Virus Jaff entfernen (Entfernungsanweisungen) - aktualisiert Mrz 2021
Anleitung für die Entfernung des Jaff-Virus
Was ist Jaff?
Jaff-Erpressungsprogramm verbreitet sich über Necurs, verschlüsselt Dateien und verlangt für den Decryptor 2 BTC
Das Erpressungsprogramm Jaff ist eine Krypto-Schadsoftware, die über das Botnetz Necurs verbreitet wird. Die entstellten schädlichen Nutzdaten befinden sich in einer E-Mail mit einer angehangenen PDF. Sobald man die Datei öffnet, wird ein Word-Dokument geladen für dessen Inhalt man Makros aktivieren soll. Wenn man den Anweisungen folgt, wird die Schadsoftware auf das System geladen und aktiviert. Jaff beginnt dann auf dem betroffenen Gerät mit der Datenverschlüsselung. Das Programm hat hierbei 424 verschiedene Dateitypen im Visier. Für die Verschlüsselung nutzt es eine Kombination aus RSA und AES und versieht die Dateien anschließend mit der Endung .jaff. Nach der Datenverschlüsselung werden drei neue Dateien auf dem Computer gespeichert: ReadMe.bmp, ReadMe.txt und ReadMe.html. Die Bilddatei wird als Bildschirmhintergrund festgelegt und informiert über den Angriff. Die anderen zwei Dateien enthalten Lösegeldforderungen, worin man aufgefordert wird 2 Bitcoins zu überweisen, wenn man seine Dateien wiederhaben möchte. Allerdings muss man bedenken, dass der Kauf des sogenannten Decryptors zum Geldverlust führen kann. Im Falle eines Angriffs ist es empfehlenswert sich auf die Virenentfernung zu konzentrieren. So lange sich die Schadsoftware auf dem System befindet, ist der Computer und auch die Privatsphäre in Gefahr. Sie sollten daher das Erpressungsprogramm mit einem bewährten Schadsoftware-Entferner wie FortectIntego beseitigen. Nach der Entfernung des Virus können Sie sich der Datenwiederherstellung widmen.
Jaff ähnelt den Viren Locky und Dridex in dem Aspekt, dass es die gleiche Hauptverbreitungsstrategie nutzt, und zwar Necurs-MalSpam. Die Schadsoftware ist jedoch nicht mit diesen Cyberbedrohungen verwandt. Cyberkriminelle haben von erfolgreichen Erpressungsprogrammprojekten lediglich ein paar Features adaptiert. Wie wir bereits erwähnt haben, ist die infizierte E-Mail mit einer PDF-Datei versehen, welche eine DOCM-Datei öffnet. Sobald man auf den Button „Inhalt aktivieren“ klickt, aktiviert man auch das schädliche Programm. Die Schadsoftware fängt daraufhin an Informationen über das Opfer zu sammeln und lädt diverse Dateien herunter, die für die Ausführung der Jaff-Schadsoftware notwendig sind. Wenn ein datenverschlüsselnder Virus ausgeführt wird, verbindet er sich mit seinen C&C-Servern und benachrichtigt sie über das neu angegriffene Gerät. Der C2-Server antwortet dann mit einem „Erstellt“, woraufhin die Schadsoftware ihre Verschlüsselung beginnt. Ein Großteil der Dateien wird mit den Verschlüsselungsverfahren AES und RSA unzugänglich gemacht. Verschont bleiben nur Systemdateien und Dateien, die für einen funktionierenden Computer notwendig sind. Mit der Befehlszeile vssadmin.exe delete shadows /all /Quiet löscht Jaff außerdem die Schattenkopien der anvisierten Dateien, wodurch die Datenwiederherstellung ohne den speziellen Entschlüsselungsschlüssel nahezu unmöglich ist. Darüber hinaus speichert die Schadsoftware in jedem Ordner mit betroffenen Dateien eine Lösegeldforderung, worin erklärt wird, wie man an den Entschlüsselungsschlüssel kommt.
