PayForRepair-Ransomware schlägt einen Preis auf Ihre Dateien

Eine weitere Bedrohung in der Cyber-Szene

Cybersicherheitsforscher haben eine weitere Ransomware-Variante entdeckt, die sich ihren Weg durch infizierte Systeme bahnt: PayForRepair . Dieses Schadprogramm gehört zur bekannten Dharma-Ransomware-Familie und folgt einem bekannten, aber gefährlichen Muster: Es verschlüsselt Dateien und fordert ein Lösegeld für die Entschlüsselung.

PayForRepair wurde entwickelt, um Opfern den Zugriff auf ihre Daten zu verwehren und jede verschlüsselte Datei mit einem eindeutig identifizierbaren Tag zu versehen. Infizierte Dateien werden umbenannt und enthalten eine opferspezifische ID, die E-Mail-Adresse des Angreifers und die Erweiterung „.P4R“. Opfer erhalten außerdem Lösegeldforderungen in Form von Pop-up-Fenstern und einer Textdatei namens info.txt , die in den betroffenen Ordnern abgelegt wird.

Folgendes steht in der Lösegeldforderung:

All your files have been encrypted!

Don't worry, you can return all your files!
If you want to restore them, write to the mail: payforrepair@tuta.io YOUR ID -
If you have not answered by mail within 12 hours, write to us by another mail:payforrepair@mailum.com

Free decryption as guarantee
Before paying you can send us up to 3 files for free decryption. The total size of files must be less than 3Mb (non archived), and files should not contain valuable information. (databases,backups, large excel sheets, etc.)

How to obtain Bitcoins

Also you can find other places to buy Bitcoins and beginners guide here:
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/

Attention!
Do not rename encrypted files.
Do not try to decrypt your data using third party software, it may cause permanent data loss.
Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.

Was PayForRepair will

Ransomware wie PayForRepair dient dazu, persönliche und geschäftliche Daten durch Verschlüsselung mit starken Algorithmen unzugänglich zu machen. Nach der Verschlüsselung können die Dateien nur noch mit einem einzigartigen Entschlüsselungsschlüssel geöffnet oder verwendet werden – diesen besitzt nur der Angreifer. Die Lösegeldforderung von PayForRepair fordert die Opfer auf, den Angreifern eine E-Mail zu senden, um über die Datenwiederherstellung zu verhandeln. Das Popup-Fenster verdeutlicht die Situation weiter und weist darauf hin, dass die Entschlüsselung erst nach Zahlung in Bitcoin erfolgt.

Die Angreifer bieten dem Opfer als Zeichen ihres guten Willens die kostenlose Entschlüsselung von bis zu drei Dateien an, sofern diese bestimmte Kriterien erfüllen. Diese Taktik wird häufig eingesetzt, um Vertrauen aufzubauen und das Opfer zur Zahlung zu drängen. Sie warnen die Opfer jedoch auch vor der Verwendung von Wiederherstellungstools von Drittanbietern, da diese die verschlüsselten Dateien dauerhaft beschädigen könnten – eine für Ransomware-Kampagnen typische Einschüchterungstaktik.

Warum Dharma-basierte Angriffe schwer zu besiegen sind

Als Mitglied der Dharma-Ransomware-Familie hat PayForRepair einige Gemeinsamkeiten mit seinen Gegenstücken. Zwar werden kritische Systemdateien verschont, sodass die Opfer ihre Geräte weiterhin bedienen können, doch zielt der Schädling wahllos auf lokale und im Netzwerk freigegebene Dateien ab. Die Ransomware erhöht ihre Erfolgsquote, indem sie Prozesse beendet, die mit geöffneten Dateien in Zusammenhang stehen, beispielsweise von Datenbanken oder Produktivitäts-Apps, und so sicherstellt, dass auch diese Dateien gesperrt werden können.

Um infizierte Systeme zu kontrollieren, nistet sich Dharma-basierte Malware oft an bestimmten Stellen auf dem Rechner ein, beispielsweise im Verzeichnis %LOCALAPPDATA% , und startet bei jedem Neustart des Computers. Sie löscht außerdem alle Volumeschattenkopien – eine integrierte Windows-Backup-Funktion –, sodass Opfer ihre Systeme nicht einfach auf einen früheren Zustand zurücksetzen können.

