Verschlüsselungs-Trojaner: Problem mit geänderten Dateinamen unter Win XP
 

Hallo erstmal!

Eingangs: Hab mich erst gerade registriert und konnte den deutschen Reim "ene mene miste es rappelt in der" erst nach Google-Hilfe lösen. Für die Österreicher (wie mich) fast unlösbar :)

Nun zu meinem, hoffentlich LÖSBAREN, Problem:

Hab hier den Laptop einer Bekannten die sich den "Verschlüsselungs-Trojaner" mit der oben angezeigten Grafik eingefangen hat. Konnte den PC dank "Kaspersky Notfall CD" wieder starten, habe aber nun das Problem, dass sämtliche Dateien umbenannt wurden. Ein starten dieser ist nun nur umständlich möglich.

Daher die Frage, ob es ein Tool gibt, dass die Änderung wieder rückgängig macht.

Laut Forum soll es etwa mit ShodowExplorer gehen, jedoch läuft dieser unter XP nicht. :heulen:

Daher suche ich Rat.

Hallo timtom,
in Windows XP ist der VolumeShadowService stark eingeschränkt.
Du schreibst:
"Ein starten dieser ist nun nur umständlich möglich."
Wie ist das zu verstehen?
Unter welchen Umständen kannst Du die Dateien starten bzw. öffnen?

In welcher Form werden die verschlüsselten Dateien dargestellt?

Als locked-xxxxxxxxxx.yyy.zzzz oder DFfgrttzGHJIKGFhg ?

Gruß Volker

hallo und besten dank fürs feedback bzw hilfestellung!

1. ein öffnen ist insofern möglich, dass ich den dateien die richtige endung (doc, jpg, ...) zuordnen bzw diese umbenennen muss. das ist natürlich umständlich und bei einem fremden gerät tue ich mich umso schwerer...

2. die dateien sind ohne endung also wie du als zweites beispiel angeführt hast (DFfgrttzGHJIKGFhg).

@timtom,
wie unterscheides Du, hinter welcher Datei welches Format steckt, also was eine DOC und was ein JPG ist?
Ist eine umbenannte und mit der Extension DOC versehene Datei in Word zu öffnen und ergibt der Inhalt Sinn?
Gleiche Frage für JPG und andere Formate.

Dass durch bloßes Umbenennen brauchbare Dateien entstehen, höre ich zum ersten mal.
Eine Ausnahme bilden MP3s, da sich der MP3-Decoder auf die Daten synchronisiert und die ersten verschlüsselten 4k bestenfalls ein Knacken oder Kratzen verursachen.

Wenn dem also so ist, wie Du schreibst, dann würde ich die Daten erstmal sichern und ihnen dann gemeinsam mit der Bekannten zu brauchbaren Namen verhelfen.

Mache nochmal einen Scann mit Malwarebites und schau nach, ob das System tatsächlich sauber ist.
Notebooks haben in der Regel die Möglichkeit eines Recover.
Wenn Ihr also die Daten habt und nicht allzuviel nachinstalliert werden muß, dann wäre ein Recover des Rechners sinnvoll.

Gruß Volker

ich kann bei der zuordnung des dateiformates nur raten, oder der name des ordners (zb urlaubsfotos) lässt einen rückschluss zu.

da es offensichtlich keine möglichkeit gibt die umbennung rückgängig zu machen, muss die gute bekannte wohl selbst manuell hand anlegen. werd das system nach getaner arbeit dennoch neu aufsetzen. sicher ist sicher.

was mich grundsätzlich interessiert: werden die urheber dieses trojaner, der doch sicherlich einiges an schaden anrichtet bzw noch wird, überhaupt durch exekutive verfolgt. diese typen hätt ich dann gerne mal für 5 minuten gesprochen... :sword2: :twak:

@timtom,
es gibt durchaus Tools, die Dateiumbenennungen am Block durchführen.
Mir fällt da beispielsweise der TotalCommander ein.
Für (N) Name beispielsweise Bild
Für (Z) den Zähler mit Schrittweite z.B. 001 1
Für (E) Extension jpg

Alle markierten Dateien werden dann in Bild001.jpg bis Bildxxx.jpg umbenannt.
google mal nach Mehrfachumbenennung.

Trotzdem ist es mir schleierhaft, dass das so trivial bei Dir möglich ist.
Du bist leider auf meine Fragen nicht eingegangen.

Gruß Volker