Guten Tag liebe Community,

derzeit stehe ich vor einem kleinen Problem bei einem unserer Firmen-Rechner.
Eine Mitarbeiterin, hat sich über eine E-Mail einen Crypto-Virus eingefangen, der alle Dokumnte mit .vault verschlüsselt hat!

Nachdem ich den PC vor mir hatte, wurde der Virus bereits von einem Kollegen entfernt und eine Datensicherung aller verschlüsselten Dateien erstellt. Dadurch, dass mein Kollege leider den Virus bereits entfernt hat, konnte ich die gängigen Decrypt-Tools nicht verwenden, denn dort muss zur Entschlüsselung der Dateien der BTC-Code eingetragen werden.

Daher stehe ich jetzt vor dem Problem die Daten zu entschlüsseln.
Nach einer Sichtung der infizierten Daten sind mir zwei Dateien aufgefallen namens:
"vault.key", "00088.key" und "4077430c_Vault.key", mit denen beiden Schlüsseln habe ich versucht die Dateien zu entcrypten, jedoch ohne Erfolg.

Was vorhanden ist, ich habe eine Datensicherung der eigenen Dateien von Anfang des Jahres, in der 100te unberührter Dokumente liegen. Meines Wissens nach konnte man mit einer identischen Kopie eines Dokumentes die Verschlüsselung aufheben. Ist das richtig?


Verwendete Tools bisher:
https://bitbucket.org/jadacyrus/ransomwareremovalkit
hxxp://www.bleepingcomputer.com/forums/t/577246/locker-ransomware-support-topic/page-32

Über eine kleine Hilfestellung würde ich mich freuen
Gruß Tobi.b.

Meines Wissens nach konnte man mit einer identischen Kopie eines Dokumentes die Verschlüsselung aufheben. Ist das richtig?

Nein das funktioniert nicht.

Alle Schlüssel in Decryptor: Das Ende von Bitcryptor und Coinvault | heise online

Wenn das Tool von Kaspersky nicht hilft bleibt nur noch altes Backup oder hoffen, dass in den Scahttenkopien noch was zu finden ist.

Hallo cosinus,

leider funktioniert das Kaspersky-Tool nicht. Wie in der Anleitung beschrieben habe ich alle verschlüsselten Dateien in ein Verzeichnis kopiert, anschließend die Einstellung auf Ordner umgestellt und gestartet. Das Programm läuft eine Sekunde und ist fertig ohne wirklich gearbeitet zu haben.

Dann bleibt dem Nutzer wohl nix anderes übrig als alles neu zu machen Naja wer das Netzlaufwerk nicht nutzt ist selber Schuld!

Danke für deinen Beitrag.

Gruß tobi.b.

PS: Shadocopy ist leider nicht aktiv gewesen... .

Netzlaufwerke werden auch verschlüsselt. Aber was auf dem Server liegt kann ein Admin einfacher automatisiert sichern...