Daten retten nach Verschlüsselung durch Verschlüsselungstrojaner

Entschlüsselung ist unwahrscheinlich: Delphi-PRAXiS - Einzelnen Beitrag anzeigen - Verschlüsselungs-Trojaner, Hilfe benötigt

Eine vollständige Entschlüsselung wäre nur möglich, wenn der sog. C&C-Server sichergestellt und analysiert werden könnte. Die Erfolgschance ist jedoch niedrig.

1. Wichtig: Bitte zuerst testen, ob lediglich der Dateiname geändert wurde. Dabei einer Bilddatei die entsprechende Dateiendung zuweisen (z.B.: .jpg) und danach versuchen zu öffnen. Wenn es klappt: Glück gehabt! Tipp um viele Dateien auf einmal umzubenennen: Filenamechange

2. Bei Locked-Versionen (locked-<DATEINAME>.<ENDUNG>.wxyz) testen, ob Entschlüsselungstools funktionieren: Übersicht der 8 Entschlüsselungs-Tools

3. Testen ob eine Schattenkopien vorhanden ist: http://www.trojaner-board.de/117661-...erstellen.html

4. Shadowexplorer testen: http://www.trojaner-board.de/115496-...erstellen.html. Video: klick

5. Falls es eine Fehlermeldung beim Öffnen gab (1.), wurde auch der Header-Bereich der jeweiligen Datei unbrauchbar gemacht. Daher müssen die sogenannten Header der Datei (soweit überhaupt möglich) wiederhergestellt werden, falls keine Schattenkopie vorliegt (2.).

Hilfestellung beim Wiederherstellen der jeweiligen Formate:


MP3
Hier reicht in den meisten Fällen eine Umbenennung der Datei und Zuweisung der Dateierweiterung .mp3. Um viele Dateien auf einmal umzubenennen: Filenamechange


JPG
JPEG-Bilddateien: JPGSnoop


PST
http://www.trojaner-board.de/115551-...tml#post831730
Dateien von Outlook: Outlook 2010 PST-Datei mit ScanPST.exe reparieren [Updated]

Outlok Express 6: http://www.trojaner-board.de/115551-...tml#post842724

Mozilla Thunderbird: http://www.trojaner-board.de/115551-...tml#post831730


DOC, XLS, PPT
Office-Dateien: So reparieren Sie beschädigte Word-Dokumente

Recover for Office


PDF
PDF-Dateien: Recoverx Toolbox




Weiterführendes:
http://www.trojaner-board.de/115678-...r-backups.html
http://www.trojaner-board.de/51262-a...sicherung.html
http://www.trojaner-board.de/82533-d...ted-magic.html
http://www.trojaner-board.de/82962-w...en-backup.html

Hinweise und Fragen zu diesen Hilfestellungen bitte hier posten: http://www.trojaner-board.de/117921-...tml#post851418
______________________________________





Locked
Bei Dateien nach dem Muster: locked-<DATEINAME>.<ENDUNG>.wxyz
seid ihr hier höchstwahrscheinlich falsch. Schaut mal bei http://www.trojaner-board.de/114783-...ubersicht.html


12KB Variante des Windows Verschlüsselungstrojaners

Wenn eure Dateien in Buchstabensalat (z. B. "dEwUdmxDeiPZy") umbenannt wurden und keine Dateiendungen mehr haben, dann seid ihr bei dieser Anleitung genau richtig. Falls die Dateinamen unverändert sind, könnt ihr, wie hier beschrieben, überprüfen, ob ihr von der 12 KiB Variante betroffen seid: Daten wiederherstellen bei der 12KB-Variante des Verschlüsselungstrojaners

Unter folgendem Link, in der unteren Hälfte des Posts findet ihr zudem eine Einführung zu dieser Anleitung:
Einführung


Schattenkopien
Bei Windows 7, Vista und in seltenen Fällen auch unter XP gibt es evtl. eine Schattenkopie der Dateien:
Vorgängerversionen von Dateien aus Schattenkopien wiederherstellen

Probiert also den Shadow Explorer definitiv aus.


Allgemeine Hilfe
Lest bitte zuerst diesen Post durch:
http://www.trojaner-board.de/116851-...strojaner.html

Vor allem die Tipps für PST-Dateien(Outlook), Thunderbird und Filenamechange!




