Es kommt nicht alle Tage vor, dass die Kriminellen hinter einer Ransomware erklären, dass sie „traurig“ darüber seien, was sie getan hätten. Im Fall von Ziggy hätten sie deshalb „beschlossen, alle Entschlüsselungs-Keys zu veröffentlichen“, schreibt die Ransomware-Gang in einer Abkündigung der Software. Daraufhin folgte die Veröffentlichung einer SQL-Datei mit 922 Schlüsseln, wie das Onlinemagazin Bleepingcomputer berichtet. Mit diesen und einem ebenfalls zur Verfügung gestellten Tool können die Opfer ihre Daten wieder entschlüsseln. Selbst der Quellcode für das offline funktionierende Tool wurde mitveröffentlicht.

Am 19. März teilte die Ransomware-Gruppe mit, dass sie auch bereits bezahltes Lösegeld erstatten werde. Die Opfer sollen eine bestimmte E-Mail-Adresse kontaktieren und einen Nachweis ihrer Zahlung in Bitcoin sowie eine Computer-ID übermitteln.

Dem Onlinemagazin Bleepingcomputer erklärte die Ransomware-Gruppe, dass die Auszahlung im Wert der Zahlung erfolgen werde. Da der Bitcoin-Kurs seit der Einstellung der Ransomware deutlich gestiegen ist, macht die Ransomware-Gruppe trotz Rückerstattung Gewinn. Die Ziggy-Gruppe erklärte Bleepingcomputer, dass sie in einem „Dritte-Welt-Land“ lebe und ihre Intention finanzieller Natur gewesen sei.

Die Mitglieder der Gruppe bestätigten die Vermutung, dass die Einstellung der Ransomware aus Angst vor Strafverfolgungsbehörden geschehen sei, die viel größere Malware-Gruppen wie Emotet auseinandergenommen hätten. Der Ziggy-Admin habe sogar sein Haus verkaufen müssen, um das Geld zurückerstatten zu können, behauptet die Ransomware-Gang. Nun wollen sie die Seiten wechseln und Ransomware-Jäger werden.

Autor des Artikels ist Moritz Tremmel.

Zum Weiterlesen:

• ThunderX: Sicherheitsforscher machen neue Ransomware unschädlich
• Geleakter Chatverlauf zeigt, wie eine Ransomware-Erpressung bei Firmen abläuft
• Digitale Erpressung: Bekannte Ransomware-Gruppe will angeblich aufhören