Mit TIM & Veritas sicher aufgestellt gegen Ransomware-Angriffe

Persistenzmechanismen werden eingerichtet. Diese Mechanismen verändern Registrierungsschlüssel, um die Ransomware zu schützen und zu verstecken. Ausserdem wird zugelassen, dass die Ransomware den Computer neu starten kann, auch wenn dieser heruntergefahren ist. In dieser Phase kann die Ransomware Dateien zu einem späteren Zeitpunkt verschlüsseln, ohne dass weitere Aktionen seitens des Angreifers erforderlich sind.

Dies ist ein Selbstverteidigngsmechanismus der Ransomware, um ihre Effektivität zu gewährleisten und die Zahlung zu ermöglichen. CryptoLocker und Locky sind zwei Ransoomware-Varianten, die Befehle ausführen, um alle Schattenkopien der infizierten Computer zu entfernen. Andere Varianten suchen nach Ordnern, die Backup-Dateien enthalten, und entfernen diese.

In diesem Schritt werden Verschlüsselungscodes auf dem lokalen Computer eingerichtet. In frühen Versionen der Ransomware waren die Codes Teil der Anwendung, d.h. das Identifizieren der Schlüssel und das Entschlüsseln der Daten war einfacher. Heutzutage ist dies nicht der Fall und die Codes zum Wiederherstellen der Dateien hängt von der Computerinfrastruktur ab: Dateigrösse, Netzwerkeigenschaften und Anzahl der verbundenen Geräte.

Die Ransomware benachrichtigt den Benutzer, fordert zur Zahlung des Lösegelds auf und gibt entsprechende Anweisungen weiter. Generell erhält der Benutzer eine Zahlungsfrist und ständig steigende Konsequenzen, wenn nicht gezahlt wird. Nach Zahlung des Lösegelds wird oft versucht, alle Spuren der Ransomware zu beseitigen.