Die harte Realität: Bezahlen hilft möglicherweise nicht

Leider stehen die Chancen für Opfer schlecht, sobald PayForRepair ihre Dateien gesperrt hat. Die verwendeten Verschlüsselungsmethoden sind in der Regel robust, und ohne den Entschlüsselungsschlüssel der Angreifer ist eine Wiederherstellung nahezu unmöglich. Selbst wenn Opfer das Lösegeld zahlen, gibt es keine Garantie dafür, dass die Entschlüsselungstools tatsächlich bereitgestellt werden. In vielen Fällen nehmen Cyberkriminelle einfach die Zahlung entgegen und verschwinden.

Deshalb raten Cybersicherheitsexperten dringend von der Zahlung von Lösegeld ab. Dies finanziert nicht nur kriminelle Aktivitäten, sondern fördert auch die Verbreitung von Ransomware-as-a-Service-Modellen (RaaS), bei denen Malware-Kits für groß angelegte Angriffe an andere Kriminelle verkauft oder vermietet werden.

Wie sich PayForRepair verbreitet

Die häufigste Infektionsmethode für Dharma-Ransomware-Varianten, einschließlich PayForRepair, erfolgt über schwache Remote Desktop Protocol (RDP)-Dienste. Angreifer nutzen Brute-Force-Techniken, um Passwörter zu erraten und sich Zugriff auf Systeme mit unzureichender Anmeldesicherheit zu verschaffen. Einmal im System, können sie problemlos Ransomware einsetzen und Abwehrmechanismen wie Firewalls außer Kraft setzen.

RDP ist jedoch nicht der einzige Angriffsvektor. Weitere gängige Methoden sind Phishing-E-Mails, schädliche Dateianhänge, gefälschte Software-Updates und Downloads aus nicht verifizierten Quellen. Ransomware tarnt sich oft als harmlos aussehendes Dokument oder Installationsdatei. Nach dem Öffnen installiert sie sich unbemerkt und beginnt mit der Verschlüsselung von Dateien.

In manchen Fällen kann sich Ransomware lateral über Netzwerke verbreiten oder sogar Wechseldatenträger wie USB-Sticks infizieren. Dies unterstreicht die Notwendigkeit mehrschichtiger Abwehrmaßnahmen, die über reine Antivirensoftware hinausgehen.

Optimale Praktiken zur Prävention und Genesung

Da das Entfernen von Ransomware wie PayForRepair Ihre Dateien nicht entschlüsselt, ist Prävention die beste Verteidigung. Einer der wichtigsten Schritte ist die regelmäßige Erstellung von Offline-Backups an sicheren und getrennten Orten – idealerweise sowohl in physischen als auch in Cloud-Umgebungen. So stellen Sie sicher, dass Ihre Daten selbst im Falle eines Angriffs ohne Lösegeldzahlung wiederhergestellt werden können.

Benutzer sollten auch beim Surfen im Internet oder beim Öffnen unerwünschter E-Mails vorsichtig sein. Anhänge und Links aus unbekannten Quellen sollten stets mit Misstrauen behandelt werden. Darüber hinaus sollten Unternehmen ungenutzte RDP-Zugriffe deaktivieren, sichere Kennwortrichtlinien durchsetzen und die Software regelmäßig aktualisieren, um bekannte Schwachstellen zu beheben.

Die Entwicklung der Ransomware-Landschaft

PayForRepair reiht sich in eine wachsende Liste von Ransomware-Varianten ein, darunter auch Jackalock , DarkMystic und VerdaCrypt . Jede dieser Varianten arbeitet mit leicht unterschiedlichen Methoden und Zielen, verfolgt aber alle ein gemeinsames Ziel: Daten zu sperren und Zahlungen zu erpressen. Manche fordern ein paar Hundert Dollar, andere Millionen – je nach Ziel.

Da sich Bedrohungen ständig weiterentwickeln, muss auch unser Verständnis ihrer Funktionsweise und unserer Abwehrmaßnahmen zunehmen. PayForRepair ist zwar nur ein Name in einem stark umkämpften Ransomware-Feld, doch seine Methoden zeigen deutlich, wie selbst routinemäßiges Surfen im Internet oder das Abrufen von E-Mails zu erheblichen Störungen führen kann – sofern keine geeigneten Schutzmaßnahmen getroffen werden.