In der Lösegeldforderung sind zudem eine ID und ein Link für die Bezahlseite enthalten, welche nur über den Tor-Browser erreicht werden kann. Die Bezahlseite ist identisch zu der von Locky. Auf ihr erfährt man, wie man Bitcoins kauft und wie man sie an die angegebene Adresse überweist, woraufhin man anschließend den Entschlüsselungsschlüssel bekommen soll. Als Jaff zum ersten Mal gesichtet wurde, betrug das Lösegeld noch 1,82 BTC. Neuere Versionen verlangen jedoch bereits 2 BTC. Bedauerlicherweise gibt es keine Garantie, dass die dahintersteckenden Gauner wirklich den Jaff Decryptor aushändigen. Schließlich sind sie nur an Ihrem Geld interessiert. Sie sollten daher nicht die 4000 Euro riskieren und mit dubiosen Menschen ins Geschäft treten. Wenn Sie Back-ups von Ihren Dateien gemacht haben, können Sie sich glücklich schätzen, denn zurzeit können Sie nur mit diesen die Daten wiederherstellen. Andernfalls stehen die Chancen schlecht. Trotzdem sollte das nicht zum Bezahlen des Lösegelds motivieren. Konzentrieren Sie sich lieber auf die Entfernung von Jaff. Wenn der Computer endlich virenfrei ist, können Sie alternative Wiederherstellungsmethoden ausprobieren und wenigstens ein paar der Dateien retten oder warten bis ein offizielles Entschlüsselungsprogramm veröffentlicht wird.
Erpressungsprogrammverbreitungsanalyse
Der Jaff-Virus nutzt das Botnetz Necurs, um seine schädlichen Spammails mit infizierten PDF-Dokumenten zu verbreiten. Wie wir bereits erwähnt haben, findet diese Methode bei der Verbreitung von Locky Anwendung. Die Betreffzeile der Mail enthält eine der folgenden Wörter, gefolgt von einer beliebigen Ziffernfolge: File, Document, Copy, Scan oder PDF. Die Betreffzeile einer schädlichen E-Mail könnte dann beispielsweise wie folgt lauten: „File_123456“. In der E-Mail befindet sich eine PDF namens „nm.pdf“. In der Nachricht könnten allerlei Gründe angeben werden, warum man die Datei öffnen sollte. In eine der Spamaktionen wird beispielsweise darum gebeten von der angehangenen Datei zwei Kopien zu drucken. Wenn man die PDF jedoch öffnet, öffnet sich ein Word-Dokument, wo Makros aktiviert werden sollen. Abhängig von der Version des installierten PDF-Readers, könnte die PDF die DOCM-Datei automatisch öffnen oder das Öffnen erfragen. Anschließend wird aber mitgeteilt, dass das Dokument geschützt ist und man auf „Inhalt aktivieren“ klicken muss. Der Button birgt einen schädlichen Makro-Befehl, der bewirkt, dass mit den C&C-Servern Kontakt aufgenommen, die Dateien des Erpressungsprogramms heruntergeladen und das „Jaff Decryption System“ ausgeführt werden. Wenn Sie kein Dokument oder Datei von jemanden erwarten, sollten Sie keine verdächtigen E-Mail-Anhänge öffnen. Bevor Sie angehangene Dateien öffnen, müssen Sie sich vergewissern, dass Sie den Absender kennen und er vertrauenswürdig ist. Ist dem nicht der Fall, sollten Sie die E-Mail umgehend löschen.
Darüber hinaus kann Jaff über soziale Netzwerke und File-Sharing-Seiten verbreitet werden. Sie könnten beispielsweise einen Link von einem Freund (oder einem Fremden) erhalten, wo suggeriert wird sich ein Video oder Bild anzusehen. Bevor Sie auf solche Links klicken, sollten Sie sich sicher sein, dass er nicht gefährlich ist. Sie könnten Ihren Freund zum Beispiel fragen, ob er den Link wirklich gesendet hat. Des Weiteren kann die Schadsoftware auf diversen P2P-Netzwerken als nützliche Software beworben werden. Wenn Sie ein bestimmtes Programm installieren müssen, sollten Sie unbekannte Downloadseiten meiden. Nehmen Sie hierfür immer die Webseiten von offiziellen Entwicklern/Herausgebern in Anspruch, damit Sie keine schädlichen Programme installieren.
