Hallo,
Erstmal super das es dieses Forum gibt und ich es gefunden habe.

In Anlehnung an dieses Thema: http://www.trojaner-board.de/179676-...ml#post1592720 möchte ich in diesem Forumsbereich ein neues Thread eröffnen.

Folgendes ist passiert:
-Win 8.1 64bit
-Freitag 17:00 erhielten meine Eltern eine Email mit einem Lebenslauf.zip Anhang, da meine Eltern aktuelle Personal suchen wurde die Mail geöffnet
-Aus Gewohnheit hat man sich nichts bei dem sich nicht öffnenden Anhang gedacht und den PC einfach laufen gelassen
-Heute morgen konnte man dann keine Word etc mehr öffnen und ich wurde "konsultiert"
-Etwa 75-80% aller Dateien am PC wurden mit .xipr verschlüsselt
-ich habe dann den Prozess gekillt und aus dem Autostart genommen
-nach einem Neustart war der Spuk zu Ende
-Malwarebytes und McAfee haben leider GAR NICHTS gefunden....

Wir haben uns bereits damit abgefunden, dass wir den PC wohl einmal komplett formatieren werden und dann Windows neu installieren.

Allerdings ein paar wichtige Fragen:
-Besteht die Möglichkeit, dass alle Daten "irgendwohin" hochgeladen wurden?
-Besteht die Möglichkeit, dass das gemeinsame Netzwerk infiziert wurde/ist? Ich habe seit heute 10:00 Uhr einen Win7 Rechner den niemand mehr braucht per LAN Kabel am selben Router angeschlossen um zu checken, ob sich irgendwas tut (=mit xipr verschlüsselte Files). Das ist bis jetzt, etwa 9Std später, nicht der Fall.

Danke! Viele Grüße!

-Besteht die Möglichkeit, dass alle Daten "irgendwohin" hochgeladen wurden?

Ja. Aber eigentlich haben die Erpresser "nur" darauf abgesehen, die Dateien zu verschlüsseln um Kohle zu erpressen.

-Besteht die Möglichkeit, dass das gemeinsame Netzwerk infiziert wurde/ist? Ich habe seit heute 10:00 Uhr einen Win7 Rechner den niemand mehr braucht per LAN Kabel am selben Router angeschlossen um zu checken, ob sich irgendwas tut (=mit xipr verschlüsselte Files). Das ist bis jetzt, etwa 9Std später, nicht der Fall.

Auch hier: theoretisch ja. Einmal ausgeführt versucht ein (aktueller) ransom alles zu verschlüsseln was er kann. Auch Netzlaufwerke und Freigaben, die nicht als Netzlaufwerk gemapt sind. Und es wird versucht, alle Schattenkopien zu löschen, das klappt meistens wenn Adminrechte im Spiel sind (weil der User eh alles ohne richtig lesen abnickt wenn die UAC aufpoppt )

Das sind die primären Absichten eines ransoms. Dazu gehört eigentlich nicht das System, auf dem er ausgeführt wurde, zu kompromittieren - und eigentlich noch weniger andere Rechner, das wäre wohl noch eine Nummer schwieriger remote. Aber halt eben Daten verschlüsseln lokal und auf SMB-Shares. Sowas wie petya hat gar den MBR versucht zu manipulieren => Petya: Erpressungs-Trojaner riegelt gesamten Rechner ab | heise Security

Wie man also deutlich sieht, ist es schon fahrlässig ständig mit Adminrechtenzu arbeiten. Aber unter Windows bedeuten eingeschränkte Rechte leider zu häufig: dies und das geht nicht oder nur megaumständlich. Die UAC (Benutzerkontensteuerung) nervt leider nur, wird nicht richtig gelesen und sofort wird mit einem Klick auf 'ja" alles vom Anwender durchgewinkt.

Zitat von cosinus

Ja. Aber eigentlich haben die Erpresser "nur" darauf abgesehen, die Dateien zu verschlüsseln um Kohle zu erpressen.


