Zurück   Trojaner-Board > Malware entfernen > Diskussionsforum

Diskussionsforum: Wiederherstellung der verschlüsselten Dateien (Rechnung.exe, Realtecdriver.exe Schadsoftware)

Windows 7 Hier sind ausschließlich fachspezifische Diskussionen erwünscht. Bitte keine Log-Files, Hilferufe oder ähnliches posten. Themen zum "Trojaner entfernen" oder "Malware Probleme" dürfen hier nur diskutiert werden. Bereinigungen von nicht ausgebildeten Usern sind hier untersagt. Wenn du dir einen Virus doer Trojaner eingefangen hast, eröffne ein Thema in den Bereinigungsforen oben.

Thema geschlossen
Alt 29.04.2012, 13:01   #241
Bernie1951
 
Wiederherstellung der verschlüsselten Dateien (Rechnung.exe, Realtecdriver.exe Schadsoftware) - Standard

Wiederherstellung der verschlüsselten Dateien (Rechnung.exe, Realtecdriver.exe Schadsoftware)



INFO 1
Habe den Trojaner offensichtlich am 24.4. gefangen und relativ schnell mit Avira gescanned, deshalb ist Befall bei mir nicht 100% (dann erst nach 2 Tagen wieder am Rechner gewesen und das Chaos festgestellt)
Habe festgestellt, daß er beide Festplatten mit insgesamt 5 Partitionen gleichzeit verseucht hat, allerdings nur bis übergeordneter Ordner beginnend mit A bis D - also offensichtliche alphabethische Reihenfolge. Leider ist Dokumente und Einstellungen betroffen inkl. aller links.
Ebenso .dll, mdb und so weiter

INFO 2
Habe mit AVIRA-ransomeFileUnlocker test auf stick mit 3 Stück .jpg gemacht. Einzel-decrypt ist fehlgeschlagen (vielleicht Fehler von mir - er hat die gleiche datei mit zusatz "decrypted" am Ende des Namens vor der Endung gespeichert, diese hat sich nicht öffnen lassen), aber als ich "kompletten Ordner" angeklickt habe, hat das Programm innerhalb Sekunden die 3 Bilder von zusammen 10 MB wiederhergestellt.
Leider steht da jetzt das Datum vom 29.4. 2012 - speziell bei Fotos wäre mir das Original Datum der Datei lieber.
Habe dann leichtsinnigerweise das komplette Laufwerk "C" (Partition einer Festplatte) eingegeben: nach vielleicht 15 min bekam ich die Antwort "3048 files entschlüsselt".
Ich glaube aber, es hat nicht funktioniert: Bei xls bekomme ich nach wie vor Hyroglyphen, bei .doc die Meldung "Konverter kann nicht gestartet werden mswrd632.wpc"
Andere Dateien wie .dll, .db kann man so eh nicht testen.

FRAGE:
Kann ich da jetzt nochmal den "DecryptHelper" laufen lassen? Der Name der Original-Datei existiert ja jetzt wieder in den verseuchten Teilen des Laufwerks

Alt 29.04.2012, 15:50   #242
zebulon0401
 
Wiederherstellung der verschlüsselten Dateien (Rechnung.exe, Realtecdriver.exe Schadsoftware) - Standard

Wiederherstellung der verschlüsselten Dateien (Rechnung.exe, Realtecdriver.exe Schadsoftware)



vielen heißen Dank für dein Programm Matkuni, hat mir Zeit und Nerven gerettet.
Ich bin gerne bereit, dir per Paypal eine Anerkennung zu senden, wenn du mir deine Empfängeradresse zukommen läßt.

Ein Problem habe ich allerdings. Ich habe vor DecryptHelper 0.5 zuerst versucht mit Avira Ransom File Unlocker die Dateien zu retten, dummerweise auf der ganzen C Festplatte.
Da die Dateien aber danach erzeugt wurden, aber nicht lesbar sind, habe ich jetzt das Problem, dass ich den DecryptHelper 0.5 dafür verwenden will.

