GUCCI ransomwareRichtig entfernen?

GUCCI Ransomware kann persönliche Dateien und das Betriebssystem dauerhaft beschädigen

Die Ransomware GUCCI ist eine der neuesten Malware-Varianten zum Sperren von Dateien und gehört der Familie der Phobos Ransomware an. Die Datei wurde von 54 Sicherheitsanbietern und 3 Sandboxen als bösartig eingestuft. Der Virus kann in das System eindringen und sofort den Verschlüsselungsprozess beginnen.

Sobald die Verschlüsselung startet, werden alle persönlichen Dateien, wie Fotos, Videos und Dokumente, verschlüsselt und damit unzugänglich und unbrauchbar gemacht. Die einzige Möglichkeit, die Daten zu entschlüsseln, ist ein Entschlüsselungsschlüssel oder eine Software, über die normalerweise nur die Cyberkriminellen verfügen.

Nachdem der Verschlüsselungsprozess abgeschlossen ist, werden die Symbole der Dateien zu weißen Seiten und die Namen werden mit der Erweiterung .GUCCI versehen. Wenn eine Datei zum Beispiel vorher bild.jpg hieß, wird sie nach Abschluss des Vorgangs bild.jpg.id[ID des Opfers].[tox].GUCCI heißen.

Außerdem werden zwei Erpresserbriefe auf dem Computer erstellt. Diese Nachrichten der Ransomware-Entwickler erklären, was passiert ist und was man tun muss, um die Dateien wiederherzustellen. Leider erpressen die Angreifer die Opfer, indem sie eine Zahlung in Kryptowährungen verlangen.

Der Erpresserbrief

Die vollständige Mitteilung der Erpresser, die in der Datei info.hta zu finden ist, lautet wie folgt:

All your files have been encrypted!
All your files have been encrypted due to a security problem with your PC. If you want to restore them:
write us to the TOX messenger: tox: CD54A20BCCDAA8209805BB8D4BDE15D542A66CF6E155783ECBE7549D0D6FBD0A59C16E9FD95C
You can download TOX messenger here hxxps://tox.chat/
Write this ID in the title of your message –
You have to pay for decryption in Bitcoins. The price depends on how fast you write to us. After payment we will send you the tool that will decrypt all your files.
Free decryption as guarantee
Before paying you can send us 1 file for free decryption. The total size of files must be less than 5Mb (non archived), and files should not contain valuable information. (databases,backups, large excel sheets, etc.)
How to obtain Bitcoins
The easiest way to buy bitcoins is LocalBitcoins site. You have to register, click 'Buy bitcoins', and select the seller by payment method and price.
hxxps://localbitcoins.com/buy_bitcoins
Also you can find other places to buy Bitcoins and beginners guide here:
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/
Attention!
Do not rename encrypted files.
Do not try to decrypt your data using third party software, it may cause permanent data loss.
Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.
We also want to notify you that the most important data of your company was copied by us, but we guarantee the confidentiality of private information and information about this incident in case of successful cooperation. Otherwise, we reserve the right to monetize our services by selling your information at specialized auctions.

Die Angreifer erwecken ein Gefühl der Dringlichkeit, indem sie sagen, dass der zu bezahlende Betrag davon abhängt, wie schnell die Opfer sie kontaktieren. Dies ist eine der vielen Panikmache-Taktiken, die Cyberkriminelle anwenden, um dazu zu bringen, schnell zu handeln, ohne über andere Optionen nachzudenken. Aus diesem Grund wird auch der Lösegeldbetrag in der Notiz nicht angegeben.

Sie bieten auch an, eine Datei kostenlos zu entschlüsseln, damit sie vertrauenswürdiger wirken. Bedenken Sie allerdings, dass man Kriminellen nicht trauen kann. Viele Opfer von Ransomware-Angriffen haben ihre Situation kundgegeben und lassen wissen, dass sie nie wieder etwas von den Tätern gehört haben, nachdem sie das Geld bezahlt hatten.

Die Zahlungsmethode ist auch nicht gerade vorteilhaft für Opfer. Kryptowährungstransaktionen sind anonym und können nicht rückgängig gemacht werden. Sobald man das Geld überwiesen hat, ist es unmöglich, eine Rückerstattung zu erhalten oder das Geld auf andere Weise zurück zu bekommen. Mit der Bezahlung des Lösegelds verlieren Sie nicht nur Ihre Dateien, sondern riskieren auch noch betrogen zu werden.

Die Gauner versuchen zudem mit Einschüchterungstaktiken davon abzuhalten, nach anderen Wiederherstellungsoptionen zu suchen. Obwohl Entschlüsselungstools von Drittanbietern nur selten helfen, ist es zumindest einen Versuch wert. Die Datei info.txt enthält außerdem eine kürzere Version der vorherigen Lösegeldforderung:

!!!All of your files are encrypted!!!
To decrypt them:
TOX messenger: CD54A20BCCDAA8209805BB8D4BDE15D542A66CF6E155783ECBE7549D0D6FBD0A59C16E9FD95C
You can download TOX messenger here hxxps://tox.chat/
We also want to notify you that the most important data of your company was copied by us,
but we guarantee the confidentiality of private information and information about this incident
in case of successful cooperation. Otherwise, we reserve the right to monetize our services by selling your
information at specialized auctions.