Auch hier: theoretisch ja. Einmal ausgeführt versucht ein (aktueller) ransom alles zu verschlüsseln was er kann. Auch Netzlaufwerke und Freigaben, die nicht als Netzlaufwerk gemapt sind. Und es wird versucht, alle Schattenkopien zu löschen, das klappt meistens wenn Adminrechte im Spiel sind (weil der User eh alles ohne richtig lesen abnickt wenn die UAC aufpoppt )

Das sind die primären Absichten eines ransoms. Dazu gehört eigentlich nicht das System, auf dem er ausgeführt wurde, zu kompromittieren - und eigentlich noch weniger andere Rechner, das wäre wohl noch eine Nummer schwieriger remote. Aber halt eben Daten verschlüsseln lokal und auf SMB-Shares. Sowas wie petya hat gar den MBR versucht zu manipulieren => Petya: Erpressungs-Trojaner riegelt gesamten Rechner ab | heise Security

Wie man also deutlich sieht, ist es schon fahrlässig ständig mit Adminrechtenzu arbeiten. Aber unter Windows bedeuten eingeschränkte Rechte leider zu häufig: dies und das geht nicht oder nur megaumständlich. Die UAC (Benutzerkontensteuerung) nervt leider nur, wird nicht richtig gelesen und sofort wird mit einem Klick auf 'ja" alles vom Anwender durchgewinkt.

Danke für die Antwort.
Verstehe. Also eine Heimnetzwerkgruppe mit Freigaben o.ä. ist nicht konfiguriert. Unter Netzwerk am Arbeitsplatz werden bei uns zwar die anderen PCs angezeigt, das müsste daran liegen das hier 3 PCs über die selbe LAN Verkabelung an den Router gehen, ich kann sie aber nicht öffnen oder anschauen.
Es ging mir tatsächlich auch "nur" um diese anderen beiden Rechner.

Ist es möglich herauszufinden, was für ein Trojaner es ist und so auf seine Fähigkeiten/Folgen zu schließen? Gerade im Hinblick darauf, ob eine vollständige Formatierung ausreicht um den betroffenen PC wieder gangbar zu machen.
Genauso wärs auch interessant, was mit den anderen PCs im Haus ist. Müsste der Trojaner nicht "sofort" loslegen? Wenn ja, dann wären wir ja jetzt sicher? Der PC der jetzt bald knappe 12 Stunden läuft hat keinerlei Verschlüsselungsanzeichen....

Danke nochmal!

Einfach den betroffenen PC neu installieren. Platte mit Nullen zu überschreiben ist völlig überflüssig, das macht man zB nur wenn man den PC samt Platte oder die Platte allein verkaufen will und der neue Besitzer nicht an private Daten rankommen soll.

Zitat von cosinus

Einfach den betroffenen PC neu installieren. Platte mit Nullen zu überschreiben ist völlig überflüssig, das macht man zB nur wenn man den PC samt Platte oder die Platte allein verkaufen will und der neue Besitzer nicht an private Daten rankommen soll.

Danke! Auf die anderen Punkte meines Posts gehst du nicht ein, weil es unkritisch ist und einfach nur der erste PC betroffen ist? :P

Bin auf das mit Nullen überschreiben nur gekommen, weil die Daten beim einfachen formatieren ja nicht wirklich gelöscht werden. Hatte sogar bei einer PC Help Hotline angerufen wo der Herr sagte, einer dieser Encryption Viren ist richtig bösartig. Der kann angeblich aus einer VM ausbrechen, verschlüsselt mit "Military Grade" und breitet sich im ganzen Netzwerk aus. Das geht so weit, dass er sich ins BIOS schreibt und dann hilft selbst formatieren nichts, sondern nur Neukauf.
Weiß nicht was ich davon halten soll, meine Stimmung hat es nicht gerade verbessert.

Was bitte ist denn nicht beantwortet worden...was die primären Absichten von ransomware sind, hab ich doch in der ersten AW schon gepostet.

Was die PC Help Hotline da so von sich gegeben hat, lässt sich eher in den Bereich Mythen & Legenden einordnen...

Zitat von cosinus

Einfach den betroffenen PC neu installieren. Platte mit Nullen zu überschreiben ist völlig überflüssig, das macht man zB nur wenn man den PC samt Platte oder die Platte allein verkaufen will und der neue Besitzer nicht an private Daten rankommen soll.

Mir ist nicht klar, was hier unklar ist. Du hast einen verseuchten Rechner. Du sollst den Rechner neu aufsetzen. Für den Reset des Rechner gibt es EBAN.

Felix, was spamst du hier schon wieder rum?

Was hast Du gegen eine Säuberung mit EBAN

EBAN <=> DBAN



Naja, wie auch immer. ich nulle meine Platten nur mit dd oder pv

Zitat von cosinus

EBAN <=> DBAN



Naja, wie auch immer. ich nulle meine Platten nur mit dd oder pv

Alter Krümelkacker, der Link war aber richtig