Verschlüsselungstrojaner eingefangen...

[Siggi86]

Hallo Leute,
meine Freundin hat sich einen Verschlüsselungstrojaner eingefangen...Sie hat eine Email bekommen und scheinbar auf den Anhang geklickt...

Auf jeden Fall kommt immer ein Fenster, in dem man Geld überweisen muss. Alle Dateien sind verschlüsselt und man nichts machen.

In den abgesicherten Modus kommt sie auch nicht...Was kann man noch machen? Über die Eingabeaufforderung irgendetwas?

habe diesen link gefunden: http://support.kaspersky.com/de/viruses/solutions?qid=208641247

und ein video wie man den gema virus entfernt: http://www.youtube.com/watch?v=Rme1NLkXvYw

Geht das auch mit dem Virus? Falls ich auf den Desktop komme, kann ich eine Systemwiederherstellung machen oder bringt das nichts mehr?

Es geht um wichtige Dateien von ihrem Studium, die sie nicht auf dem neusten Stand gesichert hat. Gibt es überhaupt eine Chance oder bringt es nur was das gesamte System neu aufzusetzen?

Über eure Ratschläge bin ich dankbar.

P.S.: System ist Windows XP Prof.

MfG

 

[6shop]

linux-live-cd -> daten sichern -> win neuaufsetzen

 

[undervolter]

Das ist alles was mir dazu einfällt.

Wenn die Verschlüsselung gut ist kommst du nicht mehr an die Daten die bereits verschlüsselt wurden. Der Sinn ist ja den Nutzer des PCs zu erpressen das Passwort zu kaufen -> Ransom-Ware eben.

 

[Siggi86]

danke für die schnelle antwort.
kannst du mir das bitte näher erklären mit der linux live cd? habe davon noch nichts gehört...

 

[6shop]

• lad dir eine linux version herunter
• brenne die iso auf ne dvd/cd
• ins BIOS gehen und die bootreihenfolge ändern (DVD/CD-laufwerk auf die erste position)
• linux von der DVD/CD starten (keine installation notwenidig!)
• daten auf eine externe platte/usb-stick ziehe -> win neuaufsetzen

 

[Nizakh]

@Siggi86: Ganz einfach, du lädst dir das hier runter:
https://www.computerbase.de/downloads/betriebssysteme/ubuntu/
brenne dann das Image auf eine Disc, schmeiße diese dann in deinen Rechner, es kommt ein Menü, dort wählst du "Try Ubuntu" & dann kommst du in den Live Modus, sprich das Betriebsystem wird von der Disc gebootet & du kannst deine Daten dann kopieren.

 

[Fehlermeldung]

Für das Linux Live: Einfach die Datei runterladen und auf ne CD/DVD brennen. Einlegen, das Laufwerk zum booten auswählen und dann startet das von der CD. Dort wichtige Daten auf nen Stick oder so kopieren. Man findet sich gut zurecht, habs letztens auch benutzt.

 

[brubbelmichi]

Ich nehme an es geht um diesen Trojaner?
dazu gibts auch noch ein Ergänzungsvideo.

http://www.youtube.com/watch?v=Z1irybtZy4M&feature=plcp

 

[Pako1997]

Vielleicht hilft dir der Avira Ransom File Unlocker

 

[Enigma]

Gerade noch einmal den Newsreader durchstöbern müssen. F-Secure hatte mal darüber geblogged und habs gefunden:
http://www.f-secure.com/weblog/archives/00002349.html

Vielleicht hilft dir das weiter.

 

[Simpson474]

Man sollte hier ziemlich vorsichtig vorgehen, wenn man noch was retten will. Als erster Ansatz würde ich mal den "Abgesicherten Modus mit Eingabeaufforderung" verwenden - in diesem kann der Trojaner nicht mitstarten und die HDD ist unter Windows eingebunden. Das gefährliche an Linux und älteren Windowsversionen ist, dass dort die Schattenkopien verloren gehen können - meist sind diese die einzige Möglichkeit noch Daten zu retten. ie Verschlüsselungsgeschwindigkeit des Trojaners ist enorm, da dieser nur ein paar KB der Datei verschlüsselt, was meist jedoch zum Zerstören ausreichen sollte - daher würde ich wirklich zunächst versuchen mit der Eingabeaufforderung im abgesicherten Modus auszukommen und keine Experimente im normalen abgesicherten Modus durchzuführen.

