Wiederherstellung von Daten nach einem Ransomware-Virus: was tun und wie Verluste minimieren

Die Wiederherstellung von Daten nach einem Ransomware-Virus beginnt nicht mit der Suche nach einem "magischen" Programm, sondern mit den richtigen Maßnahmen in den ersten Minuten nach Entdeckung des Angriffs. Es ist wichtig, das infizierte Gerät zu isolieren, verschlüsselte Dateien zu sichern, den Typ des Erpressers zu bestimmen, Backups zu überprüfen und erst dann eine Wiederherstellungsmethode auszuwählen. In diesem Artikel besprechen wir, was sofort zu tun ist, welche Methoden tatsächlich helfen, Dateien nach ransomware zurückzugewinnen, wann man Fachleute kontaktieren sollte und wie man sich vor einer erneuten Infektion schützt.

Ein Ransomware-Virus blockiert den Zugriff auf Daten durch Verschlüsselung und fordert ein Lösegeld für den Schlüssel. Allerdings ist es gefährlich, den Angreifern zu zahlen: Es gibt keine Garantie, dass der Schlüssel ausgehändigt wird, und die Zahlung könnte neue Angriffe auslösen. Es ist viel sicherer, nach einem Plan zu handeln und die Situation nicht durch übereilte Maßnahmen zu verschlimmern.

Was ist ein Ransomware-Virus und wie beschädigt er Daten?

Ein Ransomware-Virus ist ein Schadprogramm, das Dokumente, Archive, Datenbanken, Fotos, Projekte, virtuelle Maschinen und andere wertvolle Dateien findet und sie dann verschlüsselt. Danach erscheint normalerweise eine Mitteilung mit einer Lösegeldforderung. Dateien können eine neue Erweiterung erhalten, wie z.B. .locked, .encrypted, .crypt, .lockbit oder eine andere, die vom Familiennamen des Malware abhängt.

Es ist wichtig zu verstehen: Bei den meisten modernen Angriffen werden Daten nicht einfach "umbenannt". Sie sind tatsächlich mit einem kryptografischen Algorithmus verschlüsselt. Daher hilft es fast nie, die Erweiterung manuell zu ändern. Darüber hinaus können unvorsichtige "Heilungsversuche" Spuren löschen, die für die Analyse benötigt werden.

Am häufigsten gelangen Ransomware-Viren ins System durch:

• Anhänge in Phishing-E-Mails;
• infizierte Dokumente mit Makros;
• gehackte Remote-Desktop-Protokolle (RDP) oder VPN;
• Schwachstellen in alter Software;
• Raubkopien von Aktivatoren und illegale Software-Assemblies;
• infizierte Websites und Downloader;
• kompromittierte Administrator-Konten.

In einer Unternehmensumgebung kann sich der Angriff im Netzwerk ausbreiten. In diesem Fall sind nicht nur Arbeitsstationen betroffen, sondern auch Server, Netzwerkordner, NAS, Backup-Speicher und Cloud-Synchronisationen.

Erste Maßnahmen bei einer Ransomware-Infektion

Das Hauptziel in den ersten Minuten ist es, die Verbreitung zu stoppen und maximal Informationen für die Wiederherstellung zu sichern. Starten Sie den Computer nicht ohne Notwendigkeit neu und verwenden Sie keine zufälligen Entschlüsselungsprogramme aus dem Internet.

Schritt-für-Schritt-Plan für die ersten 30 Minuten

1. Trennen Sie das Gerät vom Netzwerk. Ziehen Sie das Netzwerkkabel heraus, deaktivieren Sie Wi-Fi und Bluetooth. Falls ein Server infiziert ist, isolieren Sie ihn vom lokalen Netzwerk.
2. Löschen Sie keine verschlüsselten Dateien und die Lösegeldnotiz. Diese helfen dabei, die Familie der Ransomware zu bestimmen und einen möglichen Entschlüssler zu finden.
3. Formatieren Sie die Festplatte nicht. Das Formatieren erschwert die Wiederherstellung und könnte Schattenkopien oder Reste der Originaldateien zerstören.
4. Erstellen Sie eine Kopie des infizierten Speichermediums. Wenn möglich, erstellen Sie ein bitweises Abbild der Festplatte oder kopieren Sie zumindest die verschlüsselten Daten auf ein externes Speichermedium.
5. Dokumentieren Sie die Zeichen des Angriffs. Speichern Sie die Datei-Endungen, den Text der Notiz, Wallet-Adressen, E-Mail der Angreifer und die Zeit des Beginns der Verschlüsselung.
6. Überprüfen Sie andere Geräte. Trennen Sie gemeinsame Ordner, NAS und externe Festplatten, damit die Ransomware sie nicht erreicht.
7. Wenden Sie sich an einen IT-Sicherheitsspezialisten oder Administrator. Besonders wenn die Infektion in einer Firma aufgetreten ist.

