LockBit (.lockbit) Mac Ransomware Virus – Entfernungs- und Entschlüsselungsoptionen

Was ist LockBit Ransomware?

LockBit ist der Name einer Ransomware die auf Mac-Betriebssysteme (OS) abzielt. Sie wird mit der LockBit-Ransomware-Gang in Verbindung gebracht - den Entwicklern von LockBit, LockBit 2.0, LockBit 3.0 und verschiedene andere Varianten. Die oben erwähnte Malware zielt auf Windows ab, Linux und VMware ESXi-Server.

Zum Zeitpunkt der Erstellung dieses Artikels ist LockBit (Mac) die erste bekannte Ransomware für MacOS, die von einer großen cyberkriminellen Bande entwickelt wurde. Das von uns untersuchte Beispiel befindet sich jedoch noch in der Entwicklung und wurde zum Testen freigegeben.

Ransomware agiert typischerweise, indem sie Dateien der Opfer verschlüsselt, um eine Zahlung für die Entschlüsselung zu verlangen. Es ist sehr unwahrscheinlich, dass diese LockBit-Version ihren Zweck erfüllt. Erstens wird ihre ungültige Signatur von Betriebssystemen als nicht vertrauenswürdig erkannt, und die Ransomware neigt dazu, bei manueller Ausführung abzustürzen. Es muss jedoch erwähnt werden, dass mögliche zukünftige Varianten in der Lage sein könnten, Mac-Geräte erfolgreich zu verschlüsseln.

Übersicht über die LockBit Ransomware

Die erforschte Variante von LockBit zielt auf Geräte, die mit Apple Silicon laufen, kann aber auch auf älteren Versionen gestartet werden. Laut der Analyse von Objective-See verwendet LockBit den für Mac kompilierten Code der Linux-Version. Sie enthält auch Artefakte der Windows-Varianten der Ransomware, die für Mac OS völlig irrelevant sind.

Da es sich bei diesem Schadprogramm um die erste Mac-Ransomware einer großen Ransomware-Bande handelt und das Design fehlerhaft ist, ist es offensichtlich, dass diese LockBit-Version zu Testzwecken veröffentlicht wurde.

Sogar die Lösegeldforderung ("!!!-Restore-My-Files-!!!.txt"), die bei erfolgreicher Ausführung dieser Malware erstellt wird, enthält einen allgemeinen Text, der für Ransomware geeignet wäre, die auf Unternehmen abzielt und in der Lage ist, Daten zu exfiltrieren (für doppelte Erpressungszwecke), wozu diese Variante nicht in der Lage ist.

Diese Ransomware stellt derzeit für Mac-Benutzer keine oder nur eine geringe Gefahr dar. Die Mac-Betriebssysteme erkennen die ungültige Signatur der Malware und zeigen Warnungen an oder sind einfach nicht in der Lage, die infektiöse Datei zu öffnen.

Es könnte möglich sein, dass Benutzer die Datei manuell ausführen und damit den Verschlüsselungsprozess von LockBit auslösen, was zu einer Verschlüsselung der Daten führt und den Dateinamen der betroffenen Dateien mit einer ".lockbit" Erweiterung anhängt (z. B. würde "1.jpg" als "1.jpg.lockbit„ erscheinen, "3.png" als "3.png.lockbit", usw.). Bei unserer Analyse und den Untersuchungen anderer Analysten stürzte die Ransomware jedoch typischerweise aufgrund ihres fehlerhaften Codes ab.

Daher ist es zwar möglich, Daten erfolgreich zu verschlüsseln, aber in der aktuellen Version ist dies unwahrscheinlich. Die schwerwiegenden Schwachstellen dieser Variante könnten jedoch in zukünftigen Versionen behoben werden, so dass die späteren Versionen in der Lage sein könnten, die Geräte der Opfer zu verschlüsseln.

