Eking Ransomware: Ein dateiverschlüsselnder Virus, der die Lösegeldzahlung innerhalb von 24 Stunden erwartet
Die Erpressersoftware Eking ist ein bösartiger dateienverschlüsselnder Virus, der erstmals am 17. Mai 2020 entdeckt wurde. Die Angriffe fingen langsam an, betreffen seither aber immer mehr Anwender rund um den Globus. Laut Forschern wird der Virus über Torrent-Seiten mit Adobe Acrobat-Cracks gebündelt verbreitet, welche sehr beliebt sind und den Virus zur schnellen Ausbreitung verhilft. Sobald die bösartige Nutzlast gestartet ist, beginnt Eking seine erste Phase des Angriffs, d.h. es injiziert bösartige exe-Prozesse und erhält administrative Rechte über das System. Die zweite Phase bezieht sich auf die Verschlüsselung der Dateien. Um die Dateien zu sperren, nutzen die hinter der Ransomware steckenden Kriminellen die AES-Verschlüsselung und versehen die verschlüsselten Dateien mit dem Anhang id.[[email protected]].eking.
Der Virus Eking stammt aus der berüchtigten Ransomware-Familie Phobos, die bereits über 20 Mitglieder aufweist, darunter Mamba, Phoenix und ISO. Genau wie seine Vorgänger ahmt Eking die bekannten dateiverschlüsselnden Viren aus der Dharma-Familie nach. Es nutzt den gleichen Stil für die Lösegeldforderung und gibt wortwörtlich die gleichen Anweisungen. Zurzeit erzeugt der Eking-Virus in jedem Ordner mit gesperrten Dateien ein Pop-up info.hta oder eine Textdatei info.txt. Die Datei enthält zwei E-Mail-Adressen für die Kontaktaufnahme: [email protected] und [email protected]. Weder die Kontaktaufnahme noch die Zahlung des Lösegeldes wird empfohlen.
| Name | Eking |
| Abstammung | Der Virus gehört der Ransomware-Familie Phobos an |
| Klassifizierung | Ransomware / Erpressersoftware / Dateiverschlüsselnder Virus |
| Verschlüsselung | Aufgrund seiner Vorgänger in der Phobos-Familie, wird vermutet, dass AES zur Datenverschlüsselung verwendet wird |
| Dateierweiterung | Die Erpressersoftware nutzt die Erweiterung .eking, um gesperrte Dateien zu kennzeichnen. Außerdem weist die Erweiterung eine Opfer-ID und die E-Mail-Adresse [email protected] (in eckigen Klammern) auf |
| Erpresserbrief | Der Erpresserbrief sieht identisch zu den Dharma-Varianten aus. Er taucht in Form eines Pop-ups namens info.hta oder einer Textdatei namens info.txt auf |
| E-Mails zur Kontaktaufnahme | [email protected] [email protected] |
| Verbreitung | Zurzeit wird der Virus rege über Torrent-Seiten mit Adobe Acrobat-Cracks gebündelt. Die Ransomware-Manager können hierfür allerdings auch RDPs oder bösartige Spammailanhänge missbrauchen |
| Entfernung | Die einzige Möglichkeit zur Entfernung der Ransomware ist ein anständiger Scan mit einem professionellen AntiVirus |
| Datenentschlüsselung | Leider gibt es noch keinen offiziellen Eking-Entschlüsseler. Sie können unsere alternativen Datenwiederherstellungslösungen ausprobieren, die wir am Ende des Artikels auflisten oder angesehene Ransomware-Forscher um Hilfe bitten |
| Reparaturtool | Der durch die Ransomware angerichtete Schaden am System ist groß und kann zu Windows-Fehlern führen. Um diese Schäden zu beheben, nutzen Sie Tools wie FortectIntego |
Der Eking-Virus wird als neueste Phobos-Variante erkannt. Das erste Opfer lud eine Software herunter, einen Crack für Adobe Acrobat, und bald darauf wurden Dateien wie Fotos, Videos, Dokumente usw. mit der id.[[email protected]].eking-Kennzeichnung versehen.
Die Erpressersoftware Eking zeigt zudem einen Erpresserbrief an, der Dharmas Version sehr ähnlich ist. Opfer sehen in diesem Fall das Pop-up info.hta, das über den Angriff informiert, sowie Kontaktdaten, ID-Nummer und Anweisungen zum Kauf von Bitcoins enthält. Zusätzlich ist es möglich, dass in jedem Ordner mit verschlüsselten Daten die Datei info.txt erzeugt wird. Die Lösegeldforderung von Eking lautet wie folgt:
Your PC has been infected by a ransomware. If you want to restore them, contact the following address below.