Da aber alle Dateien namentlichals angebliches Original entschlüsselt und schon erzeugt sind, findet DecryptHelper 0.5 natürlich nichts.
Ich müßte jetzt jede einzelne von Avira erzeugte "entschlüsselte" Originaldatei wieder löschen :-(

Gibt es eine Möglichkeit, irgendwie zu hinterlegen "trotzdem erzeugen", also überschreiben.
Das wäre ganz toll

Danke im voraus
zebulon0401
__________________


Alt 29.04.2012, 15:52   #243
markusg
/// Malware-holic
 
Wiederherstellung der verschlüsselten Dateien (Rechnung.exe, Realtecdriver.exe Schadsoftware) - Standard

Wiederherstellung der verschlüsselten Dateien (Rechnung.exe, Realtecdriver.exe Schadsoftware)



hi, kannst du mir mal von avira den verwendeten key hochladen, das verwendete original und die müll datei?
evtl. auch eine der gesperrten falls vorhanden.

Trojaner-Board Upload Channel
noch mal für alle, man entschlüsselt niemals am original, nur an nem backup.
__________________
__________________

Alt 29.04.2012, 16:12   #244
Speasy
 
Wiederherstellung der verschlüsselten Dateien (Rechnung.exe, Realtecdriver.exe Schadsoftware) - Standard

Wiederherstellung der verschlüsselten Dateien (Rechnung.exe, Realtecdriver.exe Schadsoftware)



Huhu!
Ja super..bei allen klappt das wieder,nur bei mir nich *bade ne Runde in Selbstmitleid.Hab es schon mit zwei Pärchen(eine infizierte Bilddatei und eine frisch aus der Camera) mit exakt der selben Größe mehrfach probiert,aber es kommt immer nur "Der Schlüssel konnte nicht bestimmt werden.Und was nu?Muß die Orginaldatei exakt den selben Namen haben,wie die infizierte?

Alt 29.04.2012, 16:14   #245
zebulon0401
 
Wiederherstellung der verschlüsselten Dateien (Rechnung.exe, Realtecdriver.exe Schadsoftware) - Standard

Wiederherstellung der verschlüsselten Dateien (Rechnung.exe, Realtecdriver.exe Schadsoftware)



Original, gesperrte und Mülldatei kann ich dir sofort hochladen, wo finde ich die Avira Keydatei?


Alt 29.04.2012, 16:17   #246
markusg
/// Malware-holic
 
Wiederherstellung der verschlüsselten Dateien (Rechnung.exe, Realtecdriver.exe Schadsoftware) - Standard

Wiederherstellung der verschlüsselten Dateien (Rechnung.exe, Realtecdriver.exe Schadsoftware)



geht auch erst mal so, lads mal bitte hoch.
__________________
--> Wiederherstellung der verschlüsselten Dateien (Rechnung.exe, Realtecdriver.exe Schadsoftware)

Alt 29.04.2012, 16:21   #247
zebulon0401
 
Wiederherstellung der verschlüsselten Dateien (Rechnung.exe, Realtecdriver.exe Schadsoftware) - Standard

Wiederherstellung der verschlüsselten Dateien (Rechnung.exe, Realtecdriver.exe Schadsoftware)



Zitat:
Zitat von markusg Beitrag anzeigen
geht auch erst mal so, lads mal bitte hoch.
geschehen, wobei Original und gesperrte Datei identisch sind, aber die erzeugte eine andere als Beispiel. Es geht aber doch nur um den Schlüssel. oder?

Alt 29.04.2012, 16:23   #248
markusg
/// Malware-holic
 
Wiederherstellung der verschlüsselten Dateien (Rechnung.exe, Realtecdriver.exe Schadsoftware) - Standard

Wiederherstellung der verschlüsselten Dateien (Rechnung.exe, Realtecdriver.exe Schadsoftware)



weitergeleitet ich meld mich
__________________
-Verdächtige mails bitte an uns zur Analyse weiterleiten:
markusg.trojaner-board@web.de
Weiterleiten
Anleitung:
http://markusg.trojaner-board.de
Mails bitte vorerst nach obiger Anleitung an
markusg.trojaner-board@web.de
Weiterleiten
Wenn Ihr uns unterstützen möchtet

Alt 29.04.2012, 16:31   #249
Speasy
 
Wiederherstellung der verschlüsselten Dateien (Rechnung.exe, Realtecdriver.exe Schadsoftware) - Standard

Wiederherstellung der verschlüsselten Dateien (Rechnung.exe, Realtecdriver.exe Schadsoftware)



...gut,gleicher Name bringt auch nix.

