@ bitfox
Oliver
ich habe XP und noch einige 1000 Dateien vor mir - soll ichs Mal Morgen testen?

Bernie

Hallo wir haben hier ein Problem beim Schlüssel erzeugen.
Egal welche Datei mann verwendet kommt immer der Fehler: Dateien unterschiedliche Göße.
Woran kann das liegen?
MfG
Marko

@zebulon0401
rückfrage avira:
> die Dateien sind wieder identisch.
> Scheinbar wurden also für den Key zweimal entschlüsselte Dateien oder zweimal verschlüsselte Dateien angegeben.
> Kannst du mir bitte die Dateien, die oben bei "Verschlüsselte Datei" und "Original Datei" stehen, besorgen (incl. Pfad).
> Könnte auch sein, dass bei "Original Datei" dann "<<<Bekannte Standard-Datei>>>" steht.
>

Es gelingt mir nicht den Schlüssel zu erzeugen. Gibt es unterschiedliche Verschlüsselungstrojaner. Meine verschlüsselten Dateien haben alle die zusätzliche Endung ".QWCiPhErEd" erhalten. Ich habe die Verion 0.5 benutzt.

habe alle meine locked-verschlüsselten Dateien mit dem decrythelper von matkuni entschüsseln können, herzlichen Dank für die gute Hilfe. Ein Hinweis zur Beschreibung, es sollte darauf hingewiesen werden, dass zur Erzeugung des Schlüssels eine unverschlüsselte Datei und eine identische verschlüsselte Datei benötigt werden und dass nach Erzeugung des Schlüssels nur ganze Ordner komplett entschlüsselt werden können.
Nochmals Dank und Gruß hkhkl

Zitat von matkuni

- Die Funktion "Existierende Dateien überschreiben" wurde hinzugefügt und macht genau das, was angefragt wurde
- Zeilenumbrüche in der Logdatei sind nun auch unter Windows korrekt

hxxp://matthi.org/DecryptHelper-0.5.2.jar
hxxp://matthi.org/DecryptHelper-0.5.2.exe (für Leute, bei denen Jar-Dateien mit dem falschen Programm geöffnet werden)

DANKE matkuni, hat jetzt Super geklappt. Hast mir den A... gerettet, Spende ist unterwegs

Hallo,

ich hatte auf einem Computer diesen verdammten Trojaner.

Dank Eurer Hilfe konnte ich alle Word, Excel und PDF Dateien wieder

entschlüsseln. Dabei war mir das Download Verzeichnis sehr hilfreich.

Habe den "DecryptHelper von Matthias (DecryptHelper-0.5.2)" verwendet.
Es hatte erst nicht geklappt, dann habe ich den Key mit anderen Dateipaaren (Original und Infiziert) erneut erstellt und beim vierten mal hat es dann geklappt.
THX a lot!!

klasse.
evtl. solltest du dein tool mal in ein extra thema auslagern.

Hallo Herr Kunig,

Ihr Java Tool hat mir wirklich sehr geholfen.
(Version 5.2 und aktuelles Java liegt vor)
Ich konnte damit alle Fotos, Musik und Dokumente rekonstruieren.

Nur beim Factory Image hatte ich keine Erfolge.
Ich bekam eine Fehlermeldung.......siehe Bild.

Werde den Beitrag verfolgen und ich hoffe, daß es noch eine Version gibt,
die ein Image von einem MEDION Laptop (Cyberlink PowerRecovery Image)
erkennt und entschlüsseln kann.

Auf Alle Fälle nochmals Vielen DANK

Hey, kannst du die die Links zu den Beispiel-Bildern vielleicht auch für Windows XP posten?
Wäre dir sehr verbunden!
Gruss

Zitat von BITFOX

Hab ausserdem grade mal getestet -
Unter 2K3, Win7, WinXP läufts fehlerfrei ohne zwei Schlüsseldateien und automatisch.
Unter 2K8 und 2K werde ich das ganze dann ebenfalls am Mittwoch testen.

@bitfox

Hallo Oliver,
habe Dein Programm von heute Nacht getestet - OHNE ERFOLG.