Ansonsten müssen wir einiges tiefer in die Trickkiste greifen:

Datenwiederherstellungtools
Im Internet gibt es einige Datenwiederherstellungstools. Diese durchsuchen die Festplatte nach gelöschten Dateien und Dateibruchstücken im "freien" Festplattenspeicher. Mit ein bisschen Glück, überschrieb der Virus die betroffenen Dateien nicht in situ, d.h. am gleichen physikalischen Ort auf der Festplatte, oder es existieren noch wiederherstellbare (aber gelöschte) Vorversionen, da die Datei an mehreren physikalischen Orten auf der Festplatte zwischengespeichert wurde. (i.d.R. bei häufig veränderten Dokumenten).

Die Datenwiederherstellungstools können (mit viel Glück) auch nach einer Windows-Neuinstallation noch alte Dateien auf der Festplatte ausfindig machen, allerdings stehen die Chancen dann einiges schlechter.


Vorgehen bei Recuva (Recuva - Download - Filepony)
- Dateiauswahl: Alle Dateien auswählen
- ganzer Computer auswählen (bzw. alle vom Virus betroffenen Laufwerke)
- Tiefenscan (je nach Festplatte kann das mehr als 1 Stunde dauern)
- oben rechts "Erweiterte Einstellungen" anklicken
- alle Dateien auswählen, die NICHT AUSGESCHLOSSEN werden können, auch wenn diese als defekt angezeigt werden.
- die ausgewählten Dateien nun auf einem, nicht vom Virus betroffenen Laufwerk speichern

Bei Dateien, die keine Fehler enthalten, ist die Wiederherstellung nun abgeschlossen.

Die wiederhergestellten, aber defekten Dateien (ich nenne sie ab jetzt exportierte Dateien) können uns nun bei der Wiederherstellung der vom Virus zerstörten Dateien helfen. Falls diese exportierten Dateien die kompletten, intakten, ersten 12KB einer verschlüsselten Datei enthalten, können wir nämlich die Originaldatei somit wiederherstellen. Vor allem in diesem Fall hilft mein Header-Ersetz-Programm frep weiter. (siehe Absatz zu meinem Programm)


Weitere kostenpflichtige Datenwiederherstellungsprogramme:
R-Studio http://www.chip.de/downloads/R-Studio_31297696.html
R-Studio-Homepage Datenrettung | R-Studio 6.1 Deutsch | Software zur Datenrettung unter Windows, MacOS, Linux
O&O DiskRecovery http://www.chip.de/downloads/O-O-Dis..._49200074.html
O&O DiskRecovery Homepage O&O MediaRecovery



Datei Header provisorisch reparieren (frep)
Mein selbst programmiertes Header-Ersetz-Programm frep macht eine Kopie der verschlüsselten Datei für jede Referenz-Datei und ersetzt einen Teil der Datei (in unserem Fall die ersten 12KB) mit dem entsprechenden Teil aus den Referenz-Dateien. D.h. es werden pro verschlüsselte Datei soviele Kopien erstellt, wie Referenz-Dateien vorhanden sind. Achtet deshalb auf den Festplattenspeicherverbrauch der (entstehenden) Dateien.

Immens wichtig ist hierbei, dass die Referenz-Dateien möglichst ähnlich zu den Originaldateien sind. Je ähnlicher die bearbeiteten Dateien zum Original sind, desto eher kann die beschädigte Datei nachher wieder geöffnet oder durch ein spezialisiertes Reparatur-Programm repariert werden.

Jede Einstellung in Software (z.B. Bildbearbeitungsprogramm zum Nachbearbeiten von Fotos) oder Hardware (z.B. Foto-/Video-Kamera) kann eine grosse Auswirkung auf die ersten 12KB haben. Dies geht sogar soweit, dass z.B. Farbeigenheiten des Bildes eine Rolle spielen können. Die Gleichheit zwischen der bearbeiteten Datei und der Original-Datei wird man wohl kaum erreichen, ausser man hatte das Glück, das entsprechende Bruchstück auf der Festplatte zu finden. (siehe Abschnitt Datenwiederherstellungtools oben)

Daher ist es sehr wichtig beim Produzieren von Referenz-Dateien, die gleichen Einstellungen wie damals zu verwenden. War die Kamera auf "Automatisch", so kann man versuchen viele möglichst unterschiedliche Bilder in diesem Modus zu machen oder man experimentiert mit vielen verschiedenen manuellen Einstellungskombinationen. Hier ist eindeutig Ausprobieren angesagt, was bei einem selbst am besten funktioniert.

