Ransomware Hairysquid
 

Mein Win10 PC wurde gestern vom Ransomware Virus Hairysquid befallen. Als ich das eigenartige Verhalten des PCs bemerkt habe, habe ich ihn hart abgedreht, allerdings offenbar weit zu spät.
Da auch mein Sicherungsstick angesteckt war, sind auch dort alle Sicherungs-Dateien verschlüsselt und mit der Dateiendung .Hairysquid versehen worden.
Ich habe jetzt vom "c't-Notfall-Windows 2023" gebootet.
Im Root-Verzeichnis ist die Datei READ_ME_DECRYPTION_HAIRYSQUID.txt

Danke für jede Hilfe und Info

Deine Dateien sind vorerst verloren. Es gibt keinen Weg [ohne die Erpresser], sie zu entschlüsseln. Noch jedenfalls nicht. Aber es ist nicht gesagt, dass die Daten jemals entschlüsselt werden können.

Dann ist dein bisheriges Backupkonzept mangelhaft. Erstens würde ich keine Backups auf Sticks machen, die gehen viel zu schnell kaputt, zweitens müssen wichtige Daten mindestens 2x gesichert werden, drittens darf das Sicherungsmedium nicht ständig eingesteckt sein.

danke für Deine Antwort. Daß die aktuellen Daten verloren sind, ist mir schon klar. Mein Sicherungs-Stick wird nur angesteckt, wenn eine Sicherung geplant ist, also wohl Pech. Meine 2. Sicherung ist natürlich schon wieder ein Monat alt.

Aber mich würde natürlich interessieren, wie ich mir das Ding eingetreten hab und warum es kein Virenscanner kennt und Google offenbar auch nicht.

Also wenn wer was weiß, bitte

Vorrangig kommen Erpresserschädlinge über virulente E-Mails.
Aber dass Virenscanner nicht alle Schädlinge erkennen, muss man wie oft noch erklären? :confused:

Du kannst mal hier: https://id-ransomware.malwarehunterteam.com/index.php?lang=de_DE eine verschlüsselte Datei zum prüfen hochladen, aber wahrscheinlich gibt es noch kein Entschlüsselungstool. Überdenke bzw verbessere dein Backupkonzept und hebe wenn du willst die verschlüsselten Dateien auf in der Hoffnung, das es irgendwann ein Entschlüsselungstool geben wird. Zukünftig: lege dir 2 USB Festplatten zu und mache auf den beiden Backups dir wichtiger Dateien sowie Backups/Images von Windows 10/11 oder gleich Festplaatenbackups/images mit einem entsprechen Programm. Ausserdem wäre es überlegenswert, ob du nicht eine Windows Neuinstallation machen solltest weil man ja nicht weiß, wie sehr sich der Erpresser Trojaner in dein jetziges Windows "verankert" hat.

Das würde ich auf jeden Fall machen. Wer weiß was noch alles geladen wurde. Alle Partitionen löschen und in den unzugewiesenen Platz installieren.
Weiters würde ich noch vom frisch aufgesetzten System alle Passwörter ändern.

Guten Abend,
das sieht nach Mimic aus.

Die Frage ist natürlich, ob das wirklich gestern war oder schon früher. Was hast Du denn in den Minuten/Stunden mit dem PC gemacht, bevor Du...
... dieses Verhalten bemerkt hast? Nur Surfen im Web ohne eigene Downloads? Mails geöffnet, Anhänge oder Dateien aus dem Internet heruntergeladen? Wie war es um Deinen Updatestand bestellt?

Sicherungssticks nicht stecken lassen! Immer abziehen, sonst ist es keine Sicherung. Außerdem: Mindestens ein Backup immer zusätzlich nur von einem gestarteten Live-System von USB aus erstellen, dann kann so etwas wie hier niemals passieren! Abgesehen davon, das hat cosinus auch schon geschrieben, ist ein Stick kein empfehlenswertes Sicherungsmedium.

Nichts löschen, Datenträger ausbauen und in Schrank legen, in der Hoffnung, dass es irgendwann vielleicht mal eine Entschlüsselungsmöglichkeit gibt. Das gleiche gilt für den USB-Stick.

Wie gesagt, Datenbackups künftig (auch) vom Live-System aus erstellen. Dies auf einem Ziel-Datenträger, der auch nur unter dem gebooteten Livesystem angestöpselt wird und nirgends sonst, sowie vor dem Herunterfahren des Live-Systems wieder auszuhängen und zu entfernen ist.

Sicherheitslücke in verwendeter oder verwaister Software (Updates verschlafen), Datei selbst heruntergeladen/ausgeführt.

Weil kein Virenscanner alles erkennt. Erst recht nicht, wenn Malware in einer Variation neu ist. Aber selbst danach nicht zuverlässig. Bei einem Sicherheitskonzept darf man einen Virenscanner nicht als stützende Säule einplanen!

