hallo!

habe mir ende mai einen verschlüsselungstrojaner ("Kaufvertrag"-version) eingefangen und diesen im abgesicherten modus mittels Malwarebytes erfolgreich entfernt.

seitdem kann ich wieder normal am rechner arbeiten, internet surfen, dateien erstellen, alles kein problem. der abgesicherte modus funktioniert auch nach wie vor.

allerdings sind eine ganze menge daten (insbesondere in den eigenen dateien, aber auch auf c:\ generell ) noch verschlüsselt, wobei die dateien nicht im "*locked-format" sind, sondern zufallsgenerierte namen (mix aus groß- und kleinbuchstaben) und keine dateiendung aufweisen.

avira ransom unlocker, scareuncrypt, rannoh descrypter und der windows unlocker von kaspersky bringen trotz einer originaldatei (~3mb) und einer verschlüsselten datei in exakt derselben größe nichts ein. avira erkennt nicht mal, dass überhaupt verschlüsselte dateien vorliegen...

wiederherstellung bzw. shadow explorer fällt weg, da keine wiederherstellungspunkte existieren, die ausreichend lange zurückliegen. das schlichte anhängen einer dateiendung funktioniert auch nicht. logs vom entfernen des trojaners sind leider nicht mehr vorhanden.

was kann ich noch probieren?

danke im voraus!
f00

hab doch noch ein paar mbam logs gefunden.

der erste scan:

 Malwarebytes Anti-Malware  (Test) 1.61.0.1400
www.malwarebytes.org

Datenbank Version: v2012.05.18.07

Windows 7 x86 NTFS (Abgesichertenmodus/Netzwerkfähig)
Internet Explorer 9.0.8112.16421
XY :: XY-PC [Administrator]

Schutz: Deaktiviert

18.05.2012 20:36:12
mbam-log-2012-05-18 (20-36-12).txt

Art des Suchlaufs: Vollständiger Suchlauf
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 298924
Laufzeit: 40 Minute(n), 41 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 1
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|048548A7 (Trojan.Agent.RNSGen) -> Daten: C:\Users\XY\AppData\Roaming\Dvvvvvnn\9EF3AC5D048548A73681.exe -> Erfolgreich gelöscht und in Quarantäne gestellt.

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 1
C:\Users\XY\AppData\Roaming\Dvvvvvnn\9EF3AC5D048548A73681.exe (Trojan.Agent.RNSGen) -> Erfolgreich gelöscht und in Quarantäne gestellt.

(Ende)
         

beim zweiten mal taucht dann nichts mehr auf:

 Malwarebytes Anti-Malware  (Test) 1.61.0.1400
www.malwarebytes.org

Datenbank Version: v2012.05.18.07

Windows 7 x86 NTFS
Internet Explorer 9.0.8112.16421
XY :: XY-PC [Administrator]

Schutz: Aktiviert

18.05.2012 21:23:54
mbam-log-2012-05-18 (21-23-54).txt

Art des Suchlaufs: Vollständiger Suchlauf
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 300474
Laufzeit: 1 Stunde(n), 5 Minute(n), 34 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 0
(Keine bösartigen Objekte gefunden)

(Ende)
         

heute nochmal gescannt und siehe da - wieder 6 infizierte dateien:

Malwarebytes Anti-Malware 1.61.0.1400
www.malwarebytes.org

Datenbank Version: v2012.06.19.03

Windows 7 x86 NTFS
Internet Explorer 9.0.8112.16421
XY :: XY-PC [Administrator]

19.06.2012 09:02:55
mbam-log-2012-06-19 (09-02-55).txt

Art des Suchlaufs: Vollständiger Suchlauf
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 319778
Laufzeit: 1 Stunde(n), 25 Minute(n), 32 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 6
C:\Users\XY\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\RQSDR484\DecryptHelper-0.5.3.exe (Trojan.FakeAlert) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Users\XY\AppData\Local\Microsoft\Windows\Temporary Internet Files\Low\Content.IE5\FJ5R1BC3\370038_100000692646543_578746784_n[1].jpg (Extension.Mismatch) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Users\XY\AppData\Local\Microsoft\Windows\Temporary Internet Files\Low\Content.IE5\NS38MLQT\app_1_155727011143809_4606[1].gif (Extension.Mismatch) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Users\XY\AppData\Local\Microsoft\Windows\Temporary Internet Files\Low\Content.IE5\YM2L2H7R\72x60_new[1].jpg (Extension.Mismatch) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Users\XY\AppData\Local\Microsoft\Windows\Temporary Internet Files\Low\Content.IE5\YM2L2H7R\50012_100000404994315_1428784640_n[1].jpg (Extension.Mismatch) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Users\XY\Downloads\DecryptHelper-0.5.3.exe (Trojan.FakeAlert) -> Erfolgreich gelöscht und in Quarantäne gestellt.

(Ende)
         

außerdem befindet sich auf dem desktop die datei ACHTUNG-LESEN.txt auf dem Desktop mit folgendem inhalt:

Sehr geehrte Damen und Herren,
anscheinend wurde das Update Programm vollständig unterbrochen. Jetzt kann das Virus nur manuell beseitigt werden. Dies brauchen Sie um Ihre Dateien benutzen zu können. Falls Sie also die gesperrten Daten brauchen, senden Sie uns bitte 200 Euro Ukash Code an die Email: security-center@inbox.lt, so bald dieser Code geprüft wurde, erhalten Sie ein Update Programm. Falls Sie Ihre Daten nicht brauchen raten wir Ihnen dringend Ihren Computer zu formatieren um den Virus vollständig zu entfernen. Ukash können Sie an einer beliebigen Tankstelle erwerben und auch in mehreren Internetcafes in Ihrer Nähe.
mfG Ihr Security Team
         

Hinweise bzgl. der verschlüsselten Dateien:
Wann genau deine Daten entschlüsselt werden können wird dir niemand genau sagen können außer vllt einer es kann sein, dass du eine neuere Variante hast, deren Verschlüsselungsalgorithmus noch unbekannt ist. Sowas kann man (noch) nicht entschlüsseln und ohne Schlüssel schon garnicht - ist ja auch logisch, sonst wär es ja keine vernünftige Verschlüsselung
Einfach hier nochmal reinsehen in regelmäßigen Abständen, obige Hinweise beachten. 8 Tools mitsamt hunderten Diskussionsbeiträgen stehen da schon

Eine Notlösung für Vista und Win7-User => http://www.trojaner-board.de/115496-...erstellen.html

Entschlüsselungsversuche der verschlüsselten Dateien sind nur auf zusätzliche Kopien der verschlüsselten Dateien anzuwenden, sonst zerhackt man sich die noch weiter ohne die "original" verschlüsselte Datei mehr zu haben. Das willst du sicher nicht!

Man darf sich aber keine falschen Hoffnungen machen. Mittlerweile sieht es finster aus => Delphi-PRAXiS - Einzelnen Beitrag anzeigen - Verschlüsselungs-Trojaner, Hilfe benötigt

Und in Zukunft willst du sicher mal an ein besseres Backupkonzept denken. Hier ein Denkanstoß => http://www.trojaner-board.de/115678-...r-backups.html