Natürlich kann man auch intakte Original-Dateien aus einem Backup als Referenz-Dateien nehmen. (falls vorhanden)



Erklärungen zu den Parametern in meinem Programm:
Start - Ersetzung beginnend mit diesem Byte (das erste Byte in der Datei hat die Nummer 1)

Ende - Ersetzung bis und mit diesem Byte

Start der Ersetzung mit dem Bytemuster - Erstes Byte, bei dem die Ersetzung mit dem Bytemuster erfolgt/erfolgen würde

Bytemuster - 8 Byte (64 bit) lange Zahl, die anstelle der Referenz-Datei genommen werden kann, eingegeben als Dezimalzahl. (Höchstwertiges Byte erscheint zuerst in der Ausgabedatei)

Ordner - Ordnerpfad zu einem Ordner, der die zu bearbeitenden Dateien enthält. (Es werden keine Unterordner bearbeitet!)

Beispiel:
Start 1, Ende 7
gefüllt ab Byte 5 mit Bytemuster 1048576 (= Hexadezimal 0x0000000000100000)
Ordner: C:\zu bearbeitende Dateien
 
 
Byte Nr.:      1  2  3  4  5  6  7  8  9  10 ...
------------------------------------------------
Unbearbeitet:  DF 33 E3 38 C9 E3 80 3E 95 1B ...
Referenz:      FF D8 FF E1 29 7E 45 78 69 66 ...
Bearbeitet:    FF D8 FF E1 00 00 00 3E 95 1B ...
         

Zur Bedienung meines Programmes:
Nach dem Entpacken des Archivs befindet sich im gleichen Verzeichnis wie mein Programm Ordner mit dem Namen "Referenz-Dateien". Dorthin müssen alle Referenz-Dateien kopiert werden, die ihr für diesen Durchlauf benutzen möchtet.

Nach dem Start des Programms müsst ihr die folgenden Parameter eingeben. (Achtung: Diese gelten nur für die 12KB Variante des Verschlüsselungstrojaners, überprüft also zuerst, ob ihr wirklich die 12KB Verschlüsselungstrojanervariante habt oder fragt jemanden im Forum!)

Start der Ersetzung bei Byte (Minimum 1): 1
Ende der Ersetzung bei Byte (inklusive): 12288
Start der Ersetzung mit dem Bytemuster bei Byte (Minimum 1): 100000000
Das 8 Byte (64 bit) lange Bytemuster als Dezimalzahl (siehe Liesmich-Datei, Standardwert 0): 0
Geben Sie hier den Ordnerpfad an, in dem die zu bearbeitenden Dateien enthalten sind: C:\Pfad\zu\meinen defekten Dateien\
 
Beim letzten müsst ihr natürlich den Pfad zu eurem eigenen Ordner eingeben.
         

Das Programm findet ihr im Anhang oder kann unter frep und xt.zip (430,04 KB) - uploaded.to heruntergeladen werden.

Das Erstellen dieser Anleitung und das Programmieren der beiden Programme (frep und das Office-Extrahierungsprogramm xt), nahm über 100 Arbeitsstunden in Anspruch. Denkt also daran, wenn ihr mit ihnen einige eurer Daten retten könnt.

(Weitere Angaben dazu findet ihr im Archiv mit den Programmen im Referenz-Dateien-Ordner)



AVI/MPEG/DIVX
Falls der Header ungefähr wiederhergestellt worden ist (siehe Abschnitt weiter oben), ist DivFix++ vielleicht in der Lage den Index wiederherzustellen, sodass die Datei wieder abspielbar wird.

(Der Header gibt an, wie der Rest der Datei interpretiert werden muss und der Index, wo in der Datei die Einzelbilder/Frames und Tonspuren sind.)