Trotz mehrerer Versuche mit allen Varianten mit und ohne Häkchen, manchmal mit Felermeldung "Stack Überlauf"
Dabei fiel mir auf
1.) Datei 1 und Datei 2 - ist es egal, was Original und verschlüsselt ist? (habe beides erfolglos probiert).
2.) Das Programm schließt jedes Mal automatisch nach einem Versuch. Wenn man also 10 Versuche (oder aber auch 10 Main-Directories usw.) hat, dann startet man auch 10 Mal - das nervt dann.
Wie gesagt -bei mir liefs nicht.
Bernie

Zitat von wildlion80

Habe den "DecryptHelper von Matthias (DecryptHelper-0.5.2)" verwendet.
Es hatte erst nicht geklappt, dann habe ich den Key mit anderen Dateipaaren (Original und Infiziert) erneut erstellt und beim vierten mal hat es dann geklappt.
THX a lot!!

@MATKUNI und Kopie @wildlion80

Habe heute die letzte Version positiv an Stick getestet.
Dann FEHLSChLAG: es kam beim Häkchen "ganzer Ordner" Fehlermeldung "java.io.IOExeption: MAP failed"; nach 2 weiteren Versuchen habe ich oberste Ebene mit Häkchen für Single Datei probiert -2 x selbe Fehlemeldung.
Nach mehrmaligem Programm-Neustart und Sticktest habe ich es noch einmal probiert => OHNE PROBLEME

Habe dann 5 Festplatten/Partitionen decrypted - scheint alles zu funktionieren (mit und ohne Kopie, mit und ohne Original-Datei löschen).

Das fiel mir auf:
1. wenn Häkchen für kompletten Ordner gesetzt ist, geht das nur 1x, dann ist das Feld "Ordner" inaktiv, und man muß Prg schließen, neu öffnen neu Code laden.
2. die noch fehlende Fortschrittsanzeige ist teilweise durch das Feld "Ordner" ersetzt: es wird dann inaktiv, wenn die vorhergehende Operation abgschlossen ist.

Bernie

Hallo Matthias,

bis jetzt klappt das Entschlüsseln mit deinem Tool (DANKE!).

Leider stürzt die aktuelle Version 0.5.2 bei einer Datei eines Mailordners von Pegasusmail andauernd ab.

Hier die Fehlermeldung des Programmes:

#
# A fatal error has been detected by the Java Runtime Environment:
#
#  EXCEPTION_ACCESS_VIOLATION (0xc0000005) at pc=0x75dccb6b, pid=5648, tid=5136
#
# JRE version: 6.0_31-b05
# Java VM: Java HotSpot(TM) Client VM (20.6-b01 mixed mode, sharing windows-x86 )
# Problematic frame:
# C  [ole32.dll+0x3cb6b]
#
# If you would like to submit a bug report, please visit:
#   hxxp://java.sun.com/webapps/bugreport/crash.jsp
# The crash happened outside the Java Virtual Machine in native code.
# See problematic frame for where to report the bug.
#

---------------  T H R E A D  ---------------

Current thread (0x01b38800):  JavaThread "AWT-EventQueue-0" [_thread_in_native, id=5136, stack(0x048c0000,0x04910000)]

siginfo: ExceptionCode=0xc0000005, writing address 0x00000028

Registers:
EAX=0x0490e920, EBX=0x75ec1458, ECX=0x00000000, EDX=0x00000000
ESP=0x0490e8f0, EBP=0x0490e8f8, ESI=0x0490e920, EDI=0x00000028
EIP=0x75dccb6b, EFLAGS=0x00010246

Top of Stack: (sp=0x0490e8f0)
0x0490e8f0:   08ffc000 08fcf4a0 0490e934 75dcb9cd
0x0490e900:   0490e920 0452fe94 08ffc000 00000000
0x0490e910:   00000000 0900b678 08fcf4a0 00000000
0x0490e920:   00002000 00001610 0f598f8e 332ca04d
0x0490e930:   c1291100 0490e950 75dcb7f3 045971d8
0x0490e940:   00000000 75ebaefe 0459da58 08ffc000
0x0490e950:   0490e99c 75e06cf5 c12911a8 0459da58
0x0490e960:   0459da58 0452fe94 758b0b36 00994358 

Instructions: (pc=0x75dccb6b)
0x75dccb4b:   00 83 60 24 00 5f 89 48 08 5e 5d c2 04 00 90 90
0x75dccb5b:   90 90 90 8b ff 55 8b ec 56 8b 75 08 57 8d 79 28
0x75dccb6b:   a5 a5 a5 a5 5f 5e 5d c2 04 00 ff 75 0c ff 75 08
0x75dccb7b:   e8 4c fe ff ff e9 67 eb ff ff 90 90 90 90 90 8b 


