Emergency Summary
Petya ist eine im Datenbestand von Ransomware Reverse erfasste Ransomware-Variante. Ein öffentlicher Decryptor ist in unserem Datenbestand nicht dokumentiert; prüfen Sie Backups, Decryptor-Quellen und Datenrettung getrennt.
- Dateiendung
- keine feste Endung dokumentiert
- Ransom Note
- nicht dokumentiert
- Zielsysteme
- nicht belastbar dokumentiert
- Entschlüsselung
- Keine belastbaren Angaben
So erkennen Sie Petya
- Sperrt den kompletten Computer
Sofortmaßnahmen bei Petya
- Isolieren statt löschen: Betroffene Systeme vom Netzwerk trennen (LAN, WLAN, VPN). Ob ein System ausgeschaltet wird, hängt vom Szenario ab: Beim Ausschalten gehen flüchtige Spuren im Arbeitsspeicher verloren, bei laufender Verschlüsselung kann sofortiges Abschalten dennoch richtig sein.
- Verschlüsselte Originale nicht verändern: Keine Umbenennung von Dateien, kein Cleanup-Tool und keine Neuinstallation auf den Originaldatenträgern.
- Merkmale dokumentieren: Ransom Note, Dateiendung, Zeitpunkt der ersten Auffälligkeit und betroffene Systeme festhalten.
- Backups schützen: Backup-Repositories nicht mit kompromittierten Systemen verbinden und Zugangsdaten zum Backup-System ändern – von einem sauberen Gerät aus.
- Logs sichern: Windows-Ereignisprotokolle, EDR-Telemetrie, Firewall- und VPN-Logs exportieren, bevor sie rotieren.
- Zwei Fragen getrennt klären: Wer dämmt den Angriff ein (Incident Response)? Wer prüft die Wiederherstellbarkeit der Daten (Datenrettung)?
Technische Merkmale
| Familie / Bezeichnung | Petya |
|---|---|
| Dateiendung(en) | keine feste Endung dokumentiert |
| Lösegeldnotiz (Ransom Note) | nicht belastbar dokumentiert |
| Zielsysteme | nicht belastbar dokumentiert |
| Verschlüsselungsverfahren | nicht belastbar dokumentiert |
| Decryptor-Verfügbarkeit | Keine belastbaren Angaben |
| Datenexfiltration / Double Extortion | nicht belastbar dokumentiert |
| Aktivität | nicht belastbar dokumentiert |
Kann Petya entschlüsselt werden?
Keine belastbaren Angaben
Für Petya liegen in unserem Datenbestand keine belastbaren Angaben zu einem öffentlichen Decryptor vor. Das bedeutet nicht, dass keiner existiert – prüfen Sie aktuelle Quellen.
Decryptoren immer zuerst an Kopien testen und nur aus seriösen Quellen beziehen, etwa über das Projekt No More Ransom. Angebliche Decryptoren aus Foren oder Videos sind häufig selbst Schadsoftware.
Mehr dazu: Ransomware entschlüsseln – Möglichkeiten und Grenzen.
Recovery-Optionen
Welche Methode greift, hängt vom Schadensbild ab. Keine der folgenden Optionen ist in jedem Fall möglich – sie sollten aber geprüft werden, bevor über eine Lösegeldzahlung nachgedacht wird.
| Verfahren | Voraussetzung | Grenze |
|---|---|---|
| Restore aus sauberem Backup | Backup ist unverändert, offline oder immutable und frei von Persistenz der Angreifer. | Backups können verschlüsselt, gelöscht oder bereits kompromittiert sein. |
| Snapshot-Recovery | Storage- oder Hypervisor-Snapshots wurden nicht gelöscht. | Angreifer löschen Snapshots häufig gezielt. |
| Schattenkopien (VSS) | Volume Shadow Copies sind noch vorhanden. | Werden von vielen Familien vor der Verschlüsselung gelöscht. |
| Dateisystem-Rekonstruktion | Verwertbare Strukturen (MFT, Inodes, Journale) und unverschlüsselte Bereiche existieren. | Abhängig vom Schadensbild; kein Ersatz für einen Schlüssel. |
| VM-/VMDK-/VHDX-Recovery | Virtuelle Festplatten sind nur teilweise verschlüsselt oder Datastores rekonstruierbar. | Abhängig von Variante und Verschlüsselungsmodus. |
| RAID-/NAS-Recovery | Datenträger sind physisch lesbar, RAID-Parameter rekonstruierbar. | Rebuilds oder Initialisierungen vor der Analyse können Daten zerstören. |
| Raw Recovery / Carving | Dateiinhalte liegen unverschlüsselt in freien oder nicht überschriebenen Bereichen. | Dateinamen und Ordnerstruktur gehen oft verloren. |
| Datenbank-/Applikations-Recovery | Datenbankdateien oder Transaktionslogs sind teilweise intakt. | Technisch aufwendig, Ergebnis vorher nicht garantierbar. |
Welcher Hilfeweg passt?
Häufige Fragen
Gibt es einen Decryptor für Petya?
Stand unserer Daten: Keine belastbaren Angaben. Prüfen Sie Decryptoren nur an Kopien und nur aus seriösen Quellen wie No More Ransom.
Soll ich den betroffenen Server ausschalten?
Das hängt vom Szenario ab. Zuerst isolieren (Netzwerk trennen). Beim Ausschalten gehen flüchtige forensische Spuren verloren; läuft die Verschlüsselung jedoch noch oder breitet sie sich aus, kann ein sofortiges Abschalten richtig sein. Stimmen Sie das möglichst mit einem Incident-Response-Team ab.
Sind meine Backups ebenfalls betroffen?
Möglicherweise. Angreifer suchen gezielt nach Backup-Servern, Repositories und Snapshots. Prüfen Sie Backups isoliert, bevor Sie sie mit dem Netzwerk verbinden, und validieren Sie Restore Points auf Persistenz.
Darf ich die verschlüsselten Dateien kopieren?
Ja – Kopien verschlüsselter Dateien auf ein separates, sauberes Medium sind sinnvoll, damit spätere Entschlüsselungs- oder Rettungsversuche nicht an den Originalen stattfinden. Arbeiten Sie dabei nicht von kompromittierten Systemen aus.
Passende Ratgeber
Quellen und weiterführende Referenzen
Angaben aus dem bestehenden Ransomware-Reverse-Datenbestand (Übernahme beim Relaunch, nicht einzeln fachlich geprüft). Felder ohne belastbare Daten sind als solche gekennzeichnet.