Ransomware: Angebliches Pokémon Go für Windows verschlüsselt Festplatte

Pokémon Go gibt es offiziell nicht für Windows - was Ransomware-Autoren nicht davon abhält, Trojaner-Versionen zu entwickeln. Eine Variante zielt vor allem auf arabischsprachige Nutzer ab.

Artikel veröffentlicht am 15. August 2016, 16:45 Uhr, Hauke Gierow

Die Erpresserbotschaft der Pokémon-Ransomware (Bild: Bleepingcomputers)

Dass Ransomware-Entwickler auf die Popularität von Pokémon Go reagieren, ist nicht erstaunlich. Eine angebliche Windows-Version des Programms (pokemongo.exe) bietet aber kein herausragendes Spieleerlebnis, sondern eine Verschlüsselung der Festplatte. Die Entwickler haben jedoch einige Fehler gemacht, wie Bleepingcomputers berichtet.

Das Spiel existiert offiziell nur für Android und iOS. Einen inoffiziellen Port für Windows Phone gibt es zwar, er verfügt aber nur über wenige Funktionen. Außerdem gibt es die Möglichkeit, die Android-App unter Windows in einem Emulator zu laden, wogegen Entwickler Niantic jedoch vorgeht, weil die App einen falschen Standort vorgaukeln kann.

Es wird ein versteckter Nutzer-Account eingerichtet

Die Ransomware verhält sich weitgehend wie andere bekannte Varianten, fügt aber einen versteckten Nutzer-Account für Windows mit dem Namen "Hack3r" hinzu. Dieser Nutzer wird von der Malware mit Administratorrechten erstellt und dann mit einem Tweak in der Windows-Registry versteckt, so dass Nutzer den Account nicht beim Login als Option angezeigt bekommen. Außerdem wird eine Netzwerkfreigabe eingerichtet, deren Zweck unklar ist.

Offenbar haben die Entwickler die Software noch nicht ganz fertig entwickelt - oder ihnen ist ein Fehler unterlaufen. Es gibt den statischen AES-Key "123vivalagalerie". Normalerweise werden die Schlüssel per Zufallsgenerator erstellt und dann an den Command und Control-Server übertragen.

Die Erpresserbotschaft ist in arabischer Sprache verfasst. Nutzer sollen sich zum Empfang der Zahlungsinformationen an eine Gmail-Adresse richten. Die Malware basiert offenbar auf dem Open-Source-Projekt Hidden Tear. Zur Höhe der Erpressungssumme gibt es bislang noch keine Angaben.