Zitat:
Zitat von Speasy Beitrag anzeigen
Huhu!
Ja super..bei allen klappt das wieder,nur bei mir nich *bade ne Runde in Selbstmitleid.Hab es schon mit zwei Pärchen(eine infizierte Bilddatei und eine frisch aus der Camera) mit exakt der selben Größe mehrfach probiert,aber es kommt immer nur "Der Schlüssel konnte nicht bestimmt werden.Und was nu?Muß die Orginaldatei exakt den selben Namen haben,wie die infizierte?
Kann mir irgendjemand sagen,was ich falsch mache,oder noch ausprobieren kann?
Ich verzeifel gleich.Ich kann bestimmt die nächsten zwei Wochen schreiben,wenn ich das nich wieder hin krieg

Alt 29.04.2012, 16:43   #250
zebulon0401
 
Wiederherstellung der verschlüsselten Dateien (Rechnung.exe, Realtecdriver.exe Schadsoftware) - Standard

Wiederherstellung der verschlüsselten Dateien (Rechnung.exe, Realtecdriver.exe Schadsoftware)



Speasy,

ich als Laie hatte es so verstanden, dass es die GLEICHE Datei sein muss.
Hatte bei mir auch gedauert, es zu verstehen.

Konnte mir helfen, indem ich das Original von einem Webserver nahm und die infizierte von der Festplatte. (Alternativ lies mal hier wegen Hintergrundpic von Windows)
Dann stimmten Größe und Inhalt überein

Alt 29.04.2012, 16:46   #251
Speasy
 
Wiederherstellung der verschlüsselten Dateien (Rechnung.exe, Realtecdriver.exe Schadsoftware) - Standard

Wiederherstellung der verschlüsselten Dateien (Rechnung.exe, Realtecdriver.exe Schadsoftware)



Ja ne...es ist das gleiche Bild ...einmal schon von der Camera runtergeladen auf die Festplatte (das bild ist gestern dann infiziert worden und gelockt.Das gleiche Foto habe ich dann heute nocheinmal runtergezogen.Also gleiche Größe,gleicher Inhalt.

Alt 29.04.2012, 20:53   #252
pbruk
 
Wiederherstellung der verschlüsselten Dateien (Rechnung.exe, Realtecdriver.exe Schadsoftware) - Standard

Wiederherstellung der verschlüsselten Dateien (Rechnung.exe, Realtecdriver.exe Schadsoftware)



Hallo zusammen

DecryptHelper von Matthias mit Vista Home und Windows XP verseuchten PC getestet läuft ohne Probleme als Vergleichdaten ein Bild aus dem öffentlichen Verzeichniss benutzt klasse dauerte nur etwas vor allem bei Videos
das blieb mir erspart


Pit

Alt 29.04.2012, 21:23   #253
matkuni
/// DecryptHelper Coder
/// Helfer-Team
 
Wiederherstellung der verschlüsselten Dateien (Rechnung.exe, Realtecdriver.exe Schadsoftware) - Standard

Wiederherstellung der verschlüsselten Dateien (Rechnung.exe, Realtecdriver.exe Schadsoftware)



Bin heute und auch noch morgen mit Unikram beschäftigt und deshalb nur ein kurzes Update.

