Hallo zusammen,

auf dem (XP) PC meiner Mutter hat mein Bruder leider auch diesen netten Trojaner hier erwischt. Gott sei dank, konnte ich dank euren Tipps die Outlook.pst retten und andere Dateien waren zu einem großem Teil Gott sei dank gesichert.

Es gibt ja nicht mehr viel Hoffnung auf Rettung der restlichen nicht gesicherten Dateien, aber ich habe bei mir zuhause mal alle ihre Dateien gesichert. Außerdem werde ich heute noch versuchen die $02 zu kopieren und vielleicht lässt sich ja noch die $03 wiederherstellen.

Nur mal so aus Neugierde, ich kenne mich da ja auch nicht so aus und vielleicht kann mir das jemand erklären. Wieso werden den die original Dateinamen und deren Schlüssel in dieser $02 gespeichert und wieso wird diese $03 verschickt, wenn eine Bezahlung der geforderten Summe eh keine Entschlüsselung auslöst? Zumindest habe ich jetzt schön öfter gehört, dass auch nach eine Bezahlung nichts entschlüsselt wurde.

Dann ist doch eigentlich egal wo was liegt. Und wozu wird dann auch noch mit dem Server kommuniziert? Der Trojaner könnte doch selber auch eine zufällige Verschlüsselung durchführen ohne den Server.

Danke noch an alle die Leute die sich hier wirklich soviel Mühe geben. Ich würde denke ich manchmal echt die Lust verlieren wenn schon mehrfach Erklärtes eins zu eins ein paar Fragen weiter wieder gefragt wird. Helfer stecken verdammt viel Zeit rein und manche Hilfesuchende wollen nicht suchen oder lesen sonder eine Frage stellen und sofort eine passende Antwort. Es sind inzwischen schon über 70 Seiten ja, aber wenn nicht ständig das gleiche gefragt oder gepostet würde wären man jetzt vielleicht bei 40 und das ganze wäre schon sehr viel übersichtlicher.

Zitat von Kabtor

Nur mal so aus Neugierde, ich kenne mich da ja auch nicht so aus und vielleicht kann mir das jemand erklären. Wieso werden den die original Dateinamen und deren Schlüssel in dieser $02 gespeichert und wieso wird diese $03 verschickt, wenn eine Bezahlung der geforderten Summe eh keine Entschlüsselung auslöst? Zumindest habe ich jetzt schön öfter gehört, dass auch nach eine Bezahlung nichts entschlüsselt wurde.

Die genauen Gedankengänge sind nur in den Köpfen der Gangster.
Man kann also nur darüber spekulieren.
Es weist aber einiges darauf hin, dass eine Entschlüsselung tatsächlich vorgesehen ist oder war.

Bei der ersten Kommunikation mit dem C&C Server werden mehrere Bitmaps geladen.
In Kurzform sagen die folgendes aus:
Bild1 -->l Der bekannte Ucash-Hinweis.
Bild2-4 --> ähnlich wie Bild1 aber mit Hinweisen über falschen Ucas-Code (3 Versuche).
Die gehen also davon aus, dass der Betroffene einen gültigen Ucash-Code eingibt.
Ist der Code strukturell in Ordnung erscheint
Bild 5 --> Der Hinweis, dass der Code in Ordnung ist und geprüft wird.
Ist die Prüfung in Ordnung erscheint
Bild6 --> Entschlüsselung läuft, Rechner soll am Netz bleiben.
Insofern macht die .$02 also Sinn.

Ich spekuliere mal:
Die haben selbst nicht damit gerechnet, dass sie die Server nicht richtig im Griff haben.
Vielleicht sind die auch nur highjacked oder die Verschleierung im Web funkt dazwischen, oder oder oder.

Volker

hi hi liebe community habe hier viel gelesen aber da der thread etwas unübersichtlich geworden ist, wollte ich mal fragen (vielleicht wurde das schon 1000x gefragt) gibt es eine möglichkeit den gegen 04.05.2012 erschienen trojaner die dateien zu entschlüssen. habe hier leider nix gefunden.

