Schweregradskala:  
  (99/100)

Jaff. Richtig entfernen? (Anleitung für die Deinstallation)

von Alice Woods - - | Virustyp: Ransomware
12

Jaff-Erpressungsprogramm verbreitet sich über Necurs, verschlüsselt Dateien und verlangt für den Decryptor 2 BTC

Das Erpressungsprogramm Jaff ist eine Krypto-Schadsoftware, die über das Botnetz Necurs verbreitet wird. Die entstellten schädlichen Nutzdaten befinden sich in einer E-Mail mit einer angehangenen PDF. Sobald man die Datei öffnet, wird ein Word-Dokument geladen für dessen Inhalt man Makros aktivieren soll. Wenn man den Anweisungen folgt, wird die Schadsoftware auf das System geladen und aktiviert. Jaff beginnt dann auf dem betroffenen Gerät mit der Datenverschlüsselung. Das Programm hat hierbei 424 verschiedene Dateitypen im Visier. Für die Verschlüsselung nutzt es eine Kombination aus RSA und AES und versieht die Dateien anschließend mit der Endung .jaff. Nach der Datenverschlüsselung werden drei neue Dateien auf dem Computer gespeichert: ReadMe.bmp, ReadMe.txt und ReadMe.html. Die Bilddatei wird als Bildschirmhintergrund festgelegt und informiert über den Angriff. Die anderen zwei Dateien enthalten Lösegeldforderungen, worin man aufgefordert wird 2 Bitcoins zu überweisen, wenn man seine Dateien wiederhaben möchte. Allerdings muss man bedenken, dass der Kauf des sogenannten Decryptors zum Geldverlust führen kann. Im Falle eines Angriffs ist es empfehlenswert sich auf die Virenentfernung zu konzentrieren. So lange sich die Schadsoftware auf dem System befindet, ist der Computer und auch die Privatsphäre in Gefahr. Sie sollten daher das Erpressungsprogramm mit einem bewährten Schadsoftware-Entferner wie Reimage beseitigen. Nach der Entfernung des Virus können Sie sich der Datenwiederherstellung widmen. 

Abbildung Erpressungsprogramm Jaff

Jaff ähnelt den Viren Locky und Dridex in dem Aspekt, dass es die gleiche Hauptverbreitungsstrategie nutzt, und zwar Necurs-MalSpam. Die Schadsoftware ist jedoch nicht mit diesen Cyberbedrohungen verwandt. Cyberkriminelle haben von erfolgreichen Erpressungsprogrammprojekten lediglich ein paar Features adaptiert. Wie wir bereits erwähnt haben, ist die infizierte E-Mail mit einer PDF-Datei versehen, welche eine DOCM-Datei öffnet. Sobald man auf den Button „Inhalt aktivieren“ klickt, aktiviert man auch das schädliche Programm. Die Schadsoftware fängt daraufhin an Informationen über das Opfer zu sammeln und lädt diverse Dateien herunter, die für die Ausführung der Jaff-Schadsoftware notwendig sind. Wenn ein datenverschlüsselnder Virus ausgeführt wird, verbindet er sich mit seinen C&C-Servern und benachrichtigt sie über das neu angegriffene Gerät. Der C2-Server antwortet dann mit einem „Erstellt“, woraufhin die Schadsoftware ihre Verschlüsselung beginnt. Ein Großteil der Dateien wird mit den Verschlüsselungsverfahren AES und RSA unzugänglich gemacht. Verschont bleiben nur Systemdateien und Dateien, die für einen funktionierenden Computer notwendig sind. Mit der Befehlszeile vssadmin.exe delete shadows /all /Quiet löscht Jaff außerdem die Schattenkopien der anvisierten Dateien, wodurch die Datenwiederherstellung ohne den speziellen Entschlüsselungsschlüssel nahezu unmöglich ist. Darüber hinaus speichert die Schadsoftware in jedem Ordner mit betroffenen Dateien eine Lösegeldforderung, worin erklärt wird, wie man an den Entschlüsselungsschlüssel kommt.

