GermanWiper Ransomware verschlüsselt Daten nicht

Ransomware verschlüsselt Daten und stellt im Anschluss eine Lösegeldforderung. Nach der Bezahlung erfolgt die Entschlüsselung - wenn auch nicht immer. Die Ransomware GermanWiper zerstört sämtliche Dateien, sodass die Daten unwiederbringlich verloren sind. Trotzdem wird Lösegeld gefordert.

05. August 2019 - Sebastian Evers

GermanWiper Systembefall über E-Mailanhänge

Die schadhafte Zip-Datei wird, als Anhang einer als Bewerbung getarnten E-Mail von verschiedenen Absendern (u. a. einer „Lena Kretschmer“ oder "Doris Sammer") verteilt. Die Zip-Datei soll angeblich den Lebenslauf sowie Arbeitszeugnisse enthalten. Diese enthält stattdessen jedoch eine *.lnk Datei (Windows-Verknüpfung). Durch das Ausführen der Datei wird die Powershell ausgeführt, welche weiteren Schadcode nachzuladen beginnt. Ist die Ransomware installiert, dann beginnt sie den Inhalt von Dateien mit 0x00 zu überschreiben. Zusätzlich werden neue Dateiendungen (z. B. *.08kJA, *.AVco3 oder *.rjzR8 usw.) hinzugefügt.

Ransomware GermanWiper vernichtet Daten

GermanWiper vernichtet die Daten, anstatt sie aufwändig zu verschlüsseln. Der Inhalt der jeweiligen Datei wird mit Nullen überschrieben und Teile des hinteren Dateibereichs verändert, sodass eine Wiederherstellung der Daten nicht mehr möglich ist - auch nicht für die Erpresser!

Keine Aussicht auf Rettung

Das von der Ransomware geforderte Lösegeld sollte auf keinen Fall gezahlt werden, da die Täter zu keinem Zeitpunkt die Absicht haben, die Daten wieder verfügbar zu machen. Eine Bezahlung der Lösegeldforderung ist obsolet. Es kann keine Entschlüsselung erfolgen.

Die einzige Möglichkeit die Daten doch noch zu retten ist ein aktuelles Backup.

Auszug aus der GermanWiper Erpressernachricht:

Alle Ihre Dateien wurden verschluesselt!

• Was ist passiert?

Alle Ihre Dateien wurden verschluesselt und sind fuer Sie nicht mehr zugaenglich bis wir diese wieder entschluesseln. Alle verschluesselten Dateien wurden mit der Dateiendung .08kJA versehen.

Bitte folgen Sie unseren Anweisungen, wenn Sie Ihre Daten zeitnahe wieder entschluesseln wollen! Es besteht keine andere Moeglichkeit Ihre Daten wieder zu entschluesseln ausser unseren Anweisungen zu folgen!

• Ich möchte meine Daten entschlüsseln!

Kein Problem! Um Ihre Dateien zu entschluesseln, benoetigen Sie unsere Entschluesselungssoftware, diese steht zum Kauf für umgerechnet ca. $1,500 bereit.

Der Betrag ist ausschliesslich in Bitcoin an die untenstehende Adresse zu zahlen.