Register to memory mapping:

EAX=0x0490e920 is pointing into the stack for thread: 0x01b38800
EBX=0x75ec1458 is an unknown value
ECX=0x00000000 is an unknown value
EDX=0x00000000 is an unknown value
ESP=0x0490e8f0 is pointing into the stack for thread: 0x01b38800
EBP=0x0490e8f8 is pointing into the stack for thread: 0x01b38800
ESI=0x0490e920 is pointing into the stack for thread: 0x01b38800
EDI=0x00000028 is an unknown value


Stack: [0x048c0000,0x04910000],  sp=0x0490e8f0,  free space=314k
Native frames: (J=compiled Java code, j=interpreted, Vv=VM code, C=native code)
C  [ole32.dll+0x3cb6b]  CoRegisterChannelHook+0xaab
C  [ole32.dll+0x3b9cd]  CoGetComCatalog+0x2b3b
C  [ole32.dll+0x3b7f3]  CoGetComCatalog+0x2961
C  [ole32.dll+0x76cf5]  CoLockObjectExternal+0x22
C  [awt.dll+0x702a3]  Java_sun_awt_windows_WColor_getDefaultColor+0x2ae3
j  sun.awt.windows.WComponentPeer.removeNativeDropTarget()V+0
j  sun.awt.windows.WComponentPeer.removeDropTarget(Ljava/awt/dnd/DropTarget;)V+18
j  java.awt.dnd.DropTarget.removeNotify(Ljava/awt/peer/ComponentPeer;)V+15
j  java.awt.Component.removeNotify()V+211
j  java.awt.Container.removeNotify()V+71
j  javax.swing.JComponent.removeNotify()V+1
j  java.awt.Container.removeNotify()V+42
j  javax.swing.JComponent.removeNotify()V+1
j  java.awt.Container.removeNotify()V+42
j  javax.swing.JComponent.removeNotify()V+1
j  java.awt.Container.removeNotify()V+42
j  javax.swing.JComponent.removeNotify()V+1
j  javax.swing.JRootPane.removeNotify()V+1
j  java.awt.Container.removeAll()V+84
j  javax.swing.JFileChooser.showDialog(Ljava/awt/Component;Ljava/lang/String;)I+69
j  javax.swing.JFileChooser.showOpenDialog(Ljava/awt/Component;)I+8
j  org.matthi.decrypthelper.App$DecryptFolderAction.actionPerformed(Ljava/awt/event/ActionEvent;)V+104
j  javax.swing.AbstractButton.fireActionPerformed(Ljava/awt/event/ActionEvent;)V+84
j  javax.swing.AbstractButton$Handler.actionPerformed(Ljava/awt/event/ActionEvent;)V+5
j  javax.swing.DefaultButtonModel.fireActionPerformed(Ljava/awt/event/ActionEvent;)V+35
j  javax.swing.DefaultButtonModel.setPressed(Z)V+117
j  javax.swing.plaf.basic.BasicButtonListener.mouseReleased(Ljava/awt/event/MouseEvent;)V+35
j  java.awt.Component.processMouseEvent(Ljava/awt/event/MouseEvent;)V+64
j  javax.swing.JComponent.processMouseEvent(Ljava/awt/event/MouseEvent;)V+23
j  java.awt.Component.processEvent(Ljava/awt/AWTEvent;)V+81
j  java.awt.Container.processEvent(Ljava/awt/AWTEvent;)V+18
j  java.awt.Component.dispatchEventImpl(Ljava/awt/AWTEvent;)V+570
j  java.awt.Container.dispatchEventImpl(Ljava/awt/AWTEvent;)V+42
J  java.awt.LightweightDispatcher.retargetMouseEvent(Ljava/awt/Component;ILjava/awt/event/MouseEvent;)V
j  java.awt.LightweightDispatcher.dispatchEvent(Ljava/awt/AWTEvent;)Z+50
j  java.awt.Container.dispatchEventImpl(Ljava/awt/AWTEvent;)V+12
j  java.awt.Window.dispatchEventImpl(Ljava/awt/AWTEvent;)V+65
j  java.awt.Component.dispatchEvent(Ljava/awt/AWTEvent;)V+2
j  java.awt.EventQueue.dispatchEventImpl(Ljava/awt/AWTEvent;Ljava/lang/Object;)V+41
J  java.awt.EventQueue$1.run()Ljava/lang/Object;
V  [jvm.dll+0xfac3b]
V  [jvm.dll+0x18c3a1]
V  [jvm.dll+0xfacbd]
V  [jvm.dll+0xbb654]
C  [java.dll+0x102f]  Java_java_security_AccessController_doPrivileged__Ljava_security_PrivilegedAction_2Ljava_security_AccessControlContext_2+0x17
J  java.security.AccessControlContext$1.doIntersectionPrivilege(Ljava/security/PrivilegedAction;Ljava/security/AccessControlContext;Ljava/security/AccessControlContext;)Ljava/lang/Object;
j  java.awt.EventQueue$2.run()Ljava/lang/Void;+11
j  java.awt.EventQueue$2.run()Ljava/lang/Object;+1
v  ~StubRoutines::call_stub
V  [jvm.dll+0xfac3b]
V  [jvm.dll+0x18c3a1]
V  [jvm.dll+0xfacbd]
V  [jvm.dll+0xbb654]
C  [java.dll+0x102f]  Java_java_security_AccessController_doPrivileged__Ljava_security_PrivilegedAction_2Ljava_security_AccessControlContext_2+0x17
J  java.security.AccessControlContext$1.doIntersectionPrivilege(Ljava/security/PrivilegedAction;Ljava/security/AccessControlContext;Ljava/security/AccessControlContext;)Ljava/lang/Object;
J  java.awt.EventDispatchThread.pumpOneEventForFilters(I)Z
j  java.awt.EventDispatchThread.pumpEventsForHierarchy(ILjava/awt/Conditional;Ljava/awt/Component;)V+11
j  java.awt.EventDispatchThread.pumpEvents(ILjava/awt/Conditional;)V+4
j  java.awt.EventDispatchThread.pumpEvents(Ljava/awt/Conditional;)V+3
j  java.awt.EventDispatchThread.run()V+9
v  ~StubRoutines::call_stub
V  [jvm.dll+0xfac3b]
V  [jvm.dll+0x18c3a1]
V  [jvm.dll+0xfade1]
V  [jvm.dll+0xfae3b]
V  [jvm.dll+0xb5569]
V  [jvm.dll+0x118f14]
V  [jvm.dll+0x140ffc]
C  [msvcr71.dll+0x9565]  endthreadex+0xa0
C  [kernel32.dll+0x4d309]  BaseThreadInitThunk+0x12
C  [ntdll.dll+0x41603]  RtlInitializeExceptionChain+0x63
C  [ntdll.dll+0x415d6]  RtlInitializeExceptionChain+0x36

