Cryptowall entfernt sich nach der Verschlüsselung sämtlicher Daten selbst und hinterlässt praktisch keine Spuren. Eine direkte Entfernung ist damit nicht möglich/nötig. Nichtsdestotrotz kann folgender Ablauf zur Überprüfung durchgeführt werden.

1. Computer im abgesicherten Modus starten
2. Autostart bereinigen
3. %appdata% bereinigen
4. Analog zu Ransomware entfernen verfahren (Kaspersky Rescue Disc)

Eine Entschlüsselung der Daten ohne den korrekten Entschlüsselungscode ist zurzeit nicht möglich. Einzige Hoffnung ist das Wiederherstellen der Daten von einem sauberen Backup oder aber der Versuch Daten aus Caches, Volume Shadow Copies, etc. wiederzubeschaffen.

Dementsprechend empfiehlt sich folgendes Vorgehen:

1. Netzwerkverbindungen trennen, Infizierter Computer ausschalten (evtl. wurden noch nicht alles Files verschlüsselt)
2. Versuchen unverschlüsselte Daten per LiveCD zu exportieren

Die übrigen verschlüsselten Daten können mit ListCWall als Liste exportiert werden. Diese Liste kann anschliessen genutzt werden, um die Daten aus anderen Quelle wiederherzustellen, z.B.

• Volume Shadow Copy
• Backups
• Caches / Zwischenspeicher
• Externe Medien (z.B. USB-Sticks, Festplatten)
• E-Mails

Zu Vermeidung einer Infektion oder aber wenn Sie bereits von Cryptowall 3.0 betroffen sind, sollten folgende Punkte beachtet werden:

• System regelmässig aktualisieren (insbesondere Java)
• Zuverlässigen Antivirus verwenden (z.B. Kaspersky)
• Vorsicht bei Mailanhängen (Artikel dazu: Ein Fax mit Folgen)
• Backups korrekt einrichten (Mind. 3-2-1 Regel beachten)

• Cryptowall 3.0 verschlüsselt unbekannte Dateiformate nicht, um das System funktionsfähig zu halten
• Aus demselben Grund werden Systemdaten nicht verschlüsselt
• Der Cryptolocker entfernt sich nach Beendigung der Arbeit selbständig vom System
• Cryptowall 3.0 kann nur Daten verschlüsseln, auf die der betroffene Benutzer Schreibberechtigungen hat
• Originaldaten werden von Cryptowall nach der Verschlüsselung mehrfach überschrieben - eine Wiederherstellung der Daten auf dem betroffenen Computer ist damit praktisch nicht möglich.
• Die Infizierung erfolgt zurzeit nur auf Windowssystemen. Hingegen kann Cryptowall auch Daten auf NAS, Server, etc. verschlüsseln sofern der infizierte Computer diese als Netzlaufwerke mit Schreibberechtigungen angehängt hat.

Mt dem Tool ListCWall kann eine Liste der mit Cryptowall verschlüsselten Daten angezeigt werden¹⁾.