Zitat von Cosimo

- Was sagt diese Version aus?

Du solltest sie als erstes mal hier identifizieren lassen:
https://id-ransomware.malwarehuntert...php?lang=de_DE

Stattdessen kommunizierst Du bevorzugt mit den Erpressern.

- Ist es eine alt oder neu Variante

Was in erster Linie entscheidend ist: Ist das eine Variante mit beklannter/möglicher Entschlüsselung, oder nicht. In manchen Fällen kann man Glück haben, wenn die Erpresser Fehler in ihrem Prozess hatten, oder irgendwann nach x Jahren mal die Keys veröffentlicht werden.

- Gibt es Entschlüsselung Programme/Tools dafür?

Meistens nicht. In Einzelfällen aber schon. Eine exakte Identifizierung der Malware ist Voraussetzung dafür.

- Gibt es Firmen, die das entschlüsseln können, speziell diese Version?

Du hast ja nicht mal die spezielle Version genau benannt. Abgesehen davon, können auch Datenwiederherstellungsfirmen keine Wunder bewirken, wenn eine starke Verschlüsselung gesetzt ist. Volumenschattenkopien usw. werden von solcher Malware sowieso mit gelöscht, da hat man wenig Optionen. Außer Backups.

Er ist auch in der Lage, die Dateien, zumindest Testdateien dir wir geschickt haben, zu entschlüsseln.

Ja, dann war die Verschlüsselung erfolgreich.

Nach meiner Recherche, konnte ich zu der Ransomware "Ouroboros.GG!MTB" keine Software oder Anbieter finden, der in der Lage ist die Dateien wieder herzustellen.

Das ist ja auch generische Erkennung eines Virenscanners, damit kann man nicht viel anfangen. Beschäftige Dich bitte mal mit der Aussagekraft von Virenscannern, auch hinsichtlich der Bezeichnungen von Malware.

Es stellt sich somit die nächste Frage, wie stehen die Chancen, dass die am Ende Key & Software herausgeben, wenn man bezahlt hat?

Bezahlen, und damit kriminelle Erpresser unterstützen, damit sie weitere Ressourcen zum Erpressen weiterer Menschen in Zukunft zur Verfügung haben? Nicht Dein Ernst.

Auch, wie lange bleibt die Mail-Adresse erreichbar?

Dir kann doch niemand sagen, wie lange die Mailadresse eines Kriminellen erhalten bleibt, mit dem Du auch noch obendrein zu kooperieren beabsichtigst. LOL

Zitat von Cosimo

Das Backup ist ärgerlicherweise mit verschlüsselt.

Dann war es aber kein Backup. Backups unterliegen per Definition(!) bestimmter Voraussetzungen/Kriterien, die sie erst zu Backups machen. Und die wurden bei Dir/Euch somit sicherlich nicht eingehalten.

Zitat von Cosimo

Es ist Windows 10 mit 2 SSD (Boot HD0 & Daten HD1) und 4 HDs (Daten HD2, Backup HD für HD1 & HD2, große 2TB HD & dafür Backup eine HD)

Alle Datenträger im selben Computer verbaut? Oder wie war das im Detail geregelt? Auch dazu fehlen Deinerseits genaue Angaben!

Es hätte am Ende nie dazu kommen, dass Virensoftware überhaupt auf dem Rechner sich ausführen lässt.

Ja, wenn das Sicherheitskonzept stimmig ist/war. Dennoch muss unabhängig dazu parallel ein schlüssiges Backup-Konzept stehen.

Es muss ein unglücklicher Zufall gewesen.

Nein, das sind in der Regel keine "unglücklichen Zufälle", sondern strukturelle Schwächen in Sicherheitskonzepten.

Wir hatten für paar "Spielereien" ein RDP Port offen,

"Spielereien", gleich welcher Art, haben auf Produktivsystemen keinerlei Platz und Berechtigung. Erst recht dann nicht, wenn auch noch wichtige Daten auf eben diesen Systemen liegen. Das meine ich mit "struktureller Schwäche".

Insgesamt geht es um ca. 100 GB, die sehr ärgerlich sind, alles andere (ca. 1,5-1,7TB) ist rekonstruierbar.

Zu solchen Daten benötigt es immer externe Backups auf "nicht verbundenen Speichern". Und zusätzlich auch noch räumlich ausgelagerte. Bei Euch gab es offenbar weder das Eine noch das andere.

es geht mir primär aber auch um Ransomware und Informationen dazu.

Die sollte man sich allerdings bereits präventiv beschaffen. Im Nachgang bringt es bezüglich bereits verschlüsselten Daten nämlich nicht mehr viel.

Ich möchte einschätzen, wie die Wahrscheinlichkeit ist, dass ich ohne den "Erpresser" an die Daten komme (mit Wartezeit und Profis wie Ontrack & Co.)

Ontrack und Co können bei starker, fehlerfreier Verschlüsselung nicht zaubern, die Daten würden verschlüsselt bleiben.

und wie hoch die Wahrscheinlichkeit ist, dass der "Erpresser" mit spielt und die Daten entschlüsselt bzw. die Software dafür zur Verfügung stellt.

