explorer usw. werden inzwischen aktiv genutzt um dem Nutzer solch ein Schadprogramm unterzujubeln.
Und es ist selbst für Laien inzwischen kein Problem mehr solch einen Virus zu erzeugen - entprechende Baukästen gibts für verhältnismäßig wenig Geld in den dunklen Ecken des Internets zu kaufen.

Das Vorgehen der Schädlinge ist dabei immer ähnlich: das Schadprogramm wird irgendwie zur Ausführung gebracht und dieses verschlüsselt dann Dateien oder ganze Teile von Festplatten mit bekannten Verschlüsselungsmethoden wie AES. Es folgt das Anzeigen eines Fensters, welches die eigentliche Lösegeldforderung enthält und den Weg wie man wieder an seine Dateien kommen soll.
Dabei sind alle Dateien betroffen, auf die der Virus zugreifen kann, Texte, Bilder, Videos, Musik, etc. etc., auch auf angeschlossenen externen Festplatten oder im Netzwerk erreichbare Dateien greifen die Schädlinge zu (eine Liste der Dateien auf die "AlphaCrypt" zugreift findet man hier.
In der Regel bekommen z.B. die eigenen Bilder eine neue Dateiendung und es wird auch ganz gerne die Erpressenotiz in jedem Ordner auf der Festplatte abgelegt.
Das Bezahlen des Lösegeldes kann einem die erhoffte Rettung bringen, ich würde aber nicht davon ausgehen.

Was tun, wenn es mich erwischt hat:
Computer nicht aussschalten - nur vom Internet trennen! Erstmal rausfinden, womit man es zu tun hat. Dazu gibt es inzwischen einen netten Dienst unter malwarehunterteam.com (en) der Anhand des Erpressertextes (Ransom Note) oder einer verschlüsselten Datei (Sample encrypted File) versucht zu erkennen um welchen Schädling es sich denn genau handelt. Auch eine Google-Suche nach der Endung der verschlüsselten Dateien hilft schonmal zu erkennen worum es sich denn wirklich handelt.


Sobald man den Virus beim Namen kennt hilft einem Google wieder ganz gut weiter.
Für einige der Fieslinge gibts inzwischen Tools, die die Verschlüsselung der eigenen Daten wieder rückgängig machen können - ein Blick lohnt hier bei c't oder auch hier im Forum bleepingcomputer.com (en) oder bei dieviren.de.


Was tun, damit es mich nicht erwischt:
1. EMail - Anhänge mit allergrößter Vorsicht behandeln, auch wenn sie angeblich von einem Freund stammen - virustotal.com hilft (auch gepackte) Viren zu erkennen
2. Halten Sie ALLE Software aktuell, die mit dem Internet zu tun hat: Browser, Java, Flash, Adobe Reader, Windows... - Tools wie SUMo oder Software-Update von Glarysoft können dabei helfen alte Programme zu erkennen und zu ersetzen (Bitte bei der Installation auch wieder auf Werbeschrott achten - Stichwort benutzerdefinierte Installation)
3. Prüfen Sie jedes Programm das aus dem Internet stammt mit virustotal.com oder mindestens zwei Virenscannern.
4. Machen Sie Backups!!! Auf externe Festplatten, in der Cloud oder wo auch immer, Hauptsache ein Virus bekommt keinen Zugriff darauf (Achtung auch bei Automatismen, die veränderte Dateien im Backup überschreiben). Einige der Viren greifen auch übers Netz um sich, daher Backups wenn möglich auf externe Geräte!


!!! UPDATE !!!
Der Erpresservirus TeslaCrypt gibt auf !!!
Der Autor von Teslacrypt hat der Firma ESET einen Generalschlüssel zur Verfügung gestellt, mit dem alle Varianten von mit TeslaCrypt verschlüsselten Dateien wieder entschlüsselt werden können. Faktisch bedeutet das das Ende von TeslaCrypt. Ein universelles Tool findet man bei BleepingComputer zum download.

!!! UPDATE 2 !!!
AVG und Trendmicro haben Ihre Entschlüsselungstools aktualisiert und geben sie zum Download frei. Damit sind fast zwanzig Erpresser mehr knackbar. Die Tools sind hier zusammengefasst.

!!! UPDATE 3 !!!
Verschiedene Unternehmen und Behörden haben sich zusammengeschlossen um Erpresser-Trojanern das Leben schwer zu machen. Die neue Internetseite nomoreransom.org bietet aktuell vier weitere Entschlüsselungstools zum freien Download an. Es sollen aber noch viele mehr dazukommen.

!!! UPDATE 4 !!!
Auch der Antivirenhersteller Avast bietet inzwischen eine Sammlung Entschlüsselungstools zur freien Benutzung an. Die Tools findet man nach Trojaner sortiert hier

die Erpresser werden schlauer...

