Wallet-ErpressersoftwareRichtig entfernen?

Wallet Ransomware – ein Virus, der jetzt entschlüsselbar ist

Als Sicherheitsexperten Dateien entdeckt haben, die am Ende mit .wallet markiert worden sind, wurde der dafür verantwortliche Virus mit dem Namen Wallet-Virus getauft. Während der Untersuchungen wurde festgestellt, dass es sich hierbei um ein Krypto-Erpressungsprogramm handelt, das von der Virenfamilie Dharma abstammt. Diese fest etablierte Gruppe an Erpressungsprogrammen ist bereits dafür bekannt komplexe Verschlüsselungsalgorithmen anzuwenden, wie bspw. AES und RSA.

Obwohl der Code von Dharma und Wallet quasi identisch ist und Experten nicht zögern die Virenbezeichnungen synonym zu verwenden, ist es für den regulären Computernutzer wahrscheinlich eine etwas andere Erfahrung. Jeder dieser Viren markiert die verschlüsselten Dateien nämlich mit unterschiedlichen Namenszusätzen. Betroffenen zufolge versieht der Virus verschlüsselte Dateien mit einem .wallet oder [[email protected]].wallet.lock. 

Zudem werden verschiedene E-Mail-Adressen als Kontaktinformationen angegeben. Der Einfachheit halber und um Ihnen etwas Zeit zu ersparen, gehen wir in den folgenden Abschnitten nur auf die Hauptcharakteristiken des Virus ein. Sie werden am Ende des Artikels außerdem hilfreiche Ratschläge für die Entfernung von Wallet (Dharma) finden.

Sobald sich der Virus auf dem System befindet, aktiviert er seine schädliche Programmdatei, die den Systemscan veranlasst. Während des Scans sucht der Virus nach bestimmte Dateitypen, hauptsächlich persönliche Dokumente, Medien, Archive usw. Anschließend verschlüsselt er sie und markiert sie mit .wallet oder mit einer zusätzlichen E-Mail-Adresse der Erpresser wie bspw. [[email protected]].wallet.lock. Des Weiteren ersetzt der Virus den Bildschirmhintergrund mit einer Mitteilung. Im Folgenden eine Abschrift:

“//hallo, our dear friend!
//looks like you have some troubles with your security.
//all your files are now encrypted.
//using third-party recovering software will corrupt your data.
//you have only one way to get them back safely – using our decryption tool.
//to get original decryption tool contact us with email. in subject like write your ID, which you can find in name of every crypted file, also attach to email 3 crypted files.
[email protected]
//it is in your interest to respond as soon as possible to ensure the restoration of your files, because we won’t keep your decryption keys at our servers more than 72 hours in interest of our security.
//P.S. only in case you don’t receive a response from the first email address within 24 hours, please use this alternative email address.
[email protected]

Wie wir bereits erwähnt haben, können die E-Mail-Adressen in diesem Erpresserbrief verschieden sein. Einige wenige Beispiele hierfür sind:

• [email protected]
• [email protected]
• [email protected]
• [email protected]
• [email protected]
• [email protected]
• [email protected]
• [email protected].

Der Erpresserbrief wurde zwar in Englisch verfasst, aber es ist offensichtlich, dass es für die Täter eine Fremdsprache ist. Ungeschickte syntaktische Konstruktionen und Rechtschreibfehler verraten sie. Nichtsdestotrotz sind das Ziel Computernutzer, die Englisch sprechen und die Situation verstehen.

