Puma, auch Aurora genannt, ist eine der neuesten und gefährlichsten ransomware/Malware, die sich in diesen Wochen durch infizierte E-Mails, Remote-Desktop-Angriffe und Teamviewer verbreitet.

 

Verschlüsselte Dateien sind appended eine Erweiterung wie.puma .pumax .aurora .zorro .animus .desu .ONIje nach Ausführung.

Die Malware infiziert fast alle Dateien von Benutzern mit sehr starker Verschlüsselung, insbesondere 2048-Bit-RSA- und 128-Bit-AES-Schlüssel, was die direkte Entschlüsselung für Programmierer und Entwickler sehr schwierig macht, die im Virencode nach einer technischen Lösung suchen müssen den Schlüssel oder Spuren davon wiederherstellen, um die Dateien wieder lesbar zu machen.

​

Der Benutzer könnte auf seinem PC eine Textdatei mit einem zufälligen Namen finden, die eine Nachricht enthält, die zu einer Webseite oder zu einer E-Mail weiterleitet für den Kauf des Schlüssels und den anschließenden Download eines Decryptors.

 

Wir empfehlen absolut nicht, die Webseite oder die E-Mail  zu kontaktieren, da der Hacker möglicherweise immer noch Zugriff auf Ihren PC/Server hat und Sie ihn als Erinnerung daran erinnern, dass Zugriff auf Ihr Netzwerk hat. Als Folge können Sie weitere unerwünschte Zugriffe und möglicherweise die Installation anderer Backdoors oder Rootkits haben, die sehr schwer zu entfernen sind.

​

​

​

​

 

​​​​

​

​

​

​

Ich habe Windows Server und wurde infiziert, wie ist das möglich? 

 

Diese hochentwickelte Malware wird hauptsächlich über direkte Angriffe auf den RDP-Port verbreitet, normalerweise auf Computern mit dem folgenden Betriebssystem:

 

Windows Server 2003 (April 2003)
Windows Server 2003 R2 (September 2005)
Windows Server 2008 (April 2008)
Windows Server 2008 R2 (Juli 2009)
Windows Server 2012 (August 2012)

Windows Server 2012 R2 (Oktober 2013)

Windows Server 2016   (September 2016)

Windows Server 2019  (Oktober 2018)

​​

​

Was wird nach der Infektion empfohlen?? 

​

Es ist ratsam, infizierte PCs/Server vom Netzwerk zu trennen und sofort einen Experten zu kontaktieren, um den Ursprung der Infektion herauszufinden. Normalerweise wird das Betriebssystem nicht beschädigt, aber es ist sehr wahrscheinlich, dass Malware hinter der Tür oder das Rootkit im System versteckt ist. Das Ausprobieren „herkömmlicher“ oder anderer Wiederherstellungstechniken wird die ohnehin geringe Wahrscheinlichkeit, alle Ihre Dokumente wiederherzustellen, nur noch mehr gefährden.

​​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

 

Mein RDP-Passwort war sehr sicher, wie haben sie es gefunden? 

​

Leider gibt es selbst mit einem Passwort aus 20 zufälligen Zeichen, das normalerweise sehr sicher ist, keinen effektiven Schutz , da einige exploits auf dem RDP-Port verwendet werden effektiv eine Passwortumgehung ermöglichen.

​

​

Das Administratorkonto wurde deaktiviert, was ist passiert? 

​

Häufig wird das „Administrator“-Konto aus Sicherheitsgründen deaktiviert, obwohl der gesamte Verschlüsselungsprozess von diesem Konto aus stattgefunden hat, wie war das möglich?

All dies geschieht durch a "privilege escalation", d.h. Sie verbinden sich über einen "normalen" Benutzer, die Privilegien dieses Benutzers werden erhöht, was wiederum das Administratorkonto erstellt oder reaktiviert, mit dem Sie sich verbinden später zur Verschlüsselung.

​

​

Ich hatte die Verbindungen eingeschränkt, die auf den RDP-Dienst zugreifen konnten. Wie haben sie sich verbunden? 

​

Gibt es in Ihrem Netzwerk "offene" Clients im Internet? Auch wenn Ihr Server die Verbindungen einschränkt, von denen aus auf ihn zugegriffen werden kann (über Firewall, VPN, IP-Filterung, Whitelisting usw.), wird die Verbindung über das RDP des mit dem Internet verbundenen Clients hergestellt.

Sobald Sie die Kontrolle über diesen Client übernommen haben, verbinden Sie sich über ihn mit dem Server im internen Netzwerk, wodurch das Filtern aller externen IPs effektiv nutzlos wird.

​

​

Der RDP-Dienstport war nicht der Standardport, wie haben sie den Dienst gefunden? 

​

Die Standardports für den RDP-Dienst sind 445 und 3389, aber ich hatte den Dienst auf Port 5555 eingestellt, wie haben sie ihn gefunden? Einfach mit einem Netzwerkscanner, der alle Ports von 1 bis 65000​ auf der Suche nach dem RDP-Dienst analysiert.

​

​

Was kann ich also tun, um mich vor zukünftigen Puma/Aurora-Angriffen zu schützen?​

​

Die zwei Ratschläge, die wir unseren Kunden geben, um sich vor einer Infektion zu schützen, lauten:​

- Schließen Sie sofort den Dienst RDP  auf allen lokalen und Remote-Computern

- Installieren Sie unser Ransomware-Schutzskript, mehr info HIER

​

​

Wo sind meine Backups geblieben? E virtuelle Maschinen?​

​

Als Folge von puma/Aurora werden die Dateien .backup .save .vmx .vdmx gelöscht und oft auch alle virtuellen Maschinen (VMware, Oracle VM VirtualBox etc.) , die gestartet und anschließend gelöscht oder verschlüsselt.​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

So entschlüsseln Sie Dateien, die von verschlüsselt wurdenPuma/Aurora? 

Können Sie meine Daten wiederherstellen?

​

Ja, für einige Puma/Aurora-Versionen können wir alle Ihre Dateien wiederherstellen!! 

​

Schreiben Sie uns eine E-Mail aninfo@eliminacryptolocker.com Anhängen verschlüsselter Dateien und Ihrer Mobiltelefonnummer;

 

Wir werden Ihnen so schnell wie möglich antworten!

​

​

Haben Sie weitere Fragen oder benötigen Sie weitere Informationen?​

 

Schreiben Sie uns an at info@recuperafiles.it und wir werden versuchen, alle Ihre Zweifel zu klären.

​