Jetzt auch mobil Kommentieren!

So funktioniert der Krypto-Trojaner Petya

Von Thomas Zick am 31.03.2016 10:36 Uhr
23 Kommentare

Mit Petya ist derzeit ein neuer Krypto-Trojaner im Umlauf, der ähnlich wie Locky Dateien auf infizierten Rechnern verschlüsselt und diese erst nach der Zahlung eines bestimmten Geldbetrages wieder freigibt. Im Gegensatz zu Locky verschlüsselt Petya allerdings nicht nur bestimmte Dateitypen, sondern gleich alle Daten auf den Festplatten des betroffenen PCs.

Unternehmen als Ziel

Aktuell wird Petya ausschließlich als vermeintliche Bewerbung an Unternehmen versendet. Der Schädling arbeitet in zwei Stufen, vor dem Beginn der zweiten Stufe kann die Verschlüsselung der Daten noch aufgehalten werden, wie unsere Kollegen von SemperVideo in diesem Video zeigen.

Nach dem Ausführen arbeitet Petya zunächst im Hintergrund, also vom Nutzer unbemerkt. Dabei wird der Master Boot Record (MBR) umgeschrieben, sodass beim nächsten Hochfahren des PCs nicht mehr Windows, sondern ein Verschlüsselungsprogramm startet. Anschließend wird der Computer zum Absturz gebracht und so zum Neustart gezwungen.

Beim Starten wird dem Nutzer dann ein Programm angezeigt, welches angeblich die Festplatte nach Fehlern durchsucht. Tatsächlich wird bei dem Vorgang jedoch die Festplatte verschlüsselt. Anschließend erscheint die Aufforderung an den Nutzer, über das Tor-Netzwerk einen individuellen Key zum Entschlüsseln der Daten zu erwerben.

Verschlüsselung verhindern

Wird Petya rechtzeitig erkannt, lässt sich die Verschlüsselung somit verhindern. Dazu ist lediglich eine Reparatur des Bootsektors erforderlich, bevor der Verschlüsselungsvorgang beginnt.

Hierzu ändert man zunächst über das BIOS die Bootreihenfolge, sodass der PC nicht mehr von der Festplatte startet. Stattdessen bootet man von der Installations-CD von Windows und öffnet dort mithilf der Computerreparaturoptionen die Eingabeaufforderung. Über die Befehle Bootrec /RebuildBcd, Bootrec /fixMbr und Bootrec /fixboot wird der Master Boot Record wiederhergestellt, eine Verschlüsselung der Daten findet dann nicht mehr statt.

whatsapp

23 Kommentare lesen & antworten
Hoch © 2000 - 2017 WinFuture Impressum