.Devos Ransomware

[MdLaw]

Habe folgendes Problem,

Eine Bekannte von mir hat sich eine Ransomware eingefangen.

Leider gibt es keine Restorepoints oder Shadows um die Dateien zurückzusichern.

Backup ist ebenfalls mit verschlüsselt.

8000 $ soll der Spaß kosten.

Ransomware ist Phobos. Dateiendung .devos

WIe lange schätzt Ihr würde es dauern auf eine Entschlüsselung seitens bekannter Hersteller zu warten?
Oder kennt Ihr gar eine Methode?

Das rekonstruieren einiger Dateien ist möglich.
Leider brauche ich aus dem System eine Datenbank die verschlüsselt ist.
Hat irgendwer einen Tipp? Oder kann helfen?
Sämtliche Decrypter wurden bereits getestet.
Leider ohne Erfolg

 

[der allgäuer]

neu aufsetzen
kein backup-keine wichtigen daten.

 

[Digi-Quick]

Wenn auch das Backup verschlüsselt ist, dann ist das konzeptionell falsch!

Ansonsten hier schon geschaut?

ID Ransomware

Lade eine Lösegeldforderung und/oder eine verschlüsselte Beispieldatei hoch, um die Ransomware zu identifizieren, die deine Daten verschlüsselt hat.

id-ransomware.malwarehunterteam.com

 

[passat3233]

So ist es.
Und sehr viele Ransomwares löschen die Schattenkopien, damit man darüber nicht die Daten wiederherstellen kann.
Bei Wiederherstellungspunkten werden Benutzerdaten übrigens nicht gesichert/wiederhergestellt, sondern nur Systemdaten.

Wer wichtige Daten hat, hat ein Backup, und zwar ein Offline-Backup (offline deshalb, damit Ransomware darauf keinen Zugriff hat).
Wer kein Backup auf einem Offlinemedium (z.B. USB-Festplatte, CD-ROM/DVD-ROM/BD-ROM) hat, hat keine wichtigen Daten.
Bzw. die Daten waren ihm nicht wichtig genug, um die auf ein Offlinemedium zu sichern.

Daten können nicht nur durch Ransomware und ähnliche Schädlinge verloren gehen, sondern auch durch Hardwaredefekte wie Plattencrash, Überspannung, etc.
Deshalb sollten auch Privatleute immer regelmäßig ein Backup auf einem Offlinemedium haben.
Das Offlinemedium darf nur wärend der Zeit des Backups bzw. der Wiederherstellung angestöpselt sein, denn sonst ist kein Offlinemedium, sondern online.
Ein NAS o.Ä. ist aus o.g. Gründen auch kein wirklich taugliches Backupmedium.
Bei z.B. Überspannung stirbt nämlich nicht nur der PC, sondern auch gleich das NAS mit.
Dann hätte man Daten und Sicherung zugleich verloren.
Und Ransomware würde auch die Daten auf einem NAS verschlüsseln.

Und was Ransomware angeht:
So etwas kann man sich nur auf den Rechner holen, wenn Brain.exe nicht richtig funktioniert oder teilweise deaktiviert wurde.

 

[Digi-Quick]

Nope, Online geht auch, man muß halt ein vernünftiges CoW-Dateisystem mit Read Only Snapshots einsetzen, dann kann die Ransomware zwar auch die Daten verschlüsseln die Originale bleiben aber als Read Only Snapshots vorhanden >> ZFS! (BTRFS kann das mWn auch, ist in meinen Augen aber noch nicht wirklich einsetzbar.)
Das einzige was im Zweifelsfalle passieren kann, ist daß das Dateisystem volläuft, wenn über 50% des Dateisystems befüllt sind, dann kann halt nicht mehr weiter verschlüsselt werden.

Grundsäzlich ist ein Offline Backup natürlich die Beste Wahl - und mindestens in einem anderen Brandabschnitt gelagert.

 

[Ceiber3]

Schattenkopien sind aber kein Backup.

 

[p4n0]

Schattenkopien sind aber kein Backup.

Wenn die Architektur passt und die Anwendung korrekt ist dann geht das voellig in Ordnung.
... Will dich mal ohne Snapshots sehen wie du n großes produktives System in kurzer Zeit wieder restoren kannst

 

[Ceiber3]

Und was ändert das an meinen Text ? Ich habe auch Snapshots und trotzdem zur Sicherheit ein externes Backup. Wenn ein die Daten so wichtig sind, hat man min 1 Backup von den Daten.
Sogar die Snapshot Datein habe ich auf nen extra Datenträger, so können die auch nicht verschlüsselt werden.

 

[p4n0]

Was sabbelst du denn so rum?
Du hast ne allgemeine Aussage getaetigt, dass Snapshots keine Backups sind.
Das ist halt falsch, und fertig.

 

[Ceiber3]

Du hast ne allgemeine Aussage getaetigt, dass Snapshots keine Backups sind.

Sehe ich komplett anders. 😜 Müssen aber nicht einer Meinung sein.

 

[Digi-Quick]

Die Aussage, daß Snapshots keine Datensicherung ist, ist ja auch richtig, Snapshots, wenn sie denn Read Only sind, schützen halt vor Ransomware und ermöglichen das Wiederherstellen von Vorversionen (das was bei MS dann Schattenkopie heißt und von jeder x-belibigen Ransomware gelöscht werden kann).
Aber: Bei ZFS werden via ZFS Send Snapshots gesichert, daher möglicherweise die Irritation.

 

[RcTomcat]

Um mal zum Thema zurück zu kommen :

Images der Festplatten ziehen und PC neu machen. Dann hoffen das irgendwann ein decrypter bereit steht und man an die verschlüsselten Daten kommt. Ob das jemals der Fall sein wird kann keiner von uns sagen.
Eine andere Möglichkeit gibt es nicht.

Falls da eine Doktorarbeit oder dergleichen drauf war welche eben dringend benötigt wird würde ich ein Image ziehen und dann das Gerät zu Ontrack oder einem anderen Profi in Sachen Wiederherstellung geben. Aber auch da sind die Chancen gering bis nicht vorhanden......und billig ist das auch nicht.
Habe schon Unternehmen erlebt welche tatsächlich gezahlt haben da der Datenverlust zwischen letztem Backup und der Verschlüsselung teurer gewesen wäre als die Lösegeld Forderung. Die Erpresser hatten sogar nen ganz netten 'Support' ^^

Das 'Backup' Konzept deiner Bekannten sollte man auf jeden Fall überdenken und anpassen damit so etwas nicht nochmals passiert.