Ransomware: Online-Tool entschlüsselt unter Umständen BlackCat & Co.

Sicherheitsforscher von CyberArk haben für einen bestimmten Typ von Erpressungstrojanern das kostenlose Entschlüsselungstool White Phoenix erstellt. Dieses kann man bequem online nutzen. Es steht aber auch zur lokalen Nutzung als Download zur Verfügung.

Nicht für alle Fälle geeignet

Auf der Website geben die Entwickler an, dass ihr Tool mit einigen Ransomware-Varianten funktioniert, die Dateien aus Geschwindigkeitsgründen nur teilweise verschlüsseln (Intermittent Encryption). Dieser Trend ist seit 2022 dokumentiert. Verschlüsselungstrojaner sollen damit unauffälliger arbeiten, um so das Zeitfenster für Entdeckungen durch etwa Anti-Virensoftware zu verkleinern.

Die Forscher geben an, dass ihr Tool unter anderem mit Versionen von BlackCat/ALPHV, DarkBit und Play kompatibel ist. Als unterstützte Dateiformate geben sie etwa PDF-Dateien und Word-Dokumente an.

On- oder offline nutzen

Mit wachsender Dateigröße steigen die Chance auf eine Rekonstruktion. Die Onlineversion von White Phoenix soll aber nur mit einer Dateigröße von maximal 10 MB funktionieren. Um zu prüfen, ob eine Datei zu retten ist, müssen Opfer sie lediglich bei dem Service hochladen. Dabei darf man nicht vergessen, dass die eigenen Dateien mitunter im Klartext übertragen werden.

Wer das nicht möchte oder größere Dateien hat, kann das Tool auch offline nutzen. Den Download findet man auf Github.

Hinweise auf weitere kostenlose Entschlüsselungstool findet man auf der Website ID-Ransomware. Der Servcie stammt von renommierten MalwareHunter Team. Das Ergebnis zeigt nach dem Upload einer verschlüsselten Datei und/oder der Erpresserbotschaft an, ob es ein derartiges Tool gibt. Derzeit erkennt der Service über 1100 Ransomwae-Varianten.

Erst jüngst wurde bekannt, dass immer weniger Ransomwareopfer Lösegeld zahlen. Dafür gibt es mehrere Gründe, wie etwa eine effektive Backupstrategie.

(des)