... wenn auch nicht viel.
Eine neue Variante der UKash-Erpresser-Trojaner ist im Umlauf. Gerne wird er über einschlägige Porno-Sites verteilt, aber auch über die unvermeidlichen EMail-Anhänge.
Diesmal meldet der Trojaner sich mit dem hübschen Antlitz von Frau Merkel und will 100,- Eu. über Paysafecard.....

GVU-Trojaner mit Merkel-Bild

Das Muster der Infizierung ist immer noch das gleiche, aber die Entfernung erfordert minimal mehr Aufwand:
Konnte man die alten Varianten noch im "abgesicherten Modus mit Eingabeaufforderung" nach Start von Autoruns oder CCleaner aus dem automatischen Start nehmen, so sorgt die neue Variante dafür, daß der Rechner nach Start des abgesicherten Modus sofort wieder herunterfährt.
Einfachste Möglichkeit hier ist ein Zurücksetzen des System auf einen früheren Wiederherstellungspunkt (so man denn einen hat). Der Trojaner ist dann zwar immer noch auf der Platte, kommt aber beim Starten nicht zur Ausführung - Jetzt kommt der ausführliche Virenscan zum Zug und killt das Ding. Ende des Spuks.

Also erstmal den Rechner ausmachen und mittels gedrückter F8-Taste neustarten - es erscheint das Windows-Startmenü:

Nach F8 - hier Computer reparieren wählen

Im Startmenü wählt man die Computerreparatur (wichtig: es gehen nur die Pfeiltasten und Enter), die sich dann gegebenenfalls mit der Anmeldemaske für den Benutzer meldet.

hier Systemwiederherstellung wählen

 Hier wählt man die Systemwiederherstellung.

hier einen Punkt auswählen und "Weiter"

Hier wählt man einen Wiederherstellungspunkt vor der Infektion aus und startet die Wiederherstellung.

Nach deren Abschluß bleibt nur der Computerneustart.








Jetzt sollte Windows wieder wie gewohnt starten (evtl. fehlen einige Updates, die kommen aber wieder) und man kann mit der Reinigung loslegen.
Für den Virenscan sollte man erstmal seinen eigenen Virenscanner im Vollscan nutzen (nach Update) und zusätzlich mindestens einen zweiten als on-demand-Variante. Ich nehme dafür ganz gerne Malwarebytes Antimalware (neu als Chamäleon) oder McAfee's Stinger oder Kaspersky's Virus Removal Tool. Oder einfach alle drei. Das wars.

die vermaledeite Startseite....

Oh, ein Update für Avira, gut, so bleibt mein Antivirenprogramm auf dem neuesten Stand, wunderbar, gleich machen...... weiter..... weiter.... weiter..... fertigstellen. Prima.
So noch schnell ins Netz, was googeln, oh, was ist das denn, sonst kam doch immer google.de als Startseite, was um alles in der Welt ist Ask???
So oder so ähnlich könnte es gewesen sein, man installiert ein neues Programm oder aktualisiert wie im Beispiel den Virenscanner und hat plötzlich eine veränderte Startseite. Wie kommt das und was soll das? Nun ja, ganz einfach, der Suchmaschienenbetreiber ASK verdient natürlich Geld mit seiner Seite (wie Google übrigens auch), daß heißt er hat natürlich ein Interesse daran, daß möglichst viele Nutzer die Suche auf seiner Seite benutzen. Also geht er Partnerschaften mit Anbietern kostenloser Software ein, die dem Nutzer dann bei der Installation ihrer Programme z.B. die Startseite auf Ask umbiegen. So hat auch der Anbieter kostenloser Software was davon.
Was mach man dagegen? Nun als erstes gilt wie immer aufpassen beim Installieren von Programmen und IMMER die sog. benutzerdefinierte Installation wählen. Hier werden einem die Voreinstellungen gezeigt und man kann Zusatzbestandteile, die man nicht braucht abschalten - z.B. die veränderte Startseite, Toolbars, etc.
Was wenn das Kind schon in den Brunnen gefallen ist? Das setzen der Startseite ist bei den meisten Browsern relativ einfach. Am besten man gibt in der Adresszeile erstmal die gewünschte Adresse ein (hier im Bild ist das die Google-Suche im Firefox) und bestätigt mit Enter - die Seite wird geöffnet!



Die gewünschte Startseite wird also angezeigt. Jetzt sucht man die Einstellungen des Browsers

Im Einstellungen - Fenster kann man beim Firefox oben mehrere Knöpfe finden - wir brauchen den Knopf Allgemein und wenn wir hier auf den Knopf Aktuelle Seite verwenden klicken, ist die gewünschte neue Seite eingerichtet. Mit OK bestätigen und das wars - ab sofort begrüßt uns Firefox wieder mit der gewünschten Startseite... bis zum nächsten Mal.