In der Lösegeldforderung sind zudem eine ID und ein Link für die Bezahlseite enthalten, welche nur über den Tor-Browser erreicht werden kann. Die Bezahlseite ist identisch zu der von Locky. Auf ihr erfährt man, wie man Bitcoins kauft und wie man sie an die angegebene Adresse überweist, woraufhin man anschließend den Entschlüsselungsschlüssel bekommen soll. Als Jaff zum ersten Mal gesichtet wurde, betrug das Lösegeld noch 1,82 BTC. Neuere Versionen verlangen jedoch bereits 2 BTC. Bedauerlicherweise gibt es keine Garantie, dass die dahintersteckenden Gauner wirklich den Jaff Decryptor aushändigen. Schließlich sind sie nur an Ihrem Geld interessiert. Sie sollten daher nicht die 4000 Euro riskieren und mit dubiosen Menschen ins Geschäft treten. Wenn Sie Back-ups von Ihren Dateien gemacht haben, können Sie sich glücklich schätzen, denn zurzeit können Sie nur mit diesen die Daten wiederherstellen. Andernfalls stehen die Chancen schlecht. Trotzdem sollte das nicht zum Bezahlen des Lösegelds motivieren. Konzentrieren Sie sich lieber auf die Entfernung von Jaff. Wenn der Computer endlich virenfrei ist, können Sie alternative Wiederherstellungsmethoden ausprobieren und wenigstens ein paar der Dateien retten oder warten bis ein offizielles Entschlüsselungsprogramm veröffentlicht wird.

Illustration Jaff-Virus

Erpressungsprogrammverbreitungsanalyse

Der Jaff-Virus nutzt das Botnetz Necurs, um seine schädlichen Spammails mit infizierten PDF-Dokumenten zu verbreiten. Wie wir bereits erwähnt haben, findet diese Methode bei der Verbreitung von Locky Anwendung. Die Betreffzeile der Mail enthält eine der folgenden Wörter, gefolgt von einer beliebigen Ziffernfolge: File, Document, Copy, Scan oder PDF. Die Betreffzeile einer schädlichen E-Mail könnte dann beispielsweise wie folgt lauten: „File_123456“. In der E-Mail befindet sich eine PDF namens „nm.pdf“. In der Nachricht könnten allerlei Gründe angeben werden, warum man die Datei öffnen sollte. In eine der Spamaktionen wird beispielsweise darum gebeten von der angehangenen Datei zwei Kopien zu drucken. Wenn man die PDF jedoch öffnet, öffnet sich ein Word-Dokument, wo Makros aktiviert werden sollen. Abhängig von der Version des installierten PDF-Readers, könnte die PDF die DOCM-Datei automatisch öffnen oder das Öffnen erfragen. Anschließend wird aber mitgeteilt, dass das Dokument geschützt ist und man auf „Inhalt aktivieren“ klicken muss. Der Button birgt einen schädlichen Makro-Befehl, der bewirkt, dass mit den C&C-Servern Kontakt aufgenommen, die Dateien des Erpressungsprogramms heruntergeladen und das „Jaff Decryption System“ ausgeführt werden. Wenn Sie kein Dokument oder Datei von jemanden erwarten, sollten Sie keine verdächtigen E-Mail-Anhänge öffnen. Bevor Sie angehangene Dateien öffnen, müssen Sie sich vergewissern, dass Sie den Absender kennen und er vertrauenswürdig ist. Ist dem nicht der Fall, sollten Sie die E-Mail umgehend löschen.

Darüber hinaus kann Jaff über soziale Netzwerke und File-Sharing-Seiten verbreitet werden. Sie könnten beispielsweise einen Link von einem Freund (oder einem Fremden) erhalten, wo suggeriert wird sich ein Video oder Bild anzusehen. Bevor Sie auf solche Links klicken, sollten Sie sich sicher sein, dass er nicht gefährlich ist. Sie könnten Ihren Freund zum Beispiel fragen, ob er den Link wirklich gesendet hat. Des Weiteren kann die Schadsoftware auf diversen P2P-Netzwerken als nützliche Software beworben werden. Wenn Sie ein bestimmtes Programm installieren müssen, sollten Sie unbekannte Downloadseiten meiden. Nehmen Sie hierfür immer die Webseiten von offiziellen Entwicklern/Herausgebern in Anspruch, damit Sie keine schädlichen Programme installieren.

Jaff vollständig vom Gerät entfernen

Der einzig sichere Weg für eine vollständige Entfernung von Jaff ist das System mit einem bewährten Schadsoftware-Entferner zu scannen. Wir raten davon ab das Erpressungsprogramm selbst zu löschen, da es sich in legitime Systemprozesse einspeisen und die Registrierungsdatenbank modifiziert haben kann. Beendet man wichtige Prozesse oder löscht wesentliche Einträge, verursacht man lediglich mehr Schaden. Installieren Sie also Reimage, Plumbytes Anti-MalwareWebroot SecureAnywhere AntiVirus oder einen anderen Schadsoftware-Entferner und überlassen Sie ihm die Entfernung. Wenn sich die Anwendung nicht installieren lässt, starten Sie den Computer wie unten angegeben in den abgesicherten Modus mit Netzwerktreibern. Anschließend sollten Sie die Sicherheitssoftware installieren und Jaff entfernen können. Sobald der Computer virenfrei ist, können Sie die Dateien durch Ihre Back-ups ersetzen oder alternative Wiederherstellungsoptionen ausprobieren.