Zitat von hackbart2

...
gibt es eine möglichkeit den gegen 04.05.2012 erschienen trojaner die dateien zu entschlüssen. habe hier leider nix gefunden.

moin moin,
Entscheidend ist nicht das Datum, sondern die Versionsnummer.
Das ist doch nicht Dein ester Beitrag zum Thema und Du hast sogar verschlüsselte Files hochgeladen.
Danach ist es noch die "alte" Version.

Suche nach Dateien die der Größe nach identisch sind und aus denen Du Schlüssel bilden kannst.
Bisher sehe ich nur ein einziges, Autumn Leaves.jpg, alle anderen sind nicht gleich groß.
Wenn Du nix findest, bleiben nur die Wege, die im Thema Reparaturanleitungen genannt sind.

Eine Frage, nämlich ist dies einer Freundinn passiert, wo sich dessen Schwester vorher an einem anderen PC infiziert hat (per Link und Download in fremder Mail), hat ihr dann seinen PC geliehen und die hat sich da auch wieder infizieren lassen, behauptet aber nicht den selben Fehler wieder begangen zu haben..

Kann es sein, dass danach das simple einloggen in das betroffene E-Mail Account von nem anderen Pc aus den Virus weiterleiten kann? Muss auch nicht sein dass sie di Wahrheit gesagt hat..

Ich habe übrigens ein Systemabbild (mit Dateien und allem) von vor 2 Wochen von dem LapTop, kann ich dieses Abbild sofort benutzen oder muss ich vorher noch andere Sicherheitsschritte durchgehen (z.b. die Standardschritte von hier)? Das Lap Top läuft wieder (Systemwiederherstellung auf früheren Zeitpunkt), aber die Dateien sind eben noch geändert.

Dann wären die Neuesten Dateien zwar verloren aber dagegen kann man anscheinend ja noch nichts tun..

Vielen Dank im Vorraus und danke für die starke Arbeit.

Kann es sein, dass danach das simple einloggen in das betroffene E-Mail Account von nem anderen Pc aus den Virus weiterleiten kann? Muss auch nicht sein dass sie di Wahrheit gesagt hat..

Selbst wenn,

1.) man muss die Mail wieder aufmachen
2.) nochmal auf den Text reinfallen mit Rechnung und so
3.) ZIP im Anhang aufmachen
4.) (und erst dann man den salat =>) man muss die ausführbare Datei die als zB PDF getarnt ist auch noch ausführen

Hallo zusammen, habe heute wieder soeine Email bekommen, anderer Absender (betty-hair@rogers.com) zwar, aber die Masche ist die gleiche.
Hier das geschriebene:

Verehrte(r) Benutzer daB?ng,

Besten Dank für Ihre Bestellung bei kirschkernkissen GmbH, nachfolgend finden Sie Ihre Antragsbestätigung.

Ihre Gebotsnummer: 439427329041
Bestellung: Toshiba 8566473425 6455,43 Euro
Zahlungsmethode: Konto-Einzug

Adresse und detaillierte Rechnung finden Sie zwecks Sicherheitsmaßnahmen im Zusatzordner.

Die Zahlung wurde autorisiert und wird innerhalb 3 Tage abgeschrieben.
Artikelauflistung und Widerspruch Erklärung finden Sie im Zusatzordner in der E-Mail.


Ihr Email-Support

Hofmann AG
Billufer 71
72204 Dortmund

Telefon: (+49) 823 6548870
(Mo-Fr 7.00 bis 20.00 Uhr, Sa 10.00 bis 17.00 Uhr)
Gesellschaftssitz Aichach
Umsatzsteuer-ID: AT235801912
Leiter: Mathilda Schnittke

Wenn ihr Interesse am restlichen Inhalt habt, gebt mir eine Email Adresse, und ich leite das fiese Teil weiter.