Verwenden Sie professionelle Sicherheitstools zur Beseitigung bösartiger Dateien

Als Erstes sollten Sie den betroffenen Computer sofort vom lokalen Netzwerk trennen. Bei Heimanwendern reicht es aus, das Ethernet-Kabel abzuziehen oder das WLAN zu deaktivieren. Wenn das Problem an Ihrem Arbeitsplatz aufgetreten ist, könnte dies kompliziert sein. Wir haben am Ende dieses Beitrags daher eine separate Anleitung vorbereitet.

Wenn Sie versuchen, Ihre Daten zuerst wiederherzustellen, kann dies zu einem dauerhaften Datenverlust führen. Die Malware kann Ihre Dateien zudem ein zweites Mal verschlüsseln, wenn sie nicht zuerst beseitigt wird. Die Verschlüsselung wird erst aufhören, wenn Sie die bösartigen Dateien entfernen. Sie sollten nicht versuchen, das Schadprogramm selbst zu beseitigen, es sei denn, Sie verfügen über ausgezeichnete IT-Kenntnisse.

Verwenden Sie stattdessen eine Anti-Malware wie SpyHunterCombo Cleaner oder MalwarebytesMalwarebytes, um Ihr System zu scannen. Diese Sicherheitssoftware sollte alle schädlichen Dateien und Einträge finden und sie automatisch für Sie entfernen. In manchen Fällen kann Malware die Verwendung von Antivirensoftware verhindern. In diesem Fall müssen Sie den abgesicherten Modus aufrufen und von dort aus eine vollständige Systemprüfung durchführen:

Windows 7 / Vista / XP

1. Klicken Sie auf Start > Herunterfahren > Neustart > OK.
2. Wenn Ihr Computer aktiv wird, drücken Sie die Taste F8 (wenn das nicht funktioniert, versuchen Sie F2, F12, Entf usw. – abhängig von dem Modell Ihres Motherboards), bis Sie das Fenster mit den erweiterten Startoptionen sehen.
3. Wählen Sie Abgesicherter Modus mit Netzwerktreibern aus der Liste aus.

Windows 10 / Windows 8

1. Klicken Sie mit der rechten Maustaste auf Start und wählen Sie Einstellungen.
2. Scrollen Sie nach unten und wählen Sie Update & Sicherheit.
3. Wählen Sie auf der linken Seite des Fensters Wiederherstellung.
4. Scrollen Sie nun nach unten, um den Abschnitt Erweiterter Start zu finden.
5. Klicken Sie auf Jetzt neu starten.
6. Wählen Sie Problembehandlung.
7. Gehen Sie zu Erweiterte Optionen.
8. Wählen Sie Starteinstellungen.
9. Klicken Sie auf Neu starten.
10. Drücken Sie 5 oder klicken Sie auf 5) Abgesicherten Modus mit Netzwerktreibern aktivieren.

Beheben Sie Systemfehler, um eine Neuinstallation von Windows zu verhindern

Sobald ein Computer mit einer Malware wie Ransomware infiziert ist, verursacht sie wichtige Änderungen auf dem System. Die Ransomware kann z.B. die Registrierungsdatenbank in Windows verändern, wichtige Boot- und andere Bereiche beschädigen, DLL-Dateien löschen oder beschädigen und vieles mehr.

Wurde eine Systemdatei von einer Malware beschädigt, kann auch ein Antivirenprogramm sie nicht reparieren und lässt sie so, wie sie ist. Infolgedessen kann es zu Problemen bzgl. der Leistung, Stabilität und Verwendbarkeit kommen, bis zu dem Punkt, an dem eine vollständige Neuinstallation von Windows erforderlich ist.

Wir empfehlen daher die einzigartige und patentierte Technologie von FortectIntego in Anspruch zu nehmen. Das Programm kann im Falle einer Infektion nicht nur Virenschäden beheben, sondern ist dank mehrerer verwendeter Engines auch in der Lage bereits in das System eingedrungene Malware zu entfernen. Zudem kann die Anwendung verschiedene Windows-bezogene Probleme beheben, die nicht durch Malware-Infektionen verursacht werden, z.B. Bluescreens, Hängenbleiben des PCs, Fehler in der Registrierungsdatenbank, beschädigte DLLs usw.

