Virus - ransomware

[azereus]

am freitag hat sich ein kunde einen virus eingefangen.
und zwar den der alle dateien verschlüsselt und umbenennt
ransomware

hab die wichtigsten verschlüsselten dateien zusammen und auch die älteren originale

nur kann ich mit keinem programm den schlüssel erzeugen um die daten zu entschlüsselt...


anbei "bilder.rar" mit dem original und der verschlüsselten datei

weiters die programme mit denen ich versucht hab die daten zu entschlüsseln


kann mir von euch wer helfen?

 

[firexs]

http://support.kaspersky.com/de/viruses/solutions?qid=208641247

Viel Glück.

lg
fire

 

[MrStools]

nochn link

 

[azereus]

kaspersky funktioniert nicht mehr.
zum einen lässt sich die iso nicht laden zum anderen wurde das gerät bereits aus einer sicherung wiederhergestellt um arbeiten zu können. jetzt sind nur die differenzdaten zu entschlüsseln.

@stools. hab ich vor 15minuten versucht. kein erfolg

Ergänzung (21. Mai 2012)

und up.
ist noch jemand an der Sache drann??

hat jemand einen anderen Vorschlag oder Hilfe parat?

Ergänzung (21. Mai 2012)

/edit: das ist die meldung des trojaners. 265bit aes verschlüsselung und 100€

dateien haben kein "locked.****" und keine Endung!

 

[XReaper]

Schau mal hier:

http://www.trojaner-board.de/114115...nung-exe-realtecdriver-exe-schadsoftware.html

Besonders auf den letzten Teil im ersten Post...einfach mal ausprobieren.

 

[azereus]

wie gesagt: die in meinem fall verschlüsseltend dateien haben kein locked.* am anfang

hab mal etwas gestöbert im boart und für die wichtige outlook.pst was gefunden.
angeblich soll ich die verschlüsselte pst (qqyVugTlqEugUGq = dateiname und 9GB groß) in qqyVugTlqEugUGq.pst umbenennen und scanpst.exe ausführen.
bin gerade am kopieren und gleich am testen

/edit:
http://www.trojaner-board.de/115183-neue-verschluesselungs-trojaner-variante-umlauf.html
scheint als hätte sich unser kunde die "neue" version des trojaners eingefangen

Ergänzung (21. Mai 2012)

ja also es funktioniert!

sollte jemand von euch diesen ukash-verschlüsselungs-trojaner zufälligerweise bekommen:
es gibt mehrere Versionen davon!

v1: http://www.trojaner-board.de/114783-verschluesselungs-trojaner-tools-ubersicht.html
dateien werden verschlüsselt und umbenannt. locked.****.****
für diese version gibt es diverse programme zum entschlüsseln. einige sind in meinem ersten post.
ihr benötigt allerdings die unverschlüsselte original-datei um den schlüssel zu generieren

v2:http://www.trojaner-board.de/115183-neue-verschluesselungs-trojaner-variante-umlauf.html
dateien werden verschlüsselt und umbenannt. z.b. "qqyVugTlqEugUGq" (ist in meinem fall die outlook.pst 9GB)
hierfür gibt es noch keine programme. allerdings lässt sich die outlook.pst rekonstruieren!
hierfür braucht ihr office 2007/2010. kopiert euch die verschlüsselte outlook-datei weg, startet scanpst.exe aus c-programme-microsoftoffice-office14... und repariert die kopie. anschließend in outlook importieren
teilweise lassen sich bilder mit den recovery-tools rekonstruieren.

v3: http://www.trojaner-board.de/115183-neue-verschluesselungs-trojaner-variante-umlauf.html
dateien werden verschlüsselt und nicht umbenannt.
dieser trojaner ist der fieseste! man merkt es kaum. erst wenn nichts mehr öffnen geht.



grundsätzlich ist zu sagen: offnet nicht blindwütig den anhang einer verdächtigen mail mit einer zahlungsaufforderung oder rechnung.

im trojaner-board findet ihr hilfe!

 

[azereus]

so inzwischen ist der trojaner das zweite mal aufgetaucht.
bei diesem user hab ich jetzt eine andere variante versucht.

trojaner ist v2: verschlüsseln+umbenennen ohne "locked.****"

platte ausgebaut und vorgängerversion wiederherstellen
hat bis jetzt anstandslos funktioniert bei einzelnen ordnern

werd das ganze jetzt auf die komplette platte ausweiten, anschließend mit norton drüberscannen (norton ist laut virustotal einer der virenscanner der den trojaner erkennt)
ist die bereinigung abgeschlossen werd ich natürlich eine kopie des systems machen und danach im abgesicherten modus mal starten und schauen was passiert