NotPetya-ErpressersoftwareRichtig entfernen?

NotPetya – Ransomware, die weltweit verheerende Auswirkungen hat

Der NotPetya-Virus ist ein neu identifiziertes Erpressungsprogramm, das auf der ganzen Welt diverse Windows-Systeme beeinträchtigt hat. Unter den betroffenen Ländern gehören die Vereinigten Staaten, das Vereinigte Königreich, Spanien und natürlich auch die Ukraine.
Durch den Angriff mussten mehrere Flüge aufgeschoben werden und selbst Tankstellen hatten Probleme mit ihrer täglichen Arbeit. Darüber hinaus griff der Virus das Kraftwerk in Chernobyl an, wodurch die Mitarbeiter das Strahlungsniveau manuell regulieren mussten. Bisher ist bekannt, dass der Virus:

• die MBR-Einstellungen modifiziert und einzelne Muster Dateien verschlüsseln.
• ein Lösegeld in Höhe von 300 USD verlangt.
• Sicherheitslücken im Betriebssystem Windows ausnutzt.
• als Kontaktmöglichkeit die E-Mail-Adresse [email protected] angibt.
• sich als Petya tarnt, aber tatsächlich eine eigenständige Schadsoftware ist.
• die Vereinigten Staaten, Europa und insbesondere die Ukraine im Visier hat.

Die Bedrohung modifiziert die Boot-Einstellungen, um das System daran zu hindern normal zu starten. Zu diesem Zeitpunkt scheint sie die Dateien nicht mit einer besonderen Dateiendung zu versehen, da sie nicht verschlüsselt werden. Stattdessen wird ein Systemfehler verursacht. Laut dem Erpresserbrief fordert die Bedrohung 300$ und weist an den Betrag an [email protected] zu überweisen.

Der IT Experte Amit Serper hat glücklicherweise eine Möglichkeit gefunden, um den Angriff der Schadsoftware abzuwehren. Nicht nur Firmen sind von der Erpressersoftware betroffen, sondern auch Individuen. Wenn Sie ebenfalls zu den Opfern gehören, sollten Sie NotPetya unbedingt mit einer Anti-Malware, wie bspw. FortectIntego oder MalwarebytesMalwarebytes entfernen.

Petya oder NotPetya?

Die Schadsoftware beginnt mit der gleichen Bemerkung wie bei der Bedrohung WannaCry:

Ooops, your important files are encrypted.
If you see this text, then your files are no longer accessible, because they have been encrypted. Perhaps you are busy looking for a way to recover your
files, but don’t waste your time. Nobody can recover your files without our
decryption service.
We guarantee that you can recover all your files safely and easily. All you
need to do is submit the payment and purchase the decryption key.
Please follow the instructions:
1. Send $300 worth of Bitcoin to the following address:
lflz7153HHuxXTuR2R1t78mGSdzafithBUX
2. Send your Bitcoin wallet ID and personal installation key to e-mail
[email protected]. 
If you already purchased your key, please enter it below.

Zu Anfang ging man noch davon aus, dass es sich bei der Schadsoftware um Petya handelte, da sie ebenfalls in die MBR-Einstellungen eingreift, um Einfluss auf den Computerstart auszuüben. Mittlerweile teilen IT-Experten mit, dass sich die Infizierung lediglich hinter dem Namen versteckt, aber es in Wahrheit eine andere Schadsoftware ist. Der Virus trägt daher zurzeit den Namen NotPetya.

Es scheint, dass die Angreifer aus den Fehlern von den WannaCry-Entwicklern gelernt haben und für die Schadsoftware ebenfalls die Windows-Sicherheitslücke nutzen.

Trotz der Warnungen von Cybersicherheitskräften hat es die Schadsoftware geschafft Chaos anzurichten. Internationale Einrichtungen, wie Flughäfen, haben darauf verzichtet ihre Systeme rechtzeitig zu aktualisieren, was katastrophale Folgen hatte.

Interessanterweise fand der erste Ausbruch der Bedrohung in der Ukraine statt. Das Land scheint für Hacker quasi ein „Versuchskaninchen“ zu sein. WannaCry hat in der Ukraine nämlich als Erstes seine Macht bewiesen und direkt im Anschluss wurde das Land erneut mit dem XData-Virus auf die Probe gestellt.

NotPetya profitiert von NSA-Hacking-Tools

Den Cyberkriminellen ist das zuvor geleakte Hacking-Tool der NSA zugutegekommen. Eine Infizierung mit NotPetya ist am wahrscheinlichsten, wenn das Betriebssystem veraltet ist. Am meisten hat Windows 7 unter die Attacke gelitten. Es ist aber auch wahrscheinlich, dass die Schadsoftware andere Verbreitungsmethoden nutzt, wie bspw. Spammails und Exploit-Kits.

Glücklicherweise wurde bereits ein “Gegenmittel” gefunden. Man muss einfach nur im Windows-Ordner (C:\Windows) eine Textdatei namens perfc erstellen.

Löschen Sie NotPetya und stellen Sie Ihre Dateien mit alternativen Methoden wieder her

Unabhängig von der Art der Erpressersoftware sollte die Entfernung immer die oberste Priorität haben. Eine zügige Entfernung ist folglich ratsam. Erfreulicherweise wird die Schadsoftware von allen gängigen Antivirenprogrammen erkannt und kann demzufolge auf einfache Weise entfernt werden.

Da der Boot-Prozess vom Virus modifiziert wird, ist es möglich, dass man nicht auf die Sicherheitssoftware zugreifen kann. In diesem Fall sollte die unten aufgeführte Anleitung hilfreich sein. Wenn Sie mit einer datenverschlüsselnden Version von NotPetya infiziert worden sind, sollten Sie bis es einen offiziellen NotPetya-Decrypter gibt die Dateien mit alternativen Programmen versuchen zu entschlüsseln.