Gut konzipierte Ransomware ist sehr gefährlich. Dateien, die von solcher Malware verschlüsselt wurden, können ohne Zutun der Angreifer nicht entschlüsselt werden. Es wird jedoch dringend davon abgeraten, die Lösegeldforderungen zu erfüllen, da die Wiederherstellung der Daten nicht garantiert ist (die Cyberkriminellen senden die Entschlüsselungsschlüssel/Software oft nicht mit) und die Zahlung auch diese illegalen Aktivitäten unterstützt.

Der allgemeine Ratschlag zur Gewährleistung der Datensicherheit lautet, Sicherheitskopien an mehreren verschiedenen Orten aufzubewahren (z. B. auf externen Servern, nicht angeschlossenen Speichergeräten usw.).

Zusammenfassung der Bedrohung:

Name	LockBit Virus
Art der Bedrohung	Mac-Malware, Mac-Virus, Ransomware, Krypto-Virus, Dateiensperre
Verschlüsselte Dateierweiterung	.lockbit
Lösegeldfordernde Nachricht	!!!-Restore-My-Files-!!!.txt
Kostenloser Entschlüsseler verfügbar?	Nein (siehe die No More Ransom Projekt-Website)
Cyberkriminellen-Kontakt	Webseiten des Tor-Netzwerks
Erkennungsnamen	Avast (Multi:Filecoder-X [Ransom]), Ikarus (Win32.Outbreak), Kaspersky (HEUR:Trojan-Ransom.OSX.Agent.gen), TrendMicro ( Ransom.MacOS.LOCKBIT.YXDDPZ), ZoneAlarm by Check Point (HEUR:Trojan-Ransom.OSX.Agent.gen), vollständige Liste von Erkennungen (VirusTotal)
Symptome	Auf dem Computer gespeicherte Dateien können nicht geöffnet werden, zuvor funktionierende Dateien haben jetzt eine andere Erweiterung (zum Beispiel 1.jpg.locked). Eine Lösegeldforderung wird auf Ihrem Desktop angezeigt. Cyberkriminelle verlangen die Zahlung eines Lösegelds (in der Regel in Bitcoins), um Ihre Dateien zu entsperren.
Verbreitungsmethoden	Infizierte E-Mail-Anhänge, Torrent-Webseiten, bösartige Werbung.
Schaden	Alle Dateien sind verschlüsselt und können ohne Zahlung eines Lösegelds nicht geöffnet werden. Zusammen mit einer Ransomware-Infektion können weitere Trojaner und Malware-Infektionen installiert werden, die Passwörter stehlen.
Malware-Entfernung (Windows)	Um mögliche Malware-Infektionen zu entfernen, scannen Sie Ihren Computer mit einer legitimen Antivirus-Software. Unsere Sicherheitsforscher empfehlen die Verwendung von Combo Cleaner. ▼ Combo Cleaner für Windows herunterladen Der kostenlose Scanner überprüft, ob Ihr Computer infiziert ist. Um das Produkt mit vollem Funktionsumfang nutzen zu können, müssen Sie eine Lizenz für Combo Cleaner erwerben. Auf 7 Tage beschränkte kostenlose Testversion verfügbar. Eigentümer und Betreiber von Combo Cleaner ist Rcs Lt, die Muttergesellschaft von PCRisk. Lesen Sie mehr.

Beispiele für Mac Malware

Wir haben zahlreiche bösartige Programme analysiert, die auf das Mac Betriebssystem abzielen: MacStealer, GIMMICK, DazzleSpy, SysJoker – sind lediglich ein paar Beispiele und EvilQuest ist eine Mac-spezifische Ransomware.

Malware kann eine Vielzahl von Zwecken verfolgen, die von der Verschlüsselung von Dateien bis hin zum Datendiebstahl reichen. Während Ransomware praktisch immer gleich funktioniert (d. h. Daten verschlüsselt und eine Zahlung verlangt), gibt es zwischen diesen Programmen zwei wesentliche Unterschiede. Sie können verschiedene kryptografische Algorithmen (symmetrisch oder asymmetrisch) verwenden und Lösegeld in unterschiedlicher Höhe verlangen.