Java frames: (J=compiled Java code, j=interpreted, Vv=VM code)
j  sun.awt.windows.WComponentPeer.removeNativeDropTarget()V+0
j  sun.awt.windows.WComponentPeer.removeDropTarget(Ljava/awt/dnd/DropTarget;)V+18
j  java.awt.dnd.DropTarget.removeNotify(Ljava/awt/peer/ComponentPeer;)V+15
j  java.awt.Component.removeNotify()V+211
j  java.awt.Container.removeNotify()V+71
j  javax.swing.JComponent.removeNotify()V+1
j  java.awt.Container.removeNotify()V+42
j  javax.swing.JComponent.removeNotify()V+1
j  java.awt.Container.removeNotify()V+42
j  javax.swing.JComponent.removeNotify()V+1
j  java.awt.Container.removeNotify()V+42
j  javax.swing.JComponent.removeNotify()V+1
j  javax.swing.JRootPane.removeNotify()V+1
j  java.awt.Container.removeAll()V+84
j  javax.swing.JFileChooser.showDialog(Ljava/awt/Component;Ljava/lang/String;)I+69
j  javax.swing.JFileChooser.showOpenDialog(Ljava/awt/Component;)I+8
j  org.matthi.decrypthelper.App$DecryptFolderAction.actionPerformed(Ljava/awt/event/ActionEvent;)V+104
j  javax.swing.AbstractButton.fireActionPerformed(Ljava/awt/event/ActionEvent;)V+84
j  javax.swing.AbstractButton$Handler.actionPerformed(Ljava/awt/event/ActionEvent;)V+5
j  javax.swing.DefaultButtonModel.fireActionPerformed(Ljava/awt/event/ActionEvent;)V+35
j  javax.swing.DefaultButtonModel.setPressed(Z)V+117
j  javax.swing.plaf.basic.BasicButtonListener.mouseReleased(Ljava/awt/event/MouseEvent;)V+35
j  java.awt.Component.processMouseEvent(Ljava/awt/event/MouseEvent;)V+64
j  javax.swing.JComponent.processMouseEvent(Ljava/awt/event/MouseEvent;)V+23
j  java.awt.Component.processEvent(Ljava/awt/AWTEvent;)V+81
j  java.awt.Container.processEvent(Ljava/awt/AWTEvent;)V+18
j  java.awt.Component.dispatchEventImpl(Ljava/awt/AWTEvent;)V+570
j  java.awt.Container.dispatchEventImpl(Ljava/awt/AWTEvent;)V+42
J  java.awt.LightweightDispatcher.retargetMouseEvent(Ljava/awt/Component;ILjava/awt/event/MouseEvent;)V
j  java.awt.LightweightDispatcher.processMouseEvent(Ljava/awt/event/MouseEvent;)Z+139
j  java.awt.LightweightDispatcher.dispatchEvent(Ljava/awt/AWTEvent;)Z+50
j  java.awt.Container.dispatchEventImpl(Ljava/awt/AWTEvent;)V+12
j  java.awt.Window.dispatchEventImpl(Ljava/awt/AWTEvent;)V+65
j  java.awt.Component.dispatchEvent(Ljava/awt/AWTEvent;)V+2
j  java.awt.EventQueue.dispatchEventImpl(Ljava/awt/AWTEvent;Ljava/lang/Object;)V+41
J  java.awt.EventQueue$1.run()Ljava/lang/Object;
v  ~StubRoutines::call_stub
J  java.security.AccessController.doPrivileged(Ljava/security/PrivilegedAction;Ljava/security/AccessControlContext;)Ljava/lang/Object;
J  java.security.AccessControlContext$1.doIntersectionPrivilege(Ljava/security/PrivilegedAction;Ljava/security/AccessControlContext;Ljava/security/AccessControlContext;)Ljava/lang/Object;
j  java.security.AccessControlContext$1.doIntersectionPrivilege(Ljava/security/PrivilegedAction;Ljava/security/AccessControlContext;)Ljava/lang/Object;+6
j  java.awt.EventQueue$2.run()Ljava/lang/Void;+11
j  java.awt.EventQueue$2.run()Ljava/lang/Object;+1
v  ~StubRoutines::call_stub
J  java.security.AccessController.doPrivileged(Ljava/security/PrivilegedAction;Ljava/security/AccessControlContext;)Ljava/lang/Object;
J  java.security.AccessControlContext$1.doIntersectionPrivilege(Ljava/security/PrivilegedAction;Ljava/security/AccessControlContext;Ljava/security/AccessControlContext;)Ljava/lang/Object;
j  java.awt.EventQueue.dispatchEvent(Ljava/awt/AWTEvent;)V+73
J  java.awt.EventDispatchThread.pumpOneEventForFilters(I)Z
j  java.awt.EventDispatchThread.pumpEventsForFilter(ILjava/awt/Conditional;Ljava/awt/EventFilter;)V+30
j  java.awt.EventDispatchThread.pumpEventsForHierarchy(ILjava/awt/Conditional;Ljava/awt/Component;)V+11
j  java.awt.EventDispatchThread.pumpEvents(ILjava/awt/Conditional;)V+4
j  java.awt.EventDispatchThread.pumpEvents(Ljava/awt/Conditional;)V+3
j  java.awt.EventDispatchThread.run()V+9
v  ~StubRoutines::call_stub

