DirtyDecrypt - Verschlüsselungs-Trojaner
 

DirtyDecrypt - Verschlüsselungs-Trojaner

seit einigen Tagen ist ein neuer "Verschlüsselungstrojaner" im Umlauf.
Verschlüsselt werden u.a Dokumente, Bilder etc.

Betroffene sollten hier im Forum ein Thema eröffnen.

Man bekommt beim Aufruf folgende Meldung:


http://www.trojaner-board.de/attachm...1&d=1369215218

Falls man die dirty...exe auf seinem Computer drauf hat, kann man sich es sparen die zu starten (sollte man so oder so):
hxxp://www.bleepingcomputer.com/forums/t/493322/dirtydecryptexe/

moin,
ich habe mir mal ein paar "verschlüsselte" JPEG-Bilder angesehen.
Alle haben eins gemeinsam.
Von 0x0000h bis 0x64f9h sind alle gleich.

http://due-m.de/dirtydecrypt.jpg

Bei diesen 25850 Bytes handelt es sich um ein PNG-Picture und beinhaltet genau das oben gezeigte schwarze Bild..
Der Rest der Dateien ist für die Darstellung ohne Belange und enthält wahrscheinlich die Originaldatei, wobei allerdings ab 0x64fa nichts auf einen JPG-Header hindeutet.

Da ich kein Vergleichsoriginal habe, kann ich nicht einschätzen, ob diese 25k komplett mit dem PNG überschrieben, oder ob es nur eingehangen wurde.

Falls der Rest der Datei tatsächlich das Original ist, wurde zumindest der Header komplett zerstört.

Undertaker

Eine JPEG Datei sollte mit aufhören

DirtyDecrypt

ich habe im Quarantäne Verzeichnis von Avira noch einiges von diesem Trojaner.

Ich habe 3 Screenshots von meinem Avira Quarantäne Verzeichnis gemacht und diese mit einer MAil ans Board gesendet. Ferner habe ich hier verschlüsselte und bestimmt das eine oder andere Bild, Dokument, xls-, pdf-Datei dazu unverschlüsselt passende Datei.

Kann jemand damit etwas anfangen? Wenn ja dann schreib mir bitte wie und wohin ich sowas hochladen kann.

Grüße markus320

uns würde ein verschlüsseltes und ein unverschlüsseltes zum vergleichen helfen. Du kannst einen Hoster (mag ich nicht so gerne) nutzen oder es direkt hier anhängen.

FF Marken findet man zuhauf, allerdings fast keine JPG-typischen FF Dx.
Von einer Quantifizierungstabelle ist weit und breit auch nichts zu sehen.
Nichtmal etwas was annähernd danach riecht.

@Markus,
ich schicke Dir einen FTP-Link zu meinem privaten Server.

ich würde mich (auch) drüber freuen zwei Dateien zu vergleichen...

Ich seh schon mort hat um einiges mehr ahnung als ich (undertaker sowieso) :)

mort guck mal wir haben schon voll viele Sterne gesammelt :D


mfg HardStylerx3

20 Min Internet Ausfall :kloppen:

Ich sehe auch nur noch Sterne, hexadezimale. :blabla:

Welchen Hex Editor nutzt du? :)

Klar kam die Nachricht an.
HxD, da Freeware, gelegentlich auch UE und UC von IDM.

Ok, dann habe ich das gleiche

Hallo,

Die "ca. 25 kB", sind das Photoshop-Bild. (PNG)

Bei anderen Formaten pappt ein RTF vor den verschlüsselten Daten.
- Das sind nur einige Bytes.

Das Teil ist mehr als 200-1000 mal langsamer als andere Varianten, also begnügt sich der Kappes nicht mit 2k oder 12k einer Datei.
- Der verschüsselt scheinbar die ganze Datei.

Tschau