Avast und Emsisoft veröffentlichen Entschlüsselungstool für BigBobRoss-Ransomware

Die beiden Sicherheitsanbieter Avast und Emsisoft haben kostenlose Tools veröffentlicht, mit denen sich Dateien wiederherstellen lassen, die zuvor von der Ransomware BigBobRoss verschlüsselt wurden. Opfer haben so die Möglichkeit, wieder an ihre Daten zu kommen, ohne ein Lösegeld zu zahlen.

BigBobRoss ist seit rund zwei Monaten im Umlauf. Im Vergleich zu Erpressersoftware wie GandCrap, Ryuk, BitPaymer, SamSam oder Matrix erreichte BigBobRoss in der Zeit jedoch nur eine geringe Verbreitung.

Michael Gillespie, Sicherheitsforscher bei Emsisoft, erklärte gegenüber ZDNet USA, er sei am 14. Januar erstmals auf BigBobRoss aufmerksam geworden. Opfer hätten die Schadsoftware bei seinem Dienst ID-Ransomware eingereicht, der ihnen helfen soll, die Erpressersoftware auf ihrem System zu identifizieren. Insgesamt hätten 35 Opfer aus sechs Ländern Muster einer neuen Ransomware hochgeladen, die später als BigBobRoss bezeichnet wurde. Da aber nur wenige Nutzer von seinem Dienst wüssten, gehe er von einer deutlich höheren Zahl von Betroffenen aus.

Unklar ist derzeit allerdings noch, wie sich BigBobRoss verbreitet beziehungsweise die Systeme seiner Opfer infiziert. Mindestens ein Opfer gab gegenüber Bleeping Computer einen gehackten Server als Angriffsvektor an.

Eine Infektion mit BigBobRoss lässt sich daran erkennen, dass verschlüsselte Dateien die neue Endung „.obfuscated“ erhalten. Die Lösegeldforderung wiederum befindet sich einer ReadMe.txt genannten Datei. Darin werden Opfer aufgefordert, sich per E-Mail an die Adresse BigBobRoss@computer4u.com zu wenden. Die Hintermänner bieten zudem an, eine bis zu ein MByte große Datei kostenlos zu entschlüsseln. Das Lösegeld ist zudem in Bitcoin zu zahlen.

Die in C++ geschriebene Ransomware verschlüsselt Dateien mit einem 128-Bit-AES-Algorithmus. Entgegen der Behauptung der Cyberkriminellen können nun auch die von Emsisoft und Avast bereitgestellten Tools die Dateien entschlüsseln. Zu dem Zweck müssen Nutzer allerdings über mindestens eine Datei verfügen, die verschlüsselt und auch noch unverschlüsselt vorliegt. Solche unverschlüsselten Originale sollen Nutzer laut Avast unter anderem in ihren E-Mail-Ordnern, auf einer Sicherungsfestplatte oder den Systemordnern für Hintergrundbilder oder Windows-Sounds finden.