---------------  P R O C E S S  ---------------

Java Threads: ( => current thread )
  0x01b56000 JavaThread "TimerQueue" daemon [_thread_blocked, id=5996, stack(0x09090000,0x090e0000)]
  0x044c5000 JavaThread "Swing-Shell" daemon [_thread_blocked, id=6052, stack(0x08b40000,0x08b90000)]
  0x04560400 JavaThread "D3D Screen Updater" daemon [_thread_blocked, id=1564, stack(0x08510000,0x08560000)]
  0x01ba9800 JavaThread "DestroyJavaVM" [_thread_blocked, id=360, stack(0x000c0000,0x00110000)]
=>0x01b38800 JavaThread "AWT-EventQueue-0" [_thread_in_native, id=5136, stack(0x048c0000,0x04910000)]
  0x01b38000 JavaThread "AWT-Windows" daemon [_thread_in_native, id=5360, stack(0x04870000,0x048c0000)]
  0x01b37c00 JavaThread "AWT-Shutdown" [_thread_blocked, id=5672, stack(0x04820000,0x04870000)]
  0x01b37400 JavaThread "Java2D Disposer" daemon [_thread_blocked, id=5564, stack(0x04790000,0x047e0000)]
  0x01aea000 JavaThread "Low Memory Detector" daemon [_thread_blocked, id=5524, stack(0x04420000,0x04470000)]
  0x01ae3800 JavaThread "C1 CompilerThread0" daemon [_thread_blocked, id=3596, stack(0x043d0000,0x04420000)]
  0x01ad8c00 JavaThread "Attach Listener" daemon [_thread_blocked, id=5836, stack(0x02350000,0x023a0000)]
  0x01ad7c00 JavaThread "Signal Dispatcher" daemon [_thread_blocked, id=5676, stack(0x02300000,0x02350000)]
  0x01ad2400 JavaThread "Finalizer" daemon [_thread_blocked, id=4128, stack(0x022b0000,0x02300000)]
  0x01acd400 JavaThread "Reference Handler" daemon [_thread_blocked, id=1520, stack(0x01bb0000,0x01c00000)]

Other Threads:
  0x01a8f800 VMThread [stack: 0x01650000,0x016a0000] [id=5736]
  0x01af2c00 WatcherThread [stack: 0x04470000,0x044c0000] [id=5256]

VM state:not at safepoint (normal execution)

VM Mutex/Monitor currently owned by a thread: None

Heap
 def new generation   total 4928K, used 1382K [0x24200000, 0x24750000, 0x29750000)
  eden space 4416K,  19% used [0x24200000, 0x242d9a20, 0x24650000)
  from space 512K, 100% used [0x24650000, 0x246d0000, 0x246d0000)
  to   space 512K,   0% used [0x246d0000, 0x246d0000, 0x24750000)
 tenured generation   total 10944K, used 1216K [0x29750000, 0x2a200000, 0x34200000)
   the space 10944K,  11% used [0x29750000, 0x29880378, 0x29880400, 0x2a200000)
 compacting perm gen  total 12288K, used 1645K [0x34200000, 0x34e00000, 0x38200000)
   the space 12288K,  13% used [0x34200000, 0x3439b798, 0x3439b800, 0x34e00000)
    ro space 10240K,  51% used [0x38200000, 0x3872e318, 0x3872e400, 0x38c00000)
    rw space 12288K,  55% used [0x38c00000, 0x3929a088, 0x3929a200, 0x39800000)

Code Cache  [0x023d0000, 0x024d8000, 0x043d0000)
 total_blobs=683 nmethods=467 adapters=152 free_code_cache=32481920 largest_free_block=0

