JokeFromMars. Richtig entfernen? (Anleitung für die Deinstallation)

JokeFromMars (MarsJoke), ein schlechtes Imitat des CTB-Locker-Virus

Laut aktuellen Recherchen wird der JokeFromMars-Virus derzeit unter drei verschiedenen Namen verbreitet: JokeFromMars, MarsJoke und Polyglot. Wenn Ihnen diese Namen bekannt vorkommen, sollten Sie wissen, dass Sie es mit einem erpresserischen Virus zu tun haben. JokeFromMars ahmt den berüchtigten Virus CTB Locker nach. Es wird angenommen, dass die jeweiligen Versionen von JokeFromMars sich als CTB Locker ausgeben, um bei Schadsoftwareforschern für Verwirrung zu sorgen. Untersuchungen haben allerdings ergeben, dass der Code der zwei Viren unterschiedlich ist und JokeFromMars lediglich auf dieselbe Weise wie CTB Locker arbeitet. Der Sperrbildschirm der Viren ist fast identisch. Ferner lassen beide das Testen des Entschlüsselungsprogramms zu, indem man damit 5 ausgewählte Dateien entschlüsselt. Falls der kompromittierte Computer während des Entschlüsselungstests die Verbindung zum Internet verliert, wird eine „Request failed“-Fehlermeldung ausgelöst. Die Entwickler des Virus haben die Vorgehensweise von CTB Locker präzise kopiert. Der einzige sichtbare Unterschied ist, dass JokeFromMars die verschlüsselten Daten nicht mit einer Kennzeichnung markiert. Obwohl seit dem ersten Auftauchen von CTB Locker schon zwei Jahre vergangen sind, ist die Bedrohung immer noch ungeschlagen und niemandem ist es gelungen die Dateien kostenfrei zu entschlüsseln. Beim Erpressungsprogramm JokeFromMars waren die Entwickler allerdings nicht so sorgfältig, denn Schadsoftwareforscher konnten aufgrund einer Schwachstelle im Quellcode ein kostenloses Entschlüsselungsprogramm entwickeln. Sie können die Daten demzufolge mit unserer Datenwiederherstellungsanleitung am Ende des Artikels ohne jegliche Kosten wiederherstellen. Vergessen Sie aber nicht JokeFromMars zuerst vom Computer zu entfernen!

Wie geht der Virus vor?

JokeFromMars mag zwar weniger wirksam als andere dateiverschlüsselnde Bedrohungen sein, aber dennoch darf man nicht den großen Fehler machen den Virus zu unterschätzen. Der Virus gelangt ins System bzw. ins Netzwerk als ausführbare Datei namens file_6.exe, welche den schädlichen Code installiert und das Erpressungsprogramm startet. Sobald es aktiv wird, verschlüsselt es alle Dateien mit einem starken Verschlüsselungsalgorithmus (AES-256) und verlangt für das Freilassen der Dateien ein Lösegeld. In diesem Sinne unterscheidet sich JokeFromMars nicht von anderen Erpressungsprogrammen. Interessant ist jedoch, dass der JokeFromMars-Virus mithilfe des Kelihos-Botnetz verbreitet wird, welches innerhalb der ersten 24 Stunden nach der Veröffentlichung des Virus sich größenmäßig verdreifacht hat. Dies lässt vermuten, dass sich die Cyberkriminellen schon lange vor dem Veröffentlichen des Erpressungsprogramm darauf vorbereitet haben. Das umfassende Netzwerk an „Zombie“-Computern wurde aus einem sehr spezifischen Grund aufgebaut: Um Computer in Schulen, staatlichen und lokalen Behörden anzugreifen. Bedauerlicherweise bedeutet das aber nicht, dass die privaten Computer sicher vor einer Infizierung sind. Es ist also nützlich die grundlegenden Aspekte bei der Entfernung von JokeFromMars zu kennen, welche wir im Nachhinein besprechen werden. Wenn Sie dafür keine Zeit haben, ist es ratsam eine anständige Anti-Malware wie Reimage zu installieren, die solche Probleme automatisch lösen kann.