Unabhängig davon, wie bösartige Software funktioniert, gefährdet ihre Anwesenheit auf einem System die Geräteintegrität und die Sicherheit der Benutzer. Daher müssen alle Bedrohungen sofort nach ihrer Entdeckung entfernt werden.

Wie wurde mein Computer mit Ransomware infiziert?

Malware wird hauptsächlich über Phishing und Social-Engineering-Taktiken verbreitet. Sie ist häufig als reguläre Programme/Medien getarnt oder mit ihnen gebündelt. Virulente Dateien können in verschiedenen Formaten vorliegen und Geräte infizieren, sobald sie geöffnet werden.

Zu den am weitesten verwendeten Verbreitungsmethoden gehören: Drive-by-Downloads (heimliche/trügerische Downloads), bösartige Anhänge oder Links in Spam-E-Mails/Nachrichten, Online-Betrügereien, dubiose Download-Quellen (z. B. Freeware und kostenlose Filehosting-Webseiten, Peer-to-Peer-Tauschnetzwerke usw.), raubkopierte Software und illegale Programmaktivierungswerkzeuge ("Cracking") sowie gefälschte Updates.

Wie könnenSie sich vor Ransomware-Infektionen schützen?

Wir empfehlen dringend, beim Surfen Vorsicht walten zu lassen, da betrügerische und bösartige Online-Inhalte meist legitim und harmlos erscheinen. Die gleiche Wachsamkeit muss auch für eingehende E-Mails und andere Nachrichten gelten. Die Anhänge oder Links in verdächtigen/irrelevanten E-Mails dürfen nicht geöffnet werden, da sie infektiös sein können.

Alle Downloads müssen außerdem von offiziellen und verifizierten Kanälen stammen. Genauso wichtig ist es, Software mit Originalfunktionen und -werkzeugen zu aktivieren und zu aktualisieren, da die von Drittanbietern erworbenen Programme Malware enthalten können.

Wir müssen betonen, dass die Installation und Aktualisierung eines seriösen Antivirenprogramms für die Sicherheit von Geräten und Benutzern unerlässlich ist. Sicherheitsprogramme müssen verwendet werden, um regelmäßige Systemscans durchzuführen und erkannte Bedrohungen zu entfernen. Wenn Ihr Computer bereits mit LockBit infiziert ist, empfehlen wir, einen Scan mit Combo Cleaner durchzuführen, um diese Ransomware automatisch zu entfernen.

Screenshot der Lösegeldforderung von LockBit Ransomware ("!!!-Restore-My-Files-!!!.txt"):