DivFix++ DivFix++ Download

VLC kann den Index zur Wiedergabe ebenfalls wiederherstellen, allerdings bleibt die Datei selbst unverändert:
VLC VideoLAN - VLC: Official site - Free multimedia solutions for all OS!



MP3
MP3 Diags Download MP3 Diags from SourceForge.net

Macht eine Kopie aller Musik-Dateien in einen separaten Ordner. (Die Dateien selbst können auch in Unterordnern des separaten Ordners sein.)

Für alle die kein Englisch verstehen:
- Klickt in MP3 Diags auf das Zahnrad oben links und wählt den Ordner mit den Kopien an.
- Sobald alle Dateien geladen sind, könnt ihr auf den Hammer mit der Nummer 4 klicken.
- Falls wirklich eine Kopie der Musikdateien gemacht wurde, können die folgenden drei Meldungen mit OK bzw. YES beantwortet werden.
- Im nächsten Schritt versucht das Programm die gefundenen Fehler zu reparieren und überschreibt die Dateien. (Falls hier etwas schief geht, können die Dateien noch mehr beschädigt werden, deswegen ist die Kopie absolut nötig!)
- Wenn alles geklappt hat, sind nun alle Musikdateien wieder abspielbar.

Alternative Programme für die Reparatur:
MP3 Repair Tool 1.5 MP3 Repair Tool 1.5 downloaden... Freeware
MP3Val http://www.chip.de/news/MP3val-Freew..._26473682.html (funktioniert evtl. nicht mit unseren Dateien)


Der Virus hat die MP3-Tags(Titel, Künstler, Album,...) zerstört. Z.B. folgende Tools erlauben es, sie wieder zu setzen:
MP3Tag http://www.chip.de/downloads/Mp3tag_13001170.html
CDDB MP3 Tool CDDB MP3 Tool (PsychicMP3) Download - NETZWELT oder Download CDDB MP3 Tool 1.33 Free - CDDB MP3 Tool will treat a directory of MP3 files as an Audio CD and access a FreeDB to retrieve information about the MP3 files - Softpedia


Zudem könnte man bei wichtigen Musikstücken/Aufnahmen nun noch mit einem Audio-Bearbeitungsprogramm (z.B. Audacity) die Lieder zurechtschneiden, da der Trojaner den Liedanfang zerstört hat:
Audacity: Freier Audioeditor und Rekorder



Zip/docX/xlsX/pptX (Standardformate Office 2007, 2010)
Reparatur/Extrahieren mit:
Repair ZIP Repair Zip - Zip-File Repair Tool
ZIP Repair http://www.chip.de/downloads/DiskInt..._31279559.html

Diese Dateien müssen mit der Endung .zip (z.B. mit Hilfe von Filenamechange) versehen werden, damit man sie mit den oben genannten Programmen reparieren kann.
Anschliessend hat man wieder eine intakte ZIP-Datei, allerdings können die Dateien innerhalb der beschädigten, ersten 12KB nicht wiederhergestellt werden.

Bei ursprünglichen ZIP-Dateien ist man hier nun am Ende. Für Office-Dateien gehts noch weiter:
Falls die Reparatur der einzelnen Office-Dateibestandteile erfolgreich verlief, existieren nun folgende Dateien in den reparierten Archiven.

Word: Text in der Datei \word\document.xml und die Bilder unter \word\media\
Powerpoint: Bilder/Videos unter \ppt\media und Text unter \ppt\slides\slide<NR>.xml jeweils so formatiert <a:t>Hier steht der Text</a:t>
Excel: Eingegebene Zeichenketten/Text unter \xl\sharedStrings.xml, Numerische Werte und Formeln unter \xl\worksheets\sheet<NR>.xml

Infos zu den wichtigen Strukturen in der sheet<NR>.xml für eine Excel-Tabelle (um sie selbst zu rekonstruieren):
<c r="B3" s="0" t="s">
<v>4</v>
</c>
Erklärung: Die Zelle B3 enthält eine Zeichenkette (Typ: s) und diese ist die fünfte (4+1!) aus der sharedStrings.xml

<c r="B4" s="0" t="n">
<v>978</v>
</c>
Erklärung: Die Zelle B4 enthält die Zahl (Typ: n) 978

<c r="E4" s="0" t="n">
<f aca="false">AVERAGE(B4 : D4)</f>
<v>1900</v>
</c>
Erklärung: Die Zelle E4 enthält die Formel "AVERAGE(B4 : D4)" (englisch für Durchschnitt/Mittelwert) und ergibt den numerischen Wert 1900

Alternativ könnte man auch probieren die ZIP-Dateien wieder mit der Dateiendung .docx (o.ä.) zu versehen und sie mit Office (<- dies wird aber in der Regel nicht funktionieren) oder anderen Wiederherstellungstools für diese Art von Office-Dateien öffnen.



