Daten nach Hackerangriff? nicht mehr zu verwenden.

[Oldie62]

Hallo zusammen.
Ich war am Freitag Abend auf meinem PC zugange. Ich wollte ein wenig aufräumen und und meine Daten ein wenig umsortieren. Deshalb hatte ich auch meine externen Laufwerke angeschlossen.
Plötzlich wurde mir rechts unten die Meldung angezeigt das eine App etwas herunterlädt. Als ich das Fenster anklickte wurde mir das Einstellungsmenü für Apps angezeigt. Da ich es nicht will das irgendetwas ohne mein OK (Updares ausgenommen) heruntergeladen wird habe ich da so ziemlich alles auf Aus gestelt, währen der ganzen Zeit hat mein PC geworkt wie böse.
Ich habe dann die offenen Fenster minimiert und festgestellt das meine Verknüpfungen am Desktop nicht mehr wie von mir angeordnet waren und alle das gleiche Symbol (Wiord Dokument) Hatten. Ich sofort nachgeschaut und auch in meinen Ordner der SSDs und Externen waren betroffen. Zu spät und leicht panisch habe ich den PC ausgeschaltet und vom Netz getrennt.
Als ich iohn neu gestartet habe sah ich die ganze Bescherung. Alle Files auf allen Datenträgern hatte, nach ihrer normalen endung wie z.B. jpeg noch folgenden Anhang: .docm
Da ich schon mal so schön in Panic war habe ich das System nach einigen erfolglosen versuchen irgend etwas zum laufen zu bringen, ausser Firefox, tat ich das was ich immer tat wenn ich mir mal einen Virus gefangen habe. Einfach das System neu aufsetzen. Zwar radikal aber hat bis jetzt immer geholfen. Alle Viren die ich in meinem nun doch schon recht langen Leben hatte haben sich immer nur auf C ausgewirkt.
Pustekuchen. Diesmal nicht. Die Neuinstallation ging zwar Problemlos aber der Schaden auf den anderen Platten blieb. Alle haben noch immer die Endung .docm und es ist in jedem Ordner eine Nachricht in einem Textdokument Namens "Restore-My-Files" beigelegt, mit folgendem Inhalt:

All your files are Encrypted!
For data recovery needs decryptor.
How to buy decryptor:

----------------------------------------------------------------------------------------

| 1. Download Tor browser - https://www.torproject.org/ and install it.

| 2. Open link in TOR browser - http://decrmbgpvh6kvmti.onion/

| 3. Follow the instructions on this page

----------------------------------------------------------------------------------------

Note! This link is available via "Tor Browser" only.

------------------------------------------------------------
Free decryption as guarantee.
Before paying you can send us 1 file for free decryption.
------------------------------------------------------------

alternate address - http://helpinfh6vj47ift.onion/


DO NOT CHANGE DATA BELOW
###s1drtwhvwghhr###5C 9F B1 2E 53 CE 00 46 2F 58 EF C9 C1 DA D1 44
5A 98 E2 43 FB 91 3A D8 8F 55 DE 9E F3 55 68 22
76 A8 34 3C 40 2D C7 A8 E9 50 BF AB F3 D5 75 C6
3A C1 A0 B3 DB 27 1C 23 D9 1B 06 5F 27 53 58 99
3D E4 19 A9 3A 61 42 4A DB 3D 35 B3 E5 EE AF 8A
F7 BB 28 F9 69 B1 1F 79 1F 4E 6E E1 B8 87 D2 1B
4E 3A 82 0F 80 7B 57 C3 FD 2B 94 91 BA 3E 70 81
98 8D 73 70 7C 2E EF AE A3 CE 82 9B 35 4F 8D 0C
BB AD 51 3F 93 A4 FC 4B 12 29 D9 87 CC E6 92 2D
24 A2 4D CB 07 9A DD D8 C8 86 AD C7 FC C8 5E 19
C8 CB E4 71 94 07 D1 86 F8 A2 8B 46 BD A6 A6 F8
D3 D3 0D 72 83 51 5D 07 CE 12 7A 6B 53 6B 78 5E
1B 09 F2 89 88 F2 0B DB 25 81 2E 45 1C 80 3D D1
0A 6B 81 04 60 4B 91 A9 10 12 2B 2C 89 D9 83 55
52 11 96 ED B1 DA AC 01 31 17 19 E2 F8 09 38 93
AF CD B5 0E A9 65 C9 58 AD 78 67 8B 8E 0D 32 47
###

Und jetzt brauche ich Hilfe. Gelinde gesagt.
Auf den externen Platten sind auf einer meine persönlichen Sachen drauf. Dokumente und unzählige Schriftstücke. Auf den anderen meine Gesamellten Werke seit ich am PC arbeite und Spiele, also seit mitte der neunziger. Unzählige alte und neue Speicherstände u.s.w. Fotos in Hülle und Fülle und Tausend dinge die ich wahrscheindlich schon vergessen habe.
Im Internet finde ich nur Seiten die das gleich wollen wie die Häcker: Geld oder Seiten über macro Viren in Word. Ich hatte wie das passiert ist allerdings kein Word Dokumen offen.
Na ja, ich hoffe das ihr mir helfen könnt.
Ich nutze Windows 10 Proffesional und Office 10. Windows Defender ist aktiviert.