Text in dieser Nachricht:

~~~ LockBit 3.0 the world's fastest and most stable ransomware from 2019~~~
>>>>> Your data is stolen and encrypted.
If you don't pay the ransom, the data will be published on our TOR darknet sites. Keep in mind that once your data appears on our leak site, it could be bought by your competitors at any second, so don't hesitate for a long time. The sooner you pay the ransom, the sooner your company will be safe.

Tor Browser Links:
-
Links for normal browser:
-
...
>>>> Very important! For those who have cyber insurance against ransomware attacks.
Insurance companies require you to keep your insurance information secret, this is to never pay the maximum amount specified in the contract or to pay nothing at all, disrupting negotiations. The insurance company will try to derail negotiations in any way they can so that they can later argue that you will be denied coverage because your insurance does not cover the ransom amount. For example your company is insured for 10 million dollars, while negotiating with your insurance agent about the ransom he will offer us the lowest possible amount, for example 100 thousand dollars, we will refuse the paltry amount and ask for example the amount of 15 million dollars, the insurance agent will never offer us the top threshold of your insurance of 10 million dollars. He will do anything to derail negotiations and refuse to pay us out completely and leave you alone with your problem. If you told us anonymously that your company was insured for $10 million and other important details regarding insurance coverage, we
>>>>> If you do not pay the ransom, we will attack your company again in the future.

Umgehende automatische Entfernung von Malware: Die manuelle Entfernung einer Bedrohung kann ein langer und komplizierter Prozess sein, der fortgeschrittene Computerkenntnisse voraussetzt. Combo Cleaner ist ein professionelles, automatisches Malware-Entfernungstool, das zur Entfernung von Malware empfohlen wird. Laden Sie es durch Anklicken der untenstehenden Schaltfläche herunter:
▼ LADEN Sie Combo Cleaner herunter Der kostenlose Scanner prüft, ob Ihr Computer infiziert ist. Um das Produkt mit vollem Funktionsumfang nutzen zu können, müssen Sie eine Lizenz für Combo Cleaner erwerben. Auf 7 Tage beschränkte kostenlose Testversion verfügbar. Eigentümer und Betreiber von Combo Cleaner ist Rcs Lt, die Muttergesellschaft von PCRisk. Lesen Sie mehr. Indem Sie Software, die auf dieser Internetseite aufgeführt ist, herunterladen, stimmen Sie unseren Datenschutzbestimmungen und Nutzungsbedingungen zu.

Schnellmenü:

• Was ist "LockBit"?
• SCHRITT 1. Mit PUAs verwandte Dateien und Ordner von OSX entfernen.
• SCHRITT 2. Betrügerische Erweiterungen von Safari entfernen.
• SCHRITT 3. Betrügerische Add-ons von Google Chrome entfernen.
• SCHRITT 4. Potenziell unerwünschte Plug-ins von Mozilla Firefox entfernen.

Entfernung potenziell unerwünschter Anwendungen:

Potenziell unerwünschte Anwendungen von Ihrem "Programme" Ordner entfernen:

Klicken Sie auf das Finder-Symbol Wählen Sie in dem Finder-Fenster "Anwendungen" aus. Suchen Sie im Anwendungsordner nach "MPlayerX", "NicePlayer" oder anderen verdächtigen Anwendungen und ziehen Sie sie in den Papierkorb. Nachdem Sie die potenziell unerwünschte(n) Anwendung(en) entfernt haben, die Online-Werbung verursachen, scannen Sie Ihren Mac auf verbliebene unerwünschte Komponenten.

LockBit Virus bezogene Dateien und Ordner entfernen:

Klicken Sie auf das Finder Symbol aus der Menüleiste, wählen Sie Gehen und klicken Sie auf Zum Ordner gehen...

Suchen Sie nach Dateien, die von werbefinanzierter Software erzeugt wurden im /Library/LaunchAgents Ordner:

Im Gehen zu Ordner...Leiste, geben Sie ein: /Library/LaunchAgents

Im "LaunchAgents" Ordner, suchen Sie nach allen kürzlich hinzugefügten, verdächtigen Dateien und bewegen Sie diese in den Papierkorb. Beispiele für Dateien, die von werbefinanzierter Software erzeugt wurden - "installmac.AppRemoval.plist", "myppes.download.plist", "mykotlerino.ltvbit.plist", "kuklorest.update.plist", etc. Werbefinanzierte Software installiert häufig mehrere Dateien zur gleichen Zeit.

Suchen Sie nach Dateien, die von werbefinanzierter Software erzeugt wurden im /Library/Application Support Ordner:

Im Gehen zu Ordner...Leiste, geben Sie ein: /Library/Application Support

Im "Application Support" Ordner, suchen Sie nach allen kürzlich hinzugefügten, verdächtigen Ordnern. Zum Beispiel "MplayerX" oder "NicePlayer" und bewegen Sie diese Ordner in den Papierkorb.

Suchen Sie nach Dateien, die von werbefinanzierter Software erzeugt wurden im ~/Library/LaunchAgents Ordner:

Im Gehen zu Ordner Leiste, geben Sie ein: ~/Library/LaunchAgents

Im "LaunchAgents" Ordner, suchen Sie nach allen kürzlich hinzugefügten, verdächtigen Dateien und bewegen Sie diese Ordner in den Papierkorb. Beispiele für Dateien, die von werbefinanzierter Software erzeugt wurden - "installmac.AppRemoval.plist", "myppes.download.plist", "mykotlerino.ltvbit.plist", "kuklorest.update.plist", etc. Werbefinanzierte Software installiert häufig mehrere Dateien zur gleichen Zeit.

Suchen Sie nach Dateien, die von werbefinanzierter Software erzeugt wurden im /Library/LaunchDaemons Ordner:

Im Gehen zu Ordner Leiste, geben Sie ein: ~/Library/LaunchDaemons

Im "LaunchDaemons" Ordner, suchen Sie nach allen kürzlich hinzugefügten, verdächtigen Dateien. Zum Beispiel "com.aoudad.net-preferences.plist", "com.myppes.net-preferences.plist", "com.kuklorest.net-preferences.plist", "com.avickUpd.plist", etc., und bewegen Sie diese in den Papierkorb.

 Scannen Sie Ihren Computer mit Combo Cleaner:

Wenn Sie alle Schritte in der richtigen Reihenfolge befolgt haben, sollte Ihr Mac frei von Infektionen sein. Um sicherzustellen, dass Ihr System nicht infiziert ist, scannen Sie es mit Combo Cleaner Antivirus. HIER herunterladen. Nach dem Herunterladen der Datei, klicken Sie auf das Installationsprogramm combocleaner.dmg. Ziehen Sie im geöffneten Fenster das Symbol Combo Cleaner auf das Symbol Anwendungen und legen Sie es dort ab. Öffnen Sie jetzt Ihr Launchpad und klicken Sie auf das Symbol Combo Cleaner. Warten Sie, bis Combo Cleaner seine Virendatenbank aktualisiert hat und klicken Sie auf die Schaltfläche „Combo Scan starten“.

Combo Cleaner scannt Ihren Mac jetzt auf Infektionen mit Malware. Wenn der Antivirus-Scan „Keine Bedrohungen gefunden“ anzeigt, heißt das, dass Sie mit dem Entfernungsleitfaden fortfahren können. Andernfalls wird empfohlen, alle gefundenen Infektionen vorher zu entfernen.

Nachdem Dateien und Ordner entfernt wurden, die von dieser werbefinanzierten Software erzeugt wurden, entfernen Sie weiter falsche Erweiterungen von Ihren Internetbrowsern.

LockBit Virus Startseiten und Standard Internetsuchmaschinen von Internetbrowsern:

Bösartige Erweiterungen von Safari entfernen:

LockBit Virus bezogene Safari Erweiterungen entfernen:

Öffnen Sie den Safari Browser. Aus der Menüleiste wählen Sie "Safari" und klicken Sie auf "Benutzereinstellungen...".

Im Benutzereinstellungen Fenster wählen Sie "Erweiterungen" und suchen Sie nach kürzlich installierten, verdächtigen Erweiterungen. Wenn Sie sie gefunden haben, klicken Sie auf "Deinstallieren" Symbol daneben. Beachten Sie, dass Sie alle Erweiterungen sicher von ihrem Safari Browser deinstallieren können. Keine davon sind unabdingbar für die normale Funktion des Browsers.