Jaff vollständig vom Gerät entfernen
Der einzig sichere Weg für eine vollständige Entfernung von Jaff ist das System mit einem bewährten Schadsoftware-Entferner zu scannen. Wir raten davon ab das Erpressungsprogramm selbst zu löschen, da es sich in legitime Systemprozesse einspeisen und die Registrierungsdatenbank modifiziert haben kann. Beendet man wichtige Prozesse oder löscht wesentliche Einträge, verursacht man lediglich mehr Schaden. Installieren Sie also FortectIntego, SpyHunter 5Combo Cleaner oder einen anderen Schadsoftware-Entferner und überlassen Sie ihm die Entfernung. Wenn sich die Anwendung nicht installieren lässt, starten Sie den Computer wie unten angegeben in den abgesicherten Modus mit Netzwerktreibern. Anschließend sollten Sie die Sicherheitssoftware installieren und Jaff entfernen können. Sobald der Computer virenfrei ist, können Sie die Dateien durch Ihre Back-ups ersetzen oder alternative Wiederherstellungsoptionen ausprobieren.
Anleitung für die manuelle Entfernung des Jaff-Virus
Ransomware: Entfernung der Ransomware über den abgesicherten Modus
Jaff kann die Installation von Sicherheitsprogrammen und Systemscans verhindern. Starten Sie in diesem Fall das Gerät in den abgesicherten Modus mit Netzwerktreibern.
Wichtig! →Die Anleitung zur manuellen Entfernung von Ransomware ist für Computerlaien möglicherweise zu kompliziert. Für die korrekte Ausführung sind fortgeschrittene IT-Kenntnisse erforderlich, da durch das Löschen oder Beschädigen von wichtigen Systemdateien, Windows nicht mehr korrekt arbeitet. Darüber hinaus kann die manuelle Entfernung Stunden in Anspruch nehmen, bis sie abgeschlossen ist. Wir raten daher dringend zur oben beschriebenen automatischen Methode.
Schritt 1. Greifen Sie auf den abgesicherten Modus mit Netzwerktreibern zu
Die manuelle Entfernung von Malware sollte am besten über den abgesicherten Modus erfolgen.
Windows 7 / Vista / XP
- Klicken Sie auf Start > Herunterfahren > Neu starten > OK.
- Wenn der Computer aktiv wird, drücken Sie mehrmals die Taste F8, bis Sie das Fenster Erweiterte Startoptionen sehen. (Wenn das nicht funktioniert, versuchen Sie F2, F12, Entf, etc., abhängig vom Modell des Motherboards.)
- Wählen Sie aus der Liste Abgesicherter Modus mit Netzwerktreibern aus.
Windows 10 / Windows 8
- Klicken Sie mit der rechten Maustaste auf Start und wählen Sie Einstellungen.
- Scrollen Sie nach unten und wählen Sie Update und Sicherheit.
- Wählen Sie im linken Bereich des Fensters Wiederherstellung.
- Scrollen Sie nun nach unten zum Abschnitt Erweiterter Start.
- Klicken Sie auf Jetzt neu starten.
- Wählen Sie Problembehandlung.
- Gehen Sie zu Erweiterte Optionen.
- Wählen Sie Starteinstellungen.
- Klicken Sie auf Neu starten.
- Drücken Sie nun auf 5 oder klicken Sie auf 5) Abgesicherten Modus mit Netzwerktreibern aktivieren.
Schritt 2. Beenden Sie verdächtige Prozesse
Der Task-Manager ist ein nützliches Tool, das alle im Hintergrund laufenden Prozesse anzeigt. Gehört einer der Prozesse zu einer Malware, müssen Sie ihn beenden:
- Drücken Sie auf Ihrer Tastatur auf Strg + Umschalt + Esc, um den Task-Manager zu öffnen.
- Klicken Sie auf Mehr Details.
- Scrollen Sie nach unten zum Abschnitt Hintergrundprozesse und suchen Sie nach verdächtige Einträge.
- Klicken Sie den verdächtigen Prozess mit der rechten Maustaste an und wählen Sie Dateipfad öffnen.
- Gehen Sie zurück zu dem Prozess, klicken Sie ihn mit der rechten Maustaste an und wählen Sie Task beenden.
- Löschen Sie den Inhalt des bösartigen Ordners.