E – Mail contact – [email protected] / [email protected]
If there is no answer in 24 hours. Try to contact us via Sonar.
Download TOR browser
hxxps://www.torproject.org/download/
While using your TOR browser copy and paste the URL below:
hxxp://kcxb2moqaw76xrhv.onion/
Register an account and message us in our ID : decphob
If the TOR link is not working go to hxxps://onion.live
NEVER RENAME ENCRYPTED FILES THIS MAY CAUSE DAMAGE TO YOUR FILES PERMANENTLY
Die Höhe des Lösegelds ist nicht eindeutig, variiert aber wohl zwischen 300 bis 5000 US-Dollar in Bitcoins. Die Bezahlung des Lösegeldes wird allerdings aufgrund von Identitätsdiebstahl und anderen Gefahren nicht empfohlen. Nutzen Sie stattdessen ein leistungsstarkes AntiVirus und entfernen Sie Eking von Ihrem PC. Basierend auf den Informationen von VirusTotal erkennen 47 von 72 Antivirenprogramme die Ransomware-Dateien als bösartig. Einige Beispiele für die Bezeichnungen einer erkannten Eking-Ransomware:
- Trojan.GenericKD.33855769
- Malware@#jur7x0zvg9ce
- A Variant Of MSIL/Kryptik.VYW
- HEUR:Trojan-PSW.MSIL.Agensla.gen
- ML.Attribute.HighConfidence
- Win32:PWSX-gen [Trj]
- Gen:NN.ZemsilF.34110.vm0@aOGvnLi
- Trojan.GenericKD.33855769 (B).
Darüber hinaus kann Eking Änderungen am Sicherheitssystem vornehmen und so verhindern, dass Antivirenprogramme es erkennen. Die Entfernung des Virus erfordert in diesem Fall einen Systemneustart in den abgesicherten Modus mit Netzwerktreibern oder die Aktivierung der Systemwiederherstellung. Verwenden Sie im abgesicherten Modus zuverlässige Antivirensoftware, wie bspw. SpyHunterCombo Cleaner, um den Rechner zu scannen und alle bösartigen Einträge zu löschen.
Nach der Entfernung der Erpressersoftware sollten Sie das System nicht verwundbar lassen. Wie wir bereits erwähnt haben, löst der Virus eine Vielzahl von bösartigen Aktivitäten auf dem System aus, die zu Bluescreens, Fehlermeldungen, Verlangsamungen oder dem Eindringen anderer Malware führen können. Optimieren Sie das System mit FortectIntego, um die Stabilität wiederherzustellen.
Ransomware wird mit listigen und trickreichen Methoden weltweit verbreitet
Unsere Experten von DieViren.de erklären, dass der Großteil an Ransomware-Infizierungen über Phishing-Mails und deren bösartigen Anhängen (Makros) erfolgt. Bei diesen Anhängen handelt es sich in der Regel um harmlos aussehende PDF-Dateien, MS-Office-Dokumente oder Ähnliches. Der Nachrichteninhalt imitiert meist seriöse Bank-, Versand- oder Gesundheitsunternehmen. Aus diesem Grund ist ratsam, bei jeder neuen Mail mit einem Anhang, wie folgt vorzugehen:
- Suchen Sie nach Fehlern (Grammatikfehler, Tippfehler, Logik usw.).
- Überprüfen Sie den Absender.
- Scannen Sie den Anhang mit einem AntiVirus.
Schritte zur Entfernung von Eking und zur Datenwiederherstellung
Die Erpressersoftware sollte aus dem System entfernt werden, sobald Sie das Eking an Ihren Dateien gefunden haben. Vergessen Sie nicht, dass diese Viren oft mit weiteren schädlichen Dateien versehen sind. Je länger die Ransomware also auf dem System verbleibt, desto größer ist das Risiko auf eine weitere Infizierung mit einem Trojaner oder einer Spyware.
Außerdem ist die Entfernung von Eking ein absolutes Muss, bevor man sich den gesperrten Dateien widmet. Andernfalls kann die Ransomware erneut zuschlagen und die Daten einfach neu verschlüsseln. Für die Entfernung des Virus ist der Erwerb eines professionellen AntiVirus notwendig. Wir empfehlen immer wieder gerne die Verwendung von SpyHunterCombo Cleaner.
Scannen Sie nach der Entfernung von Eking das System mit FortectIntego, um den technischen Zustand vor dem Angriff wiederherzustellen. Danach können Sie sich der Wiederherstellung der Daten zuwenden, die der Virus verschlüsselt hat. Unsere Sicherheitsexperten haben hierfür ein Tutorial vorbereitet.
Hat diese Anleitung geholfen?
Schreiben Sie den ersten Kommentar