• Falls Sie weiterhin Probleme mit Browserweiterleitungen und unerwünschter Werbung haben - Safari zurücksetzen.

Bösartige Programmerweiterungen von Mozilla Firefox entfernen:

LockBit Virus bezogene Mozilla Firefox Zusätze entfernen:

Öffen Sie Ihren Mozilla Firefox Browser. In der oberen rechten Ecke des Bildschirms, klicken Sie auf das "Menü öffnen" (drei horizontale Linien) Symbol. Aus dem geöffneten Menü wählen Sie "Zusätze".

Wählen Sie den "Erweiterungen" Reiter und suchen Sie nach allen kürzlich installierten, verdächtigen Zusätzen. Wenn Sie sie gefunden haben, klicken Sie auf das "Entfernen" Symbol daneben. Beachten Sie, dass Sie alle Erweiterungen deinstallieren von Ihrem Mozilla Firefox Browser entfernen können - keine davon sind unabdingbar für die normale Funktion des Browsers.

• Falls Sie weiterhin Probleme mit Browserweiterleitungen und unerwünschter Werbung haben  - Mozilla Firefox zurücksetzen.

Bösartige Erweiterungen von Google Chrome entfernen:

LockBit Virus bezogene Google Chrome Zusätze entfernen:

Öffnen Sie Google Chrome und klicken Sie auf das "Chrome Menü" (drei horizontale Linien) Symbol, das sich in der rechten oberen Ecke des Browserfensters befindet. Vom Klappmenü wählen Sie "Mehr Hilfsmittel" und wählen Sie "Erweiterungen".

Im "Erweiterungen" Fenster, suchen Sie nach allen kürzlich installierten, versächtigen Zusätzen. Wenn Sie sie gefunden haben, klicken Sie auf das "Papierkorb" Symbol daneben. Beachten Sie, dass Sie alle Erweiterungen sicher von Ihrem Google Chrome Browser entfernen können - keine davon sind unabdingbar für die normale Funktion des Browsers.

•  IFalls Sie weiterhin Probleme mit Browserweiterleitungen und unerwünschter Werbung haben - Google Chrome zurücksetzen.

Häufig gestellte Fragen (FAQ)

Wie wurde mein Computer gehackt und wie haben die Hacker meine Dateien verschlüsselt?

Die Opfer führen häufig selbst ausführbare Ransomware-Dateien aus (öffnen sie), da diese Dateien als gewöhnliche Inhalte getarnt oder mit ihnen gebündelt sein können. Ransomware-Programme werden hauptsächlich über Drive-by-Downloads, Spam-E-Mails/Nachrichten, Online-Betrügereien, nicht vertrauenswürdige Downloadkanäle (z. B. Freeware- und Drittanbieterseiten, P2P-Tauschnetzwerke usw.), illegale Software-Aktivierungswerkzeuge ("Cracks") und gefälschte Updates verbreitet.

Wie öffnet man ".lockbit"-Dateien?

Wenn Ihre Dateien erfolgreich durch Ransomware verschlüsselt wurden, können sie erst geöffnet/verwendet werden, nachdem sie entschlüsselt wurden.

Wo sollte ich nach kostenlosen Entschlüsselungswerkzeugen für LockBit Ransomware suchen?

Im Falle eines Ransomware-Angriffs empfehlen wir Ihnen, sich auf der Website des Projekts No More Ransom umzusehen.

Ich kann Ihnen eine Menge Geld zahlen, können Sie Dateien für mich entschlüsseln?

Wir bieten solche Dienste nicht an. Abgesehen von Fällen, in denen es sich um stark fehlerhafte Ransomware handelt, ist eine Entschlüsselung ohne das Eingreifen der Cyberkriminellen unmöglich. Daher handelt es sich bei Drittanbietern, die eine kostenpflichtige Entschlüsselung anbieten, häufig um Betrug oder um Vermittlungsdienste zwischen Opfern und Kriminellen.

Hilft mir Combo Cleaner bei der Entfernung von LockBit Ransomware?

Ja, Combo Cleaner scannt Ihren Gerät und beseitigt erkannte Ransomware-Infektionen. Es muss betont werden, dass die Verwendung eines Antivirenprogramms zwar der erste Schritt zur Wiederherstellung von Ransomware ist, Sicherheitssoftware jedoch nicht in der Lage ist, Daten zu entschlüsseln.

▼ Diskussion einblenden