Pseudo-Ransomware GermanWiper löscht alle Dateien

Das inzwischen wegen übertriebener Sicherheitswarnungen unter Beobachtung stehende Notfallteam des BSI, CERT-Bund, warnt aktuell vor einer besonders perfiden Ransomware-Variante: Der Schädling hängt an einem vermeintlichen Bewerbungsschreiben als Zip-Archiv an und enthält nicht den erwarteten Lebenslauf als Word-Dokument, sondern eine Windows-Link-Datei.

Diese LNK-Datei startet beim Klick die Powershell von Windows, um die eigentliche Malware von einem fremden Server nachzuladen. Die Bewerbungsmail nutzt diverse Namen und Absenderdomains, deshalb kann man die Malware daran nicht zuverlässig erkennen. Auch sprachlich erzeugt die Mail kaum einen Verdacht.

Wenn ein Opfer aber den GermanWiper benannten Trojaner arglos aktiviert, verliert  es seine Daten dauerhaft: Denn GermanWiper verschlüsselt die Dateien nicht etwa, sondern überschreibt sie mit Nullen und ändert auch die Dateiendung, bevor er dann die Lösegeldforderung anzeigt.

Dieser Forderung sollte man auf  keinen Fall nachkommen, denn der einzige Weg zum Wiederherstellen der Daten ist nach dem Angriff nur noch ein eigenes Backup.