Wiederherstellung der verschlüsselten Dateien (Rechnung.exe, Realtecdriver.exe Schadsoftware)

Microwave

Das ist soweit schon klar, dass er primär nach einschlägigen Dateierweiterungen sucht.
Jedoch müsste er ja zumindest wissen, ob es im Verzeichnis "X" ausser den Ordnern "A" und "B" noch einen weiteren Ordner "C" gibt, der Dateien mit "ge-blacklisteten" Erweiterungen enthalten könnte.
Das geht meiner Meinung nach nur über FindFirstFile/FindNextFile-Aufrufe, die dann irgendwann in NtQueryDirectoryFile münden, oder aber über direkten RAW-Lesezugriff (eher unwahrscheinlich) auf das zu durchsuchende Volume.
Und mein Ansatz war es halt, zu verändern, was Windows dem Trojaner zurückgibt, so dass Ordner B für diesen nicht mehr sichtbar wäre. Also kann er gar nicht erst den Versuch machen, den Ordner zu traversieren, weil er ja überhaupt nicht weiss, dass es diesen Ordner gibt.
Da der Ansatz nicht signaturbasiert ist, würde man auch gegen CryptoDefense und CryptorBit und Crypto-Schlagmichtot geschützt sein, wenn die Theorie aufgeht.


Grüsse - Microwave

Habe nun einen funktionierenden CryptoLocker gefunden und einige Versuche gemacht:
Wenn ich ihn einfach so laufen lasse, beginnt er nach dem nächsten Neustart damit, alle Dateien zu verschlüsseln. Das ganze ist übrigens kaum zu ignorieren, da plötzlich eine extreme Festplattenaktivität und eine höhere CPU-Auslastung vorhanden sind.
Der Vorgang ist recht fix, und nach 10min waren etwa 10GB durchsucht und je nach Endung verschlüsselt (interessant ist, dass JPG-Dateien mit nur genau 8.3-Namen verschlüsselt wurden?!).
Danach erschien ganz normal das CryptoLocker-Fenster, wo mir gezeigt wurde, welche Dateien verschlüsselt worden waren, und dass der Spass halt 400€/$ in Form von BitCoins (oder via MoneyPak) kosten würde. Auf dem Desktop wurde zudem ein Wallpaper hinterlassen, wie ich vorgehen müsse, wenn Antiviren-Software den CryptoLocker bereits gelöscht hätte.

Da der Trojaner laut Process Hacker auf die user32.dll angewiesen war, konnte ich bei einem neuen Versuch via AppInit_DLLs zur Startzeit des Trojaners eine DLL in ihn injizieren, die bei jeder Ordner-Anfrage geschaut hat, ob der Trojaner gerade ein Verzeichnis mit "cryptprv" im Namen öffnen möchte, um die Dateien darin zu scannen. Falls eine Anfrage diesen Namen enthielt, führte ich in der DLL absichtlich eine verbotene Operation durch und der Trojaner wurde von Windows beendet.
(Da es einen Hilfsprozess gibt, hat der den Trojaner natürlich wieder neu gestartet, dieser hat weitergemacht, wo er aufgehört hatte, es hat wieder eine Zugriffsverletzung gegeben, er ist wieder beendet worden, und das ganze hat sich von vorne wiederholt.)

Der zweite Versuch bestand dann darin, im Ordnerlisting des CryptoLockers bestimmte Einträge auszublenden.
So wusste der CL gar nicht erst, dass ein bestimmtes Verzeichnis existiert.

Beide Methoden haben wie erwartet 100%ig funktioniert. Alle Dateien in geschützten oder unsichtbaren Ordnern waren vollkommen intakt, während bestimmte Dateien ausserhalb der Ordner unbrauchbar gemacht worden waren.
Die Wirksamkeit ist natürlich unabhängig vom Startort des Trojaners (vgl. CryptoPrevent)
und unabhängig vom Vorhandensein eines Überwachungstreibers (GryptoGuard von HitmanPro.Alert).

Es kann also (zumindest heuer) auch ohne Backups oder Signaturerkennung funktionieren...

Hoffe, meine Erkenntnisse bringen euch etwas.


Grüsse - Microwave