Virus Ryuk entfernen (Virenentfernungsanweisungen) - Kostenlose Anleitung

Was ist Ryuk-Erpressersoftware?

Ryuk: Eine Erpressersoftware, die große Organisationen auf der ganzen Welt anvisiert

Ryuk ist eine Ransomware, die seit August 2018 bereits mehrere Unternehmen, Rechenzentren und PCs angegriffen und deren Daten verschlüsselt hat. Laut zahlreichen Spekulationen stammt der Virus aus derselben Familie wie die Hermes-Ransomware, welche der berüchtigten Gruppe Lazarus zugeschrieben wird. Kürzlich schockierten sie Sicherheitsexperten damit, dass die Schadsoftware die Wake-on-Lan-Funktion missbrauchen kann, um den Computer einzuschalten und weitere Geräte im Netzwerk zu infizieren.

Nachdem die Erpressersoftware Ryuk systematisch ausgewählte Daten verschlüsselt hat, generiert sie einen Erpresserbrief namens RyukReadMe.txt, worin der Lösegeldbetrag aufgeführt wird, der je nach der Menge der verschlüsselten Daten zwischen 15 BTC und 50 BTC schwankt. Die Ryuk-Ransomware kehrte in der Weihnachtszeit mit neuen Angriffen in die Schlagzeilen zurück, unter anderem auf den Cloud-Hosting-Provider DataResolution.net. Diese neue Version wurde aufgrund der angehängten Dateierweiterung als RYK-Erpressersoftware getauft. Beachten Sie jedoch, dass sie alternativ auch als Cryptor2.0 bezeichnet wird.

Neuesten Berichten zufolge verbreitet sich Ryuk immer noch rasendschnell im Internet und infiziert Nutzer weltweit. Das FBI hat bei seinen Untersuchungen herausgefunden, dass die Cyberbedrohung Angriffe auf mehr als 100 verschiedene Arten von Unternehmen in den Vereinigten Staaten von Amerika gestartet hat.

All dies ereignete sich im Zeitraum von August 2018 bis Mitte Mai 2019. Die Anzahl an infizierten Unternehmen ist folglich sehr groß. Experten glauben, dass der Grund für den Erfolg der Ryuk-Erpressersoftware darin liegt, dass sie auch andere zerstörerische Viren wie TrickBot und Emotet überträgt. Die Vielfalt der betroffenen Unternehmen ist groß, darunter gehören bspw. Logistikunternehmen, technologiebasierte Hersteller und ähnliche.

Forscher arbeiten noch immer daran, mehr Wissen über die Verbreitungsmittel von Ryuk zu erlangen. Es wird jedoch spekuliert, dass die Erpressersoftware in Form eines Phishing-E-Mail-Anhangs versendet wird, der sich normalerweise als Rechnung, Geschäftsbericht usw. ausgibt. Darüber hinaus ist es wahrscheinlich, dass Hacker unzureichend geschützte RDP-Konfigurationen ausnutzen, um Unternehmen gezielt anzugreifen.

Um auf dem Computer ausgeführt werden zu können, muss die Ryuk-Schadsoftware Admin-Rechte erhalten. Jeder der Angriffe muss demzufolge sorgfältig geplant, die Zugangsdaten gesammelt, das Netzwerk zugeordnet werden usw. Dies führte Forscher von Check Point zu der Annahme, dass die Infektion von raffinierten Hackern, die Erfahrung mit gezielten Angriffen haben, sorgfältig geplant wurde. Laut den Experten von Check Point weist die Schadsoftware extreme Ähnlichkeiten mit der Erpressersoftware Hermes 2.1 auf, die zur berüchtigten Gruppe Lazarus gehört, die früher mit der nordkoreanischen Armee in Verbindung gebracht wurde.

Die neueste Version des Virus, Cryptor2.0, attackiert Data Resolution und Tribune Publishing

Nach einer kurzen Ruhepause schlug die neue Version der Ryuk-Erpressersoftware während der Feiertage 2018 wieder zu. Experten erkannten am 24. und 27. Dezember den Anstieg der Aktivitäten. Die erste Kampagne traf Data Resolution, als die Ransomware die Kontrolle über wichtige Daten an den Angreifer übergab. Die Domain des Rechenzentrums war zugänglich, bis das Unternehmen das gesamte Netzwerk abschaltete. Laut Data Resolution wurde auf keine Benutzerdaten zugegriffen oder diese kompromittiert. Das Hauptziel der Erpressersoftware war das Netzwerk zu kapern und nicht die Zugangsdaten zu stehlen.

Am 27. Dezember 2018 attackierte Ryuk die Zeitungsdruckereien von Tribune Publishing und verhinderte das Drucken der Zeitungen. Der Vorfall wurde spät in der Nacht erkannt, als ein Redakteur die fertigen Seiten nicht an den Druckdienst schicken konnte. Das Problem wurde schnell behoben und es wurden keine weiteren Schäden im Netzwerk entdeckt.

