Windows 7: .vvv Verschlüsselungs-/Erpressungstrojaner; Lösegeld bezahlt: Wie System bereinigen?

Bernd4711

Hallo

Am 05.12.2015: Alle Dokumente auf dem Rechner meiner Freundin waren unbenutzbar und mit einem .vvv versehen.
Der nette Erpresser von nebenan hat in jedem Ordner einen Hinweis/Anleitung hinterlassen.
Auf der Website dann die Info: 1,3 BitCoin (~500$) für die Entschlüsselung sind zu überweisen.


Nach kurzer Recherche war klar, dass eine eigenständige Entschlüsselung der Daten unmöglich ist.
Nach einer nicht so kurzen Diskussion war leider auch klar, dass die Daten sehr wichtig sind (letztes Backup ~6 Monate) und wir zahlen werden.
Dann habe ich ein BitCoin-Wallet eingerichtet und 1,3 BTC (~500$) an die Erpresser überwiesen.

Nach ca. 2h konnte ich mir ein decrypt-Tool von der Website runterladen und mit einem mir angezeigten Key alle Daten wieder entschlüsseln.
Die exe-Datei habe ich noch und könnte sie zur Verfügung stellen.

Ergebnis:
Soweit zu sehen ist, sind alle Dokumente wieder entschlüsselt - allerdings mit Erstellungsdatum des Entschlüsselns.
Die .vvv Dateien sind weiterhin vorhanden und ich habe sie gelöscht.

Soweit so gut (oder schlecht).
Sie kann erstmal wieder mit den Dokumenten arbeiten.
Da ich aber davon ausgehen muss, dass der Computer natürlich weiterhin verseucht ist brauche ich eure Hilfe.

Nachfolgend Systeminfos:
Win 7 64 bit
Avira Antivirus free lief auch zum Zeitpunkt der Infektion


1.
Ich habe Defogger laufen lassen.
Ich habe Logs mit FRST & Gmer gemacht.


2.
Ich habe einen kompletten Scan inkl. Suche nach Rootkit mit Avira gemacht.
Gefunden wurde:
1* JS/Cryptoload.kds.3
4* TR/Crypt.ZPACK.221494 in verschiedenen Dateien
Alle 5 Funde habe ich in Quarantäne verschoben.


3.
Ich habe weitere Logs mit FRST & Gmer nach dem vollständigen AviraScan gemacht.

4.
Danach nochmal einen Avirascan. Während dieses Scans hat meine Freundig mit Word gearbeitet und es gab einen BlueScreen.
Nach dem Bluescreen habe ich den Avirascan nochmal durchlaufen lassen, ohne dass am PC gearbeitet wurde.
Avira hat keine verdächtigen Funde mehr angezeigt.

Da beim Einfügen die maximale Zeichenzahl von 120000 Zeichen überschritten wurde, hänge ich alle Logs als Datei an.

Jetzt meine Frage:
Ist der Rechner jetzt sauber? (OK 100%ig ist nichts, aber so sicher sauber wie irgend möglich)
Avira hat im KomplettScan verdächtige Funde gehabt. Ich weiss aber nicht, ob es der Verschlüsselungs-/Erpressungs-Trojaner war.

Auf eure Hilfe hoffend

Bernd

PS: Der Rechner geht mit meiner Freunding bis Samstag auf Reise. Ich poste aber schon heute und hoffe auf hilfreiche Antworten, die ich dann ausführen kann. Ich selbst bin ständig erreichbar.