Browserwarning
2. September 2019

Fake-Bewerbungsschreiben: Erpressungstrojaner GermanWiper löscht Daten

Bundesamt warnt vor E-Mailanhängen

Lösegeld hilft nicht: Wer den GermanWiper aktiviert, dessen Daten werden nicht etwa wiederherstellbar verschlüsselt, sondern endgültig überschrieben. Das teilt das Onlineportal Heise mit und warnt vor vermeintlichen Bewerbungsschreiben als zip-Datei.

CERT-Bund, das Notfallteam des Bundesamts für Sicherheit in der Informationstechnik (BSI), warnt aktuell vor einer besonders perfiden Ransomware-Variante: Das an ein vermeintliches Bewerbungsschreiben angehängte Zip-Archiv enthält mitnichten den Lebenslauf als Word-Dokument, sondern eine Windows-Link-Datei. Diese startet beim Klick die Powershell in Windows, um die eigentliche Malware von einem Server nachzuladen. Die Bewerbungsmail verwendet verschiedene Namen und Absender-Domains, sodass sich die Malware daran nicht zuverlässig erkennen lässt. Sprachlich gibt die Mail kaum Anlass zum Argwohn. Soweit nichts Neues.

Aber wer den GermanWiper getauften Trojaner arglos aktiviert, der verliert Daten dauerhaft: Statt sie aufwendig zu verschlüsseln, überschreibt die Malware Dateien mit Nullen und ändert die Dateiendung, bevor sie die Lösegeldforderung anzeigt. Der sollte man auf gar keinen Fall nachkommen. Der einzige Schlüssel zum Wiederherstellen der Daten ist das eigene Backup, nachdem man den PC gesäubert hat.