EmotetRichtig entfernen?

Emotet-Virus – ein gefährlicher Banktrojaner, der die Dridex- und Qakbot-Schadsoftware auf betroffenen Rechnern installieren kann

Der Emotet-Virus ist ein Banktrojaner, der mindestens seit 2014 bekannt ist. Das bösartige Programm wird verwendet, um persönliche Daten zu stehlen und weitere Schadsoftware auf den betroffenen Computern zu installieren. Typischerweise verbreitet er sich über Phishing-Mails, die bösartige URLs enthalten und zu Dokumenten mit korrupten Makros führen. Wenn der Benutzer das Dokument öffnet oder Makros aktiviert, wird die Schadsoftware geladen und auf dem System ausgeführt.

Emotet macht sich schwache Admin-Passwörter und Systemschwachstellen zunutze, um sich im Computernetzwerk auszubreiten. Die fortschrittliche Cyberbedrohung hat vor allem die Aufgabe Schadsoftware auf die betroffenen Computer einzuschleusen, um Finanz- und Bankdaten zu stehlen.

Auf dem betroffenen Computer versucht Emotet, Admin-Rechte zu bekommen. Wenn dies nicht gelingt, führt er sich über andere Systemprozesse aus. Der Virus nimmt außerdem verschiedene Änderungen am System vor, um beim Systemstart zu booten, Systeminformationen zu sammeln, die Informationen zu verschlüsseln und an einen C&C-Server zu senden.

Gängige Sicherheitsprogramme identifizieren die Cyberbedrohung als:

• Mal/Emotet-E
• Troj/Inject-CRI
• Troj/Agent-AWUQ
• Troj/Wonton-ABA
• Mal/Generic-S
• C2/Generic-B
• Mal/Emotet-*
• HPmal/Emotet-A
• HPmal/Emotet-B
• Troj/EmotMem-A
• Mal/EncPk-ACW

Trotz der Tatsache, dass der Trojaner erkannt werden kann, ist die Entfernung aufgrund seiner spezifischen Funktionalität recht kompliziert. Der Wurm wurde entwickelt, um eine Erkennung zu vermeiden. Beispielsweise kann sich die Schadsoftware unter Prozessen mit beliebigen oder legitim aussehenden Namen verstecken, z.B. wingroup.exe oder servicelog.exe.

Dateien bezüglich Emotet werden in der Regel in den folgenden Verzeichnissen abgelegt:

• C:\Windows\
• C:\windows\system32\
• C:\Windows\Syswow64\
• C:\Benutzer\\AppData\Local\Temp\

Wir raten jedoch davon ab, diese Orte zu überprüfen und bösartige Dateien manuell zu löschen. Emotet lässt sich auf diese Weise nicht wirksam entfernen. Der Wurm verbreitet sich über das Netzwerk und kann sich somit wieder neu installieren.

Aus diesem Grund ist es wichtig, dass auf allen Computern, die mit dem betroffenen Netzwerk verbunden sind, ein leistungsfähiges Antivirenprogramm installiert ist. Nur leistungsstarke Schadsoftware-Entferner können diese Cyberbedrohung vollständig beseitigen. Wir empfehlen für eine korrekte Entfernung des Virus dringend eine Anti-Malware wie FortectIntego oder MalwarebytesMalwarebytes zu verwenden.

Es ist wichtig, Emotet sofort zu deinstallieren, denn die Schadsoftware ist in der Lage andere Cyberbedrohungen auf das System zu übertragen. Sicherheitsspezialisten von Viruss.lv berichten, dass der Bankwurm auch die Viren Dridex oder Qakbot in die betroffenen Systeme einschleusen kann.

Besonderheiten des Banktrojaners bezüglich der Infiltrierung und Arbeitsweise

Die Ersteller dieser Schadsoftware verbreiten ihre Kreation über bösartige Spammails. Die Phishing-Mail kommt in der Form einer Spam-Rechnung oder -Zahlungsinformation, um leichtgläubige Computernutzer dazu zu bringen, den darin enthaltenen bösartigen Link zu öffnen.

Der Link leitet zu einer spezifischen URL, die den Download eines infizierten Dokuments mit einem bösartigen Makro auslöst. Dieses in das Dokument eingebettete Makro veranlasst cmd.exe und PowerShell dazu, die Schadsoftware von der bösartigen Webseite herunterzuladen.

Im Folgenden eine Liste an entdeckter URLs, die zur Verbreitung des Banktrojaners Emotet verwendet werden:

• hxxp://vanguardatlantic[.]com/Invoice-number-7121315833-issue/;
• hxxp://abbeykurtz[.]com/VZZQNZJIZD9113942;
• hxxp://charly-bass[.]de/Copy-Invoice-0954/;
• hxxp://aplacetogrowtherapy[.]com/CNNKIAPGEP3572621.

Nach der Installation werden Kopien der Schadsoftware in den folgenden Ordnern abgelegt:

• System%\{zeichenfolge 1}{zeichenfolge 2}.exe;
• %AppDataLocal%\Microsoft\Windows\{zeichenfolge 1}{zeichenfolge 2}.exe.

Darüber hinaus sagen IT-Analysten, dass das bösartige Programm den Alternate Data Stream (auch bekannt als Zone Identifier) löscht, der die Quelle der Datei bestimmt, die man aus dem Internet Explorer herunterladen möchten. Es ist daher fast unmöglich, den Trojaner selbst zu erkennen.

Der Trojaner umgeht anschließend das System, indem er sich als Systemdienst registriert und die Einträge in der Windows-Registry ändert, um den Autostartmechanismus zu aktivieren. Mit anderen Worten: Der Emotet-Virus stellt alles so ein, dass er jedes Mal startet, wenn der Computer eingeschalten wird.

Anweisungen zur Entfernung von Emotet von betroffenen Geräten 

Wie bereits erwähnt, kann dieser bösartige Virus weitere Computer infizieren, die mit demselben Netzwerk verbunden sind. Wenn Sie die Entfernung von Emotet hinauszögern, riskieren Sie nicht nur Ihre eigene Sicherheit, sondern auch die anderer. Beachten Sie, dass es sich um ein sehr gefährliches Programm handelt, das imstande ist, seine Anwesenheit und Spuren zu verbergen. Der Versuch, es selbst zu beseitigen, kann zu irreversiblen Schäden an Ihrem System führen.

Wir empfehlen den Emotet-Virus so schnell wie möglich zu entfernen, indem Sie eine robuste Anti-Malware wie FortectIntego oder SpyHunterCombo Cleaner verwenden. Der Banktrojaner blockiert jedoch möglicherweise die Installation von Sicherheitssoftware. Sie müssen den Computer daher in den abgesicherten Modus hochfahren und die Sicherheitssoftware dort herunterladen. Anschließend können Sie eine vollständige Systemüberprüfung durchführen und die Schadsoftware entfernen. 

Beachten Sie, dass Sie Emotet von allen Computern deinstallieren müssen, die mit dem gleichen betroffenen Netzwerk verbunden sind. Wenn Sie eine Systemüberprüfung mehrmals durchführen und immer noch bösartige Komponenten finden, bedeutet dies, dass es noch infizierte Geräte im Netzwerk gibt. Die Entfernung des Trojaner ist somit eine komplexe Aufgabe und erfordert die sofortige Bereinigung aller angeschlossenen Computer.