Schritt 3. Prüfen Sie den Programmstart
- Drücken Sie auf Ihrer Tastatur auf Strg + Umschalt + Esc, um den Task-Manager zu öffnen.
- Gehen Sie zum Reiter Autostart.
- Klicken Sie mit der rechten Maustaste auf das verdächtige Programm und wählen Sie Deaktivieren.
Schritt 4. Löschen Sie die Dateien des Virus
Zu Malware gehörende Dateien können sich an beliebige Stellen auf dem Computer verstecken. Hier einige Anweisungen, die bei der Suche helfen können:
- Geben Sie Datenträgerbereinigung in der Windows-Suche ein und drücken Sie auf die Eingabetaste.
- Wählen Sie das zu bereinigende Laufwerk aus (C: ist normalerweise das Hauptlaufwerk und auch wahrscheinlich das Laufwerk, in dem sich bösartige Dateien befinden).
- Blättern Sie durch die Liste der zu löschenden Dateien und wählen Sie die folgenden aus:
Temporäre Internetdateien
Downloads
Papierkorb
Temporäre Dateien - Wählen Sie Systemdateien bereinigen.
- Des Weiteren empfiehlt es sich nach bösartigen Dateien in den folgenden Ordnern zu suchen (geben Sie jeden Eintrag in die Windows-Suche ein und drücken Sie die Eingabetaste):
%AppData%
%LocalAppData%
%ProgramData%
%WinDir%
Wenn Sie fertig sind, starten Sie den PC in den normalen Modus.
Entfernen Sie Jaff mit System Restore
Wenn Jaff eine automatische Entfernung verhindert, können Sie die folgenden Schritte ausführen und dann die Sicherheitssoftware erneut ausprobieren.
-
Schritt 1: Starten Sie den Computer in den Modus Safe Mode with Command Prompt
Windows 7 / Vista / XP- Klicken Sie auf Start → Shutdown → Restart → OK.
- Sobald der Computer aktiv wird, sollten Sie anfangen mehrmals F8 zu drücken bis Sie das Fenster Advanced Boot Options sehen.
-
Wählen Sie Command Prompt von der Liste
Windows 10 / Windows 8- Drücken Sie im Windows-Anmeldebildschirm auf den Button Power. Halten Sie nun auf Ihrer Tastatur Shift gedrückt und klicken Sie auf Restart..
- Wählen Sie nun Troubleshoot → Advanced options → Startup Settings und drücken Sie zuletzt auf Restart.
-
Wählen Sie, sobald der Computer aktiv wird, im Fenster Startup Settings Enable Safe Mode with Command Prompt.
-
Schritt 2: Stellen Sie Ihre Systemdateien und -einstellungen wieder her.
-
Sobald das Fenster Command Prompt auftaucht, geben Sie cd restore ein und klicken Sie auf Enter.
-
Geben Sie nun rstrui.exe ein und drücken Sie erneut auf Enter..
-
Wenn ein neues Fenster auftaucht, klicken Sie auf Next und wählen Sie einen Wiederherstellungspunkt, der vor der Infiltrierung von Jaff liegt. Klicken Sie anschließend auf Next.
-
Klicken Sie nun auf Yes, um die Systemwiederherstellung zu starten.
-
Sobald das Fenster Command Prompt auftaucht, geben Sie cd restore ein und klicken Sie auf Enter.
Bonus: Wiederherstellung der Daten
Die oben aufgeführte Anleitung soll dabei helfen Jaff vom Computer zu entfernen. Für die Wiederherstellung der verschlüsselten Dateien empfehlen wir eine ausführliche Anleitung von den Sicherheitsexperten von dieviren.de zu nutzen.Die Dateien lassen sich zurzeit nur mit Back-ups vollständig wiederherstellen. Wenn Sie keine angefertigt haben, können Sie die folgenden Methoden ausprobieren. Hoffentlich können Sie damit wenigstens ein paar der Dateien retten.
Wenn Ihre Dateien von Jaff verschlüsselt worden sind, haben Sie für die Wiederherstellung mehrere Möglichkeiten:
Data Recovery Pro für die Wiederherstellung verschlüsselter Dateien
Die professionelle Software wurde entwickelt, um korrupte, beschädigte, gelöschte und einige verschlüsselte Dateien wiederherzustellen. Data Recovery konnte bereits vielen Erpressungsprogrammopfern helfen. Vielleicht hilft es auch bei Ihnen.