Es ist offensichtlich, dass die Ryuk-Ransomware immer noch aktiv ist. Den neuesten Berichten zufolge waren sowohl Data Resolution als auch Tribune Publishing von Cryptor2.0 betroffen, welches als die neueste Variante vom Ryuk-Virus gilt. Nach der Installation verschlüsselt die Cyberbedrohung vorhandene Dateien und markiert sie mit dem Anhang .RYK. Zusätzlich wird eine Lösegeldforderung angezeigt, in der alle Bedingungen für den Erhalt des Entschlüsselungstools erläutert werden.

Laut dem Erpresserbrief erhalten die Opfer die Chance zwei Dateien kostenlos wiederherzustellen, für die anderen muss eine bestimmte Summe gezahlt werden. Alle weiteren Details sind per E-Mail zu besprechen. Darüber hinaus drohen die hinter Ryuk steckenden Kriminellen den Nutzern damit, dass sie den Computer nicht zurücksetzen, abschalten oder Dateien löschen sollten, da ansonsten alle Daten dauerhaft gelöscht werden.

Die Funktionsweise der Schadsoftware

Bevor das Gerät infiziert wird, schaltet Ryuk 180 Dienste und mehr als 40 Prozesse auf dem System ab. Die Schadsoftware führt hierfür die Befehle taskkill und net stop auf einer vorgegebenen Liste von Prozessen und Diensten aus.

Der Ryuk-Virus verwendet dann die ausführbare Datei kIUAm.exe, die nach einem Systemneustart automatisch gestartet wird. Unmittelbar danach verschlüsselt der Virus Geschäftsdokumente, Berichte, Fotos, Videos, Datenbanken und andere persönliche Daten durch eine Kombination aus den Verschlüsselungsalgorithmen RSA-4096 und AES-256 und versieht die Dateien mit einer speziellen Erweiterung.

Bei erfolgreicher Verschlüsselung generiert der Virus einen Erpresserbrief mit dem Namen RyukReadMe.txt und UNIQUE_ID_DO_NOT_REMOVE.txt. Die Nachricht darin lautet wie folgt:

All files on each host in the network have been encrypted with a strong algorithm.
Backups were either encrypted or deleted or backup disks were formatted.
Shadow copies also removed, so F8 or any other methods may damage encrypted data but not recover.
We exclusively have decryption software for your situation
No decryption software is available in the public.
DO NOT RESET OR SHUTDOWN – files may be damaged.
DO NOT RENAME OR MOVE the encrypted and readme files.
DO NOT DELETE readme files.
This may lead to the impossibility of recovery of the certain files.
To get info (decrypt your files) contact us at
MelisaPeterman@protonmail.com
or
MelisaPeterman@tutanota.com
BTC wallet:
[link]
Ryuk
No system is safe

Wenn der Virus ein Unternehmen oder eine Behörde angreift, hinterlässt er einen solchen Hinweis:

Gentlemen!
Your business is at serious risk.
There is a significant hole in the security system of your company.
We’ve easily penetrated your network.
You should thank the Lord for being hacked by serious people not some stupid schoolboys or dangerous punks.
They can damage all your important data just for fun.
Now your files are crypted with the strongest millitary algorithms RSA4096 and AES-256.
No one can help you to restore files without our special decoder.
Photorec, RannohDecryptor etc. repair tools are useless and can destroy your files irreversibly.
If you want to restore your files write to emails (contacts are at the bottom of the sheet) and attach 2-3 encrypted files
(Less than 5 Mb each, non-archived and your files should not contain valuable information
(Databases, backups, large excel sheets, etc.)).
You will receive decrypted samples and our conditions how to get the decoder.
Please don’t forget to write the name of your company in the subject of your e-mail.
You have to pay for decryption in Bitcoins.
The final price depends on how fast you write to us.
Every day of delay will cost you additional +0.5 BTC
Nothing personal just business
As soon as we get bitcoins you’ll get all your decrypted data back.
Moreover you will get instructions how to close the hole in security and how to avoid such problems in the future
+ we will recommend you special software that makes the most problems to hackers.
Attention! One more time !
Do not rename encrypted files.
Do not try to decrypt your data using third party software.
P.S. Remember, we are not scammers.
We don’t need your files and your information.
But after 2 weeks all your files and keys will be deleted automatically.
Just send a request immediately after infection.
All data will be restored absolutely.
Your warranty – decrypted samples.
contact emails
eliasmarco@tutanota.com
or
CamdenScott@protonmail.com
BTC wallet:
[link]
No system is safe

Die Entfernung der Ryuk-Erpressersoftware stellt zwar nicht den Zugriff auf die Dateien wieder her, aber die Infektion selbst wird beseitigt. Wir empfehlen hierfür dringend seriöse Sicherheitssoftware wie FortectIntego oder SpyHunter 5Combo Cleaner zu verwenden, welche in der Lage sind alle Spuren von Schadsoftware zu beseitigen.