Dynamic libraries:
0x00400000 - 0x00425000 	C:\Program Files\Java\jre6\bin\javaw.exe
0x77040000 - 0x77168000 	C:\Windows\system32\ntdll.dll
0x771c0000 - 0x7729c000 	C:\Windows\system32\kernel32.dll
0x76f70000 - 0x77036000 	C:\Windows\system32\ADVAPI32.dll
0x757b0000 - 0x75873000 	C:\Windows\system32\RPCRT4.dll
0x75890000 - 0x7592d000 	C:\Windows\system32\USER32.dll
0x75ee0000 - 0x75f2b000 	C:\Windows\system32\GDI32.dll
0x75b80000 - 0x75b9e000 	C:\Windows\system32\IMM32.DLL
0x75930000 - 0x759f8000 	C:\Windows\system32\MSCTF.dll
0x75700000 - 0x757aa000 	C:\Windows\system32\msvcrt.dll
0x77170000 - 0x77179000 	C:\Windows\system32\LPK.DLL
0x76a80000 - 0x76afd000 	C:\Windows\system32\USP10.dll
0x7c340000 - 0x7c396000 	C:\Program Files\Java\jre6\bin\msvcr71.dll
0x6d7f0000 - 0x6da9f000 	C:\Program Files\Java\jre6\bin\client\jvm.dll
0x74630000 - 0x74662000 	C:\Windows\system32\WINMM.dll
0x75d90000 - 0x75ed5000 	C:\Windows\system32\ole32.dll
0x76cc0000 - 0x76d4d000 	C:\Windows\system32\OLEAUT32.dll
0x745f0000 - 0x7462e000 	C:\Windows\system32\OLEACC.dll
0x75530000 - 0x7555c000 	C:\Windows\system32\apphelp.dll
0x6d7a0000 - 0x6d7ac000 	C:\Program Files\Java\jre6\bin\verify.dll
0x6d320000 - 0x6d33f000 	C:\Program Files\Java\jre6\bin\java.dll
0x6d7e0000 - 0x6d7ef000 	C:\Program Files\Java\jre6\bin\zip.dll
0x6d000000 - 0x6d14c000 	C:\Program Files\Java\jre6\bin\awt.dll
0x6f6f0000 - 0x6f732000 	C:\Windows\system32\WINSPOOL.DRV
0x74440000 - 0x745de000 	C:\Windows\WinSxS\x86_microsoft.windows.common-controls_6595b64144ccf1df_6.0.6002.18305_none_5cb72f2a088b0ed3\COMCTL32.dll
0x75b20000 - 0x75b79000 	C:\Windows\system32\SHLWAPI.dll
0x70a10000 - 0x70a1c000 	C:\Windows\system32\DWMAPI.DLL
0x6d230000 - 0x6d27f000 	C:\Program Files\Java\jre6\bin\fontmanager.dll
0x6d4a0000 - 0x6d65a000 	C:\Windows\system32\d3d9.dll
0x74dd0000 - 0x74dd8000 	C:\Windows\system32\VERSION.dll
0x74100000 - 0x74106000 	C:\Windows\system32\d3d8thk.dll
0x5ff10000 - 0x6021e000 	C:\Windows\system32\atiumdag.dll
0x04bb0000 - 0x04f7b000 	C:\Windows\system32\atiumdva.dll
0x75f30000 - 0x76a41000 	C:\Windows\system32\shell32.dll
0x01b70000 - 0x01b83000 	C:\Program Files\Java\jre6\bin\net.dll