Wie gesagt, eine Kooperation mit Kriminellen in dieser Form ist indiskutabel.

Da sowenig offensichtlich über die Variante der Ransomware (in meinem Fall) bekannt ist,

Falsch. Du hast bisher nur noch keine möglichst exakte Definition erzielt.

rechne ich damit, dass Profis nur über Schattenkopie, gelöschte Dateien ect irgendwie versuchen an Daten zukommen.

Nein. Ransomware sorgt nach ihrer Ausführung dafür, dass all diese Optionen im Nachgang nicht mehr in Frage kommen. Daher ist ein schlüssiges Backupkonzept heutzutage so immens wichtig. Will nur im Vorfeld immer keiner hören. Lieber im Nachhinein unendlich viel Zeit fehlinvestieren oder mit Kriminellen kooperieren. Wie widersinnig!

Kosten mehrere tausende Euros, Ergebnis relativ ungewiss (nach dem, was ich bisher aus den Telefonaten erfahren habe).

Ja, so ist das eben: Was man im Vorfeld technisch nicht umsetzt, entgegen aller gebetsmühlenartig immer wiederholter Backup-Empfehlungen, das zahlt man am Ende mit einem deutlich erhöhten finanziellen Aufwand, oder mit dem kompletten Verlust der Daten.

Der Erpresser kostet auch Geld, aber erheblich weniger und mit erheblich besseren Erfolgschancen.

Der Erpresser ist jemand, dem Du mit Deinem Geld sein auch zukünftiges Tun und somit die Schädigung weiterer Menschen finanzierst.

Dritte Option "Warten" ist nur eine bedingte Option, da es Dateien gibt, wo ich Zugriff drauf bräuchte.

Und warum gibt es dann keine Backups von diesen? Wenn sie so dermaßen wichtig sind?

Frage dazu, lässt sich sowas fehlerlos entschlüsseln, wenn die mal verschlüsselt wurde?

Mit dem entsprechenden Key schon. Aber den hast Du nicht.

Gibt es sowas wie "Vermittler", die mit solchen Personen verhandeln können bzw. "treuhänderische" agieren?

Vermittler mit Kriminellen? Da gibt es eher das Mittel der Strafanzeige (wenngleich die Chancen auf Ermittlung der Täter nicht gut stehen).

Zitat von Cosimo

Sieht aktuell schlecht aus, da Windows Defender die Daten unter Quarantäne gestellt hat und diese jetzt nicht mehr wiederherstellbar sind.

Das sind Basics der PC-Nutzung! Nur, weil Dateien in Quarantäne liegen, bedeutet das nicht, dass sie nicht mehr zugreifbar sind. Für solche Fälle hat man außerdem mindestens geeignete Live-/Bootsysteme betriebsfertig in der Schublade liegen.

Bei Euch scheint es so ziemlich an allem Wichtigen zu fehlen.

Und dies ist dann auch möglichst sofort anzuwenden, bevor aus verschiedensten Gründen irgendwelche Daten gelöscht werden.

Zitat von Cosimo

Was ich aktuell gerade probiere, dass ich schaue, ob man noch was Gelöschtes wiederherstellen kann, das dauert aber bis ich da was Genaueres weiß.

Was von Malware gelöscht wurde, gerade auf SSDs, zusätzlich Stichwort TRIM und Garbage Collection, ist nicht wiederherstellbar.

Zitat von Cosimo

Virensoftware hat auf den anderen PCs im Netzwerk keinerlei Warnung herausgegeben.
Aktuell läuft Norton 360 und auch da haben Scanns (alle 4PCs) nichts hervorgebracht.

Anti-Virensoftware. "Virensoftware" wäre die Malware selbst. Abgesehen davon, hast Du offenbar auch zu viel Gewichtung auf den vermeintlich großen Schutz solcher Virenscanner gelegt. Lies in diesem Zusammenhang bitte:
https://www.trojaner-board.de/199203...verwenden.html

Zitat von mmk

Du solltest sie als erstes mal hier identifizieren lassen:
https://id-ransomware.malwarehunterteam.com/index.php?lang=de_DE

Das wurde erfolglos versucht, ist aber auch nicht notwendig.
Sicher wäre es gut gewesen, wenn der Hilfesuchende Samples zur Verfügung gestellt hätte, aber wie hier
https://www.trojaner-board.de/206961-problem-ransomware-ouroboros-gg-mtb.html#post1774833
schon vermutet, ist die Ransomware alter Wein in neuen Schläuchen.
Es gibt folgenden Artikel:
https://id-ransomware.blogspot.com/2023/04/enmity-ransomware.html
Der Ursprung ist dann eben Ouroboros bzw. Limbozar/Void.
Und wie meistens gilt auch hier:

К сожалению, расшифровки этого типа вымогателя нет.

https://forum.kasperskyclub.ru/topic/421954-zashifrovany-vse-fajly/?do=findComment&comment=2106318

Zitat von _698

ist aber auch nicht notwendig.

