BTCWare Aleta Virus entfernen

Der BTCWare Aleta (auch Aleta genannt) Ransomware-Virus zeigt einen Screen-Locker an, der fast identisch zum Screen-Locker der Master infection (die auf BTCWare basiert) ist. Der Virus schaltet die Funktion des Startup-Repairs ab, versucht, Fehler während Neustart-Prozessen zu verstecken und verbirgt die meisten seiner Dateien in einem Adobe Acrobat gehörendem Ordner. Sein Payload ist ziemlich unangebracht: [email protected]. Der Virus verändert auch den Desktop-Hintergrund zum selben Bild, welches als Screen-Locker fungiert. Die Ransomware ermöglicht die Auto-Durchführung des Payloads, indem es Einträge in das Windows Registry hineinfügt und nachfolgende Änderungen beobachtet.

Bericht über diesen Krypto-Virus

Leider gibt es bereits Betroffene, deren Dateien von diesem Virus beschädigt wurden und an denen die .[email].aleta Extension angehängt wurde. Betroffene berichten, dass dieser Virus extrem gierig ist, da es Summen wie $5271.02 verlangt, die ursprünglich als 2 BTC angegeben wird. Dies ist eine sehr hohe Summe, die nicht an die Hacker überwiesen werden sollte.

!#_READ_ME#!.inf ist die Datei, die auf den Desktop der Betroffenen platziert wird und die Hauptfaktoren der Infektion erklärt. Der erste Abschnitt informiert die Betroffenen darüber, was passiert ist und fordert sie dazu auf, die Hacker via der E-Mail-Adresse [email protected] zu kontaktieren, um eine Chance zur Entschlüsselung ihrer digitalen Daten zu bekommen. Executables, die für die Dateiverschlüsselung gewählt werden, werden mit dem AES-Verschlüsselungsverfahren beschädigt. Es wird den Betroffenen ein Service zur Wiederherstellung drei ihrer Executables angeboten, aber es gibt einige Bedingungen bezüglich welches verschlüsselte Material wiederhergestellt werden soll.

Die drei Executables sollten keine wichtigen Informationen enthalten und die Größe sollte maximal 1 MB sein. Da es keine Informationen über die Höhe des Lösegelds gibt, wurde bewiesen, dass die Summe individuell ist und auf den separaten ID-Nummern der Betroffenen basiert(diese steht am Ende der Lösegeldforderung). Diese lange Kombination von Symbolen, Nummern und Buchstaben hilft den Hackern dabei, die Betroffenen voneinander zu unterscheiden und festzustellen, welcher von ihnen sie via E-Mail kontaktiert.

Wenn sich die Betroffenen dazu entscheiden, die Kriminellen nicht zu kontaktieren, wird ihnen damit gedroht, ihre Chance auf eine Wiederherstellung der Dateien zu verlieren. Wenn sich die Betroffenen innerhalb 36 Stunden nicht melden, behaupten die Urheber des BTCWare Aleta Virus, dass sie den privaten Schlüssel, der auf ihren private Servern gespeichert ist, löschen werden. Mögliche gratis Dateiwiederherstellungen sind kompliziert, da der Payload auch Shadow Volume Copies automatisch vernichtet.

Es wurde festgestellt, dass das Remote Desktop-Protokoll (RDP) gehackt wird, um den bösartigen Payload dieses Krypto-Virus zuzustellen. Diese Eigenschaft wird von Nutzern oft verwendet, um technischen Support zu erhalten. In manchen Fällen werden diese Protokolle aber mit schwachen und leicht zu knackenden Passwörtern geschützt und dadurch erhalten die Hacker Fernzugang. Zusätzlich wird empfohlen, sich mit Firewall mit VPN zu schützen.

Wenn es sich herausstellt, dass dieses kürzlich entdeckte Sample dieselben Techniken, wie die vorigen Varianten von BTCWare benutzt, gibt es fast keine Hoffnung für die Entschlüsselung der Dateien. Da die Shadow Volume Copies gelöscht werden, ist auch diese Option nicht mehr verfügbar. Deshalb ist die Dateiwiederherstellung nur dann möglich, wenn Sie Ihre digitalen Daten in Backup-Speichern oder auf anderen Orten(wie USB-Sticks) gespeichert haben. In diesem Fall gestaltet sich die Dateiwiederherstellung viel einfacher und das einzige, worum Sie sich kümmern müssen, ist, diesen Krypto-Virus loszuwerden.

Wir haben Anleitungen zur Verfügung gestellt, die Ihnen zeigen, wie man Ransomware aus einem Betriebssystem entfernen sollte. Wenn das Sample immer noch auf Ihrem Gerät ist, sollten Sie die Dateien noch nicht wiederherstellen. Wenn die manuelle Entfernung zu schwer für Sie ist, empfehlen wir Ihnen folgende Anti-Malware-Tools, die Ihr System zuverlässig säubern werden: Spyhunter oder Plumbytes. Diese Programme werden Sie vor Malware schützen und zukünftige Verschlüsselung Ihrer Dateien auf dem Hard-Drive verhindern.