Bilder (JPEG)
Irfan View IrfanView - Freeware Graphic Viewer (Plugins ebenfalls installieren)

Ideal zum Batch-Umbenennen/-Bearbeiten von Bilddatein (inkl. Vorschau). Zudem bringt er einen Bilder-Explorer (IrfanView - Thumbnails) gleich mit.
Eignet sich auch gut, um die extrahierten Bilddateien aus den alten Office-Formaten (doc, xls, ppt, ...), siehe unten, wieder als einwandfreie Datei zu speichern.


JPEG Recovery Basic 5 (<-die Basic Version reicht hier aus) lieferte recht zuverlässige Ergebnisse, sofern keine essentiellen Bildinformationen (Farbwerte und -Kodierungen, Pixelpositionen in der Datei, etc.) in den ersten 12KB lagen. Dies ist aber bei einigen Kamera-Modellen der Fall. Am einfachsten ist es, die Testversion von Thank you for downloading JPEG Recovery Pro from CNET Download.com einfach mal bei den eigenen Dateien auszuprobieren.

siehe auch: http://www.trojaner-board.de/115551-...tml#post841900


JPEG Recovery Basic 5 kostet US$39.95, sonst gibt es nur eine eingeschränkte Testversion für 15 Tage mit Wasserzeichen auf den reparierten Dateien.
Offizielle Herstellerseite JPEG Recovery - Recover corrupted JPEG Picture after Data Recovery Processing

Workaround ohne Wasserzeichen für einzelne wichtige Dateien:
http://www.trojaner-board.de/115183-...tml#post840582
Das Umbenennen der defekten Dateien in "<Dateiname>.jpg" ist in unserem Fall für die Reparatur jedoch nötig, damit JPEG Recovery die Dateien richtig erkennt!

Download-Link für Demoversion: Thank you for downloading JPEG Recovery Pro from CNET Download.com


JPEGSnoop ist zwar nicht in erster Linie ein Wiederherstellungsprogramm, doch man kann es auf jeden Fall mit einer Kopie der (defekten) Original-Dateien ausprobieren. Häufig lässt sich das Originalbild damit zwar nicht retten, aber je nach Kamera/Software gibt es im hinteren Teil der Datei eine kleinere (unbeschädigte) Miniaturansicht/Vorschau.
JPEGSnoop http://www.trojaner-board.de/115551-...tml#post832087

Vorgehen: http://www.trojaner-board.de/115551-...tml#post847928



Zu guter letzt kann man es auch hier mit meinem Program frep probieren. Es müssen möglichst ähnliche, intakte Bilder als Referenz-Dateien herhalten. D.h. gleiche Kamera, gleiche Einstellungen, gleiche Software, möglichst ähnliche Belichtungs-/Farbverhältnisse. (letzteres damit die Automatik im Vergleich zum ursprünglichen Bild möglichst ähnliche Entscheidungen fällt.)

In einigen Fällen liess sich das Bild wieder normal öffnen, allerdings waren die Bildzeilen verschoben und das Bild verfärbt. Falls auch das Öffnen der bearbeiteten Dateien scheitert, kann jetzt unter Umständen JPEG Recovery etwas mit der Datei anfangen. Die oben genannten Veränderungen kann aber auch dieses Programm nicht reparieren. (gleiches gilt auch für die ggf. falschen Dateinamen)

Um einen schnellen Überblick zu erhalten, wie gut die bearbeiteten Dateien aussehen, ist "IrfanView - Thumbnails" hervorragend geeignet.