Diese Reihenfolge der Maßnahmen verringert das Risiko eines Datenverlusts und hilft, die richtige Wiederherstellungsstrategie auszuwählen.

Was man nach einer ransomware-Attacke nicht tun sollte

Nach der Infektion ist es leicht, einen Fehler zu machen. Einige Maßnahmen scheinen logisch, verschlechtern jedoch in der Praxis die Situation.

Es wird nicht empfohlen:

• das Lösegeld ohne Rücksprache mit Fachleuten zu zahlen;
• "universelle Entschlüssler" von unbekannten Websites herunterzuladen;
• neue Programme auf der infizierten Festplatte zu installieren;
• die Systemreinigung zu starten, bevor Beweise gesichert sind;
• Lösegeldnotizen und verdächtige Dateien zu löschen;
• Daten mit großen Mengen neuer Dateien zu überschreiben;
• Backup-Festplatten an das infizierte System anzuschließen;
• zu versuchen, den Server über das alte System hinweg ohne Analyse der Angriffursache wiederherzustellen.

Besonders gefährlich sind gefälschte Wiederherstellungsdienste. Diese können Geld für kostenlose Tools verlangen, Daten stehlen oder den Computer erneut infizieren.

Wie man den Typ des Ransomware-Virus bestimmt

Die Identifizierung der Familie von Ransomware ist ein wichtiger Schritt. Davon hängt ab, ob ein kostenloser Entschlüssler verfügbar ist, welche Dateien für die Analyse benötigt werden und wie realistisch die Wiederherstellung ohne Backup ist.

Achten Sie auf die folgenden Anzeichen:

• neue Dateierweiterungen;
• Name und Inhalt der Lösegeldnotiz;
• E-Mail, Telegram, Tor-Website oder einen anderen Kontakt der Angreifer;
• geänderte Desktop-Hintergründe;
• Namen verdächtiger Prozesse;
• Zeitpunkt der massiven Änderung von Dateien;
• Ereignisse in Windows-, Linux- oder Netzwerkgerätesteuerungsprotokollen.

Für eine erste Überprüfung können bekannte Dienste zur Identifizierung von Ransomware verwendet werden. Diese verlangen normalerweise, dass Sie die Notiz und einige verschlüsselte Dateien hochladen. Es ist jedoch ratsam, keine vertraulichen Dokumente zu senden. Wählen Sie besser neutrale Dateien ohne persönliche Daten aus.

Wo man einen Entschlüssler findet

Sichere Quellen zur Überprüfung:

• das Projekt No More Ransom;
• Websites großer Antiviruslabore;
• offizielle Datenbanken von Entschlüsselungsanbietern;
• Empfehlungen nationaler Computer-Notfallreaktionszentren;
• Beratungen von Fachleuten der Datenrettung.

Wenn ein Entschlüssler gefunden wurde, testen Sie ihn zuerst an Kopien der Dateien und nicht am Einzelstück. Dies schützt vor zusätzlichem Datenverlust.

Methoden zur Wiederherstellung von Daten nach einem Ransomware-Virus

Es gibt keine Methode, die für alle geeignet ist. Die Wahl hängt vom Typ der Ransomware, der Verfügbarkeit von Backups, dem Zustand der Festplatte, der Version des Betriebssystems und davon ab, ob die Originaldateien nach der Verschlüsselung gelöscht wurden.

