Hallo nochmal,wollte noch mal höflichst anfragen,woran ihr erkannt habt,das es sich um eine AES 256 bit-Verschlüsselung handelt.
Zwar stand das auch auf meinem Bildschirm,ist für mich aber kein Beweis,das es auch so ist.

Oder wollt ihr nicht darüber reden.Wäre nett,wenn ich mal eine Antwort bekomme,da meine anderen Fragen auch nicht beantwortet wurden.
Wie man jpegs wieder hinbekommt,ist ja nun lang und breit diskutiert worden.
Aber wir wollen ja nicht nur Bilder wieder herstellen.
Gruss Rainer

Zitat von thalon05

Oder wollt ihr nicht darüber reden.

Wenn meine Kollegen und ich mehr Infos hätten würden wir schon all deine Fragen beantworten oder meinst du nicht

das es sich um eine AES 256 bit-Verschlüsselung handelt.

Lies doch mal dieses Posting oder ist das auch schon überholt => http://www.delphipraxis.net/1169769-post147.html

Zitat von Marcu

Es tut mir leid. Kein Happy End!

Es gibt kein Hintertürchen im Programm, keine nennenswerten Programmierfehler, keine logischen Fehler, keine Schwachstelle in der Parametrierung der Verschlüsselungsfunktionen und keine Schwäche in der Zufallsfunktion. Ich habe die relevanten Funktionen der Malware zurückübersetzt und im Detail nachvollzogen. Es ist keine Vermutung mehr von mir und ich kann mit Sicherheit sagen: Das benötigte Passwort ist nicht mehr auf den betroffenen Computern. Es gibt keinen Weg dieses Passwort zu berechnen. Es gibt keinen Weg das Passwort zu Lebzeiten zu erraten. Es ist diesmal nicht möglich mit einem Vergleich zwischen Originaldateien und verschlüsselten Dateien eine Entschlüsselung für alle Dateien abzuleiten. Es bleibt nur zu hoffen, dass ein Polizist das Passwort zurückbringt.

Benötigt wird das Passwort für eine Datei in der zu jeder verschlüsselten Datei der Originalname, der zufällige neue Dateiname und das zufällige Passwort steht mit der die Datei verschlüsselt wurde. Der Virus speichert diese Katalogdatei im Temp-Verzeichnis mit der Dateierweiterung ".$02" ab. Z.B: 1C7F90CE4148555A5355.$02
Eigentlich wäre es sehr einfach ein Programm zu schreiben welches die Daten restauriert. Man muss lediglich das Programm unter #138 mit der Funktion unter #41 koppeln und seine entschlüsselte $02-Katalogdatei als Eingabe bereitstellen. Daraus wird leider nichts solange das Passwort zum Entschlüsseln der $02-Datei nicht herbeigeschafft ist.

Es gibt eine einzige kleine Schwachstelle im Virenprogramm, die aber nicht reicht um die Daten zu entschlüsseln. Während der Verschlüsselungsphase legt der Virus eine Datei mit der Endung ".$03" im temp-Verzeichnis an. In dieser Datei steht für jede verschlüsselte Datei die Zuordnung zwischen dem Originaldateinamen und dem neuen zufälligen Dateinamen. Diese Datei wird nach der Verschlüsselung mit einem simplen kernel32_DeleteFileA gelöscht. Man hat also tatsächlich eine Chance diese Datei wiederherzustellen.
Mit der $03-Datei ist es möglich den verschlüsselten Dateien ihren Originalnamen zurückzugeben. Jedoch bleibt es weiterhin nicht möglich die Dateien vollständig zu reparieren, da in der $03-Datei nicht das Passwort für die Verschlüsselung steht. Die $03- Datei lässt sich mit dem Programm unter #138 entschlüsseln. Das zu machen hat aber wahrscheinlich für Niemanden einen Sinn.


pcnberlin hat Recht wenn er sagt, dass man den Opfern dieser Malware nicht hilft wenn man schweigt.
Es ist allen dringend zu raten eine Anzeige zu erstatten. Wenn viele Anzeigen bei der Polizei vorliegen, erhöht das sicher die Bereitschaft zu ermitteln. Vielleicht ist der Täter nicht in Deutschland. Es kann lange dauern bis die Passwörter beschlagnahmt sind. Deswegen sollten die Opfer eine Sicherungskopie anfertigen und jetzt eine Neuinstallation durchführen.

Ich möchte mich noch bei allen bedanken. Der konstruktive und freundschaftliche Umgang bei der Analyse der Malware war echt klasse. Vielen Dank an pcnberlin und Michael und Markusg und an alle anderen.
Falls sich bei mir mehr als drei Interessierte melden, werde ich ein Paper machen in dem die Funktionsweise dokumentiert ist. Bitte PM an mich.

Noch ein letztes Wort an die Opfer - falls die hier mitlesen:
Es gibt keinen Grund mit sich selbst böse zu sein, weil man dieses blöde Zip-File angeklickt hat. Der Gebrauch von E-Mailanhängen so wie er heute üblich ist, ist leider schrecklich kaputt. Die Regeln die empfohlen werden sind ein Armutszeugnis der EDV. Wenn man sich bei dieser Sache Selbstvorwürfe macht, dann richtet man seinen Zorn an den falschen.

Viele Grüße
Marcu

Zitat von cosinus

Wenn meine Kollegen und ich mehr Infos hätten würden wir schon all deine Fragen beantworten oder meinst du nicht



Lies doch mal dieses Posting oder ist das auch schon überholt => hxxp://www.delphipraxis.net/1169769-post147.html

Danke für die schnelle Antwort.Es ist nur so,das ich Sachen gefunden habe ( das merkwürdige Erstellungsdatum oder die mit ?gekennzeichnete Benutzerkonto)die mit Sicherheit was mit dem Trojaner zu haben,aber keine Reaktion kam.Ich habe jetzt 8 solcher E-Mails und ein Ende ist nicht abzusehen.
Und meine Recherchen im Netz sind auch sehr widersprüchlich.
Trotzallem grosses Dankeschön an Alle,die daran gearbeitet haben. Ich werde weiter forschen und wenn ich was weiss,lass ich es euch wissen.
Ihr wisst ja,die Hoffnung stirbt zuletzt.
Gruss Rainer