Zitat:
Zitat von zebulon0401 Beitrag anzeigen
Gibt es eine Möglichkeit, irgendwie zu hinterlegen "trotzdem erzeugen", also überschreiben.
Das wäre ganz toll
- Die Funktion "Existierende Dateien überschreiben" wurde hinzugefügt und macht genau das, was angefragt wurde
- Zeilenumbrüche in der Logdatei sind nun auch unter Windows korrekt

http://matthi.org/DecryptHelper-0.5.2.jar
http://matthi.org/DecryptHelper-0.5.2.exe (für Leute, bei denen Jar-Dateien mit dem falschen Programm geöffnet werden)

Zitat:
Zitat von Speasy Beitrag anzeigen
Huhu!
Ja super..bei allen klappt das wieder,nur bei mir nich *bade ne Runde in Selbstmitleid.Hab es schon mit zwei Pärchen(eine infizierte Bilddatei und eine frisch aus der Camera) mit exakt der selben Größe mehrfach probiert,aber es kommt immer nur "Der Schlüssel konnte nicht bestimmt werden.Und was nu?Muß die Orginaldatei exakt den selben Namen haben,wie die infizierte
Diese Fehlermeldung taucht auf, wenn zwar die Dateigröße die selbe ist, aber die Dateien nach dem Entschlüsseln trotzdem nicht 100%ig übereinstimmen.
Kann dadurch kommen, dass Metadaten (EXIF etc) geändert wurden, nachdem die Datei von der Kamera geladen wurde. Also ein anderes Pärchen suchen.

Es muss sich um die selbe Datei handeln - ohne irgendwelche Änderungen - damit lediglich die Differenz berechnet werden kann, die die Schadsoftware verursacht hat.

Zitat:
Zitat von Bernie1951 Beitrag anzeigen
FRAGE:
Kann ich da jetzt nochmal den "DecryptHelper" laufen lassen? Der Name der Original-Datei existiert ja jetzt wieder in den verseuchten Teilen des Laufwerks
Mit Version 0.5.2 ist dies möglich.
Aber auch der DecryptHelper wird deine Erstell-/Änderungszeitpunkte nicht wiederherstellen können. Eventuell kannst du diese aus den EXIF-Daten deiner Bilder auslesen.

Alt 29.04.2012, 22:20   #254
Bernie1951
 
Wiederherstellung der verschlüsselten Dateien (Rechnung.exe, Realtecdriver.exe Schadsoftware) - Standard

Wiederherstellung der verschlüsselten Dateien (Rechnung.exe, Realtecdriver.exe Schadsoftware)



Zitat:
Mit Version 0.5.2 ist dies möglich.
Aber auch der DecryptHelper wird deine Erstell-/Änderungszeitpunkte nicht wiederherstellen können. Eventuell kannst du diese aus den EXIF-Daten deiner Bilder auslesen.
@ matkuni
Erst Mal vielen Dank - werde die neue Version ausprobieren, spart mir auf jeden Fall jede Menge Zeit.
Exif Datei hat tatsächlich Original Datum

Habe einige Daten recovered mit 0.5.2 - hat fast alles geklappt, bis auf 2 exe (Steuerprogramm von Lexware). Ich warte erst Mal, bis ich alles fertig habe - kann auch an was Anderem hängen
Melde mich noch Mal

Alt 29.04.2012, 22:27   #255
BITFOX
/// Helfer-Team
 
Wiederherstellung der verschlüsselten Dateien (Rechnung.exe, Realtecdriver.exe Schadsoftware) - Standard

Wiederherstellung der verschlüsselten Dateien (Rechnung.exe, Realtecdriver.exe Schadsoftware)



Matthes: Meld dich doch mal bei mir -
wir bauen hier an einander vorbei; das ist Perlen vor die Säue.
Ich habe derweil eine verifizierte Automatik für Win98 und WinXP, die keine 2 Dateien mehr benötigt.

Win7, Win2K und 2K3 sowie 2K8 kann ich leider erst am Mittwoch testen, daher ich Urlaub habe.

Kind Regards.