Vergleich der wichtigsten Wiederherstellungsmethoden

Methode	Wann geeignet	Vorteile	Einschränkungen
Wiederherstellung aus Backup	Es gibt ein sauberes Backup vor dem Angriff	Sicherster Weg	Muss sichergestellt werden, dass das Backup nicht infiziert ist
Offizieller Entschlüssler	Die Familie der Ransomware wurde bereits untersucht	Kann Dateien ohne Lösegeld wiederherstellen	Nicht für alle Ransomware-Typen verfügbar
Schattenkopien von Windows	Schattenkopien wurden nicht gelöscht	Schnell für einzelne Dateien und Ordner	Viele Erpresser löschen Kopien
Datei-Historie und Wiederherstellungspunkte	Funktionen waren zuvor aktiviert	Praktisch für Heim-PCs	Nicht immer alle Datentypen werden gespeichert
Wiederherstellung gelöschter Quellen	Ransomware hat eine Kopie erstellt und das Original gelöscht	Manchmal hilft es teilweise	Minimale Festplattenschreibung erforderlich
Cloud-Versionen von Dateien	Google Drive, OneDrive, Dropbox oder Ähnliche wurden verwendet	Änderungen können zurückgesetzt werden	Hängt von Tarifen und Versionsspeicherzeit ab
Professionelles Labor	Daten sind kritisch, Situation ist komplex	Tiefenanalyse und sichere Arbeit mit dem Speichermedium	Benötigt Zeit und Budget

Im Folgenden werden wir diese Optionen genauer untersuchen.

Wiederherstellung aus Backups

Wenn Sie ein aktuelles Backup haben, ist dies das beste Szenario. Aber vor der Wiederherstellung ist es wichtig, sicherzustellen, dass das Backup vor der Infektion erstellt wurde und keine schädlichen Dateien enthält.

Richtige Vorgehensweise:

1. Säubern oder installieren Sie das infizierte System neu.
2. Schließen Sie die Schwachstelle, durch die der Angriff erfolgte.
3. Überprüfen Sie das Backup mit einem Antivirusprogramm und EDR-Mitteln, falls vorhanden.
4. Stellen Sie die Daten in einer isolierten Umgebung wieder her.
5. Überprüfen Sie die Integrität der Dokumente, Datenbanken und Anwendungen.
6. Nur dann die System wieder ins Arbeitsnetzwerk zurückgeben.

Für Unternehmen ist es besonders wichtig, den Server nicht in die alte kompromittierte Infrastruktur wiederherzustellen. Wenn Angreifer den Zugang erhalten haben, kann die Verschlüsselung erneut auftreten.

Welche Backups als sicher gelten

Die widerstandsfähigste Option ist die 3-2-1-Regel:

• 3 Kopien der Daten;
• 2 verschiedene Arten von Speichermedien oder -speichern;
• 1 Kopie außerhalb des Hauptnetzwerks oder in unveränderlichem Speicher.

Offline-Backups, WORM-Speicher, unveränderliche Snapshots, separate Konten für das Backup-System und regelmäßige Wiederherstellungstests sind besonders hilfreich. Es ist wichtig, nicht nur Kopien zu erstellen, sondern auch zu überprüfen, dass von ihnen tatsächlich wiederhergestellt werden kann.

Entschlüssler für Ransomware

Manchmal finden Fachleute Fehler in der Implementierung der Verschlüsselung, erhalten Schlüssel nach Festnahmen von Gruppierungen oder veröffentlichen kostenlose Tools. Dann ist eine Wiederherstellung ohne Zahlung des Lösegeldes möglich.

Allerdings funktionieren Entschlüssler nur für bestimmte Familien und Versionen. Ist das Tool für eine bestimmte Variante von Ransomware gedacht, wird es die Dateien einer anderen nicht entschlüsseln. Im schlimmsten Fall kann es die Kopien beschädigen, wenn es falsch verwendet wird.

Vor der Ausführung eines Entschlüsslers:

• Erstellen Sie eine Kopie der verschlüsselten Daten;
• Lesen Sie die Anleitung des Herstellers;
• Überprüfen Sie die digitale Signatur oder die Quelle des Downloads;
• Verwenden Sie einen Testordner;
• Speichern Sie einen Bericht über das Ergebnis.

Wenn der Entschlüssler um das Hochladen privater Dokumente auf eine unbekannte Website bittet, sollten Sie besser anhalten. Sichere Tools werden normalerweise von bekannten Organisationen veröffentlicht und verfügen über verständliche Dokumentation.

