Ransomware: Cryptohitman verschlüsselt mit der Endung .porno
Die Macher der Ransomware Jigsaw haben nachgelegt. Die neue Version der Dateien löschenden Ransomware mit dem Namen Cryptohitman verhält sich im Prinzip wie ihr Vorgänger. Im Unterschied zur Ursprungsversion ist der Sperrbildschirm jetzt "mit pornographischen Bildern" versehen, wie Bleeping Computers berichtet(öffnet im neuen Fenster) . Außerdem werden die verschlüsselten Dateien mit der Endung .porno abgelegt.
Wie bei Jigsaw gibt es einen Timer, der die Zeit bis zur vollständigen Vernichtung der Dateien herunterzählt. Bei einem Neustart des Rechners werden 1.000 Dateien gelöscht und jede Stunde muss eine Datei dran glauben. Es gibt jedoch auch gute Nachrichten für die Opfer: Bleeping Computers veröffentlicht ein von dem Hacker DemonSlay225 entwickeltes Tool, mit dem man die verschlüsselten Dateien wiederherstellen können soll.
Vor dem Entschlüsseln Prozesse stoppen
Nutzer, deren Rechner infiziert ist, sollten im Task Manager die Prozesse suerdf.exe und mogfh.exe beenden, damit nicht weiter Dateien gelöscht werden. Über die Funktion Msconfig sollten dann außerdem die Startmenü-Einträge deaktiviert werden.
Danach kann die neue Version des Jigsaw-Decryptors genutzt werden, um einzelne Verzeichnisse oder die ganze Festplatte zu entschlüsseln. Die Option "Delete Encrypted Files" , mit der die verschlüsselten Dateien automatisch entfernt werden, sollte aus Sicherheitsgründen nicht gewählt werden, falls bei der Entschlüsselung Probleme auftauchen.
Mit Hilfe des Tools können sich Nutzer also die Zahlung der Erpressersumme von 0.4 Bitcoin, etwa 150 Euro, sparen. Strafverfolgungsbehörden raten generell davon ab, entsprechende Forderungen zu begleichen. Denn es kann nicht sichergestellt werden, dass die Dateien nach der Zahlung wieder freigegeben werden. Zudem werden Kriminelle durch zahlungswillige Opfer motiviert, das Geschäftsmodell Ransomware weiterhin zu betreiben.