JaffRichtig entfernen?

Jaff-Erpressungsprogramm verbreitet sich über Necurs, verschlüsselt Dateien und verlangt für den Decryptor 2 BTC

Das Erpressungsprogramm Jaff ist eine Krypto-Schadsoftware, die über das Botnetz Necurs verbreitet wird. Die entstellten schädlichen Nutzdaten befinden sich in einer E-Mail mit einer angehangenen PDF. Sobald man die Datei öffnet, wird ein Word-Dokument geladen für dessen Inhalt man Makros aktivieren soll. Wenn man den Anweisungen folgt, wird die Schadsoftware auf das System geladen und aktiviert. Jaff beginnt dann auf dem betroffenen Gerät mit der Datenverschlüsselung. Das Programm hat hierbei 424 verschiedene Dateitypen im Visier. Für die Verschlüsselung nutzt es eine Kombination aus RSA und AES und versieht die Dateien anschließend mit der Endung .jaff. Nach der Datenverschlüsselung werden drei neue Dateien auf dem Computer gespeichert: ReadMe.bmp, ReadMe.txt und ReadMe.html. Die Bilddatei wird als Bildschirmhintergrund festgelegt und informiert über den Angriff. Die anderen zwei Dateien enthalten Lösegeldforderungen, worin man aufgefordert wird 2 Bitcoins zu überweisen, wenn man seine Dateien wiederhaben möchte. Allerdings muss man bedenken, dass der Kauf des sogenannten Decryptors zum Geldverlust führen kann. Im Falle eines Angriffs ist es empfehlenswert sich auf die Virenentfernung zu konzentrieren. So lange sich die Schadsoftware auf dem System befindet, ist der Computer und auch die Privatsphäre in Gefahr. Sie sollten daher das Erpressungsprogramm mit einem bewährten Schadsoftware-Entferner wie FortectIntego beseitigen. Nach der Entfernung des Virus können Sie sich der Datenwiederherstellung widmen. 

Jaff ähnelt den Viren Locky und Dridex in dem Aspekt, dass es die gleiche Hauptverbreitungsstrategie nutzt, und zwar Necurs-MalSpam. Die Schadsoftware ist jedoch nicht mit diesen Cyberbedrohungen verwandt. Cyberkriminelle haben von erfolgreichen Erpressungsprogrammprojekten lediglich ein paar Features adaptiert. Wie wir bereits erwähnt haben, ist die infizierte E-Mail mit einer PDF-Datei versehen, welche eine DOCM-Datei öffnet. Sobald man auf den Button „Inhalt aktivieren“ klickt, aktiviert man auch das schädliche Programm. Die Schadsoftware fängt daraufhin an Informationen über das Opfer zu sammeln und lädt diverse Dateien herunter, die für die Ausführung der Jaff-Schadsoftware notwendig sind. Wenn ein datenverschlüsselnder Virus ausgeführt wird, verbindet er sich mit seinen C&C-Servern und benachrichtigt sie über das neu angegriffene Gerät. Der C2-Server antwortet dann mit einem „Erstellt“, woraufhin die Schadsoftware ihre Verschlüsselung beginnt. Ein Großteil der Dateien wird mit den Verschlüsselungsverfahren AES und RSA unzugänglich gemacht. Verschont bleiben nur Systemdateien und Dateien, die für einen funktionierenden Computer notwendig sind. Mit der Befehlszeile vssadmin.exe delete shadows /all /Quiet löscht Jaff außerdem die Schattenkopien der anvisierten Dateien, wodurch die Datenwiederherstellung ohne den speziellen Entschlüsselungsschlüssel nahezu unmöglich ist. Darüber hinaus speichert die Schadsoftware in jedem Ordner mit betroffenen Dateien eine Lösegeldforderung, worin erklärt wird, wie man an den Entschlüsselungsschlüssel kommt.

In der Lösegeldforderung sind zudem eine ID und ein Link für die Bezahlseite enthalten, welche nur über den Tor-Browser erreicht werden kann. Die Bezahlseite ist identisch zu der von Locky. Auf ihr erfährt man, wie man Bitcoins kauft und wie man sie an die angegebene Adresse überweist, woraufhin man anschließend den Entschlüsselungsschlüssel bekommen soll. Als Jaff zum ersten Mal gesichtet wurde, betrug das Lösegeld noch 1,82 BTC. Neuere Versionen verlangen jedoch bereits 2 BTC. Bedauerlicherweise gibt es keine Garantie, dass die dahintersteckenden Gauner wirklich den Jaff Decryptor aushändigen. Schließlich sind sie nur an Ihrem Geld interessiert. Sie sollten daher nicht die 4000 Euro riskieren und mit dubiosen Menschen ins Geschäft treten. Wenn Sie Back-ups von Ihren Dateien gemacht haben, können Sie sich glücklich schätzen, denn zurzeit können Sie nur mit diesen die Daten wiederherstellen. Andernfalls stehen die Chancen schlecht. Trotzdem sollte das nicht zum Bezahlen des Lösegelds motivieren. Konzentrieren Sie sich lieber auf die Entfernung von Jaff. Wenn der Computer endlich virenfrei ist, können Sie alternative Wiederherstellungsmethoden ausprobieren und wenigstens ein paar der Dateien retten oder warten bis ein offizielles Entschlüsselungsprogramm veröffentlicht wird.