EDIT: Die Tools zum Entschlüsseln funktionieren nur mit alten Versionen des Trojaners - wenn man Pech hat gibt es keine Möglichkeit zur Entschlüsselung.

 

[Siggi86]

wow das ist ja super, und der virus meldet sich da nicht mehr? er ist ja auf der festplatte drauf...sind die daten dann durch die linux live cd nicht mehr verschlüsselt? ich werde es morgen auf jeden fall probieren und euch rückmeldung geben.

vielen dank!

das macht schonmal hoffnung...

@brubbelmichi: genau das ist der virus.

danke auch für die anderen tipps.

Edit: @ Simpson474: danke für deine einschätzung. würdest du es also nicht mit der linux-live-cd probieren? soll ich dann in der eingabeaufforderung so vor gehen wie in dem youtube-video?

 

[Simpson474]

Die Videos sind meist nicht wirklich hilfreich, da es schon viele Versionen des Trojaners gibt. Meist muss man alle möglichen Autostartoptionen (Autostart, System/Benutzer "Run"-Schlüssel in der Registry, "userinit"-Schlüssel in der Registry, Image Files in der Registry) absuchen, damit man das Teil endgültig losbekommt. Ich sehe jedoch gerade, dass Windows XP im Einsatz ist - dort ist die Schattenkopie noch nicht funktionsfähig, du kannst also auch Linux verwenden ohne Gefahr zu gehen, weitere Dateien zu zerstören - allerdings sind die Chancen bei Windows XP alles andere als gut.

 

[Boogeyman]

Wenn du die Daten mit einer Linux CD sicherst, bleiben die natürlich verschlüsselt. Ich sichere Daten meisten mit der Hiren's BootCD 15.1 , dort ist ein Mini XP dabei, damit kannst du z.B. die Daten auf der C, auf eine andere Partition schieben.

Ist Ihr PC von der Bundespolizei, GEMA, BKA oder anderen Institutionen gesperrt?

Übrigens, den infizierten Rechner keinesfalls an lassen und den Erpresser Screen bewundern! Der Trojaner braucht eine gewissen Zeit, um die eigenen Dateien zu verschlüsseln.

 

[brubbelmichi]

Ich finde in dem Video wird gut die grundlegende Vorgehensweise gezeigt, wie man es machen könnte, falls man nicht das System neu aufsetzen will.
Das Hauptproblem wird wohl sein, die Dateien wieder entschlüsselt zu bekommen. Dazu müsste man herausfinden welche Version des Virus vorliegt und eventuell in einschlägigen Boards stöbern, ob es Tools gibt, womit man das ganze wieder entschlüsseln kann.
Ansonsten sehe ich leider schwarz für die Dateien, falls der Rechner nach der Infizierung lange genug lief, damit die Daten verschlüsselt werden konnten.

 

[Siggi86]

ok ich werde es morgen versuchen...sind eigentlich nur die daten von C verschlüsselt oder auch von der 2. partition?

 

[Boogeyman]

Kommt ev. auf die Version des Trojaners an, ich hatte hier ein Exemplar, das hat die komplette Festplatte verschlüsselt. (auch andere Partitionen)

 

[Siggi86]

Ok Danke für die Rückmeldung. Ich werde es morgen mit einer Live Cd probieren...Kann man das System in einen früheren Zustand versetzen über die Eingabeaufforderung? Oder kann man den Virus dadurch nicht entfernen?

 

[Simpson474]

Kommt ev. auf die Version des Trojaners an, ich hatte hier ein Exemplar, das hat die komplette Festplatte verschlüsselt. (auch andere Partitionen)

Bei manchen wurde sogar noch das komplette NAS verschlüsselt.

 

[Boogeyman]

Ok Danke für die Rückmeldung. Ich werde es morgen mit einer Live Cd probieren...Kann man das System in einen früheren Zustand versetzen über die Eingabeaufforderung? Oder kann man den Virus dadurch nicht entfernen?

Anleitung im unteren Link lesen! Oder du machst eine Wissenschaft daraus, und liest dich beim http://www.trojaner-board.de/ ein.

Wenn du die Daten mit einer Linux CD sicherst, bleiben die natürlich verschlüsselt. Ich sichere Daten meisten mit der Hiren's BootCD 15.1 , dort ist ein Mini XP dabei, damit kannst du z.B. die Daten auf der C, auf eine andere Partition schieben.

Ist Ihr PC von der Bundespolizei, GEMA, BKA oder anderen Institutionen gesperrt?