Virus Petya entfernen (Aktualisiert) - Bonus: Entschlüsselungsschritte

Was ist Petya?

Petya – ein Ransomware-Stamm, von dem bekannt ist, dass er ein massiver weltweiter Angriff ist

Petya wurde erstmals im Jahr 2016 entdeckt und wurde seitdem einige Male aktualisiert. Zu den Malware-Varianten gehören PetrWrap, GoldenEye, Mamba virus, Mischa oder Bad Rabbit. Dieser Krypto-Virus startete massive globale Kampagnen, die Organisationen und Unternehmen von der Ukraine über Russland bis nach Spanien betrafen, mit der Absicht, Dateien zu verschlüsseln und die Opfer dazu zu bringen, Lösegeld für deren Rückgabe zu zahlen

Es startete ähnliche wie bei WannaCry – der Ausbruch kam urplötzlich und breitet sich rapide aus. Mittlerweile hat das Erpressungsprogramm mehrere Banken, Energieversorger, sowie die Firmen „Rosneft“, „Maersk“, „Saint – Gobain“ und weitere infiziert. Zu den prominenteren Zielen zählen ukrainische Banken wie die UkrSibbank; andere bekannte Ziele waren WPP (UK), Saint Gobain Glass Company (Frankreich) und viele andere auf der ganzen Welt, die auf allen erdenklichen Ebenen der Gesellschaft ernsthaften Schaden anrichteten – einschließlich Krankenhäusern

Die aktuellste Version gibt für die Bezahlung des Lösegelds die E-Mail-Adresse wowsmith123456@posteo.net an und verlangt für die Wiederherstellung der Daten eine Überweisung von 300 USD in Bitcoins. Mehrere Länder haben bereits einen Angriff bestätigt, wie unter anderem die Ukraine, das Vereinigte Königreich, Spanien, Dänemark, die Niederlande und Indien.

Petya verschlüsselt die Dateien nicht mehr nacheinander. Der Virus hat also eindeutig Verbesserungen erhalten. Stattdessen startet er den Computer neu und verschlüsselt die MFT (Master File Table) auf der Festplatte. Er modifiziert hierfür wie üblich zuerst das MBR (Master Boot Record). Später ist das Aufrufen von Dateiinformationen, wie bspw. Name, Größe und Speicherort, nicht mehr funktionstüchtig.

Eine Infizierung mit Petya ist immer noch über gefälschte Office-Dokumente möglich. Es gilt also Vorsicht bei E-Mails von unbekannten Absendern. Die Seite The Hacker News berichtete allerdings, dass der Virus außerdem dieselbe SMBv1-Sicherheitslücke in Windows wie bei WannaCry ausnutzt.. Zum Schutz empfiehlt es sich FortectIntego zu installieren.

Die grundlegende Funktionsweise

Anders als bei anderen erpresserischen Programmen startet Petya den Computer umgehend neu. Wenn der Computer wieder hochgefahren ist, zeigt er folgende Nachricht auf dem Bildschirm an:

DO NOT TURN OFF YOUR PC!
IF YOU ABORT THIS PROCESS, YOU COULD DESTROY ALL OF YOUR DATA! PLEASE ENSURE THAT YOUR POWER CABLE IS PLUGGED IN!

Die Mitteilung sieht zwar aus wie eine Systemfehlermeldung, aber in Wahrheit führt Petya genau zu diesem Zeitpunkt die Verschlüsselung der Daten aus. Wenn man versucht das System neu zu starten oder der Virus die Datenverschlüsselung fertiggestellt hat, taucht ein rotes Skelett mit dem Text „PRESS ANY KEY!“ auf dem Bildschirm auf. Geht man dem Befehl nach und klickt auf eine Taste, erscheint ein Erpresserbrief.

Zu Anfang der Zeiten von Petya wurden die Opfer in diesem Erpresserbrief dazu aufgefordert 0,9 Bitcoins zu bezahlen, was zu der Zeit ungefähr 340 Euro entsprach. Mittlerweile haben sich die Forderungen jedoch geändert und es werden nun 300 USD in Bitcoins verlangt. Firmen mit zahlreichen Computern könnten übrigens andere Beträge genannt bekommen.