Wir können mit jedem Produkt, dass wir auf unserer Seite empfehlen, affiliiert sein. Weitere Auskunft in unsern Nutzungsbedingungen. Mit dem Herunterladen einer vorausgesetzten Anti-spyware Software, um Jaff zu entfernen, stimmen sie unserer Datenschutz und Nutzungsbedingungen.
Jetzt säubern!
Herunterladen
Entferner: Reimage garantierte
Zufriedenheit
Herunterladen
Entferner: Reimage garantierte
Zufriedenheit
mit Microsoft Windows kompatibel mit OS X kompatibel
Was ist zu tun, wenn das Programm nicht hilft?
Wenn Sie die Infizierung nicht mit Reimage beseitigen konnten, kontaktieren Sie unser Support-Team unter Frage stellen und geben Sie so viele Informationen wie möglich.
Für die Deinstallation von Jaff ist Reimage empfehlenswert. Der kostenlose Scanner lässt einen überprüfen, ob der Computer infiziert ist oder nicht. Falls Sie Schadsoftware entfernen müssen, müssen Sie die lizenzierte Version von Reimage erwerben.
Weitere Informationen über das Programm können Sie in der Beurteilung von Reimage finden.
Pressebeiträge auf Reimage

Anleitung für die manuelle Entfernung des Jaff-Virus:

Entfernen Sie Jaff mit Safe Mode with Networking

Jaff kann die Installation von Sicherheitsprogrammen und Systemscans verhindern. Starten Sie in diesem Fall das Gerät in den abgesicherten Modus mit Netzwerktreibern.

  • Schritt 1: Starten Sie den Computer in den Modus Safe Mode with Networking

    Windows 7 / Vista / XP
    1. Klicken Sie auf Start Shutdown Restart OK.
    2. Sobald der Computer aktiv wird, sollten Sie anfangen mehrmals F8 zu drücken bis Sie das Fenster Advanced Boot Options sehen.
    3. Wählen Sie Safe Mode with Networking von der Liste Wählen Sie 'Safe Mode with Networking'

    Windows 10 / Windows 8
    1. Drücken Sie im Windows-Anmeldebildschirm auf den Button Power. Halten Sie nun auf Ihrer Tastatur Shift gedrückt und klicken Sie auf Restart..
    2. Wählen Sie nun Troubleshoot Advanced options Startup Settings und drücken Sie zuletzt auf Restart.
    3. Wählen Sie, sobald der Computer aktiv wird, im Fenster Startup Settings Enable Safe Mode with Networking. Wählen Sie 'Enable Safe Mode with Networking'
  • Schritt 2: Entferne Jaff

    Melden Sie sich am infizierten Computer an und starten Sie den Browser. Laden Sie Reimage oder eine andere legitime Anti-Spyware herunter. Aktualisieren Sie das Programm bevor Sie einen vollständigen Systemscan ausführen und entfernen Sie die schädliche Dateien, die zu der Ransomware gehören und stellen Sie die Entfernung von Jaff fertig.

Probieren Sie folgende Methode aus, falls die Ransomware Safe Mode with Networking blockiert.

Entfernen Sie Jaff mit System Restore

Wenn Jaff eine automatische Entfernung verhindert, können Sie die folgenden Schritte ausführen und dann die Sicherheitssoftware erneut ausprobieren.

  • Schritt 1: Starten Sie den Computer in den Modus Safe Mode with Command Prompt

    Windows 7 / Vista / XP
    1. Klicken Sie auf Start Shutdown Restart OK.
    2. Sobald der Computer aktiv wird, sollten Sie anfangen mehrmals F8 zu drücken bis Sie das Fenster Advanced Boot Options sehen.
    3. Wählen Sie Command Prompt von der Liste Wählen Sie 'Safe Mode with Command Prompt'