Schattenkopien, Dateiversionen und Wiederherstellungspunkte

In Windows können Schattenkopien des Volumes, die Datei-Historie und frühere Versionen helfen. Sie ermöglichen es, eine Datei oder einen Ordner auf den Zustand vor der Verschlüsselung zurückzusetzen. Aber viele moderne Ransomware-Viren versuchen, Schattenkopien mit einem Befehl wie vssadmin delete shadows zu entfernen.

Auf frühere Versionen können Sie folgendermaßen zugreifen:

1. Öffnen Sie die Eigenschaften des Ordners oder der Datei.
2. Gehen Sie zur Registerkarte "Frühere Versionen".
3. Wählen Sie ein Datum vor dem Angriff.
4. Kopieren Sie die Daten an einen sicheren Ort.
5. Überprüfen Sie das Ergebnis.

Wenn die Standardoberfläche nichts anzeigt, helfen manchmal spezialisierte Tools zur Anzeige von Schattenkopien. Diese sollten jedoch auf einem separaten, sauberen Computer installiert werden oder mit einem Abbild der Festplatte gearbeitet werden.

In macOS kann Time Machine eine ähnliche Rolle spielen. In Linux sind es Btrfs-, ZFS-, LVM-Snapshots oder Backups über rsync, Borg, Restic und andere Systeme. Das Prinzip bleibt gleich: Es braucht einen Snapshot vor dem Verschlüsselungszeitpunkt.

Wiederherstellung gelöschter Originaldateien

Einige Ransomware-Viren erstellen eine verschlüsselte Kopie der Datei und löschen das Original. In solch einem Fall kann man versuchen, Teile der Originaldateien als gelöschte Dateien wiederherzustellen. Die Chancen hängen davon ab, ob die entsprechenden Bereiche der Festplatte überschrieben wurden.

Diese Methode ist besonders empfindlich gegenüber Benutzeraktionen. Je mehr Sie nach dem Angriff auf der Festplatte arbeiten, desto geringer ist die Wahrscheinlichkeit des Erfolgs. Daher ist es wichtig, sofort das Schreiben auf das Medium zu stoppen und ein Abbild zu erstellen.

Empfehlungen:

• Installieren Sie keine Wiederherstellungsprogramme auf der infizierten Festplatte;
• Speichern Sie gefundene Dateien nicht auf demselben Medium;
• Erstellen Sie zuerst ein Abbild, dann arbeiten Sie mit der Kopie;
• Verwenden Sie den Nur-Lese-Modus, wenn möglich;
• Überprüfen Sie die wiederhergestellten Dateien auf Integrität.

Die Methode liefert in der Regel nur teilweise Ergebnisse. Sie kann Fotos, Dokumente, Archive oder einzelne Datenbanken wiederherstellen, garantiert jedoch nicht die vollständige Wiederherstellung der Ordnerstruktur.

Cloud-Speicher und Synchronisation

Wenn die Dateien mit der Cloud synchronisiert wurden, könnte die Ransomware bereits verschlüsselte Versionen dorthin gesendet haben. Viele Cloud-Dienste speichern jedoch eine Historie der Änderungen. Daher können einzelne Dokumente, Ordner oder das gesamte Konto auf den Zeitpunkt vor dem Angriff zurückgesetzt werden.

Überprüfen Sie:

• die Versionierungshistorie der Dateien;
• den Papierkorb des Cloud-Dienstes;
• die Funktion zur massenhaften Wiederherstellung nach ransomware;
• Aktivitätsprotokolle;
• verbundene Geräte und Anwendungen;
• Zugriffe von Drittbenutzern.

Nach der Wiederherstellung sollten Sie unbedingt das Passwort ändern, die Zwei-Faktor-Authentifizierung aktivieren und unbekannte Sitzungen schließen. Andernfalls können Angreifer erneut Zugriff erhalten.

Wann professionelle Hilfe benötigt wird

Ein Private Nutzer kann das Backup, Schattenkopien und offizielle Entschlüssler selbst überprüfen. In einigen Fällen ist es jedoch besser, sofort Fachleute zu Rate zu ziehen.

