Schädling gibt vor vom BKA zu sein

Erpresserische Malware, so genannte „Ransomware”, die Dateien verschlüsselt oder den Rechner blockiert, gibt es schon eine ganze Weile. Es sei nur an „GPcode” erinnert, der auch gerade wieder aufgetaucht ist. Im Zuge der Betrügereien mit vorgeblichen Spendenaufrufen für die Opfer des Erdbebens in Japan wird auch ein Schädling per Drive-by Infektion verbreitet, der vorgibt, er sei von der deutschen Polizei.

Der Schädling zeigt eine großformatige Meldung auf dem Bildschirm an, in der behauptet wird, auf dem Rechner seien pornografische Inhalte sowie Elemente von Gewalt und Kinderpornografie festgestellt worden. Es seien aus Mails mit terroristischem Hintergrund verschickt worden. Der Rechner werde gesperrt, um „Ihre illegalen Aktivitäten zu unterbinden”.

Um die Sperre aufzuheben, sei der Benutzer „verflichtet eine Strafe von 100 Euro zu zahlen”. Sollte nicht binnen 24 Stunden gezahlt werden, würde die „Festplatte unwiderruflich formatiert(gelöscht)”. Um die „Strafe” zu entrichten, sollen die Erpressungsopfer eine Ukash-Karte kaufen und den zugehörigen Code in ein Formular eingeben. Alternativ könne der Code auch an eine angegebene Mail-Adresse bei Yahoo geschickt werden.

Weder die sofortige Bezahlung einer Strafe per Ukash noch die Mail-Adresse bei Yahoo lassen den Schluss zu, diese Meldung könnte tatsächlich von einer deutschen Polizeibehörde stammen. Auch Fehlerdichte und Formulierungskünste weisen auf die üblichen Verdächtigen hin – auch wenn man von Online-Kriminellen schon wesentliches schlimmeres Deutsch gesehen hat.

Um den immerhin in der Tat blockierten Rechner wieder von dem Schädling zu befreien, rät Andreas Marx vom Magdeburger Antivirustestlabor AV-Test zur Nutzung eines alternativen Boot-Mediums, etwa einer Antivirus-CD. Wird der PC von einer solchen CD gestartet, kann der enthaltene Virenscanner den Schädling entfernen, auch wenn Windows nicht mehr benutzbar ist.

Der Schädling wird mittlerweile von den meisten Antivirusprogrammen erkannt, von den bekannteren hapert es noch bei Symantec und Avast (Quelle: AV-Test):