Weil die Variante neu ist.

danke für die vielen Tipps für die Zukunft, wenn auch einige meine Fähigkeiten überschreiten.

Wenn dieser Virus neu ist, sollte man da nicht versuchen, die Virenscanner anzupassen? Wäre es da nicht meine Aufgabe, die Info an jemanden weiterzugeben, der aktiv etwas gegen diesen Virus unternimmt? Oder wollen wir warten, bis mehr Leute davon betroffen sind?

Wem willst du das melden? es gibt mindestens 2 Dutzend Virenscanner.

BTW: Bewertungen der PC-Boulevard Presse wie Chip und Co kannst du
in die Tonne treten. Windows Defender schützt ( zusätzlich zum Gehirn )
und vermeidet häßliche Nebeneffekte

@OldJo

Hast du jetzt neuinstalliert?

@kronos: nein, noch nichts installiert (das ist für mich Neuland). Ich bin derzeit nur vom "c't-Notfall-Windows" online. Hier ist auch ein "Drive Snapshot"-Tool installiert, damit werde ich mal die Festplatten mit den verschlüsselten Dateien sichern, damit man im Fall des Falles drauf zurückgreifen kann. Windows-Neuinstallation ist für mich unbekanntes Terrain, da muss ich mich erst mal vorbereiten.

Es ist eigentlich ganz einfach.
Du ladest dir von einem sauberen PC das MCT (Media Creation Tool) runter.
Erstellt dir damit einen Stick.
Dann bootest du vom Stick.
Dann alle Partitionen formatieren/löschen.
Und dann Windows in den unzugewiesenen Platz installieren.

Dazu gibt es hier im Forum eine Anleitung: https://www.trojaner-board.de/51262-anleitung-neuaufsetzen-systems-windows-10-uefi.html und du selbst musst eigentlich nur wissen ob dein PC noch BIOS hat oder schon UEFI und das dann im Rufus dementsprechend einstellen wenn damit das Installationsmedium erstellt wird.

Ich würde gleich das mct nehmen und sich damit einen Stick erstellen, so spart man sich den Umweg über Rufus.

Dein Vorhaben ist zum Scheitern verurteilt.
Die Verbreitung von Malware ist ein dynamischer Prozess, das heißt, dass immer wieder neue Samples in Umlauf gebracht werden.
Wenn du die Mimic-exe noch hast, kannst du sie z.B. hier https://www.virustotal.com zur Verfügung stellen.
Das ändert aber nichts an der generellen Situation.

btw: Der Begriff "Virus" ist nicht zutreffend.
Das ist aber eine kurios niedrige Schätzung.

QFT

Leider verwendeten/verwenden selbst die Hersteller von Sicherheitslösungen bestimmte Begriffe nicht immer korrekt.
Also sollte es uns nicht wundern, wenn Endnutzer die Begriffe übernehmen und auf andere Dinge übertragen, z. B. "Browser-Viren". :D

Dann müssen wir aber auch die Mimic-Macher ins Gebet nehmen, die von "Our virus" sprechen und eine Ransomware Mc_virus.exe nennen.

Wer übernimmt das?
Kontaktdaten haben wir ja.
:D

Es waren ja auch noch Rückfragen zum Jetzt dabei. Vielleicht solltest Du diese noch beantworten.

Die Einbindung zur Erkennung dieser Ransomware kann einige Tage dauern. Innerhalb dieses Zeitraums kann schon wieder die nächste angepasste (und somit nicht erkannte) "Subversion" ITW (in der freien Wildbahn) unterwegs sein. Das ist die prinzipielle Erkennungslücke, die immer besteht. Daher: Wer sich auf einen Virenscanner verlässt, ist verlassen. Nochmals: Er darf keine tragende Säule innerhalb eines Sicherheitskonzeptes sein.

Erstens geschieht dies bereits "routinemäßig" durch die AV-Softwarehersteller, z.B. im Rahmen sogenannter Honeypots. Zweitens wäre dies, wie oben beschrieben, nur ein "Nachlöschen" des Feuers, während anderenorts bereits ein neues zu behandeln ist. Drittens müsstest Du die Schaddateien via Live-System von Hand isolieren und z.B. auf virustotal.com hochladen.

Es sind täglich tausende Nutzer betroffen. Unter anderem, weil sie sich fälschlicherweise auf ihren Virenscanner verlassen, und daher einfach auf alles klicken, was bei Drei nicht auf dem Baum war, oder ihre Softwareaktualisierungen vernachlässigen. Du legst immer noch zu viel Gewicht auf den Virenscanner. Bitte verstehe, dass die Verbreiter der Malware diese durchaus von vornherein so ausrichten, dass sie nicht erkannt wird. Und verstehe, dass der Virenscanner kein verlässliches Absicherungsinstrument darstellt. Verinnerliche es bitte.

