Hallöchen.

Habe auf der Seite (Wiederherstellung der verschlüsselten Dateien nach Trojan.Encoder) alles so gemacht und läuft auch durch, allerdings werden keine Dateien Wiederhergestellt.

hxxp://www.fotos-hochladen.net/uploads/unbenannt1swzporfc7.jpg

Wie zu sehen, waren es mal alles PDF-Dateien. Bei wir war es ein Anhang in der E-Mail, das ich was gekauft hatte.
Nach Neustarten war Rechner durch Bild und Eingabe von Codes für Zahlung gesperrt.

So ging ich vor, um das zu beseitigen:

Daran zu Erkennen, das sich dieser immer unter: Windows 7 unter: C:\Users\Username\AppData\Roaming was ja dann unter Speicherort zu sehen ist.


...
Achtung! Der Bösewicht nennt sich jedes mal anders. Aber zu sehen im Systemstart, da er sich ja nur an diesen Tag Installiert hat.


...
Was wichtig ist,unter Start im Suchfenster eingeben: msconfig und dann Enter. Im neuen Fenster dann beim Reiter "Systemstart" diese Datei suchen: 783BE9DE Hacken entfernen und dann System neu Starten. So, das ding Speichert sich unter Windows 7 unter: C:\Users\Username\AppData\Roaming\Jfecaynxif. Diesen Löschen. Fertig!

Erst jetzt gemerkt, das seit dem PDF-Dateien und Bilder auf Desktop verschlüsselt sind und habe es mit dieser Anleitung versucht, aber es läuft durch, ändert aber nichts.
Zur Zeit läuft: Malwarebytes Anti-Malware durch, aber bis jetzt nichts gefunden.
Ach ja, wenn ich: Avira Ransom File Unlocker anklicke, stürzt Rechner ab und erzählt mir, das keine HDD da ist. Zwangsrunterfahren und neustarten reichte aus, habe das sofort gelöscht. Habe aber Windoof 7.

Wer weiß weiter? Die Forumsuche bringt mich ja nur hier her.

Danke für die Hilfe.
GLG........Diebaer

Hallo,

Ich habe eben festgestellt, das ich auch mit meinem kleinen Netzwerk nicht von nem Anderen nicht infizierten Rechner auf diesen zugreifen kann.

Der Trojaner verändert anscheinend auch Daten im Windows.

Soll ich mal 2 Dateien per Mail senden in original und Locked?

So, habe ja nun getestet.

Das Problem, es wird immer eine Original Datei verlangt und die gleiche als verschlüsselt. Nur habe ich keine Originalen Dateien, den es wurden ja alle verschlüsselt.

Was kann man da machen???

Guckst Du mal hier ( http://www.trojaner-board.de/114115-...tml#post820441 )

LG

make_fun

So, habe doch noch eine Originale Datei gefunden und somit konnten Daten wiederhergestellt werden.

hatte auch suchen lassen mit: Malwarebytes

Hier die Logdatei bzw. der Bericht:

Malwarebytes Anti-Malware (Test) 1.61.0.1400
www.malwarebytes.org

Datenbank Version: v2012.05.07.01

Windows 7 Service Pack 1 x64 NTFS
Internet Explorer 9.0.8112.16421
Baerchy :: BAERCHY-HP [Administrator]

Schutz: Aktiviert

07.05.2012 12:44:34
mbam-log-2012-05-07 (12-44-34).txt

Art des Suchlaufs: Vollständiger Suchlauf
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 472971
Laufzeit: 2 Stunde(n), 51 Minute(n), 54 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 14
HKCR\Typelib\{B035BA6B-57CD-4F72-B545-65BE465FCAF6} (Adware.ShoppingReport2) -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKCR\Typelib\{D44FD6F0-9746-484E-B5C4-C66688393872} (Adware.ShoppingReport2) -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKCR\Interface\{0EB3F101-224A-4B2B-9E5B-DF720857529C} (Adware.ShoppingReport2) -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{A078F691-9C07-4AF2-BF43-35E79EECF8B7} (Adware.Softomate) -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKCR\ShoppingReport2.HbAx (Adware.ShopperReports) -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKCR\ShoppingReport2.HbAx.1 (Adware.ShopperReports) -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKCR\ShoppingReport2.HbInfoBand (Adware.ShopperReports) -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKCR\ShoppingReport2.HbInfoBand.1 (Adware.ShopperReports) -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKCR\ShoppingReport2.IEButton (Adware.ShopperReports) -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKCR\ShoppingReport2.IEButton.1 (Adware.ShopperReports) -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKCR\ShoppingReport2.IEButtonA (Adware.ShopperReports) -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKCR\ShoppingReport2.IEButtonA.1 (Adware.ShopperReports) -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKCR\ShoppingReport2.RprtCtrl (Adware.ShopperReports) -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKCR\ShoppingReport2.RprtCtrl.1 (Adware.ShopperReports) -> Erfolgreich gelöscht und in Quarantäne gestellt.