Grüße aus Wien
Wolfgang

 

[Tha.Piranha]

Zum Glueck hast du zuvor ein Backup gemacht.
Was du dir jedoch nach erfolger wiederherstellung vor Augen fuehren solltest ist, ...wie kam es zu dem Befall? Wo ist hier eine Sichereitsluecke? Menschliches 'Versagen'?!

 

[Mediamann]

Da musst du bestimmt eine menge Geld, warscheinlich in Bitcoin bezahlen ! Ob das Sinn macht, bezweifle ich !!

 

[Robbie]

Wichtig wäre als erstes, herauszufinden, um welche Ransomsoftware es sich handelt.

Hier mal Links zu den aktuellen Nachrichten dazu:

https://www.pcwelt.de/ratgeber/Rans...ie-fast-jeden-Erpresser-Trojaner-9988648.html

https://www.radio912.de/artikel/opf...rs-koennen-daten-wiederherstellen-153816.html

Und bei https://www.nomoreransom.org/ kannst sogar Dateien hochladen um die Ramson herauszufinden. Ggfs. stellen die sogar ein Tool zur Wiederherstellung bereit, sofern es bereits verfügbar ist.

Edit: Und nein, bezahlen bringt nichts, zumal es auch genug Fälle gab, in denen bezahlt wurde und nichts weiter geschah.

 

[Oldie62]

@ Tha.Piranha
Backup wäre schön, is´ aber nicht. Dazu hatte ich ja alles auf externen HD´s. Ich hatte in meiner Laufbahn schon etliche Viren aber noch nie hatte das ausser auf C: auswirkungen. Wie es zu dem Befall gekommen ist weis ich auch nicht. Ich habe als das passierte kein Programm gestartet auch kein Dokument geöffnet. Abgesehen davon das auf den Platten nichts neues war. Das sind Sachen aus den letzten 24 Jahren. Bunt gemischt.
Menschliches, also mein Versagen ist natürlich nie auszuschließssen aber wie gesagt, Windows Defender läuft. Und auch die Dateien auf den externen Datenträgern habe ich ab und an überprüft. Zudem sind da jetzt keine neuen Sachen dabei weil ich seit einiger Zeit dabei bin das alles zu sortieren und zu schauen was ich überhaupt kübeln kann.
Dazwischen gönne ich mir schon mal ein Päuschen und Spiele (viel zu lange) aber das sind keine Raubkopien oder sonstige zwielichtige Dinge. Meine meißten Spiele sind von Steam oder GOG.com. Und ich denke die sind doch Save.

 

[dau0815]

Hier ist eine Abhandlung, die genau diese Ransomware beschreibt. Der Seite selbst traue ich nicht über den Weg (wollen auch nur Geld), aber zumindest steht da, um was es sich offenbar handelt:

--> klick <--

 

[Robbie]

Naja @dau0815, bei mir wurde die Adresse gleich geblockt

 

[dau0815]

Drum sag ich ja: Ich trau der nicht.

 

[Robbie]

Ich würde es auf jeden Fall mal über nomoreransom versuchen, denn zum einen wurden die auch auf der BSI Seite erwähnt und zum anderen gibt es dort schon eine ganze Menge zum entschlüsseln https://www.nomoreransom.org/de/decryption-tools.html

Muss man eben zuerst schauen, um welche Software es sich handelt. Zudem gibt es dort auch Tipps, wie man dazu zuerst vorgehen muss, um eine weitere Infektion auszuschließen.

 

[IT-SK]

Hallo Oldie62,
das ist natürlich ärgerlich.
Abgesehen von Robbies Link fällt mir dieses Hilfsangebot noch ein:

https://www.trojaner-board.de/

Vielleicht klappt es ja dort.
Vom Bezahlen würde ich unbedingt absehen, erstens bestärkt so was die Leute weiterzumachen, zweitens wie geschrieben keine Garantie das dann entschlüsselt wird und außerdem keine Garantie das die nicht wieder zuschlagen.

 

[Wind in seinem Haar]

Ein Satz macht mich in Deiner Beschreibung des Vorfalls nachdenklich.

"Alle Viren die ich in meinem nun doch schon recht langen Leben hatte haben sich immer nur auf C ausgewirkt."

Was stellst Du denn mit Deinem PC an, daß Du "immer" Probleme mit Viren hast??
Bei einem aktuellen Windows dürftest Du solche Probleme eigentlich nicht haben.
Es sei denn, Du surfst auf irgendwelchen zwielichtigen Seiten herum.
Oder öffnest Anhänge von Mails, die man nicht öffnen sollte...da der Absender unbekannt ist.

Bei dem Erstgenannten würde ich bei ähnlichen Surfverhalten in der Zukunft den "Bowser in the Box" empfehlen.
Hier bist Du immer auf der sicheren Seite, da Alles in einer virtuellen Umgebung läuft....