{"id":174986,"date":"2016-02-13T13:40:37","date_gmt":"2016-02-13T12:40:37","guid":{"rendered":"http:\/\/www.borncity.com\/blog\/?p=174986"},"modified":"2023-07-13T15:02:13","modified_gmt":"2023-07-13T13:02:13","slug":"crypto-trojaner-die-erste-win-trojan-ramnit","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2016\/02\/13\/crypto-trojaner-die-erste-win-trojan-ramnit\/","title":{"rendered":"Crypto-Trojaner die Erste: Win.Trojan.Ramnit?"},"content":{"rendered":"

\"\"Heute noch ein kurzer <\/span>Bericht aus \"dem Maschinenraum\" \u2013 mir ist ein Windows-System in die Finger gefallen, welches mit Ransomeware, dem (wie ich meine, herausgefunden zu haben) Verschl\u00fcsselungstrojaner Win.Trojan.Ramnit, befallen war. Hier ein paar Infos und Erfahrungen, die ich beim Bereinigen gemacht habe.<\/p>\n

<\/p>\n

Hilfe, ein Virus ist auf meinem PC<\/h3>\n

\"\"Normalerweise bin ich ja momentan eher selten im B\u00fcro \u2013 aber die Woche bekam ich mit, dass das Telefon klingelte. Ein Bekannter aus dem Sportverein war dran und fragt um Rat, weil er vermutete, dass er einen Virus eingefangen habe. Das nachfolgende Dialogfeld wurde ihm angezeigt.<\/p>\n

\"\"<\/p>\n

Meine Frage nach einem Virenscanner beantwortete er \"ich hab mir da was runter geladen, keine Ahnung, wie der hei\u00dft\". Er berichtete von einem Backup, dass er vor ein paar Tagen angefertigt habe. Ich gab ihm den Tipp, den Rechner entweder auf Werksauslieferungszustand zur\u00fcckzusetzen oder das Backup zur\u00fcck zu lesen.<\/p>\n

Er hatte aber keine Ahnung, wie er das bewerkstelligen k\u00f6nne. Seine Frage, ob ich eventuell assistieren k\u00f6nne, beschied ich erst einmal zur\u00fcckhaltend. Es ist wichtig, dass im engeren und weiteren Bekanntenkreis sowie bei meinen Blog-Lesern die Message ankommt, dass ich keinen individuellen Support gebe. Denn einmal gibt es Dienstleister vor Ort, die das ganz gut machen. Zudem gibt es den Effekt \"den kleinen Finger gegeben \u2013 und dann war der Arm ab\". Aus diesem Grund stehen meine privaten Telefonnummern auch nicht in den \u00f6ffentlichen Telefonb\u00fcchern.<\/p><\/blockquote>\n

Da ich aber eine Infektion mit einem Trojaner nicht ausschlie\u00dfen konnte, und zudem gerade Microsoft Patchday gewesen war, dachte ich \"mache mal eine Ausnahme \u2013 das Backup ist fix zur\u00fcckgelesen und Du kannst dir ansehen, was wirklich auf dem System werkelt\". Vielleicht kannst Du noch was lernen. Denn Randsomeware hatte sich bisher nicht zu mir verirrt. Bl\u00f6de Entscheidung!<\/p>\n

Erste Erkenntnisse zum System und dem Sch\u00e4dling<\/h3>\n

Die erste Frage lautete nat\u00fcrlich: Was ist mit dem System los und was werkelt da. Sicherheitshalber war die zweite Festplatte im Datenhafen des Medion-Systems entfernt worden. Nach dem Booten kamen dann folgendes Fenster zur Anzeige und ein Arbeiten war nicht mehr wirklich m\u00f6glich.<\/p>\n

\"\"<\/a><\/p>\n

\"\"<\/a><\/p>\n

Die Fenster variierten \u2013 mal war es ein Texteditorfenster, mal eine HTML-Seite. Und es war klar, dass da Ransomeware arbeitete, die die Dateien der Festplatte gerade munter verschl\u00fcsselte.<\/p>\n

Die Cyber-Kriminellen lieferten genaue Angaben, wie der Nutzer die Dateien gegen ein \"L\u00f6segeld\" wieder entschl\u00fcsseln k\u00f6nne \u2013 nach dem FBI zahlen ist die einzig m\u00f6gliche L\u00f6sung, um wieder an die Daten heran zu kommen \u2013 Brr, geht's noch FBI?<\/p><\/blockquote>\n

War also keine Option, da man die Kriminellen nicht unterst\u00fctzen darf. Zudem gibt es keine Garantie, dass das wirklich klappt \u2013 oder dass nicht bald eine \"Nachforderung\" kommt. Was ich bei einem Schnelltest herausfand:<\/p>\n