Des Weiteren ändert das Erpressungsprogramm nach dem Eindringen in den Computer das Hintergrundbild. Wenn die Cyberbedrohung in ihrer Infiltrierung erfolgreich ist, stellt sie sicher, dass das Opfer über die derzeitige Situation auf dem Computer Bescheid weiß, indem sie ReadMeFilesDecrypt!!!.txt öffnet. Die darin enthaltene Nachricht sieht wie folgt aus:

Der JokeFromMars-Virus arbeitet offensichtlich auf dieselbe Weise wie unzählige andere erpresserische Bedrohungen. Er setzt seinen Opfern eine Frist in der das Lösegeld in Höhe von 0.7 Bitcoins, zurzeit ungefähr 459 Euro, bezahlt werden muss. Ferner machen die Verbrecher deutlich, dass wenn das Lösegeld nicht zeitig überwiesen wird, sich der Betrag verdoppelt oder die Dateien für immer verloren sind. Solche Drohungen sind bei Hackern eine gängige Praktik, um ihre Opfer zur Bezahlung zu bringen. Im Angesicht der Gewohnheiten lässt sich außerdem sagen, dass es keine Garantie gibt, dass man selbst nach der Bezahlung die Dateien wiederbekommt. Wir raten daher stattdessen an JokeFromMars zu entfernen und sich auf andere Methoden für die Datenwiederherstellung zu konzentrieren.

Die Verbreitungsmethoden

Um so viele Computer wie nur möglich zu infizieren, bettet man Viren im Anhang von Spammails ein, wo sie als Rechnungen, Lieferbescheide oder Steuerrückzahlungen getarnt werden. Diese Art der Verbreitung lohnt sich leider immer noch erheblich. Beim JokeFromMars-Virus wird daher ebenfalls von den Vorzügen dieser Verbreitungsmethode Gebrauch gemacht. Wie zuvor erwähnt, nutzt man für das Versenden der mit schädlicher Software versehenen Spammails ein Botnetz. Im Falle von JokeFromMars werden Flugbestätigungen versendet, die die schädliche exe-Datei verbergen. So lange Sie den Absender nicht als aufrichtig einstufen können, empfiehlt es sich keine unbekannten E-Mails zu öffnen. Selbst wenn die E-Mail von einer staatlichen Behörde stammt, darf man nicht außer Acht lassen, dass es sich hier um einen Betrug handeln könnte und eine sorgfältige Überprüfung vonnöten ist. Eine Infizierung lässt sich natürlich verhindern, indem man eine zuverlässige Anti-Spyware installiert.

Entfernungsanleitung für JokeFromMars

Da JokeFromMars eine sehr schädliche Bedrohung ist, sollte man die Entfernung nicht hinauszögern. Jede Minute zählt, denn das Erpressungsprogramm kann stets weitere Dateien verschlüsseln. Wir möchten außerdem empfehlen die Entfernung von JokeFromMars mithilfe einer bewährten Sicherheitssoftware durchzuführen. In unseren Tests haben wir Reimage, Malwarebytes Malwarebytes und Plumbytes Anti-MalwareNorton Internet Security verwendet. Wenn Sie im IT-Feld tätig sind, können Sie natürlich auch versuchen JokeFromMars manuell zu entfernen. Normalen Computernutzer wird allerdings von der manuellen Entfernung abgeraten, da die Schadsoftware ihre Dateien über das ganze System verteilt speichern kann. Wenn Sie JokeFromMars nicht entfernen können, weil der Bildschirm gesperrt ist, können Sie das Problem mit unserer unten aufgeführten Anleitung lösen. Darüber hinaus möchten wir auch noch darauf hinweisen, dass Anti-Spywares, Antivirenprogramme und ähnliche Sicherheitsanwendungen lediglich schädliche Dateien entfernen können und nicht die verschlüsselten Dateien entschlüsseln. Für die Datenwiederherstellung haben wir ebenfalls Hilfestellungen vorbereitet.

Für die Deinstallation von JokeFromMars ist Reimage empfehlenswert. Der kostenlose Scanner lässt einen überprüfen, ob der Computer infiziert ist oder nicht. Falls Sie Schadsoftware entfernen müssen, müssen Sie die lizenzierte Version von Reimage erwerben.
Weitere Informationen über das Programm können Sie in der Beurteilung von Reimage finden.