Erpressungstrojaner: Stampado verschlüsselt von Ransomware verschlüsselte Dateien

Ein neuer Erpressungstrojaner hat eine besonders gemeine Taktik: Verschlüsselt werden Dateien, die bereits von anderer Ransomware verschlüsselt wurden. Zum Glück gibt es Abhilfe.

Artikel veröffentlicht am 16. September 2016, 15:37 Uhr, Hauke Gierow

Ein neuer Erpressungstrojaner verschlüsselt von Erpressungstrojanern verschlüsselte Dateien. (Bild: Arnd Wiegmann/Reuters)

Ein neuer Tag, eine neue Ransomware - so weit, so gut. Doch aktuell berichtet die Webseite Bleepingcomputers von einem Erpressungstrojaner, der nicht nur wie gewohnt Dateien verschlüsselt, sondern gezielt nach bereits durch Ransomware verschlüsselte Dateien sucht.

Es handelt sich um eine Variante der Stampado-Software, die in Darknetforen für einen recht niedrigen Preis von 39 US-Dollar als Basis für weitere Entwicklungen angeboten wird. Der Trojaner hängt allen verschlüsselten Dateien die Endung .locked an und nutzt zur Verschlüsselung AES-256 mit einer individuell vom Rechner generierten Unique ID.

Potenzielle Kunden können nach Angaben der Sicherheitsfirma Heimdal sogar auswählen, ob sie die Ransomware als .exe, .bat, .dll, .scr oder .cmd haben wollen. Stampado gibt den Nutzern 96 Stunden Zeit, um die geforderte Summe zu bezahlen. Alle sechs Stunden wird eine Datei vom Rechner der Nutzer gelöscht.

Neue Variante geht darüber hinaus

Die jetzt aufgetauchte Entwicklervariante von Stampado geht darüber hinaus, weil nicht nur nach Bildern, Dokumenten oder ähnlichen Dateien gesucht wird, sondern eben auch nach Dateien, die zuvor von einer anderen Ransomware schon verschlüsselt wurden. Damit müssten Nutzer dann doppelt zahlen, um ihre Dateien wiederherstellen zu können.

Es gibt aber bereits ein Entschlüsselungsprogramm für den Trojaner. Damit sollen sich auch Dateien entschlüsseln lassen, die von der neuen Version befallen sind. Zu Verbreitungsweg und Infektionen gibt es bislang keine verlässlichen Informationen.

Hilfe bei Ransomware-Infektionen

Wer bereits von einer anderen Ransomware befallen wurde, kann sich bei der Seite nomoreransom umsehen. Dort tragen verschiedene Antivirenhersteller seit dem Sommer Masterschlüssel und Decryptor-Programme für verschiedene Varianten von Erpressungstrojanern zusammen. Auch wer nicht genau weiß, von welcher Variante sein Rechner befallen ist, findet Hilfe: Die Seite kann anhand hochgeladener Dateien die entsprechende Ransomware identifizieren.