Professionelle Hilfe wird benötigt, wenn:

• Buchhaltungsdaten, CRM, ERP oder medizinische Daten verschlüsselt sind;
• Server, Active Directory-Domänen, NAS oder virtuelle Infrastrukturen angegriffen wurden;
• keine Backups vorhanden sind;
• das Medium physisch beschädigt ist;
• Beweise für eine Untersuchung gesichert werden müssen;
• es ein Risiko für den Verlust personenbezogener Daten gibt;
• Angreifer weiterhin Zugriff auf das Netzwerk haben;
• der Geschäftsbetrieb mit minimalen Ausfallzeiten wiederhergestellt werden muss.

Spezialisten erstellen zunächst Kopien der Speichermedien, analysieren die Malware, überprüfen Protokolle, suchen nach dem Einstiegspunkt und bewerten mögliche Wiederherstellungsoptionen. Dieser Ansatz ist sicherer als chaotische Versuche, Dateien zurückzubekommen.

Wie man überprüft, dass das System gereinigt ist

Es reicht nicht aus, Dateien wiederherzustellen. Man muss sicherstellen, dass die Ransomware entfernt wurde und der Zugang geschlossen ist. Ansonsten kann der Angriff erneut auftreten.

Mindestens Checkliste:

1. Aktualisieren Sie das Betriebssystem und alle kritischen Anwendungen.
2. Löschen Sie unbekannte Konten.
3. Ändern Sie Passwörter, insbesondere von Administratoren.
4. Aktivieren Sie die Zwei-Faktor-Authentifizierung.
5. Überprüfen Sie den Autostart, Dienste und den Taskplaner.
6. Analysieren Sie RDP, VPN, E-Mail-Gateways und Anmeldeprotokolle.
7. Scannen Sie das System mit einem zuverlässigen Antivirenprogramm oder EDR.
8. Überprüfen Sie Netzwerkordner und Backup-Speicher.
9. Beschränken Sie die Benutzerrechte nach dem Prinzip der minimalen Berechtigungen.
10. Richten Sie die Überwachung verdächtiger Aktivitäten ein.

Für Unternehmen ist es nützlich, die Incident-Analyse durchzuführen. Sie sollte drei Fragen beantworten: Wie sind die Angreifer eingedrungen, was haben sie rechtzeitig getan und welche Maßnahmen werden eine Wiederholung ausschließen?

Wie man sich vor erneuter Verschlüsselung schützt

Prävention ist günstiger als Wiederherstellung. Selbst wenn es gelingt, die Daten zurückzubekommen, sollte die Sicherheit überprüft werden.

Regelmäßige Backups

Richten Sie regelmäßige Kopien wichtiger Daten ein. Halten Sie mindestens eine Kopie außerhalb des Hauptnetzwerks. Verwenden Sie separate Konten für den Zugriff auf Backups. Führen Sie regelmäßig Testwiederherstellungen durch.

Updates und Schwachstellen

Veraltete Systeme und Programme werden oft zu Angriffspunkten. Aktualisieren Sie Windows, Linux, macOS, Büropakete, Browser, VPN-Gateways, Hypervisoren und Netzwerksysteme. Für Unternehmen ist der Prozess des Schwachstellenmanagements wichtig.

Schutz des Remote-Zugriffs

Wenn RDP verwendet wird, öffnen Sie es nicht direkt im Internet. Verwenden Sie VPN, MFA, IP-Beschränkungen, komplexe Passwörter, Sperrung von Bruteforce-Angriffen und Anmeldeprotokollierung. Der Remote-Zugriff sollte für den Administrator sichtbar sein und nicht „für sich allein leben".

Benutzerrechte

Ein Benutzer, der mit Administratorrechten arbeitet, erhöht den Schaden durch einen Angriff. Trennen Sie normale und administrative Konten. Gewähren Sie keinen Zugriff auf Netzwerkordner "nur für den Fall".

Schulung der Mitarbeiter

Phishing-E-Mails bleiben eine verbreitete Infektionsmethode. Erklären Sie den Mitarbeitern, wie sie Absender, Anhänge, Links und Anfragen nach dringenden Zahlungen überprüfen können. Je eher jemand eine verdächtige E-Mail bemerkt, desto geringer ist das Risiko eines Vorfalls.

Netzwerksegmentierung

Nicht alle Geräte sollten einander sehen können. Trennen Sie Arbeitsstationen, Server, Backup-Speicher, Kameras, gastfreundliches Wi-Fi und kritische Systeme. Dann führt die Infektion eines Computers nicht automatisch zur Verschlüsselung des gesamten Netzwerks.