Natürlich ist es notwendig zu wissen, mit welcher Variante man es genau zu tun hat. Es kam in der Vergangenheit bereits vor, dass Subvarianten im Gegensatz zu anderen Fehler in der Verschlüsselung bzw. Implementierung enthielten, sodass infolgedessen nur bei diesen eine Entschlüsselung möglich war.

https://www.heise.de/news/Ransomware...e-6222348.html

So, ich habe in den sauren Apfel gebissen und gezahlt (mit BTC).

Das "Ergebnis", er hat eine EXE Datei sowie eine Key.txt Datei geschickt.
Dazu muss man dann die ID mit angeben.

Die Dateien, die mir am wichtigsten gewesen sind, konnte ich damit wieder entschlüsseln und sind auf den ersten Blick ok.
Der Rest wird jetzt nach und nach entschlüsselt.

Letztendlich ist dies, auch wenn ich es nicht gut finde, die logistische Variante gewesen.
Prognose, die von den Fachleuten ausgesprochen worden sind, sind alle schlecht gewesen.
Kostet viel Geld und keine Garantie.
Warten ist keine Alternative gewesen.
Der Preis ist zudem billiger gewesen als ich, für die Analysen hätte bezahlen müssen.

Noch was, hat jemand Verwendung für die Dateien, sodass noch jemand anderes daraus Nutzen ziehen kann?

Zitat von mmk

Natürlich ist es notwendig zu wissen, mit welcher Variante man es genau zu tun hat.

Da liegt ein Missverständnis vor.
Wenn man die Informationen des Threads inkl. der verlinkten Beiträge im Zusammenhang bewertet, kann man eine Einordnung vornehmen.
Da bedarf es keiner automatischen und auch fehleranfälligen Auswertung.

Zitat von Cosimo

Noch was, hat jemand Verwendung für die Dateien, sodass noch jemand anderes daraus Nutzen ziehen kann?

Davon ist nicht auszugehen, allerdings besteht das Risiko, dass das decryption tool zusätzlich schädlich ist.
Du kannst die Datei z.B. bei Virustotal oder https://www.hybrid-analysis.com zur Verfügung stellen.
Eventuelle Erkennungen sollte man sich aber genau ansehen.

Zitat von Cosimo

und gezahlt (mit BTC)

Wie geht das ? Zur Bank gehen und Bitcoin kaufen? Sorry wenn ich so naiv frage
aber meine Bekannten bei der Sparkasse zucken nur die Schultern, wenn ich sie danach frage.

Zitat von webwatcher

Wie geht das ? Zur Bank gehen und Bitcoin kaufen? Sorry wenn ich so naiv frage
aber meine Bekannten bei der Sparkasse zucken nur die Schultern, wenn ich sie danach frage.

Ich habe letztendlich ein Coinbase Konto angelegt, es mit unserem Paypal Konto verbunden, Bitcoin gekauft, darüber den Betrag transferiert und letztendlich an eine "Wallet ID" gesendet.
Das Transferieren von Paypal zu Coinbase hat paar Euro gekostet (im zweistelligen Bereich) sowie das Empfangen und Senden von BTC.
Insgesamt ist der ganze Ablauf stressiger gewesen, als es sich oben in dem Satz liest.
Ich persönlich hatte bis dato NULL Erfahrung mit BTC oder solchen "Bankarten".

Muss dazu sagen, dadurch dass das Konto frisch bzw. neu gewesen ist, wurde der Betrag wegen Geldwäschegesetz (oder so) erst einmal für ca. 1 Woche geblockt.
Dadurch dass BTC in der Zeit gestiegen ist, hat es die Transferkosten wieder ausgeglichen.

Insgesamt ist es cleverer, wenn man von vornherein sein System "Wasserdicht" macht.
Auch wenn mich das relativ viel Zeit und Geld gekostet hat, habe ich verdammt viel dabei gelernt, es hat aber mit Sicherheit auch viel Nerven gekostet.

VIELEN DANK an ALLE, ihr habt mir sehr geholfen.

Nachtrag, offensichtlich werden nicht alle Dateien verschlüsselt.
Wichtig dabei, wenn mit den Daten gespielt wird, dass es KOPIEN sind.
Viele, die "offensichtlich" nicht entschlüsselt werden, können unbenannt werden und dann lassen sie sich anzeigen/abspielen bzw. anderweitig regulär nutzen.

Ich schätze die Quote dennoch sehr hoch ein (über 80%), was die Daten angeht, die verschlüsselte sind.

Zitat von Cosimo

Ich habe letztendlich ein Coinbase Konto angelegt, es mit unserem Paypal Konto verbunden, Bitcoin gekauft, darüber den Betrag transferiert und letztendlich an eine "Wallet ID" gesendet.

Wurde dir die Vorgehensweise erklärt/vorgegeben, mußtest du das selber rauskriegen oder hattest du anderweitig bereits Erfahrung mit BTC ??
Bisher haben IMHO relativ wenige Normalverbraucher Erfahrungen oder Kenntnisse.