Hallo Xynthia,
das ist das zweite mal, dass ich von einer Infektion, ohne bewusstes Ausführen einer Datei als Mailanhang, höre.
Es wäre sehr interessant, den Infektionsweg zu ergründen.
Du hast nichts dazu gesagt, ob der Ucash-Screen angezeigt wurde und ob Du etwas gegen den Trojaner getan hast.
Ich gehe erstmal davon aus, dass der Trojaner noch auf Deinem System ist.
Zuerst sollte also der Rechner gesäubert werden.
Gehe also zuerst nach dem im Punkt 1, ganz oben unter Hinweise, vor.
Lade Malwarebytes runter und scanne das System.
Noch nichts löschen, nur in Quarantäne schicken.
Dann starte ein eigenes Thema, wie oben beschrieben.

Zu Deinen verschlüsselten Dateien:
Deiner Beschreibung nach, handelt es sich um eine 12k-Verschlüsselung.
Originaldateien in Verbindung mit der dazugehörigen verschlüsselten Datei bringen nichts.
Die daraus generierten Schlüssel sind anders codiert und nur 3kB groß.
Zur Datenwiederherstellung lese die Möglichkeiten, die unter Punkt 3 verlinkt sind.

http://www.trojaner-board.de/116851-...strojaner.html

Selbstverständlich kannst Du die Dateien auch sichern und auf ein Tool der Entschlüsselung hoffen.

Volker

Gibt es eine Möglichkeit per brute-force eine Datei zu entschlüsseln, es geht wirklich nur um eine Datei, die wichtig ist, sind so 10MB Daten...

Zitat von BlacK-ZeRo

Gibt es eine Möglichkeit per brute-force eine Datei zu entschlüsseln, es geht wirklich nur um eine Datei, die wichtig ist, sind so 10MB Daten...

Nein!

In Deinen bisherigen Beiträgen hast Du noch nichts über die Datei selbst gesagt.
Um welches Dateiformat geht es eigentlich?
Welches Betriebssystem?
Was hast Du bisher versucht, beispielsweise über Schattenkopien?
Du hast ja noch nichtmal was zur Verschlüsselungsvariante gesagt.

Wenn Du auf ein Entschlüsselungstool für die 12k-Version wartest, wird das wahrscheinlich eine sehr lange Wartezeit.

Volker

Bei AES256 wir das wohl ein Weilchen dauern. Ein paar Leben später könntest Du dann Glück haben :-).

Schau mal hier: Brute-Force-Attacke und Passwortlnge

Es handelt sich um eine Datenbank, Betriebssystem WinXP, es ist die 12k-Version

Und was sagt der Shadow Explorer?
Eine Datenbank wird in der Regel oft aktualisiert, schon mal nach gelöschten Vorgängern gesucht?
Welches Datenbankformat?
Laß Dir doch nicht alles einzeln aus der Nase ziehen, echt ätzend.

Schadow explorer funktioniert doch unter xp nicht...
Gelöschte Vorgänge gesucht, aber keine verwendbare dabei...
Datenbankformat ist .gdb , also nichts verbreitetes...

Gäbe es da eine Möglichkeit das außer brute-force zu bekommen, hätte ich da denk ich schon was gefunden, habe ja schon alles probiert...

Zitat von BlacK-ZeRo

Schadow explorer funktioniert doch unter xp nicht...
...

Oh sorry, Du hast natürlich Recht, mein Fehler.
Das kommt vor, wenn man mit der Beantwortung mehrerer Beiträge beschäftigt ist.

*.gdb, Borland InterBase oder Firebird.
Vielleicht kann Dir der Support des Applikationsherstellers helfen.
Eventuell sieht der eine Möglichkeit zur Rekonstruktion.

Volker

Aber brute-force geht garnicht? habe einen recht schnellen Rechner, den ich ein paar Monate dafür arbeiten lassen könnte :-D

@ Black-ZeRo

Hast Du meinen Beitrag ignoriert?

Zitat:
"Ein Blick in die Tabelle verrät da schon einiges: Um ein 13-stelliges Passwort zu knacken - vorausgesetzt Sie nutzen ein Passwort, das aus Zahlen, Klein- und Großbuchstaben besteht - bräuchte man eine prognostizierte Zeit von 3.025.880 Jahren. Dieser Wert dividiert durch 1.000 ergibt knapp 3.026 und überschreitet somit bei weitem die durchschnittliche Lebensdauer eines Menschen ;-)"

Quelle:

hxxp://www.1pw.de/brute-force.html

nicht wirklich, konnte damit nur nichts anfangen ;-D
Wie lang würde es denn rein theoretisch dauern?

Mh, leg mich bitte nicht auf die Anzahl der Nullen fest... warscheinlich 30 Millionen oder 30 Mrd. oder 30 Billionen Jahre!?

Über den mathematischen Weg kann man sich sicher ein paar Tausend Jahre sparen.

Hilft Dir das jetzt weiter?