    Windows 10 / Windows 8
    1. Drücken Sie im Windows-Anmeldebildschirm auf den Button Power. Halten Sie nun auf Ihrer Tastatur Shift gedrückt und klicken Sie auf Restart..
    2. Wählen Sie nun Troubleshoot Advanced options Startup Settings und drücken Sie zuletzt auf Restart.
    3. Wählen Sie, sobald der Computer aktiv wird, im Fenster Startup Settings Enable Safe Mode with Command Prompt. Wählen Sie 'Enable Safe Mode with Command Prompt'
  • Schritt 2: Stellen Sie Ihre Systemdateien und -einstellungen wieder her.
    1. Sobald das Fenster Command Prompt auftaucht, geben Sie cd restore ein und klicken Sie auf Enter. Geben Sie 'cd restore' ohne die Anführungszeichen ein und drücken Sie auf 'Enter'
    2. Geben Sie nun rstrui.exe ein und drücken Sie erneut auf Enter.. Geben Sie 'rstrui.exe' ohne die Anführungszeichen ein und drücken Sie auf 'Enter'
    3. Wenn ein neues Fenster auftaucht, klicken Sie auf Next und wählen Sie einen Wiederherstellungspunkt, der vor der Infiltrierung von Jaff liegt. Klicken Sie anschließend auf Next. Wenn das Fenster 'System Restore' auftaucht, wählen Sie 'Next' Wählen Sie den Wiederherstellungspunkt und klicken Sie auf 'Next'
    4. Klicken Sie nun auf Yes, um die Systemwiederherstellung zu starten. Klicken Sie auf 'Yes' und starten Sie die Systemwiederherstellung
    Nachdem Sie das System zu einem früheren Datum wiederhergestellt haben, vergewissern Sie sich, dass die Entfernung von Jaff erfolgreich war, indem Sie Reimage herunterladen und damit den Computer scannen.

Bonus: Wiederherstellung der Daten

Die oben aufgeführte Anleitung soll dabei helfen Jaff vom Computer zu entfernen. Für die Wiederherstellung der verschlüsselten Dateien empfehlen wir eine ausführliche Anleitung von den Sicherheitsexperten von dieviren.de zu nutzen.

Die Dateien lassen sich zurzeit nur mit Back-ups vollständig wiederherstellen. Wenn Sie keine angefertigt haben, können Sie die folgenden Methoden ausprobieren. Hoffentlich können Sie damit wenigstens ein paar der Dateien retten.

Wenn Ihre Dateien von Jaff verschlüsselt worden sind, haben Sie für die Wiederherstellung mehrere Möglichkeiten:

Data Recovery Pro für die Wiederherstellung verschlüsselter Dateien

Die professionelle Software wurde entwickelt, um korrupte, beschädigte, gelöschte und einige verschlüsselte Dateien wiederherzustellen. Data Recovery konnte bereits vielen Erpressungsprogrammopfern helfen. Vielleicht hilft es auch bei Ihnen.

  • Laden Sie Data Recovery Pro (https://dieviren.de/download/data-recovery-pro-setup.exe) herunter;
  • Führen Sie die Schritte der Data Recovery aus und installieren Sie das Programm auf dem Computer;
  • Starten Sie es und scannen Sie den Computer nach Dateien, die von Jaff verschlüsselt worden sind;
  • Stellen Sie sie wieder her.

Die Vorgängerfunktion von Windows

Diese Wiederherstellungsmethode funktioniert nur, wenn die Systemwiederherstellung schon vor dem Angriff aktiviert wurde. Die von Windows erstellten Vorgängerversionen sind früher gespeicherte Versionen der verschlüsselten Dateien, worauf man wie folgt zugreifen kann.

  • Suchen Sie nach einer verschlüsselten Datei, die Sie wiederherstellen möchten und führen Sie einen Rechtsklick darauf aus;
  • Selektieren Sie “Properties” und gehen Sie zum Reiter “Previous versions”;
  • Kontrollieren Sie hier unter “Folder versions” alle verfügbaren Kopien. Wählen Sie die Version aus, die Sie wiederherstellen möchten und klicken Sie auf “Restore”.

Jeff Decryptor

Ein offizielles Entschlüsselungsprogramm ist zurzeit noch nicht verfügbar.

Als Letztes sollten Sie sich natürlich immer über den Schutz vor Crypto-Ransomware Gedanken machen. Um den Computer vor Jaff und anderer Ransomware zu schützen, sollten Sie eine bewährte Anti-Spyware, wie beispielsweise Reimage, Plumbytes Anti-MalwareWebroot SecureAnywhere AntiVirus oder Malwarebytes Anti Malware, nutzen.

Über den Autor

Alice Woods
Alice Woods

Wenn Ihnen die kostenlose Entfernungsanleitung geholfen hat und Sie mit unserem Service zufrieden sind, möchten wir Sie um eine Spende bitten, sodass wir unsere Hilfe weiter anbieten können. Jeder noch so kleine Betrag ist herzlich willkommen.

Quelle: https://www.2-spyware.com/remove-jaff-ransomware-virus.html

Entfernungsanleitungen in anderen Sprachen