Cryptowall entfernt sich nach der Verschlüsselung sämtlicher Daten selbst und hinterlässt praktisch keine Spuren. Eine direkte Entfernung ist damit nicht möglich/nötig. Nichtsdestotrotz kann folgender Ablauf zur Überprüfung durchgeführt werden.

1. Computer im abgesicherten Modus starten
2. Autostart bereinigen
3. %appdata% bereinigen
4. Analog zu Ransomware entfernen verfahren (Kaspersky Rescue Disc)

Eine Entschlüsselung der Daten ohne den korrekten Entschlüsselungscode ist nicht möglich. Einzige Hoffnung ist das Wiederherstellen der Daten von einem sauberen Backup oder aber der Versuch Daten aus Caches, Volume Shadow Copies, etc. wiederzubeschaffen.

Dementsprechend empfiehlt sich folgendes Vorgehen:

1. Netzwerkverbindungen trennen, Infizierter Computer ausschalten (evtl. wurden noch nicht alles Files verschlüsselt)
2. Versuchen unverschlüsselte Daten per LiveCD zu exportieren

Die übrigen verschlüsselten Daten können mit ListCWall als Liste exportiert werden. Diese Liste kann anschliessen genutzt werden, um die Daten aus anderen Quelle wiederherzustellen, z.B.

• Volume Shadow Copy
• Backups
• Caches / Zwischenspeicher
• Externe Medien (z.B. USB-Sticks, Festplatten)
• E-Mails

Zu Vermeidung einer Infektion oder aber wenn Sie bereits von Cryptowall 3.0 betroffen sind, sollten folgende Punkte beachtet werden:

• System regelmässig aktualisieren (insbesondere Java)
• Zuverlässigen Antivirus verwenden (z.B. Kaspersky)
• Vorsicht bei Mailanhängen (Artikel dazu: Ein Fax mit Folgen)
• Backups korrekt einrichten (Mind. 3-2-1 Regel beachten)

Obwohl die Priorität bei einer Infizierung durch Cryptowall in erster Linie auf dem Wiederherstellen der Daten liegt, darf die Absicherung des System keinesfalls vernachlässigt werden. „Einfach schnell einen Antivirus“ zu installieren reicht in den meisten Fällen nicht aus und wird auch zukünftigem Befall nicht zuverlässig vorbeugen!

• Cryptowall 3.0 verschlüsselt unbekannte Dateiformate nicht, um das System funktionsfähig zu halten
• Aus demselben Grund werden Systemdaten nicht verschlüsselt
• Der Cryptolocker entfernt sich nach Beendigung der Arbeit selbständig vom System
• Cryptowall 3.0 kann nur Daten verschlüsseln, auf die der betroffene Benutzer Schreibberechtigungen hat
• Originaldaten werden von Cryptowall nach der Verschlüsselung mehrfach überschrieben - eine Wiederherstellung der Daten auf dem betroffenen Computer ist damit praktisch nicht möglich.
• Die Infizierung erfolgt zurzeit nur auf Windowssystemen. Hingegen kann Cryptowall auch Daten auf NAS, Server, etc. verschlüsseln sofern der infizierte Computer diese als Netzlaufwerke mit Schreibberechtigungen angehängt hat.
• Zurzeit scheinen vermehrt Nutzer aus der DACH-Region (Deutschland,Österreich,Schweiz) betroffen zu sein
• Die Dateien HELP_DECRYPT.HTML, HELP_DECRYPT.PNG, HELP_DECRYPT.URL, HELP_DECRYPT.TXT sind nicht schädlich, sondern dienen nur dazu infizierte Ordner zu markieren.

Mt dem Tool ListCWall kann eine Liste der mit Cryptowall verschlüsselten Daten angezeigt werden¹⁾.

Sofern Sie Hilfe bei der Wiederherstellung von gesperrten Daten durch Cryptowall 3.0 und der Vermeidung eines solchen Szenarios benötigten, können wir Ihnen gerne weiterhelfen.

Kontaktieren Sie uns unverbindlich.