Petya verschlüsselt die Dateien mit den komplexen Verschlüsselungsverfahren RSA-4096 und AES-256, welche selbst für militärische Zwecke verwendet werden. Der Code ist ohne den dazugehörigen privaten Schlüssel unmöglich zu knacken. Der private Schlüssel wird natürlich genau wie bei anderen Erpressungsprogrammen, bspw. Locky, CryptoWall, und CryptoLocker, auf Remote-Servern gespeichert, wodurch man ihn nur in die Hände bekommt, wenn man das Lösegeld an die Virenersteller überweist.

Weitere Aktivitäten nach einem Angriff

Sobald der Virus im System ist, versucht er die Boot-Dateien von Windows zu überschreiben; das sogenannte MBR (Master Boot Record), das für das Laden des Betriebssystems zuständig ist. Solange man die MBR-Einstellungen nicht wiederherstellt, wird man den Petya-Virus nicht vom Computer entfernen können.

Selbst wenn man die Einstellungen in Ordnung bringt und den Virus vom System löscht, bleiben die Dateien leider immer noch gesperrt. Mit der Entfernung des Virus entschlüsselt man nämlich nicht die betroffenen Dokumente, sondern beseitigt nur die Virendateien. Trotzdem ist die Entfernung des Virus ein absolutes Muss, wenn man den Computer wieder normal verwenden möchte. Wir empfehlen für die Entfernung von Petya hochentwickelte und bewährte Antivirenprogramme wie FortectIntego zu verwenden.

Sicherheitsexperten haben kürzlich bekanntgegeben, dass man mit deren gefundenen Entschlüsselungsschlüssel und speziellen Algorithmus die Daten wieder entschlüsseln kann. Besuchen Sie hierfür die Webseite des Anbieters. Die Datenschlüsselung sollte allerdings nicht die einzige Sorge sein.

Sie müssen zuerst unbedingt sicherstellen, dass Sie das Erpressungsprogramm vom Computer entfernen, da es ansonsten die Daten ein zweites Mal verschlüsselt. Wenn Sie bei der Entfernung Probleme haben, empfehlen wir einen Blick auf unsere ausführliche Entfernungsanleitung zu werfen, die auf der zweiten Seite von diesem Artikel zu finden ist.

In der Abbildung oben ist ein Muster des Erpresserbriefes zu sehen, welcher von Petya auf dem infizierten Gerät eingeblendet wird, sowie ein Schnappschuss der Bezahlseite.

Die Verwandten von Petya

Das Erpressungsprogramm entwickelt sich seit seinem Erscheinen kontinuierlich weiter. Die Entwickler von Petya haben bereits folgende zusätzliche Versionen des Erpressungsprogramms herausgebracht:

Mischa, erstmals Mai 2016 gesichtet und bekannt als Teil der Cyberkampagne von Janus Cybercrime Solutions, die es Möchtegernhackern ermöglicht haben dem Affiliate-Netzwerk von Petya beizutreten. Um als Verbreiter mitmachen zu können, muss man allerdings eine Anmeldegebühr bezahlen.

Abhängig vom eingenommenen Lösegeld erhalten die Virenverbreiter bis zu 85% der Einnahmen. Wenn Sie nun erwägen dieser fiesen Firma als Affiliate beizutreten, möchten wir Sie gerne daran erinnern, dass den Virenerstellern nichts heilig ist und sie lediglich ihren Nutzen aus Ihnen ziehen wollen.

Petrwrap gehört nicht zu dem Affiliate-Programm von Petya (Janus Cybercrime Solutions). Es ist ein separater Virus, der auf einen modifizierten ECDH-Algorithmus basiert und private und öffentliche Schlüssel außerhalb des RaaS-Systems (Ransomware as a Service) generiert.

Die Schadsoftware nutzt anfällige RDP-Netzwerke und das Tool PsExec, um das Computersystem zu infiltrieren und das Virenprogramm zu starten. Allerdings ist eine Infizierung mit der Schadsoftware auch möglich, indem man einen infizierten E-Mail-Anhang herunterlädt.