Das Programm (Drive Snapshot) ist gut, im Fall einer Ransomware-Verschlüsselung, die einen Sonderfall darstellt, würde ich allerdings eine 1:1 bitweise Kopie des Datenträgers erstellen, oder, wie oben geschrieben, in den Schrank legen und durch einen neuen ersetzen.

Auch dazu gibt es hier im Forum eine Anleitung.

entschuldigt bitte die späte Antwort auf die offenen Fragen, bin jetzt erst wieder online, da die Win10-Neu-Installation doch etwas länger gedauert hat. Danke übrigens für die gut verständiche Anleitung hier im Forum ! Mein Notebook versteht kein UEFI, daher musste ich im Rufus auf MBR umstellen. Und da es vergleichsweise ähnlich alt ist als ich (es hatte Vista installiert), hat die Installation ewig gedauert.

Da ich keine exekutierbaren Mail-Anhänge anklicke und Software-Downloads nach Möglichkeit von 'vertrauenswürdigen' Sites beziehe, nehme ich an, dass das Einfallstor ein schlecht abgesicherter RDP-Zugang war. Dafür spricht auch, dass der früheste Timestamp einer auf .Hairysquid umbenannten Datei zu einer Zeit lag, an dem ich nicht daheim war.

Was hast du denn da für Uralthardware am Start? :confused:
Gebraucht von Fred Feuerstein gekauft? :rofl:

UEFI ist seit mindestens 10 Jahren im Umlauf. Eher seit 12 Jahren...

Vista wurde von 2006-2008 verkauft. Also das Modell mit Polarock Webcam und Specht Driver. Modell BamBam von Barney Geröllheimer. Da lief mal DOS (Dino Operating System) drauf.

Besorge dir besser neue Hardware. Das Teil taugt nur noch als Briefbeschwerer oder Buchstütze.

Wenn er funktioniert, gibt es keinen Grund zu einem Neukauf.

Hast du noch nicht mitbekommen, wie veraltet Vista ist? wenn er damit noch auf dem Laptop unterwegs sein sollte und damit noch im Internet unterwegs ist, dann Gute Nacht. Sollte er aber schon Windows 10 au dem Laptop haben in der aktuellen Version 22H2, dann ist es okay.

Ich habe gedacht, dass er Windows 10 verwendet.
Mit Vista sollte man natürlich nicht ins I-Net.
Das ist korrekt.

....

Bei locker 15 Jahre alter Hardware? Klar kann man weiterverwenden, man hat dann viel Zeit für :kaffee:

Danke, ich weiß auch nicht wie @schlawack auf Vista gekommen ist.

Da wird wahrscheinlich nur Office, E-Mail und der Browser drauf laufen.

Mein Posting Nr.24 bezog sich auf das Posting Nr.20 wo er etwas schrieb wie alt das Laptop sei und das da mal Vista drauf war. Ich hoffe, er hat Vista nicht mehr da drauf sondern stattdessen Windows 10 wenn es auf den Gerät läuft. Wenn dem so ist, könnte er darüber nachdenken, eine günstige SSD in dem Laptop zu verbauen und dann auf dieser Windows 10 zu installieren bzw ein Backup des Windows 10 des Laptops auf die SSD aufzuspielen. Ausserdem könnte er wenn er will, mit HWinfo seinen RAM des Laptops ermitteln und dann bei ebay Kleinanzeigen schauen, ob er dafür günstig andere RAM Module mit mehr Speicher die für sein Laptop kompatibel sind, bekommt um dann mehr RAM zu haben als jetzt.

Also in diese alte Gurke würde ich nichts mehr investieren. Abgesehen davon, dass man nur mehr schwer Ersatzteile bekommt.

Deshalb ja der Verweis mit ebay Kleinanzeigen wegen RAM Modulen und SSD's kriegt man schon ab 20 Euro und beides zusammen wenn es günstig ist, macht das alte Laptop doch schneller als es jetzt der Fall ist. Kommt aber auch auf den TO hier an wie oft das Laptop noch genutzt wird oder nicht und wie lange er das noch nutzen will.

Der Resourcenfresser ist aber Windows 10. Das macht bei so einer alten Hardware wenig bis keinen Sinn.

Nur so zur Ergänzung: mein Acer Aspire one von ca. 2012 mit einem Intel Pentium 987 Zweikernprozessor läuft mit Win 10 und Linux Mint Mate als Dual Boot und kann nicht auf UEFI umgerüstet werden.
Windows bekommt regelmäßig ein WIN-Update (jedesmal ein langwieriges Gewürge). Ich brauche es für seltene Updates für meine Garmin Navis. Win 10 ist wirklich auf dem Rechner eine lahme Zumutung.
Für den täglichen Bedarf benutze ich Linux Mint. Das ist schnell und lässt von der Geschwindigkeit für mich keine Wünsche offen. Im Urlaub reicht es sogar für Foto-Bildbearbeitungen mit RawTherapee oder GIMP.