FAQ zur Wiederherstellung nach einer Ransomware

Kann man Dateien nach einem Ransomware-Virus ohne Lösegeld zurückbekommen?

Ja, manchmal kann man das. Die realistischsten Optionen sind ein sauberes Backup, ein offizieller Entschlüssler, Schattenkopien, Cloud-Versionen von Dateien oder die Wiederherstellung gelöschter Originals. Wenn nichts davon vorhanden ist, hängen die Chancen vom spezifischen Ransomware-Virus ab.

Sollte man Lösegeld für die Entschlüsselung der Daten zahlen?

Zahlen ist riskant. Die Angreifer könnten keinen Schlüssel schicken, ein nicht funktionierendes Tool schicken oder mehr Geld verlangen. Darüber hinaus beseitigt die Zahlung nicht die Schwachstelle, durch die der Angriff letztlich stattfand.

Hilft das Umbenennen von Dateien, den Zugriff zurückzubekommen?

Fast nie. Eine neue Erweiterung ist normalerweise nur ein äußeres Zeichen. Der Inhalt der Datei bleibt verschlüsselt. Eine Umbenennung könnte die Analyse behindern, daher sollten die originalen Namen besser aufbewahrt werden.

Kann man Antiviren-Software zur Entschlüsselung von Dateien verwenden?

Antiviren-Software kann das schädliche Programm entfernen und weitere Infektionen stoppen, entschlüsselt jedoch normalerweise nicht bereits beschädigte Dateien. Zum Entschlüsseln ist der passende Entschlüssler oder ein Backup erforderlich.

Warum sollte man die Festplatte nicht sofort formatieren?

Das Formatieren löscht Teile der Informationen, die für die Wiederherstellung benötigt werden könnten: gelöschte Originals, Schattenkopien, Ereignisprotokolle und Spuren des schädlichen Programms. Am besten ist es zunächst, ein Abbild der Festplatte zu erstellen und eine Analyse durchzuführen.

Wie erkennt man, dass das Backup nicht infiziert ist?

Überprüfen Sie das Erstellungsdatum, die Protokolle des Backup-Systems, die Integrität der Dateien und die Ergebnisse des Virenscannings. Es ist besser, Daten zuerst in einer isolierten Umgebung wiederherzustellen und nicht sofort ins Arbeitsnetzwerk zurückzubringen.

Was tun, wenn Dateien auf einem NAS verschlüsselt sind?

Trennen Sie das NAS vom Netzwerk, überschreiben Sie keine Daten und überprüfen Sie die Snapshots, den Papierkorb, die Versionen der Dateien und die Backups. Wenn das NAS über SMB von einem infizierten Computer zugänglich war, muss auch dieser Computer gereinigt und Passwörter geändert werden.

Kurze Checkliste zur Wiederherstellung

Verwenden Sie diese Liste als Orientierung:

1. Isolieren Sie das infizierte Gerät vom Netzwerk.
2. Sichern Sie die verschlüsselten Dateien und die Lösegeldnotiz.
3. Erstellen Sie eine Kopie der Festplatte oder wichtiger Daten.
4. Bestimmen Sie die Familie der Ransomware.
5. Überprüfen Sie das Vorhandensein eines offiziellen Entschlüsslers.
6. Überprüfen Sie Backups, Schattenkopien und Cloud-Versionen.
7. Stellen Sie Daten nur in eine saubere Umgebung wieder her.
8. Beseitigen Sie die Ursache der Infektion.
9. Ändern Sie Passwörter und aktivieren Sie MFA.
10. Richten Sie für die Zukunft eine sichere Backup-Lösung ein.

Fazit

Die Wiederherstellung von Daten nach einem Ransomware-Virus erfordert einen ruhigen und systematischen Ansatz. Stoppen Sie zunächst die Verbreitung, sichern Sie Beweise und Kopien und überprüfen Sie dann Backups, Entschlüssler, Schattenkopien und Cloud-Versionen. Zahlen Sie kein Lösegeld und führen Sie keine fragwürdigen Programme aus. Wenn die Daten wichtig sind oder das Unternehmensnetzwerk infiziert ist, wenden Sie sich so früh wie möglich an Fachleute: Das wird die Chancen auf eine Wiederherstellung erhöhen und helfen, die Schwachstelle vor einem erneuten Angriff zu schließen.