Datenrettung bei Ransomware

Attingo Datenrettung kann Ihnen bei Krypto-Trojanern und Ransomware helfen

Als Datenrettungsexperte hilft Attingo regelmäßig Betroffenen, deren Daten und Systeme wiederherzustellen, wenn diese durch Ransomware-Angriffe verschlüsselt wurden oder gelöscht worden sind. Dabei rekonstruiert Attingo Daten von komplexen RAID-Systemen, virtualisierten Servern, Backup-NAS Systemen, Client-PCs oder Festplatten erpresster Unternehmen. Oftmals reicht schon ein gewisser Teil wiederhergestellter Daten aus, um wieder handlungsfähig zu werden.

Kann professionelle Datenrettung bei Ransomware helfen?

Die ehrliche Antwort auf diese Frage lautet: Es ist möglich, hängt aber von verschiedenen Faktoren ab und es kommt auf den spezifischen Fall an. Attingo hat in den letzten Monaten und Jahren eine Vielzahl an Fällen lösen können, in denen Netzwerke von Malware wie Ransomware und Krypto-Trojanern befallen wurden.

Basierend auf diesen Erfahrungswerten hat Attingo besondere Werkzeuge und Vorgehensweisen entwickelt, die in spezifischen Szenarien eine Datenrettung auch bei Ransomware-Verschlüsselung ermöglichen können. Für eine erfolgreiche Datenrettung bei verschlüsselten Daten ist eine Vielzahl von Faktoren maßgeblich entscheidend dafür, wie hoch die Chancen der Wiederherstellung der Daten sind und wie die Qualität des Ergebnisses ist.

Entscheidende Faktoren für die Datenrettung bei Ransomware:

• Um welche Ransomware handelt es sich? Die verantwortliche Ransomware-Kampagne bzw. die eingesetzten Trojaner zu kennen ist entscheidend, um vorläufig eine Einschätzung zu einer potenziellen Datenrettung abgeben zu können. Hinter jeder Ransomware und jedem Angriff stecken unterschiedliche Täter, die vollkommen anders agieren und mit verschiedenen Kombinationen aus Schadprogrammen Netzwerke angreifen. Das Wissen um diese lässt bereits erste Rückschlüsse zu.  
• Wann wurde der Ransomware-Befall bemerkt? Je eher der Cyber-Angriff bemerkt wurde, desto größer sind die Chancen einer Datenwiederherstellung. Erfahrungsgemäß lassen sich die Täter Zeit während sie Firmennetzwerke sondieren. Dabei analysieren sie ausgiebig, welche Server, Systeme und Daten potenzielle Angriffsziele darstellen und verschlüsseln diese. Erscheint bereits die Erpressermeldung, dann ist davon auszugehen, dass die Täter bereits mehr als genug Zeit hatten um alle Daten ausreichend zu verschlüsseln.

Wichtig: Wenn Sie einen Ransomware-Angriff feststellen, schalten Sie umgehend sämtliche Geräte ab und kappen Sie sämtliche Netzwerkverbindungen (Kabel trennen) sowie den Zugang zum Internet. Eine Isolation der infizierten Computer und Server ist von immenser Wichtigkeit. Eine Kommunikation der Schadprogramme mit den Servern der Täter darf nicht weiter bestehen.

• Was für Daten wurden verschlüsselt und sollen rekonstruiert werden? Der Daten- bzw- Dateityp ist wie bei jeder Datenwiederherstellung auch bei Ransomware ein entscheidender Faktor. Attingo hat die Erfahrung gemacht, dass bestimmte Ransomware kleinere Dateiarten verschlüsselt und große Dateien sowie unbekannte Dateiformate löscht. 
• Gibt es eine Deadline von den Erpressern? Attingo hat in den letzten Jahren die Pläne von einigen Ransomware-Erpressern durchkreuzt und Daten für die Betroffenen wiederhergestellt. Die Täter wissen um die Möglichkeiten von Datenrettern und versuchen die Beauftragung einer Analyse und Datenrettung zu verhindern. Dies geschieht erfahrungsgemäß durch eine Deadline mit drastischen Folgen: Bezahlt man nicht bis zum Ablauf der Frist, dann drohen die Täter mit der Vernichtung aller Daten oder mit Ablauf der Frist erhöht sich das zu zahlende Lösegeld.

Wichtig: Die umfassende Analyse betroffener Server, NAS und Computer kann bei der Datenrettung viel Zeit in Anspruch nehmen. Die Täter wissen das und versuchen über die Ausübung entsprechenden Drucks eine Beauftragung von Datenrettungsdienstleistern sowie eine Wiedererlangung der Daten zu unterbinden. Da ein Cyber-Angriff auch immer Datendiebstahl bedeutet, drohen Erpresser von Maze und Sodinobiki mittlerweile auch damit sensible Firmendaten zu veröffentlichen oder der Konkurrenz zum Kauf anzubieten, um weiteren Druck auf Betroffene aufzubauen.

• Was wurde bereits versucht, um Daten zu retten? Erfahrungsgemäß wird in der Panik alles unternommen, um die Systeme und Server wieder zum Laufen zu bekommen. Die Problematik ist, dass dadurch die Chancen einer Datenrettung erheblich verringert werden können. In vielen Fällen hat die Ransomware ebenfalls Backups und Datensicherungen befallen und die Daten sowie Snapshots beschädigt.
• Welche Systeme wurden befallen? Meist werden zuerst zentrale Infrastrukturen angegriffen um von dort aus auch bestehende Backups nutzlos zu machen. In weiterer Folge wird je nach vorhandener Topologie unterschiedlich agiert. Relevante Faktoren sind dabei: welche Server-Betriebssystem haben Sie im Einsatz, nutzen Sie Virtualisierungslösungen von VMware oder Hyper-V, gibt es Veeam oder Altaro Backups auf einer NAS? Gibt es eventuell alte Sicherungskopien auf inzwischen defekten Medien oder Offline-Backups auf Band-Laufwerken bzw. Tapes?

Ransomware: Datenwiederherstellung ist oftmals möglich

Attingo kann auch Ihnen helfen. Wir haben in den vergangenen Jahren vielen Kunden zur Seiten gestanden, die sich den Folgen von Cyber-Angriffen, Ransomware-Befall und Krypto-Trojanern ausgesetzt sahen. In vielen dieser Fälle war es unseren Technikern und Ingenieuren möglich gewesen in detaillierten Analysen und Untersuchungen der betroffenen Systeme noch Daten wiederherstellen zu können. Gerne helfen wir auch Ihnen dabei, dass Sie ihre Daten so schnell wie zurück erlangen können.

Kontaktieren Sie uns und schildern Sie uns den Sachverhalt: Wir erstellen Ihnen gerne ein Angebot für eine Ransomware-Analyse Ihrer RAID-Server, NAS und Festplatten in unserem Labor, um Ihre Daten zu rekonstruieren.   

Ob Emotet, QLocker, TrickBot, Ryuk, Sodinokibi (REvil), WannaCry oder GandCrab; wir bieten Ihnen unsere Hilfe an! Wir können Ihnen keine Lösung versprechen; aber was wir Ihnen versprechen: Wir werden alles in unserer Macht stehende und technisch Machbare tun, um eine etwaige Lösung herbei zu führen.