Ich hatte vor kurzem auch den Fehler gemacht und den Anhang geöffnet, aber mit Eurer Hilfe mein System retten können. Wenn ich aber trotzdem auf nummer sicher gehen will und Euch mal drüber gucken lassen will, soll ich einen neuen Thread aufmachen oder hier weiter posten?

Warum soll eigentlich alle 2 Seiten neu erklärt werden, was zu tun ist?
Warum kann man sich nicht selber mal die Mühe machen, nachzulesen, wie man vorzugehen hat?

Es geht mich ja eigentlich nichts an, da ich hier kein Admin bin, aber auf die Dauer nervt das einfach nur noch beim Lesen.

Diese Mails und deren immer gleicher Aufbau habe ich hier schon gefühlt 30 mal gelesen.

Hallo,

ich bin mir ja nicht sicher, ob folgende Lösung hier schon kommuniziert wurde, aber sämtliche kryptisch verschlüsselten Dateien lassen sich über zB. Winamp ("öffnen mit") abspielen! Man muss anschließend nur noch die betroffende Datei umbenennen!
Ähnlich wird es sich mit Fotos/Bildern verhalten.

Viele Glück, André

Sämtliche Dateien?
Also .avi und .mpeg o.ä. gehen schon mal nicht.
Bei mir hat nur .mp3 geklappt.
Würde mich wundern wenn es bei dir anders wäre.

Und das mit den Bildern wurde hier schon endlos besprochen.
Kurzform: Einfach umbenennen klappt nicht, man braucht dafür ein (kostenpflichtiges) Tool.

'Tschuldigung, das war mißverständlich meinerseits. Stimme Dir zu, sämtlich Filmdateien lassen sich leider nicht abspielen. Lediglich die Musikdateien. Was aber -wie bei mir&einer Riesenmusiksammlung- schon mal ein Fortschritt ist....

Hallo,

habe gerade auf den Virus getroffen und alle meine Bilder sind umbenannt, brauche sehr dringend eine Lösung um die Bilder wieder zuretten?

Bitte um Hilfe

Vielen Dank

Zitat von André_09

'Tschuldigung, ... Lediglich die Musikdateien. Was aber -wie bei mir&einer Riesenmusiksammlung- schon mal ein Fortschritt ist....

Das ist bekannt, auch warum das so ist.
Lese etwas, z.B. hier im Thread, dann verstehst Du, dass Deine Annahme:
"Ähnlich wird es sich mit Fotos/Bildern verhalten."
so nicht funktionieren kann.
MP3 Sammler sind insofern besser dran als Andere.
Außerdem haben die ja ohnehin die Original CDs und nur Sicherheitskopien auf dem Rechner.

Volker

Zitat von PrinzZ

Hallo,

habe gerade auf den Virus getroffen und alle meine Bilder sind umbenannt, brauche sehr dringend eine Lösung um die Bilder wieder zuretten?

Bitte um Hilfe

Vielen Dank

Dann lese erstmal, was es dazu schon gibt.
Wenn Du dann noch Fragen hast, dann poste wieder.
Ich bin es leid, Lesefaulheit und Bequemlichkeit zu unterstützen.

Volker

Hallo Volker,

das habe ich in der Tat aber schaffe das einfach nicht! habe auch das DecryptHelper-0.5.3.exe probiert, habe jedoch keine Originaldatei die verlangt wird.

Werde mein System formatieren jedoch sind die Bilder mir sehr wichtig.
Gibt es denn keinen Trick dafür um die Bilder öffnen zu können?

Zitat von PrinzZ

Hallo Volker,

das habe ich in der Tat aber schaffe das einfach nicht! habe auch das DecryptHelper-0.5.3.exe probiert, habe jedoch keine Originaldatei die verlangt wird.

Werde mein System formatieren jedoch sind die Bilder mir sehr wichtig.
Gibt es denn keinen Trick dafür um die Bilder öffnen zu können?

Wie sehen denn die verschlüsselten Dateien aus?