PS: Aber vielleicht landet man auch schon beim 1. Versuch einen Treffer. Die Möglichkeit besteht natürlich, wenn auch SEHR gering.

Hallo zusammen. Möchte mich noch einmal für alle Tips und Anregungen bedanken. Habe die JPG-Bilder wieder alle herstellen können. Mit JPEG Recovery Pro 5 kein Problem. Ist zwar etwas teuer, aber hat sich gelohnt, waren ja tausende von Urlaubsbildern weg. Der Trojaner war die 12kB Version und die kleinen Programme waren da ja überfordert.
Also erst einmal Danke an das Board.

Habe vor einigen Tagen einen PC von Bekannten bekommen mit dem og. beschriebenen Problem Verschlüsselungs-Trojaner. Nach PC-Start kommt die Seite mit der UCash-Aufforderung und dann reagiert der PC nicht mehr.
Der Rechner läuft mit Win XP Prof. und der Trojaner wurde vermutlich am 12.06.2012 mit einem Rechnungs-Anhang an einer Mail geladen.
Ich habe die Festplatte nun an einem Win 7 System extern angeschlossen und mit Malwarebytes vollständig geprüft - jedoch wurde kein Trojaner gefunden.
Die Datei-Namen auf der Festplatte sind zum Teil durch wilde Buchstabenfolgen ersetzt und das Erstelldatum auf den 13. Februar 1601 gesetzt. In den betroffenen Verzeichnissen sind nur einige Dateien vom Typ .inf .dat .bin .ini scheinbar nicht verändert.
Im Temp-Verzeichnis habe ich Dateien gefunden, welche zum warscheinlichen Zeitpunkt der Änderungen angelegt wurden:

B4F02758323053570000.$02
B4F02758323053570000.$$0
B4F027583230535700006461
Desk.$00

Im Verzeichnis C:\Dokumente und Einstellungen\Desktop habe ich eine Datei ACHTUNG-LESEN.txt gefunden mit dem Inhalt:

Sehr geehrte Damen und Herren,
anscheinend wurde das Update Programm vollständig unterbrochen. Jetzt kann das Virus nur manuell beseitigt werden. Dies brauchen Sie um Ihre Dateien benutzen zu können. Falls Sie also die gesperrten Daten brauchen, senden Sie uns bitte 200 Euro Ukash Code an die Email: software-update@inbox.lt, so bald dieser Code geprüft wurde, erhalten Sie ein Update Programm. Falls Sie Ihre Daten nicht brauchen raten wir Ihnen dringend Ihren Computer zu formatieren um den Virus vollständig zu entfernen. Ukash können Sie an einer beliebigen Tankstelle erwerben und auch in mehreren Internetcafes in Ihrer Nähe.
mfG Ihr Security Team

Vieleicht helfen diese Informationen etwas weiter bei der Suche nach einer Lösung.

Zitat von Olaf-NF

Nach PC-Start kommt die Seite mit der UCash-Aufforderung und dann reagiert der PC nicht mehr.
...
- jedoch wurde kein Trojaner gefunden.

moin moin,
wenn der XP-Rechner mit dieser HDD noch das o. g. Verhalten zeigt, dann ist er nicht virenfrei.
Welche Verhaltensauffälligkeiten zeigt der Rechner noch?
Ist er noch im abgesicherten Modus bootbar?
Hast Du Zugriff auf den Taskmanager und Regedit?
Welches Interesse besteht an den verschlüsselten Daten?

Zitat von Olaf-NF

auf der Festplatte sind zum Teil durch wilde Buchstabenfolgen ersetzt und das Erstelldatum auf den 13. Februar 1601 gesetzt.

Das sind typische Anzeichen für eine Trojanerversion, die die ersten 12k einer Datei überschreibt und damit verschlüsselt.
Bei dieser Verschlüsselung helfen die oben unter Hinweise beschriebenen acht Tools nicht.

Zitat von Olaf-NF

Im Temp-Verzeichnis habe ich Dateien gefunden, welche zum warscheinlichen Zeitpunkt der Änderungen angelegt wurden:

B4F02758323053570000.$02
B4F02758323053570000.$$0
B4F027583230535700006461
Desk.$00

Im Verzeichnis C:\Dokumente und Einstellungen\Desktop habe ich eine Datei ACHTUNG-LESEN.txt gefunden mit dem Inhalt:

Auch das ist symptomatisch für den Verschlüsselungstrojaner der Version 1.o4.xx oder höher.
Die Datei *.$02 enthält die Informationen über die Verschlüsselung jeder einzelnen Datei, einschließlich Klarnamen und Schlüssel.
Die Datei selbst ist doppelt verschlüsselt und der Schlüssel wurde auf einen externen Server ausgelagert.

Zitat von Olaf-NF

Vieleicht helfen diese Informationen etwas weiter bei der Suche nach einer Lösung.

Weniger, aber trotzdem Danke.

Volker