Wie entferne ich BTCWare Aleta Virus mit einer Systemwiederherstellung?

Schritt 1. Starten Sie Ihren Computer im abgesicherten Modus mit Eingabeaufforderung neu.

für Windows 7 / Vista/ XP

• Start → Herunterfahren → Neu starten → OK.
• Drücken Sie immer wieder die F8-Taste, bis das Fenster mit den Erweiterten Startoptionen erscheint.
• Wählen Sie den abgesicherten Modus mit Eingabeaufforderung.

für Windows 8 / 10

• Klicken Sie am Windows-Sperrbildschirm auf Ein/Aus. Halten Sie danach die Umschalttaste gedrückt und klicken Sie auf Neu starten.
• Wählen Sie Problembehandlung → Erweiterte Optionen → Windows-Starteinstellungen und klicken Sie dort auf Neu starten.
• Wählen Sie, nachdem das System geladen wurde, in den Starteinstellungen den abgesicherten Modus mit Eingabeaufforderung.

Stellen Sie Ihre Systemdateien und Einstellungen wieder her.

• Nach der Eingabeaufforderungsmodus geladen wurde, geben Sie cc restore ein und drücken Sie Enter.
• Geben Sie danach rstrui.exe ein und drücken Sie erneut Enter.
• Klicken Sie im nächsten Fenster auf „Weiter“.
• Wählen Sie einen verfügbaren Wiederherstellungspunkt aus, der vor dem Zeitpunkt, an dem BTCWare Aleta Virus in Ihr System gelangte, liegt, und klicken Sie auf „Weiter“
• Um die Systemwiederherstellung zu starten, klicken Sie auf „Ja“.

Shritt 2. Schließen Sie die Entfernung von BTCWare Aleta Virus ab.

Nachdem Sie Ihr System wiederhergestellt haben, empfehlen wir Ihnen, Ihren Computer mit einem Anti-Malware Programm, wie Spyhunter, zu scannen und alle betrügerischen Dateien, die mit BTCWare Aleta Virus in Verbindung stehen, zu entfernen.

Shritt 3. Stellen Sie die von BTCWare Aleta Virus betroffenen Dateien mit Hilfe einer Volumenschattenkopie wieder her

Falls Sie die Wiederherstellungsoption Ihres Betriebssystems nicht nutzen, besteht die Möglichkeit, Schattenkopie-Snapshots zu verwenden. Sie speichern Kopien Ihrer Dateien zum Zeitpunkt, an dem der Schnappschuss der Systemwiederherstellung erstellt wird. Normalerweise versucht BTCWare Aleta Virus, alle vorhandenen Volumenschattenkopien zu löschen, weshalb diese Methode eventuell nicht auf allen Computern funktioniert. Das Schurkenprogramm könnte mit seinem Versuch aber scheitern.

Volumenschattenkopien stehen nur in Windows XP Service Pack 2, Windows Vista, Windows 7 und Windows 8 zur Verfügung. Es gibt zwei Möglichkeiten, um Ihre Dateien per Volumenschattenkopie wiederherzustellen: die Windows-Vorgängerversionen oder den Shadow Explorer.

a) Windows-Vorgängerversionen

Klicken Sie mit der rechten Maustaste auf eine verschlüsselte Datei und wählen Sie Eigenschaften > Vorgängerversionen (Karteireiter). Jetzt sehen Sie alle verfügbaren Kopien dieser Datei und den Zeitpunkt, an dem die Volumenschattenkopie gespeichert wurde. Wählen Sie die Version der Datei, die Sie wiederherstellen möchten, und klicken Sie auf „Kopieren“, falls Sie sie in einem bestimmten Verzeichnis speichern möchten, oder auf „Wiederherstellen“, falls Sie die bestehende, verschlüsselte Datei ersetzen möchten. Falls Sie sich zuerst den Inhalt der Datei ansehen möchten, klicken Sie auf „Öffnen“.

b) Shadow Explorer

Der Shadow Explorer ist ein Programm, das online kostenlos zur Verfügung steht. Sie können entweder eine Vollversion oder eine portierbare Version des Shadow Explorers herunterladen. Öffnen Sie das Programm. Wählen Sie in der obere linken Ecke das Laufwerk, auf dem sich die Datei, nach der Sie suchen, befindet. Jetzt sehen Sie alle Ordner dieses Laufwerks. Um einen ganzen Ordner wiederherzustellen, klicken Sie mit der rechten Maustaste darauf und wählen Sie „Exportieren“. Wählen Sie danach aus, wo der Ordner gespeichert werden soll.

Anmerkung: In vielen Fällen ist es leider nicht möglich, Dateien, die mit modernen Ransomwares infiziert wurden, wiederherzustellen. Ich rate Ihnen daher, vorbeugend eine gute Cloud-Backup-Software zu verwenden. Wir empfehlen Ihnen Carbonite, BackBlaze, CrashPlan oder Mozy Home.