Sigma-ErpressersoftwareRichtig entfernen?

Sigma: Erpressersoftware breitet sich auch in 2018 weiter aus und verschlüsselt Dateien

Sigma ist eine Cyberbedrohung der Kategorie Ransomware, die anvisierte Dateien nach RSA-2048 verschlüsselt und sie mit einer beliebigen vierstelligen Endung versieht. Nach der Verschlüsselung hinterlegt sie die Datei ReadMe.html oder ReadMe.txt, wo auf die Lösegeldzahlungsseite verwiesen wird. Am häufigsten infiziert man sich mit dieser Schadsoftware durch das Öffnen von schädlichen E-Mail-Anhängen. Sicherheitsexperten warnen jedoch, dass im März 2018 neue Malspam-Aktionen gesichtet worden sind.

Der Sigma-Virus hat eine geringe Entdeckungsquote. Er verbreitet sich getarnt als Automated Universal MultiBoot UFD Creation Tool.exe oder Guid.exe.bin und wird als Trojan.Agent.CPOW,, Trojan.Ransom.Shade!1.A988 (CLASSIC) usw. erkannt. Das erste Exemplar wird nur von einem Sicherheitstool als Trojan.Generic.bcnxb entdeckt. Der Trojanername Trojan.Ransomware.Shade!1.A988 (CLASSIC) und das Design lässt vermuten, dass eine Verbindung zu der Shade-Schadsoftware besteht.

Darüber hinaus liest der Virus technische Computerdaten aus, im Einzelnen RDP-Protokolldaten, und erstellt gefälschte Systemprozesse, um seine Aktivitäten zu verschleiern. Interessanterweise hat die Schadsoftware noch Anti-Sandboxing-Funktionen, womit ihre Erkennung verhindert wird. Wenn das besetzte System eine normale Betriebssystemumgebung ist und keine virtuelle Maschine, dann verbindet sich die Schadsoftware mit http://ip.api/json.txt und überträgt Informationen über den geografischen Standort ihres Opfers. Die Entfernung von Sigma ist zur Behebung des Schadens notwendig.

Die Hauptaufgabe der Erpressersoftware ist allerdings Dateien auf dem betroffenen Computer zu verschlüsseln. Während des Prozesses speichert sie die Datei ReadMe.html, worin Opfer zu einer Bezahlseite geführt werden. Ferner informiert sie kurz über die verschlüsselten Daten und weist den Download vom Tor-Browser an, damit auf die Onion-Seite zugegriffen werden kann. Die Onion-Seite trägt den Titel “Sigma Ransomware” und fragt nach der Geräte-GUID. Ebenfalls wird ein Link für den Download vom GUID Helper bereitgestellt.

Ist die Verschlüsselung fertiggestellt, ändert die Schadsoftware den Desktop-Hintergrund. Die darin enthaltene Nachricht drängt Opfer dazu die ReadMe-Datei zu öffnen und den Onion-Link zu besuchen und dort eine persönliche ID einzugeben, welche im Erpresserbrief zu finden ist. Auf dem Desktop hinterlegt Sigma außerdem die Dateien GUID.exe und GUID.txt.

Die Bezahlseite besteht aus mehreren Seiten, eine davon zeigt die exakte Zeit an, wann die Dateien verschlüsselt worden sind. Für die Entschlüsselungssoftware wird 1000 USD verlangt. Wenn das Lösegeld nicht innerhalb von 7 Tagen bezahlt wird, verdoppelt sich die Summe. Auf der gleichen Onion-Seite werden Opfer noch dazu angehalten ein Bitcoin-Wallet zu erstellen.

Die Untersuchung von Sigma hat gezeigt, dass im Vergleich zu gewöhnlichen Erpressungsprogrammen keine E-Mail-Adresse zur Kontaktaufnahme angegeben wird, sondern stattdessen die Nutzung von Xamp vorgeschlagen wird. Selbst ein Link für eine Installationsanleitung für Pidgin wird bereitgestellt. Die Angreifer können danach über [email protected] kontaktiert werden.

