CTB Locker - Beschädigte Dateien entfernen

[speedcOre]

Hallo!

Heute hat es uns kalt erwischt. In der Firma hat offenbar jemand den so genannten "CTB Locker" auf seinem PC. Durch die Netzlaufwerke sind nun auch ganze Ordner / Freigaben vom Server betroffen.

Ich habe zu dem Thema nun mehrere Fragen, vielleicht kann ja jemand helfen.

1) Ist ein PC auch dann infiziert und wird mit der "Zerstörung" fortfahren wenn auf ihm lediglich einzelne Dateien verschlüsselt wurden, ohne aber, dass er selbst das "Programm" laufen hat? (Bspw. der Server, der nur via Netzlaufwerk erwischt wurde)


2) Ich habe ein BackUp eingespielt, nun sind die sauberen Dateien wieder da, die verschlüsselten trotz "Daten überschreiben" - Modus aber auch noch. Was kann man hier tun? Wir haben ziemlich komplexe Ordnerstrukturen; gibt es dennoch eine Möglichkeit, die Dateien schlagartig alle wegzulöschen?

Ich würde mich über eure Mithilfe sehr freuen. Der Tag ist schon gebraucht genug. :-)

Vielen Dank und beste Grüße
Sebastian

 

[IRON67]

In der Firma hat offenbar jemand den so genannten "CTB Locker" auf seinem PC. Durch die Netzlaufwerke sind nun auch ganze Ordner / Freigaben vom Server betroffen.

Ganz toll. Cryptolocker gibts mittlerweile massenhaft in diversen Varianten. Es kann nicht ausgeschlossen werden, dass sich eurer auch verbreitet und nicht nur alles Erreichbare verschlüsselt hat.

1) Ist ein PC auch dann infiziert und wird mit der "Zerstörung" fortfahren wenn auf ihm lediglich einzelne Dateien verschlüsselt wurden

Ich fürchte, dass das nicht mal euer Admin mit letzter Sicherheit feststellen kann. Und wenn man die schlimmere Möglichkeit nicht definitiv ausschließen kann, geht man klugerweise davon aus, dass der worst case vorliegt.

Was kann man hier tun? Wir haben ziemlich komplexe Ordnerstrukturen; gibt es dennoch eine Möglichkeit, die Dateien schlagartig alle wegzulöschen?

Hier sollten vom Fachmann alle betroffenen Rechner komplett neu aufgesetzt bzw. durch ein sauberes Image wieder vertrauenswürdig gemacht werden. Ich hoffe nur, dass nicht du derjenige in der Firma bist, der das machen soll.

 

[speedcOre]

Hi,

danke für die schnelle Antwort.
Doch, ich werde in Kooperation mit meinem Kollegen derjenige sein, der das Problem behebt.

Den PC, der der Urheber des Problems war, habe ich neu aufgesetzt. Den Server zudem bereinigt (freigegebene Ordner geleert und per BackUp neu eingespielt).
Nun sieht alles sauber aus - mal schauen, ob sich morgen noch was tut.

Schönen Abend noch.

Sebastian

 

[IRON67]

Nun sieht alles sauber aus...

Das könnten deine letzten Worte vor der Entlassung gewesen sein.

 

[speedcOre]

Bezweifle ich - angesichts der Tatsache, dass ich mein eigener Chef bin - recht stark, aber man wird sehen. :-)

Einfach mal aus Interesse: inwiefern weichen Deine Tipps und mein Tun nun derart grob voneinander ab, dass Du zu solchen Aussagen neigst? :-)

Alle augenscheinlich verschlüsselten Dateien sind entsorgt, und alle augenscheinlich betroffenen Rechner neu aufgesetzt. Zu mehr Know-How und Idee hast Du dich ja auch nicht hinreissen lassen, und mehr kann man aktuell auch nicht tun, würde ich sagen.

 

[IRON67]

Bezweifle ich - angesichts der Tatsache, dass ich mein eigener Chef bin - recht stark, aber man wird sehen.

Tja dann...

inwiefern weichen Deine Tipps und mein Tun nun derart grob voneinander ab, dass Du zu solchen Aussagen neigst?

Dir reicht der AUGENSCHEIN, um vom denkbar günstigsten Fall auszugehen. Ich weiß, dass nach einer Infektion nichts weniger aussagekräftig ist als gerade dieser Augenschein.

Kompromittierung
Wie man Viren richtig entfernt

 

[Freaker2510]

Hi,
wir hatten auch vor einigen Wochen bei uns in der FA. einen CTB Locker. Hier hilft wirklich nur Backup wiederherstellen. Die verschlüsselten Daten kannst du leider vergessen.
Wichtig ist hier auch das du deine "Jeder" Freigaben überprüfst falls du solche hast und natürlich die Ordner wo der Betreffende Benutzer schreibrechte hat.

Und noch zum schluss "Anwenderschulen". Das A und O. Nicht einfach auf nichts sagende Anhänge drauf huppen und sich dann über Virenbefall wundern.

Gruß
Freaker2510

Edit: Achja und Betroffene Rechner !!nur!! neu installieren. Wer weiß was dieser CTB-Locker noch sonst wohin schreibt.