Emsisoft veröffentlicht neuen Decrypter für Ransomware STOP Djvu

STOP (Djvu) mag nicht so bekannt sein wie Ryuk und Sodinokibi, ist mit 160 Varianten und geschätzt 460 000 Opfern insgesamt (davon mehr als 116 000 bestätigt) derzeit jedoch eine der aktivsten und weitverbreitetsten Ransomwares überhaupt. Aber es gibt auch gute Nachrichten: Wir haben kürzlich ein kostenloses Entschlüsselungstool für den Schädling veröffentlicht.

Die Verschlüsselung von STOP knacken wir mit einem Seitenkanalangriff auf den Schlüsselstromgenerator der Ransomware. Das ist unseren Wissens das erste Mal, dass dieses Verfahren zur Wiederherstellung von mit Ransomware verschlüsselten Dateien in einem derartig großen Umfang eingesetzt wird.

STOP wird nahezu ausschließlich über Key Generators (also Schlüsselgeneratoren) und Cracks verbreitet, mit denen Anwender angeblich Bezahlsoftware kostenlos freischalten können. Diese Tools sind besonders bei Kindern und Studenten gefragt, die knapp bei Kasse sind. Damit ist bei ihnen auch das Risiko höher, STOP zum Opfer zu fallen, und folglich auch bei deren Eltern sowie jeder Person, die mit ihnen gemeinsam Geräte nutzt.

Und als wäre das noch nicht genug, kommen einige Versionen von STOP in Kombination mit weiterer Malware, wie Kennwort stehlenden Trojanern.

Einsendungen zu STOP Djvu bei ID[nbsp]Ransomware

Leider können wir mit dem Tool nicht allen Opfern helfen, da derzeit nur 148 der 160 Varianten entschlüsselt werden können. Wir gehen davon aus, dass damit ungefähr 70 % der Opfer ihre Daten wiederherstellen können. Anwendern, die von den restlichen 12 Versionen betroffen sind, können wir momentan leider keine weitere Unterstützung anbieten, da es noch keine Lösung dafür gibt. Diesen Opfern empfehlen wir, ihre verschlüsselten Daten zu archivieren, falls in Zukunft doch eine Lösung gefunden werden sollte.

Kostenlosen Decrypter für STOP Djvu herunterladen

Emsisoft-Decrypter für STOP Djvu

Hinweis: Hier ist auch ein Decrypter für STOP Puma verfügbar.

Varianten der STOP-Ransomware

Für die STOP-Ransomware gibt es derzeit über 160 bekannte Versionen in vier Hauptvarianten, die sich unterschiedlich leicht (oder schwer) entschlüsseln lassen.

• Großschrift-Varianten (z. B. .DATAWAIT, .KEYPASS) – Einige Dateiendungen dieser Versionen lassen sich mit dem Decrypter für STOP Puma entschlüsseln, sofern ein einziges Dateipaar aus verschlüsselter und Originaldatei (>150 kB) vorliegt.
• Puma-Varianten (z. B. .puma, .pumas, .pumax) – Alle bekannten Dateiendungen dieser Versionen lassen sich mit dem Decrypter für STOP Puma entschlüsseln, sofern ein einziges Dateipaar aus verschlüsselter und Originaldatei (>150 kB) vorliegt.
• Alte Djvu-Varianten (z. B. .djvu, .roland, .verasto) – Dies sind die am verbreitetsten Versionen. Die verschlüsselten Dateien sind immer 78 Bytes größer als ihr Original. Alle bekannten Dateiendungen dieser Versionen lassen sich – mit Einschränkungen – mit dem Decrypter für STOP Djvu auf zwei Wegen entschlüsseln: mit Offline-Schlüsseln oder mit mehreren Dateipaaren aus verschlüsselter und Originaldatei (>150 kB).
• Neue Djvu-Varianten (z. B. .gero, .meds, .boot) – Das sind die neuesten Versionen der Ransomware-Familie und die verschlüsselten Dateien sind immer 334 Bytes größer als ihr Original. Ihre Verbreitung begann Ende August 2019. „Aktuelle“ Infektionen stammen höchstwahrscheinlich von einer dieser Variante. Hier können nur einige Dateiendungen mit dem Decrypter für STOP Djvu entschlüsselt werden und das auch nur, wenn ein Offline-Schlüssel vorliegt

Neueste Statistiken

Die Daten in unserem aktuellen Statistikbericht zu Ransomware (2.–3. Quartal 2019) zeigen, dass STOP über die Hälfte aller eingesendeten Ransomwares weltweit ausmacht.