Infizierte Registrierungswerte: 4
HKCU\SOFTWARE\Microsoft\Internet Explorer\Extensions\CmdMapping\{EB620C54-E229-4942-87CE-E717109FC8C6} (Adware.ShoppingReport2) -> Daten: -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKCU\SOFTWARE\Microsoft\Internet Explorer\Extensions\CmdMapping|{EB620C54-E229-4942-87CE-E717109FC8C6} (Adware.ShoppingReport2) -> Daten: 1 -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKCU\SOFTWARE\Microsoft\Internet Explorer\Extensions\CmdMapping\{DB38E21A-0133-419d-92AD-ECDFD5244D6D} (Adware.ShoppingReport2) -> Daten: -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKCU\SOFTWARE\Microsoft\Internet Explorer\Extensions\CmdMapping|{DB38E21A-0133-419d-92AD-ECDFD5244D6D} (Adware.ShoppingReport2) -> Daten: 2 -> Erfolgreich gelöscht und in Quarantäne gestellt.

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 0
(Keine bösartigen Objekte gefunden)

(Ende)

hier ist nicht das forum für logfiles, die werden bitte in extra themen gepostet, danke

Hallo,


ich hatte das PRoblem auch. Ist mitlerweile alles wieder gut, dank eurer Hilfe.
Habe aber gerade ein Interesantes Video gesehn welches sich mit dieser PRoblematik befasst. Es ist kein allheilmittel, jedoch für die kommenden Varianten vieleicht ganz nützlich um sich dagegen ein wenig zu schützen. Den Trojaner kann man sich immernoch einfangen, allerdings wird durch eintragen folgenden Daten in die Host-Datei das landen der Schadsoftware mit der anschliesenden Verschlüsselung der Daten verhindert.
Eintragen muß man folgenden:
127.0.0.1 qoa-a.com
127.0.0.1 horad-fo.com
127.0.0.1 spatbe-w.com
127.0.0.1 dns.msftncsi.com
127.0.0.1 msftncsi.com

Zu sehen ist das ganze unter: Video

Ich hoffe ein wenig helfen zu können, denn ein versehentliches erneutes öfnen einer solchen Datei ist nicht ausgeschloßen :-)

nur solange sie die server nicht wechseln klappt das.
das nur als anmerkung, und bei malware ist damit zu rechnen :-)

Hat schon jemand eine Entschlüsselungs-Lösung für die neue matsnu1 Variante gefunden?

Zitat von carpe--diem

Hat schon jemand eine Entschlüsselungs-Lösung für die neue matsnu1 Variante gefunden?

Bisher nicht,

Markusg braucht eine Original E-Mail in der der Auslöser-Anhang noch drin ist.
Hier noch einmal seine Adresse: http://markusg.trojaner-board.de

Gruß

Hy, sitz grad am rechner meiner Mutter, die leider diese dubiose rechnung geöffnet hat, soweit sieht alles ganz gut aus. Die meisten Dateien(eigentlich alle)wurden Fehlerfrei wiederhergestellt. Habe nun aber noch folgendes Prob:
Wenn ich MSOOutlook2007 öffne möchte dieser ein Kennwort,Wie behebt man das?
Danke im Voraus
J3ss3

hatt sie denn ein kennwort festgelegt? ist das ne abfrage von outlook oder eine abfrage des mail kontos?

hallo, habe mir ebenfalls einen Verschlüsselungstrojaner eingefangen. laut virenscanner handelt es sich um den win32/watsnu.c, (microsoft engine) der laut google seit dem 04.05.12 unterwegs ist. Habe das System schon gebügelt und neu aufgesetzt.(Habe natürlich vorher ein Snapshot gemacht) Leider ist das Backup mit den unverschlüsselten Daten einen Monat alt. Gibt es schon neuere Encrypter? Freue mich auf jede Antwort.

Sie hatte nie ein Kennwort festgelegt, das is ne Abfrage von Outlook, scheint um die Persönlichen Ordner zu gehen, kann leider nur mit abrechen weiter danach schließt sich outlook. Es geht nicht um das Kennwort vom EMail-Konto zum abrufen der Mails.

Schliesst sich dann mit in etwa folgender Meldung: outlook 2007 kann nicht getartet werden... fenster kann nicht geöffnet.. ordnergruppe kann nicht geöffnet werden, server steht nicht zur verfügung, wenn Problem fortbesteht, wenden sie sich an Administrator.

Handelt es sich um Outlook oder Outlook Express ?
Wenn Outlook, hast du schon versucht die Outlook.pst mit Scanpst.exe zu reparieren ?
Oder wenn das nicht funktioniert die alte *.pst umbenennen und eine neue Outlook.pst (rechtsklick neu persönliche Ordner-Datei) am gleichen Ort erstellen. Danach versuchen die alte *.pst über Datei Import/Export wieder mit einzubinden.
gruß HPS