• Laden Sie die Anwendung herunter, indem Sie auf den Link oben klicken
• Klicken Sie auf ReimageRepair.exe
  
  
• Bestätigen Sie in der Benutzerkontensteuerung mit Ja
• Klicken Sie auf Installieren und warten Sie, bis der Installationsprozess abgeschlossen ist
• Die Analyse Ihres Rechners beginnt sofort
  
• Sobald die Analyse abgeschlossen ist, prüfen Sie das Resultat – die Ergebnisse werden in einer Zusammenfassung aufgelistet
• Sie können nun auf jedes einzelne Problem klicken und es manuell beheben
• Wenn Sie viele Probleme sehen, die Sie selbst nicht beheben können, empfehlen wir die Lizenz zu erwerben und die Probleme automatisch beheben zu lasse.

Optionen zur Wiederherstellung von Dateien

Viele Leute denken, dass sie ihre Dateien mit Anti-Malware reparieren können, aber dafür sind sie nicht gedacht. Die Sicherheitsprogramme können lediglich verdächtige Prozesse im System aufspüren und sie beseitigen. Die Wahrheit ist, dass die Dateien nur mit einem Entschlüsselungsschlüssel oder einer Software wiederhergestellt werden können, die nur Cyberkriminelle besitzen.

Wenn Sie Ihre Daten vorher nicht gesichert haben, ist es möglich, dass Sie sie nie wieder zurückbekommen. Sie können trotzdem Datenwiederherstellungssoftware einen Versuch geben, aber wir müssen anmerken, dass Programme von Drittanbietern die Dateien nicht immer entschlüsseln können. Wir empfehlen dennoch diese Methode auszuprobieren. Bevor Sie fortfahren, müssen Sie die beschädigten Dateien kopieren und auf einem USB-Stick oder einem anderen Speicher ablegen. Und denken Sie daran – tun Sie dies nur, wenn Sie die GUCCI Ransomware bereits entfernt haben.

Wir empfehlen es daher unabhängig von der Ransomware auszuprobieren. Bevor Sie beginnen, möchten wir noch einige wichtige Hinweise geben:

• Da die verschlüsselten Daten durch Sicherheits- oder Datenrettungssoftware dauerhaft beschädigt werden könnten, sollten Sie zunächst eine Sicherheitskopie erstellen – verwenden Sie hierfür einen USB-Stick oder einen anderen Speicher.
• Versuchen Sie Ihre Dateien erst mithilfe einer Software wiederherzustellen, nachdem Sie einen Scan mit einer Anti-Malware durchgeführt haben.

Die Installation der Datenwiederherstellungssoftware

1. Laden Sie Data Recovery Pro herunter.
2. Führen Sie einen Doppelklick auf das Installationsprogramm aus, um die Installation zu starten.
   
3. Folgen Sie den Anweisungen auf dem Bildschirm.
4. Sobald Sie auf Fertigstellen drücken, können Sie die App verwenden.
5. Wählen Sie Alles aus oder wählen Sie die Ordner einzeln aus, aus denen die Dateien wiederhergestellt werden sollen.
6. Klicken Sie auf Weiter.
7. Aktivieren Sie den Tiefen-Scan und wählen Sie die zu prüfenden Laufwerke aus.
8. Klicken Sie auf Scan und warten Sie, bis der Vorgang abgeschlossen ist.
9. Sie können nun auswählen, welche Ordner/Dateien wiederhergestellt werden sollen – vergessen Sie nicht, dass Sie auch die Möglichkeit haben, nach dem Dateinamen zu suchen!
10. Drücken Sie auf Wiederherstellen, um Ihre Dateien wiederherzustellen.

Die Verbreitungsmethoden von Ransomware

Um sich vor zukünftigen Ransomware-Angriffen zu schützen, ist es wichtig zu wissen, wie sich diese gefährliche Malware normalerweise verbreitet. Die häufigsten Verbreitungswege sind Torrent-Seiten, Peer-to-Peer-Plattformen (P2P) für den Dateiaustausch und die Installation von gecrackter Software. Wenn Sie neue Software herunterladen möchten, sollten Sie am besten nur offizielle Webshops und Entwicklerseiten nutzen.

Eine weitere bevorzugte Methode sind E-Mails. Cyberkriminelle können infizierte Anhänge an E-Mails anhängen. Normalerweise verwenden sie Social-Engineering-Methoden, um Menschen dazu zu bringen, sie zu öffnen. Öffnen Sie also niemals E-Mail-Anhänge, es sei denn, sie stammen von jemandem, den Sie kennen, oder Sie sind sicher, dass sie von einem vertrauenswürdigen Absender stammen.

Sie sollten auch daran denken, dass es äußerst wichtig ist, Ihr Betriebssystem und Ihre Software auf dem neuesten Stand zu halten. Entwickler veröffentlichen nicht nur regelmäßig Updates, sondern auch Sicherheitspatches für neu entdeckte Sicherheitslücken. Hacker lieben es, Schwachstellen auszunutzen. Sobald neue Updates verfügbar sind, sollten Sie diese also unbedingt installieren.