0x77190000 - 0x771bd000 	C:\Windows\system32\WS2_32.dll
0x75880000 - 0x75886000 	C:\Windows\system32\NSI.dll
0x74de0000 - 0x74e1b000 	C:\Windows\system32\mswsock.dll
0x74dc0000 - 0x74dc5000 	C:\Windows\System32\wship6.dll
0x01b90000 - 0x01b99000 	C:\Program Files\Java\jre6\bin\nio.dll
0x76ee0000 - 0x76f64000 	C:\Windows\system32\CLBCatQ.DLL
0x76d50000 - 0x76eda000 	C:\Windows\system32\SETUPAPI.dll
0x6e240000 - 0x6e463000 	C:\Windows\system32\NetworkExplorer.dll
0x73d30000 - 0x73deb000 	C:\Windows\system32\PROPSYS.dll
0x6fc90000 - 0x6fd9a000 	C:\Windows\System32\shdocvw.dll
0x755b0000 - 0x755ce000 	C:\Windows\system32\USERENV.dll
0x75590000 - 0x755a4000 	C:\Windows\system32\Secur32.dll
0x75130000 - 0x75144000 	C:\Windows\system32\MPR.dll
0x10000000 - 0x10014000 	C:\Program Files\Common Files\Adobe\Adobe Drive CS4\AdobeDriveCS4_NP.dll
0x6a3b0000 - 0x6a3c3000 	C:\Windows\System32\ntlanman.dll
0x75200000 - 0x75276000 	C:\Windows\System32\NETAPI32.dll
0x75660000 - 0x75667000 	C:\Windows\system32\PSAPI.DLL
0x6bb40000 - 0x6bb48000 	C:\Windows\System32\drprov.dll
0x69860000 - 0x69872000 	C:\Windows\System32\davclnt.dll
0x75030000 - 0x75122000 	C:\Windows\System32\CRYPT32.dll
0x751c0000 - 0x751d2000 	C:\Windows\System32\MSASN1.dll
0x6f810000 - 0x6f81b000 	C:\Windows\system32\cscapi.dll
0x62f80000 - 0x631ee000 	C:\Windows\system32\wpdshext.dll
0x73ef0000 - 0x7409b000 	C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18342_none_9e54f8aaca13c773\gdiplus.dll
0x74740000 - 0x7477f000 	C:\Windows\system32\UxTheme.dll
0x70b60000 - 0x70bb6000 	C:\Windows\system32\PortableDeviceApi.dll
0x741d0000 - 0x741fd000 	C:\Windows\system32\WINTRUST.dll
0x76a50000 - 0x76a7a000 	C:\Windows\system32\imagehlp.dll
0x70160000 - 0x7018b000 	C:\Windows\system32\PortableDeviceTypes.dll
0x64f20000 - 0x64f5f000 	C:\Windows\system32\audiodev.dll
0x701e0000 - 0x7042b000 	C:\Windows\system32\WMVCore.DLL
0x709b0000 - 0x709e9000 	C:\Windows\system32\WMASF.DLL
0x6fb00000 - 0x6fb1f000 	C:\Windows\system32\EhStorShell.dll
0x64fc0000 - 0x64fe0000 	C:\Windows\System32\EhStorAPI.dll
0x701b0000 - 0x701b9000 	C:\Windows\system32\LINKINFO.dll
0x74ab0000 - 0x74aeb000 	C:\Windows\system32\rsaenh.dll