- Data Recovery Pro herunterladen;
- Führen Sie die Schritte der Data Recovery aus und installieren Sie das Programm auf dem Computer;
- Starten Sie es und scannen Sie den Computer nach Dateien, die von Jaff verschlüsselt worden sind;
- Stellen Sie sie wieder her.
Die Vorgängerfunktion von Windows
Diese Wiederherstellungsmethode funktioniert nur, wenn die Systemwiederherstellung schon vor dem Angriff aktiviert wurde. Die von Windows erstellten Vorgängerversionen sind früher gespeicherte Versionen der verschlüsselten Dateien, worauf man wie folgt zugreifen kann.
- Suchen Sie nach einer verschlüsselten Datei, die Sie wiederherstellen möchten und führen Sie einen Rechtsklick darauf aus;
- Selektieren Sie “Properties” und gehen Sie zum Reiter “Previous versions”;
- Kontrollieren Sie hier unter “Folder versions” alle verfügbaren Kopien. Wählen Sie die Version aus, die Sie wiederherstellen möchten und klicken Sie auf “Restore”.
Jeff Decryptor
Ein offizielles Entschlüsselungsprogramm ist zurzeit noch nicht verfügbar.
Als Letztes sollten Sie sich natürlich immer über den Schutz vor Crypto-Ransomware Gedanken machen. Um den Computer vor Jaff und anderer Ransomware zu schützen, sollten Sie eine bewährte Anti-Spyware, wie beispielsweise FortectIntego, SpyHunter 5Combo Cleaner oder Malwarebytes, nutzen.
Für Sie empfohlen
Privatsphäre leicht gemacht
Anonymität im Internet ist heutzutage ein wichtiges Thema. Ob man sich nun vor personalisierter Werbung schützen möchte, vor Datenansammlungen im Allgemeinen oder den dubiosen Praktiken einiger Firmen oder Staaten. Unnötiges Tracking und Spionage lässt sich nur verhindern, wenn man völlig anonym im Internet unterwegs ist.
Möglich gemacht wird dies durch VPN-Dienste. Wenn Sie online gehen, wählen Sie einfach den gewünschten Ort aus und Sie können auf das gewünschte Material ohne lokale Beschränkungen zugreifen. Mit Private Internet Access surfen Sie im Internet ohne der Gefahr entgegen zu laufen, gehackt zu werden.
Sie erlangen volle Kontrolle über Informationen, die unerwünschte Parteien abrufen können und können online surfen, ohne ausspioniert zu werden. Auch wenn Sie nicht in illegale Aktivitäten verwickelt sind oder Ihren Diensten und Plattformen Vertrauen schenken, ist Vorsicht immer besser als Nachricht, weshalb wir zu der Nutzung eines VPN-Dienstes raten.
Sichern Sie Ihre Dateien für den Fall eines Malware-Angriffs
Softwareprobleme aufgrund Malware oder direkter Datenverlust dank Verschlüsselung können zu Geräteproblemen oder zu dauerhaften Schäden führen. Wenn man allerdings aktuelle Backups besitzt, kann man sich nach solch einem Vorfall leicht retten und zurück an die Arbeit gehen.
Es ist daher wichtig, nach Änderungen am Gerät auch die Backups zu aktualisieren, sodass man zu dem Punkt zurückkehren kann, an dem man zuvor gearbeitet hat, bevor eine Malware etwas verändert hat oder sonstige Probleme mit dem Gerät auftraten und Daten- oder Leistungsverluste verursachten.
Wenn Sie von jedem wichtigen Dokument oder Projekt die vorherige Version besitzen, können Sie Frustration und Pannen vermeiden. Besonders nützlich sind sie, wenn Malware wie aus dem Nichts auftaucht. Verwenden Sie Data Recovery Pro für die Systemwiederherstellung.
Wenn Ihnen die kostenlose Entfernungsanleitung geholfen hat und Sie mit unserem Service zufrieden sind, möchten wir Sie um eine Spende bitten, sodass wir unsere Hilfe weiter anbieten können. Jeder noch so kleine Betrag ist herzlich willkommen.