Statt den Forderungen Folge zu leisten, entfernen Sie die Erpressersoftware. Sie können dies mithilfe von FortectIntego oder MalwarebytesMalwarebytes bewerkstelligen. Möglicherweise müssen Sie hierfür den Computer in den abgesicherten Modus mit Netzwerktreibern starten. Weitere Anweisungen finden Sie unten. Bedauerlicherweise steht noch kein Entschlüsselungsprogramm für Sigma zur Verfügung. Sie können aber gerne alternative Wiederherstellungsmethoden, die wir am Ende des Artikels aufführen, ausprobieren.

Sigma verbreitende Craigslist-E-Mails seit März 2018 im Umlauf

Die Autoren des Sigma-Virus starteten für die Verbreitung der Schadsoftware eine neue Malspam-Kampagne. Dieses Mal verschickten die Gauner gefälschte E-Mails von Craigslist, die passwortgeschützte Word- oder RTF-Dokumente enthielten. Die Dokumente beinhalten natürlich die Ransomware-Programmdatei.

Empfänger, die eine infizierte E-Mail öffnen und das Passwort eingeben, werden darum gebeten den Inhalt des Dokuments zu aktivieren. Direkt im Anschluss wird ein schädliches VBA-Skript ausgeführt. Nach dem Klick auf „Inhalt aktivieren“ wird eine passwortgeschützte RAR heruntergeladen und im Verzeichnis %Temp% entpackt. Dieser Ordner enthält die Datei svchost.exe, welche die Ransomware ausführt.

Angeblich gescannte Dokumente überraschen mit Schadsoftware

Während die Schadsoftware eine detaillierte grafische Benutzeroberfläche und Zahlungsseiten zur Schau stellt, ist die Verbreitungskampagne gegenüber anderer Kryptoschadsoftware nicht besonders ausgeprägt. Die Sigma-Schadsoftware wird wie üblich in Spammailanhängen überliefert, in diesem Fall mit der Datei “Scan_[number].doc”.

In der Nachricht wird der Empfänger in kurzer Form darüber in Kenntnis gesetzt, dass [Geldsumme] von der persönlichen Mastercard gebucht wird. Um hiergegen anzugehen, sollte man den Anhang prüfen. Ein Passwort ist ebenfalls angegeben. Gibt man den Code jedoch ein, infiltriert Sigma das System. Obwohl die Schadsoftware in Englisch verfasst wurde, wurde sie überraschenderweise auf griechischen Domains gefunden.

Allerdings ist nicht nur bei Spammails Vorsicht angesagt, sondern auch beim Herunterladen von Anwendungen. Achten Sie darauf, woher Sie Ihre Anwendungen herunterladen und ob die Quellen zertifiziert sind. Kontrollieren Sie außerdem jeden Installationsschritt, um optionale und unnötige Add-ons abwählen zu können. Im Folgenden besprechen wir die Entfernung von Sigma.

Anleitung für die Entfernung der Sigma-Ransomware

Die Entfernung von Sigma ist ein absolutes Muss, um den Computer zu bereinigen und ihn wieder normal verwenden zu können. Bedauerlicherweise hilft die Entfernung des Virus nicht die verschlüsselten Dateien zu entschlüsseln. Sie können jedoch Drittsoftware ausprobieren oder von Ihren Back-ups Gebrauch machen, sobald der Computer frei von Schadsoftware ist.

Benutzen Sie für die Entfernung von Sigma Schadsoftware-Entferner wie FortectIntego, SpyHunterCombo Cleaner oder MalwarebytesMalwarebytes. Wenn Sie keine Sicherheitsanwendungen starten können, empfiehlt es sich den Computer in den abgesicherten Modus zu starten oder eine Systemwiederherstellung auszuführen. Nur nachdem Sie die Schadsoftware beseitigt haben, sollten Sie die Datenwiederherstellung angehen.