Wiederherstellung der verschlüsselten Dateien (Rechnung.exe, Realtecdriver.exe Schadsoftware)

Undertaker

moin moin an alle, die sich mit einem Virus der Nach-locked-Variante infiziert haben.

Es bringt nichts, mit den Ranson-Tools zu experimentieren.
Wer es doch nicht lassen kann, experimentiere bitte mit Kopien.

Ich kann nur jedem empfehlen, sowohl die verschlüsselten Dateien, als auch den Dropper aufzuheben.
Es ist nicht auszuschließen, dass bereits im Dropper ein Teil des Schlüssels enthalten ist.
Wenn man sich so einen Plagegeist mal näher ansieht, dann findet man eigenartige Strings.

Mal als Beispiel, hier eine Registrierung.pif, geschrieben in VB:







Oder hier ein beispiel einer Lieferschein.exe, geschrieben in Delphi:



Sollte so ein String oder ein Teil davon Teil des Schlüssels sein, dann wäre es fatal, wenn die Profis eine Entschlüsselungsroutine finden und dann fehlt der Teil des Schlüssels, weil man den Virus ins Nirvana geschickt hat und ihn nicht wiederbekommen kann.

Der Rat gilt natürlich nur für diejeneigen, die ihre Daten unbedingt wieder haben wollen.
Wer darauf verzichten kann und sein System neu aufsetzt, der ist ohnehin aus dem Schneider.

Bei der Gelegenheit möchte ich auch nochmal auf die Sicherheit von Backups hinweisen.

http://www.trojaner-board.de/115678-...r-backups.html

Gruß Volker