Oliver

Thema geschlossen

Themen zu Wiederherstellung der verschlüsselten Dateien (Rechnung.exe, Realtecdriver.exe Schadsoftware)
abrechnung.zip, applikation, beliebige, bytes, dateien verschlüsselt, decrypthelper, ebenfalls, locked, log-analyse und auswertung, neue, ransomware, realtecdriver, rechnung.exe, sie haben sich mit einen windows-verschlüsselungs trojaner infiziert, tr/crypt.xpack.gen, tr/injector.lo, trojan.crypt.ebj, trojan:w32/ransomcrypt, trojan:win32/ransom.opv, verschlüsselt, verschlüsselte dateien, verschlüsselung, wiederherstellung, windows update virus



Ähnliche Themen: Wiederherstellung der verschlüsselten Dateien (Rechnung.exe, Realtecdriver.exe Schadsoftware)


  1. Dateien (vermutl. durch Trojaner) verschlüsselt, wiederherstellung möglich?
    Plagegeister aller Art und deren Bekämpfung - 07.03.2015 (5)
  2. gefälschte Rechnung von Vodaphone mit falschem Link zur angeblichen .pdf-Rechnung
    Plagegeister aller Art und deren Bekämpfung - 18.12.2014 (9)
  3. Win 7 64Bit rECHNUNG:EXE TROJANER KEINE VERSCHLÜSSELTEN DATEIEN
    Log-Analyse und Auswertung - 04.05.2014 (7)
  4. Trojan.Ransomcrypt.F in c:\users\XXX\appdata\roaming\{112c4a02-1112-2f13-0e22-00181b0b15df}.exe: Wiederherstellung verschlüsselter Dateien
    Plagegeister aller Art und deren Bekämpfung - 21.09.2013 (5)
  5. Wiederherstellung von durch neuen Tojaner verschlüsselten Dateien
    Plagegeister aller Art und deren Bekämpfung - 06.03.2013 (15)
  6. Benötige Hilfe beim entschlüsseln meiner durch den Virus verschlüsselten Dateien
    Diskussionsforum - 29.01.2013 (4)
  7. Trojaner verschlüsselt Dateien und hängt Endung .police an - Wiederherstellung möglich?
    Plagegeister aller Art und deren Bekämpfung - 25.09.2012 (5)
  8. Bundestrojaner/Bundespolizei Virus mit verschlüsselten Dateien
    Plagegeister aller Art und deren Bekämpfung - 22.09.2012 (10)
  9. Dateien sind alle umbenannt in z.b. aeDepXDTssXlaTsX durch einen Anhang von einer E-Mail (Rechnung)
    Plagegeister aller Art und deren Bekämpfung - 05.09.2012 (1)
  10. Wiederherstellung/Entschlüsselung von Dateien
    Plagegeister aller Art und deren Bekämpfung - 07.06.2012 (5)
  11. (xpost) neuer Verschlüsselungstrojaner mit teils unveränderten aber trotzdem verschlüsselten Dateien
    Mülltonne - 07.06.2012 (3)
  12. Verschlüsselungstrojaner "Windows Update" (Rechnung.zip) incl. Sperrung aller Dateien
    Log-Analyse und Auswertung - 31.05.2012 (3)
  13. Trojaner? Rechnung.exe geöffnet aus Email, Dateien nun locked
    Plagegeister aller Art und deren Bekämpfung - 30.04.2012 (12)
  14. Aufnahme in "zu entschlüsselnde User"-Liste (Realtecdriver.exe / locked-?.wxyz)
    Log-Analyse und Auswertung - 27.04.2012 (2)
  15. Wiederherstellung der verschlüsselten Dateien nach Trojan.Encoder
    Anleitungen, FAQs & Links - 25.04.2012 (1)
  16. .exe-Dateien + Task-Manager öffnen nicht, Sys-Wiederherstellung klappt nicht
    Log-Analyse und Auswertung - 11.05.2011 (3)
  17. Erpressung mit verschlüsselten Dateien
    Plagegeister aller Art und deren Bekämpfung - 07.12.2010 (1)

Zum Thema Wiederherstellung der verschlüsselten Dateien (Rechnung.exe, Realtecdriver.exe Schadsoftware) - INFO 1 Habe den Trojaner offensichtlich am 24.4. gefangen und relativ schnell mit Avira gescanned, deshalb ist Befall bei mir nicht 100% (dann erst nach 2 Tagen wieder am Rechner - Wiederherstellung der verschlüsselten Dateien (Rechnung.exe, Realtecdriver.exe Schadsoftware)...
Archiv
Du betrachtest: Wiederherstellung der verschlüsselten Dateien (Rechnung.exe, Realtecdriver.exe Schadsoftware) auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.