WannaLocker-ErpressungsprogrammRichtig entfernen?

WannaLocker – Ein mobiles Erpressungsprogramm, das sich als neue Version von WannaCry ausgibt

WannaLocker ahmt das Erpressungsprogramm WannaCry nach und hat zurzeit Android-Nutzer in China im Visier. Die Schadsoftware kann allerdings ihren Zielbereich ausweiten und Computernutzer weltweit angreifen. Der Virus wird als Plug-in für ein beliebtes chinesisches Spiel verbreitet und in Spieleforen angeboten. Das Erpressungsprogramm ersetzt auf dem betroffenen Gerät den Bildschirmhintergrund durch ein Anime-Bild, verschlüsselt danach die Dateien nach dem AES-Verschlüsselungsverfahren und markiert betroffene Dateien mit einer einzigartigen Endung, die aus einer zufällig generierten Zeichenkette besteht. Sobald alle Dateien verschlüsselt worden sind, öffnet die Schadsoftware ein WannaCry ähnliches Fenster mit einer Lösegeldforderung. Es wird darin in Chinesisch angegeben, dass die Dateien verschlüsselt worden sind und wie man sie wiederherstellen kann. WannaLocker verlangt für die Entschlüsselung 40 Yuan und dass man nach der Überweisung mit den Entwicklern Kontakt aufnimmt, woraufhin sie den nötigen Entschlüsselungsschlüssel herausgeben und die korrupten Dateien freilassen. In dem Erpresserbrief zeigen zwei Timer an, wie viel Zeit man hat bis sich das Lösegeld verdoppelt und wann man endgültig die Dateien verliert. Statt den Anweisungen Folge zu leisten und das Lösegeld zu bezahlen, sollte man sich auf die Entfernung von WannaLocker konzentrieren. Es ist wichtig, dass man die Schadsoftware vom Smartphone oder Tablet löscht, damit man das Gerät wieder normal verwenden kann. Wir empfehlen hierfür eine mobile Version von FortectIntego zu installieren und damit einen vollständigen Systemscan durchzuführen.

WannaLocker verschlüsselt Dateien im externen Speicher. Diese spezifische Technik wird auch bei einem anderen mobilen Erpressungsprogramm verwendet – SimpLocker Zudem verschlüsselt die Schadsoftware nur Dateien, die nicht mit einem „.“ beginnen. Dateien, die sich in den Verzeichnissen DCMI, download, miad, android und com befinden, sind ebenfalls nicht im Visier des Erpressungsprogramms. Darüber hinaus verschlüsselt es keine Dateien, die größer als 10 KB sind. Es gibt zurzeit noch keine Entschlüsselungssoftware, die die von WannaLocker verschlüsselten Dateien wiederherstellen kann. Wenn Sie aber Sicherheitskopien von Ihren Dateien gemacht haben, können Sie sie damit ersetzen. Sie müssen aber trotzdem zuerst WannaLocker vom Gerät entfernen. Vorsicht: Wenn Sie das infizierte Smartphone mit dem Computer verbinden oder auf einen Cloud-Speicher zugreifen, kann es passieren, dass dort die Dateien verschlüsselt werden.

Dem Anschein nach sind Entwickler von WannaLocker Anfänger oder möchten für ihre Verbrechen gefunden und festgenommen werden, denn die Cyberkriminellen verlangen ihr Lösegeld nicht in Bitcoins. Diese alternative Online-Währung ist unter Hackern besonders beliebt, weil der Geldfluss nicht nachverfolgt werden kann und somit die Cyberkriminellen anonym bleiben. Die Entwickler von WannaLocker geben als Zahlungsmöglichkeiten die in China beliebten Anbieter QQ, Alipay und WeChat an. Wohin das Geld überwiesen wird, lässt sich hierdurch schnell herausfinden und damit auch die hinter der Cyberbedrohung steckenden Täter. Um die Zahlung noch einfacher zu gestalten, geben sie sogar zwei QR-Codes an. Trotz der Bequemlichkeit und des geringen Lösegelds (5-6 Euro) sollte man die Forderungen der Hacker nicht erfüllen. Vielleicht gibt es gar keine Entschlüsselungssoftware oder die Gauner verlangen noch mehr Geld. Selbst ein kleiner Betrag ist für Cyberkriminelle Motivation, um eine neue Cyberbedrohung zu entwickeln oder ihre derzeitige zu verbessern. Unterstützen Sie sie also nicht und entfernen Sie WannaLocker.

Schadsoftware verbreitet sich als Plug-in für das Spiel King of Glory

Das mobile Erpressungsprogramm wurde in chinesischen Spieleforen gesichtet. Es wird dort als Plug-in für das sehr populäre Spiel King of Glory (王者荣耀) präsentiert. Die schädliche Datei heißt „com.android.tencent.zdevs.bah“. Spieler werden zu dem Herunterladen der Datei verleitet, wodurch WannaLocker ins Gerät gelangt und seine gefährliche Aufgabe verrichtet. Die dahintersteckenden Cyberkriminellen können aber auch andere Verbreitungskanäle in Anspruch nehmen. Schadsoftware kann via Spammails, Malvertising, Exploit-Kits, gefälschte Updates, Scheinsoftware usw. verbreitet werden, welches alles zurzeit sehr beliebte Methoden sind. Sie sollten daher alle nötigen Sicherheitsmaßnahmen ergreifen und Sicherheitskopien von den Dateien auf dem Handy und dem Computer anfertigen.

Die Entfernung von dem WannaLocker-Virus

Der einzig sichere Weg für eine Entfernung von WannaLocker vom Android-Handy oder -Tablet ist ein Antivirenprogramm für mobile Geräte zu installieren und damit das System zu scannen. Wir empfehlen hierfür FortectIntego oder SpyHunterCombo Cleaner zu verwenden. Wenn Sie die Sicherheitsapps nicht installieren können, müssen Sie folgende Schritte durchführen und alle Einträge der Schadsoftware manuell entfernen:

Starten Sie das Gerät in den abgesicherten Modus:

1. Drücken Sie auf den An-/Ausschalter bis ein Menü mit mehreren Optionen auftaucht. Drücken Sie auf Ausschalten.

2. Wählen Sie in dem neuen Dialogfenster die Option für das Neustarten des Geräts in den abgesicherten Modus und tippen Sie auf OK.

Wenn diese Methode nicht geholfen hat, schalten Sie das Android-Gerät aus und wieder ein. Drücken Sie dann gleichzeitig auf die Tasten Menü, Leise/Laut oder Leise und Laut bis die Option für den abgesicherten Modus erscheint.

Verdächtige Apps vom Gerät deinstallieren:

1. Gehen Sie im abgesicherten Modus zu den Einstellungen und klicken Sie auf Apps (oder Anwendungen, Anwendungsmanager, App-Manager o.Ä. – hängt vom Hersteller ab).

2. Suchen Sie in der Liste nach schädlichen Apps und deinstallieren Sie sie.

Wenn die Schadsoftware es geschafft hat den Computer zu infizieren und Sie Probleme mit der Entfernung von WannaLocker haben, können Sie gerne einen Blick auf unsere Anleitung weiter unten werfen. Die Entfernung von Erpressungsprogrammen auf dem Computer ist etwas komplizierter, weshalb Sie von einem professionellen Sicherheitsprogramm Gebrauch machen sollten.