Top Ten der im 2.[nbsp]und 3.[nbsp]Quartal bei ID[nbsp]Ransomware eingesendeten Ransomwares

Top Ten der Herkunftsländer der Ransomware-Einsendungen bei ID[nbsp]Ransomware

Verteilung von STOP

STOP hat sich im vergangenen Jahr rasant ausgebreitet. Im Oktober 2018 stand es mit 54,3 % an oberster Stelle der 5 am häufigsten von ID Ransomware erkannten Ransomware-Versionen. Im Oktober 2019 steht der Schädling immer noch an der Spitze der 5 Ransomwares, die in den vergangenen 60 Tagen (beim Verfassen des Artikels) am häufigsten gefunden wurden – nun allerdings bereits mit 70,7 %.

Funde von STOP Djvu – vergangene 60[nbsp]Tage (zum Zeitpunkt der Veröffentlichung)

Funde von STOP Djvu – vergangene 60 Tage (zum Zeitpunkt der Veröffentlichung)

Erkennungen weltweit

Erkennungen von STOP Djvu

Erkennungen von STOP Djvu – vergrößert auf Europa, Naher Osten, Afrika und Asien

Technischen Daten

Die Ransomware STOP Djvu verschlüsselt die Dateien des Opfers mit Salsa20 und hängt eine der unzähligen Dateiendungen an den Dateinamen an, wie „.djvu“, „.rumba“, „.radman“, „.gero“ usw.

Die Lösegeldforderung „_readme.txt“ enthält folgenden Text (übersetzt aus dem Englischen samt Fehlern):

ACHTUNG!

Keine Sorge, Sie können all Ihre Dateien wiederbekommen!
Alle Ihre Dateien wie Fotos, Datenbanken, Dokumente und andere wichtige wurden mit stärkster Verschlüsselung und einzigartigem Schlüssel verschlüsselt.
Der einzige Weg, um Dateien wiederherzustellen, ist Entschlüsselungstool und einzigartigen Schlüssel für Sie zu kaufen.
Diese Software wird alle Ihre verschlüsselten Dateien entschlüsseln.
Welche Garantien Sie haben?
Sie können eine Ihrer verschlüsselten Datei von Ihrem PC senden und wir entschlüsseln sie kostenlos.
Aber wir können nur 1 Datei kostenlos entschlüsseln. Datei darf keine wertvollen Informationen enthalten.
Sie können Videozusammenfassung zu Entschlüsselungstool bekommen und ansehen:
https://we.tl/t-sTWdbjk1AY
Preis für privaten Schlüssel und Entschlüsselungssoftware ist 980 $.
50% Rabatt verfügbar, wenn Sie uns erste 72 Stunden kontaktieren, das ist Preis für Sie 490 $.
Bitte beachten Sie, dass Sie Ihre Daten niemals ohne Zahlung wiederherstellen werden.
Überprüfen Sie Ihren E-Mail-Ordner „Spam“ oder „Junk“, wenn Sie mehr als 6 Stunden keine Antwort erhalten.

Um diese Software zu erhalten, müssen Sie an unsere E-Mail schreiben:
[email protected]

Reserve-E-Mail-Adresse, um uns zu kontaktieren:
[email protected]

Ihre persönliche ID:
[entfernt]

Erfolgreiche Entschlüsselung von mit STOP Djvu gesperrten Dateien mit dem Emsisoft-Decrypter für STOP Djvu

Unterstützung durch die Community

Die Bemühungen, um STOP-Opfern zu helfen, sind wahrlich eine Gemeinschaftsarbeit. Die hilfreichen Mitglieder von BleepingComputer haben beispielsweise zahllosen Opfern dieser Ransomware geholfen, indem sie diese unter anderem durch den Entschlüsselungsablauf gelotst oder Offline-Schlüssel und Beispiele bereitgestellt haben.

Aufgrund der hohen Anzahl der Personen, die von STOP betroffen sind, können wir für dieses Tool leider keinen persönlichen Support bereitstellen. Wenn Sie Hilfe bei der Nutzung des Decrypters benötigen, besuchen Sie bitte das STOP-Supportforum bei BleepingComputer. Die Community-Mitglieder dort sind gerne bereit, Ihnen zu helfen. Daher an dieser Stelle noch einmal ein riesengroßes Dankeschön für all ihre Unterstützung.

Kostenlosen Decrypter für STOP Djvu herunterladen

Hier ist auch ein Decrypter für STOP Puma verfügbar.

Übersetzung: Doreen Schäfer