Moin!

Ein Kollege hat sich die Cerber Ransomware auf seinem Laptop eingefangen und ich soll ihm jetzt damit helfen.

Mein Plan:
Ich baue die alte, infizierte Festplatte aus und lege sie zur Seite.
Dann baue ich eine komplett neue Festplatte ein und setze alles komplett neu auf.

Frage dazu:
Gibt es da noch irgendwelche Fallen? Kann sich der Virus noch irgendwo versteckt haben (Speicher etc.)?


Bezüglich der alten Festplatte mit den nun verschlüsselten Daten hoffen wir halt, dass die Verschlüsselung irgendwann in Zukunft geknackt werden kann.

Frage dazu:
Soll die infizierte (ausgebaute) Festplatte dann komplett unangetastet bleiben? Sprich auch den ursprünglichen Virus nicht entfernen, weil er ggf. später noch zum Knacken gebraucht wird?


Ich danke vorab für Eure Hilfe!

Sprich auch den ursprünglichen Virus nicht entfernen, weil er ggf. später noch zum Knacken gebraucht wird?

Ich würde die Platte einfach so lassen wie sie ist.
Wenn du willst, kannst aber noch alle relevanten Dateien (die jetzt verschlüsselt sind) nochmal extra runterkopieren. Falls es nämlich einen decryptor geben sollte und der funktioniert doch nicht so richtig und macht die Dateien komplett kaputt, hast du immer noch die Kopien der verschlüsselten Dateien auf der unangetasteten Platte.

Frage dazu:
Gibt es da noch irgendwelche Fallen? Kann sich der Virus noch irgendwo versteckt haben (Speicher etc.)?

Im Speicher? Du weiß schon, dass der RAM ein flüchtiger Speicher ist und die Daten darin verloren gehen sobald der Rechner aus ist oder rebootet wird?

Von den verschlüsselten Dateien selbst geht keine Gefahr aus.

Danke für Deinen Tipp mit der doppelten Sicherung der verschlüsselten Daten. Das werde ich so beherzigen.

Zu meiner Speicherfrage: ich war mir da eigentlich auch zu 99% sicher. Aber in dem Fall frage ich lieber 1x dumm nach als später dumm dazustehen... ;-)

Dir nochmal vielen Dank und noch einen schönen Sonntag!