Bei wichtigen Bildern kann man an dieser Stelle noch mit einem Grafik-Bearbeitungsprogramm wie IrfanView (für kleinere Korrekturen) oder GIMP (umfangreicher) nachbearbeiten:
Download GTK+ and GIMP installers for Windows from SourceForge.net



doc/ppt/xls (Standardformat Office 97 - 2003)
Was bei den einzelnen Formaten ungefähr zu retten sein könnte:
doc: Rund eine Seite Fliess-Text ohne Zeilenumbrüche in Arial 10-12 ist bei Word-Dokumenten verloren. (Bei nur Text im Dokument)
ppt: Den Text wiederzubekommen sollte kein Problem sein.
xls: Beim Text sieht es gut aus, aber ein Auslesen von Zahlenwerten oder Zellangaben ist nicht möglich. (siehe Hinweis für andere Programmierer unten)


Bilder sollten bei allen Formaten extrahierbar sein, falls sie jpg/png/gif-Dateien sind und erst nach den ersten 12KB beginnen. Bei anderen Bildformaten müsste der Quelltext meines Extrahierungsprogramms leicht angepasst werden. (oder gegebenenfalls die Office-Datei richtig geparst werden, soweit dies ohne die ersten 12KB möglich ist.)


Zur Bedienung meines Office-Extrahierungs-Programms xt:
Markiert alle Office-Dateien (Standardformat Office 97-2003) und zieht sie auf das Programmsymbol meines Extrahierungsprogramms. xt erstellt dann für jede übergebene Datei eine Text-Datei "alter Dateiname.doc - Text.txt" und für gefundene Bilder z.B. "alter Dateiname.doc - Bild 1.png". (Achtung: Vorhandene Dateien mit solchen Namen werden ohne Warnung überschrieben!)

Auch dieses Programm befindet sich im Anhang oder kann unter frep und xt.zip (430,04 KB) - uploaded.to heruntergeladen werden.


Für Programmierer, die ein besseres Tool zum extrahieren von Bildern/Text aus Office Dateien (Format 97-2003) schreiben möchten:
Finding Graphics in a Binary Word .doc File
Finding Graphics in a Binary Word .doc File
Understanding the Word .doc Binary File Format

Zu Grunde gelegte Ideen beim Programm xt:
Text -> Text ausgeben sobald mehr als <ANZAHL> zusammenhängende druckbare Zeichen.
Bild -> Sobald Bilddatei-Anfang (Magic Number) gefunden extrahiere den Teil als Bilddatei, entferne Office-Interleaves (FDFF..00..[00{Ascii-Zeichen}]..FF) und schneide beim Bild-Ende oder später ab.



Hex-Editor für Windows
Wer interesse hat, kann selbst in seine doc/ppt/xls-Dateien reinschauen und sehen, was wirklich dort drin steht.
Aber Achtung: Kleinste Veränderungen an der Datei können die Datei ganz zerstören und für (Reparatur-)Programme unleserlich machen. Deshalb darf hier nur mit einer Kopie der (defekten) Original-Datei gearbeitet werden!

Ein Hex-Editor ist hilfreich, falls mein Text-Extrahierungs-Programm den gewünschten Text in einem wichtigen Dokument nicht erkannt/gefunden hat. (z.B. bei exotischen Schriftzeichen, also einer Nicht-ASCII-Kodierung)

Auch das binäre Bearbeiten einer Datei ist mit einem Hex-Editor möglich. Er hilft z.B. wenn man eine Bilddatei von Hand aus doc/ppt/xls-Dokumenten extrahieren möchte. (Das nötige Wissen über die binäre Darstellung der gesuchten Bilddatei natürlich vorausgesetzt.)

Hex-Editor MX http://www.chip.de/downloads/Hex-Edi..._30351843.html


Weitere Informationen zu den Programmen oder zur Wiederherstellung von anderen Formaten (insbesondere RAR-Archiven) findet ihr unter Daten wiederherstellen bei der 12KB-Variante des Verschlüsselungstrojaners. Fragen dazu könnt ihr ebenfalls dort posten.


Viel Erfolg bei der Wiederherstellung,
c4enigma

Hinweise und Fragen zu diesen Hilfestellungen bitte hier posten: http://www.trojaner-board.de/117921-...tml#post851418