VM Arguments:
java_command: C:\Users\Markus\Downloads\DecryptHelper-0.5.2.jar
Launcher Type: SUN_STANDARD

Environment Variables:
CLASSPATH=.;C:\Program Files\Java\jre6\lib\ext\QTJava.zip
PATH=C:\Windows\system32;C:\Windows;C:\Windows\System32\Wbem;C:\Program Files\ATI Technologies\ATI.ACE\Core-Static;C:\Windows\System32\WindowsPowerShell\v1.0\;C:\Program Files\QuickTime\QTSystem\;C:\Program Files\Common Files\Nero\Lib\
USERNAME=Markus
OS=Windows_NT
PROCESSOR_IDENTIFIER=x86 Family 15 Model 104 Stepping 1, AuthenticAMD



---------------  S Y S T E M  ---------------

OS: Windows Vista Build 6002 Service Pack 2

CPU:total 2 (2 cores per cpu, 1 threads per core) family 15 model 104 stepping 1, cmov, cx8, fxsr, mmx, sse, sse2, sse3, mmxext, 3dnow, 3dnowext

Memory: 4k page, physical 3144152k(1898132k free), swap 6501836k(5113348k free)

vm_info: Java HotSpot(TM) Client VM (20.6-b01) for windows-x86 JRE (1.6.0_31-b05), built on Feb  3 2012 18:44:09 by "java_re" with MS VC++ 7.1 (VS2003)

time: Mon Apr 30 20:35:41 2012
elapsed time: 71 seconds
         

Woran kann das liegen und was kann man tun, damit der Ordner entschlüsselt wird?

Guten Abend an alle !

Ich habe ein grosses Problem. Habe mir auch diesen "Trojaner" eingefangen und das System komplett neu aufgespielt, soweit läuft auch alles wieder. Jetzt zu meinem Problem: Ich habe an meinen Rechner zwei weitere Festplatten angeschlossen auf denen sich alle meine Fotos und Videos befinden. Auf beiden Festplatten sind alle Dateien jetzt verschlüsselt. Ich habe hier gelesen das man zum entschlüsseln die Original Dateien benötigt aber diese habe ich nicht. Hilfe ! Bitte, kann mir hier jemand helfen?! Das sind die Fotos und Videos meines ganzen Lebens. Ich bedanke mich schon mal und wünsche noch einen schönen Abend !

Vorsicht!
Bei verschiedenen Laufwerken scheinen verschiedene Schlüssel benötigt zu werden - so gesehen bei einem MD8080.

Die externe Festplatte benötigte einen anderen Schlüssel -
die Geschichte mit den Beispieldateien klappt also somit nicht 100% zuverlässig.
Damit ist auch erklärt, warum bei einigen das Toll von Matthes oder mir läuft, bei anderen wieder nicht.

Interessanter Weise hat das Biest mit den Netzwerkshares dort beim Kunden gleiche Schlüssel genutzt. Es scheint also so, als würde der MBR, die Paritioninfo oder was auch immer als Komplement genutzt zu werden.
Laufwerke C: und D: (beide auf der gleichen physikalischen Platte) wurden ebenfalls mit ein und dem selben Schlüssel von Laufwerk C restored.

Grüße,

Olli

(Sorry, bei der Version von heute Mittag war ein Fehler drin. Das "Datei nicht gefunden." ist behoben... Nun werden Schlüssel wieder automatisch erstellt.)