Obwohl weitere Anweisungen für die Datenwiederherstellung nur nach der Kontaktaufnahme mit den Kriminellen ausgehändigt werden, können wir bereits annehmen, dass ein bestimmter Betrag an Bitcoins überwiesen und das Ganze möglicherweise über das anonyme Tor-Netzwerk geschehen soll. Die Lösegeldbezahlung sollte allerdings die letzte Option sein. Experten empfehlen den Wallet-Virus zu entfernen und Kriminelle nicht finanziell zu unterstützen

Wallet-Erpressungsprogrammversionen

[email protected] ist eine von den vielen Versionen des Virus, die sich auf die Verschlüsselungsalgorithmen AES und RSA verlassen. Die Algorithmen werden zur Verschlüsselung von Word-, PDF-, Excel- und ähnlichen Dateien verwendet, um sie unzugänglich zu machen. Man kann die vom [email protected] oder anderen Erpressungsprogrammen verschlüsselten Dateien unterscheiden, indem man die Dateinamen genauer beäugt, denn sie markieren die Dateien mit der entsprechenden E-Mail-Adresse.

Im Falle einer Infizierung lassen sich die Dateien mit Back-ups wiederherstellen. Die Täter empfehlen natürlich einen speziellen Entschlüsselungsschlüssel kaufen, der nach der Verschlüsselung an ihre C&C-Server übertragen wurde. Bitte gehen Sie den Forderungen nicht nach! Es ist durchaus möglich, dass Sie sonst am Ende mit nichts dastehen!

[email protected] kann ein Großteil der auf dem Computer gespeicherten Dateien verschlüsseln. Das Erpressungsprogramm geht hierbei genau wie seine Vorgänger vor und verlangt nach der Verschlüsselung ein Lösegeld. Es versieht die korrupten Dateien im Dateinamen typischerweise mit .[[email protected]].wallet und speichert ebenfalls die Datei README.txt auf dem Computer, welche Informationen über die Datenwiederherstellung enthält. Die Anweisungen vom [email protected] sind allerdings nicht so detailliert, wie die von anderen Erpressungsprogrammen. In allen Fällen sollte man es nicht in Betracht ziehen das Lösegeld zu bezahlen.

Techniken zur Verbreitung von Kryptomalware

Wallet nutzt genau wie der originale Virus Phishing, um in die Computer einzudringen. Meistens verlassen sich die Betrüger hierbei auf Spammails und senden ihre infizierten Dateien in die Posteingänge der potenziellen Opfer. Der Empfänger muss dann nur noch die Datei in der überzeugend aussehenden E-Mail herunterladen und er setzt den Virus frei.

Es gibt zurzeit immer noch zahlreiche Computernutzer, die auf solche Tricks hereinfallen. Man kann ihnen auch nichts vorwerfen, denn die Hacker machen von fortschrittlichen Social-Engineering-Techniken Gebrauch, um vom Download der vermeintlichen Flugtickets, Rechnungen und Ähnlichen zu überzeugen. Das zeigt lediglich, dass man die Sicherheit von E-Mails nicht voraussetzen sollte, selbst wenn sie von einer bekannten Organisation oder Behörde stammen.

E-Mails sollten immer erst unter die Lupe genommen werden, bevor man ihre Inhalte öffnet. Auf diese Weise lässt sich zumindest verhindern, dass Dateien auf dem Computer von einem Erpressungsprogramm verschlüsselt werden.

Löschen Sie die Ransomware und versuchen Sie dann, Ihre Daten wiederherzustellen

Erpressungsprogramme sind hinsichtlich ihrer Vielschichtigkeit und ihren Auswirkungen auf dem System eine der führenden Viren. Im Anbetracht dessen kann man auch erwarten, dass die Entfernung von Wallet nicht so leicht vonstattengehen wird. Natürlich gibt es Tools, die eine Entfernung enorm erleichtern.

Ein vollständiger Systemscan mit einer professionellen Anti-Malware dauert nicht länger als 10 Minuten und der Computer kann anschließend wieder normal verwendet werden. Allerdings legen solche Viren einen auch gerne Steine in den Weg, weshalb es nicht überraschend wäre, wenn die Entfernung beim ersten Mal nicht klappt. Wir haben für diesen Fall eine Anleitung vorbereitet, die Ihnen dabei helfen sollte den Virus endgültig und erfolgreich zu beseitigen.