Hacker versuchen ihre Opfer davon zu überzeugen, dass es eine gute Idee ist, das Lösegeld zu bezahlen (sie gehen sogar so weit, dass sie behaupten, sie würden die Sicherheitslücke aufzeigen und erklären, wie man sie beheben kann), aber Sicherheitsforscher raten davon ab. Diese Leute stammen von einer hochrangigen kriminellen Organisation und sind nicht vertrauenswürdig. Sie sollten also trotz der Warnungen der Kriminellen die Erpressersoftware Ryuk so schnell wie möglich entfernen.

Die Ransomware Ryuk ist ein berüchtigter Computervirus, der scheinbar eine Verbindung zu Hermes hat

Neue Variante von Ryuk stellt sicher, dass bestimmte PCs nicht verschlüsselt werden

Experten von MalwareHunterTeam haben eine neue Version der Ryuk-Ransomware entdeckt. Diese neue Variante arbeitet mit einer neu entdeckten Technik. Sobald die Schadsoftware auf dem Computer installiert ist, beginnt sie nach IP-Zeichenfolgen wie 10.30.4, 10.30.5, 10.30.6 und 10.31.32 zu suchen.

Werden diese IPs von Ryuk auf dem Computer gefunden, führt der Virus keine Verschlüsselung der Dateien und Dokumente durch. Zudem liest die dateisperrende Bedrohung den Computernamen aus und sucht nach Zeichenfolgen wie „MSK“, „Msk“, „msk“, „SPB“, „Spb“ und „spb“.

Wenn diese beiden Komponenten übereinstimmen, verschlüsselt Ryuk den Computer ebenfalls nicht. Nach der Meinung von Cybersicherheitsforschern verwenden Hacker die Technik, um die Verschlüsselung von Computersystemen zu verhindern, die in Russland stationiert sind. Eine solche Technik scheint jedoch keinen Erfolg zu versprechen, wenn Wurmaktivitäten durchgeführt werden.

Die Verbreitungsmethoden entwickeln sich von Spammails zu Trojanern

Nach Angaben von PC-Experten nutzt der Virus Phishing-Mails, um in die PC-Systeme zu gelangen. Normalerweise wird eine große Menge dieser Nachrichten an Unternehmen gesendet, um die Anzahl der verschlüsselten Dateien zu erhöhen und höhere Lösegelder zu erlangen. Zu beachten gilt, dass man nur auf einen einzigen infizierten E-Mail-Anhang klicken muss, um mit einer Ransomware infiziert zu werden. Solche Nachrichten können auch mit vertrauenswürdig aussehenden Logos, Adressen und ähnlichen Informationen gefüllt sein und vorgeben von der Lloyds Bank, HSBC und ähnlichen Unternehmen zu stammen, was die Chancen erhöht, dass sich das Opfer mit dem Ransomware-Virus infiziert.

Um den Verlust wichtiger Daten zu vermeiden, muss man bei E-Mails von unbekannten Absendern äußerst vorsichtig sein. Überprüfen Sie jede Zeile doppelt und prüfen Sie mit der Maus zuerst die Vertrauenswürdigkeit der Links, ohne darauf zu klicken.

Eine Theorie besagt, dass die Ransomware mithilfe von Emotet und TrickBot verbreitet wird. Nachdem sie die Verbindung zum Zielnetzwerk hergestellt haben, bringen diese Viren gegen eine Gebühr zusätzliche Schadsoftware in das System. TrickBot wird jedoch meistens nur an bestimmte Personen vermietet.

Stellen Sie sicher, dass Sie die Ryuk-Ransomware mithilfe professioneller Tools aus dem System entfernen

Für die Entfernung von Ryuk sollten keine manuellen Entfernungsmethoden in Betracht gezogen werden. Es handelt sich hierbei um einen ernsten Virus, der sich mit zahlreichen Komponenten ausbreitet, die nur durch eine vollständige Systemprüfung durch eine Anti-Spyware gefunden werden können. In diesem Fall empfehlen wir die Verwendung von SpyHunter 5Combo Cleaner oder Malwarebytes. Die Anwendungen sind leistungsfähig genug für die Bekämpfung solch komplizierter Schadsoftware. Überprüfen Sie das System zusätzlich mit FortectIntego auf geänderte Registrierungseinträge und ähnliche Komponenten (es entschlüsselt keine Dateien).

Leider werden Ihre Dateien auch dann noch verschlüsselt sein, wenn Sie die Ryuk-Erpressersoftware aus dem System entfernen. Das liegt daran, dass der Entschlüsselungsschlüssel, der zur Wiederherstellung der gesperrten Daten benötigt wird, auf den Servern der Angreifer gespeichert ist. Verzweifeln Sie jedoch nicht und überlegen Sie gut, ob Sie zusätzliche Kopien Ihrer verschlüsselten Daten auf externen Geräten gespeichert haben. Falls nein, verwenden Sie die untenstehenden Tipps, um die von Ryuk verschlüsselten Dateien zu entschlüsseln.