Erpressungsprogrammverbreitungsanalyse

Der Jaff-Virus nutzt das Botnetz Necurs, um seine schädlichen Spammails mit infizierten PDF-Dokumenten zu verbreiten. Wie wir bereits erwähnt haben, findet diese Methode bei der Verbreitung von Locky Anwendung. Die Betreffzeile der Mail enthält eine der folgenden Wörter, gefolgt von einer beliebigen Ziffernfolge: File, Document, Copy, Scan oder PDF. Die Betreffzeile einer schädlichen E-Mail könnte dann beispielsweise wie folgt lauten: „File_123456“. In der E-Mail befindet sich eine PDF namens „nm.pdf“. In der Nachricht könnten allerlei Gründe angeben werden, warum man die Datei öffnen sollte. In eine der Spamaktionen wird beispielsweise darum gebeten von der angehangenen Datei zwei Kopien zu drucken. Wenn man die PDF jedoch öffnet, öffnet sich ein Word-Dokument, wo Makros aktiviert werden sollen. Abhängig von der Version des installierten PDF-Readers, könnte die PDF die DOCM-Datei automatisch öffnen oder das Öffnen erfragen. Anschließend wird aber mitgeteilt, dass das Dokument geschützt ist und man auf „Inhalt aktivieren“ klicken muss. Der Button birgt einen schädlichen Makro-Befehl, der bewirkt, dass mit den C&C-Servern Kontakt aufgenommen, die Dateien des Erpressungsprogramms heruntergeladen und das „Jaff Decryption System“ ausgeführt werden. Wenn Sie kein Dokument oder Datei von jemanden erwarten, sollten Sie keine verdächtigen E-Mail-Anhänge öffnen. Bevor Sie angehangene Dateien öffnen, müssen Sie sich vergewissern, dass Sie den Absender kennen und er vertrauenswürdig ist. Ist dem nicht der Fall, sollten Sie die E-Mail umgehend löschen.

Darüber hinaus kann Jaff über soziale Netzwerke und File-Sharing-Seiten verbreitet werden. Sie könnten beispielsweise einen Link von einem Freund (oder einem Fremden) erhalten, wo suggeriert wird sich ein Video oder Bild anzusehen. Bevor Sie auf solche Links klicken, sollten Sie sich sicher sein, dass er nicht gefährlich ist. Sie könnten Ihren Freund zum Beispiel fragen, ob er den Link wirklich gesendet hat. Des Weiteren kann die Schadsoftware auf diversen P2P-Netzwerken als nützliche Software beworben werden. Wenn Sie ein bestimmtes Programm installieren müssen, sollten Sie unbekannte Downloadseiten meiden. Nehmen Sie hierfür immer die Webseiten von offiziellen Entwicklern/Herausgebern in Anspruch, damit Sie keine schädlichen Programme installieren.

Jaff vollständig vom Gerät entfernen

Der einzig sichere Weg für eine vollständige Entfernung von Jaff ist das System mit einem bewährten Schadsoftware-Entferner zu scannen. Wir raten davon ab das Erpressungsprogramm selbst zu löschen, da es sich in legitime Systemprozesse einspeisen und die Registrierungsdatenbank modifiziert haben kann. Beendet man wichtige Prozesse oder löscht wesentliche Einträge, verursacht man lediglich mehr Schaden. Installieren Sie also FortectIntego, SpyHunterCombo Cleaner oder einen anderen Schadsoftware-Entferner und überlassen Sie ihm die Entfernung. Wenn sich die Anwendung nicht installieren lässt, starten Sie den Computer wie unten angegeben in den abgesicherten Modus mit Netzwerktreibern. Anschließend sollten Sie die Sicherheitssoftware installieren und Jaff entfernen können. Sobald der Computer virenfrei ist, können Sie die Dateien durch Ihre Back-ups ersetzen oder alternative Wiederherstellungsoptionen ausprobieren.