GoldenEye ist Petya sehr ähnlich. Der Virus markiert die verschlüsselten Dateien mit einer speziellen Endung, um den Verlust schnell erkenntlich zu machen. Zudem umgeht er die Benutzerkontensteuerung, um den Angriff auf niedrigem Level auszuführen und das Erpressungsprogramm auf dem System einzuschleusen. Wenn die Benutzerkontensteuerung auf dem höchsten Level (Immer benachrichtigen) eingestellt ist, wird das Opfer mehrmals gefragt, ob das schädliche Programm Änderungen am Computer veranlassen darf. Mit einem Klick auf Ja, wird Petya offensichtlich ausgeführt.

Mamba ist extrem gefährlich und kann quasi jeden Computer infizieren. Hauptsächlich sind jedoch Computer von deutschen Firmen im Visier. Das schädliche Programm dringt heimlich in die Computer ein und führt seine schädlichen Aktivitäten aus, ohne dass der Computernutzer jeglichen Verdacht schöpft.

In dieser Version haben die Hacker es endlich geschafft den Verschlüsselungsalgorithmus Salsa20 zu implementieren, womit frühere Schwachstellen von Petya beseitigt wurden. Ansonsten geht der Virus wie seine Vorgänger vor und wird in der Form einer korrupten PDF verbreitet. Die Virenentwickler nutzen für die Verbreitung der Bedrohung hauptsächlich Spammails und gefälschte Softwareupdates.

Wie infiziert die Schadsoftware den Computer und wie verhindert man ein Eindringen?

Der Petya-Virus wird in der Regel mit Spammails verbreitet, welche einen Dropbox-Downloadlink für eine Datei namens „application folder-gepackt.exe“ enthalten. Der Virus wird aktiv, wenn man die genannte Datei herunterlädt und öffnet. Die aktuellsten Versionen des Virus nutzen allerdings die Sicherheitslücke CVE-2017-0199 Office RTF, um den Computer zu infiltrieren.

Da Sie nun wissen, wie sich der Virus verbreitet, ahnen Sie wahrscheinlich schon, wie man den Computer vor einem Virenangriff schützt. Sie müssen beim Öffnen von E-Mails sehr vorsichtig sein, wenn diese von suspekten und unbekannten Absendern stammen und angeblich wichtige Informationen enthalten, aber sie eine E-Mail dieser Art nicht erwartet haben.

Sie sollten außerdem keine E-Mails vom Spamordner öffnen, denn die meisten E-Mail-Anbieter filtern suspekte Inhalte automatisch und speichern sie in dem Spamordner. Der eingebettete Filter ist aber nicht hundertprozentig zuverlässig und eine potenziell gefährliche E-Mail kann daher ab und zu im regulären Postfach landen. Zudem ist es äußerst empfehlenswert das System mit einer bewährten Antivirensoftware auszurüsten und diese regelmäßig zu aktualisieren. Zu guter Letzt ist es für den eventuellen Ernstfall immer ratsam Back-ups auf einer externen Festplatte anzufertigen.

Petya richtig entfernen

Wie bereits erwähnt, ist für die Sicherheit der zukünftigen Dateien das Entfernen des Petya-Virus notwendig. Das Wiederherstellen von Daten mit Sicherheitskopien auf externen Festplatten ist außerdem nur sicher durchzuführen, wenn der Virus und alle seine Komponenten vollständig vom Computer beseitigt worden ist. Andernfalls kann Petya die externen Speicher infiltrieren und dort die Dateien sperren.

Petya lässt sich nicht mit einer einfachen Deinstallation vom Computer entfernen, denn solch eine Funktion ist bei schädlichen Programmen offensichtlich nicht vorhanden. Dies bedeutet, dass man den Virus automatisch entfernen muss. Die automatische Entfernung von Petya kann mit einer vertrauenswürdigen Antivirensoftware bewerkstelligt werden, die den Virus erkennt und vom Computer löscht.

Wenn Sie bei der automatischen Entfernung auf Probleme treffen oder das Antivirenprogramm nicht gestartet werden kann, können Sie zu jeder Zeit auf unsere ausführliche Entfernungsanleitung zurückgreifen, die sich am Ende des Artikels befindet.