vielleicht noch ales Ergänzung:
Ich hatte ein Mail von flirt-fever und habe dummerweise den Anhang geöffnet. Habe als ich mitbekam, dass es ein trojaner ist, den PC sofotrt ausgemacht und die maleware durchlaufen lassen und den trojaner gelöscht...
erst dann habe ich festgestellt, dass ich die dateien nicht mehr öffnen kann und habe dann hier gelesen was los ist.
Nun habe ich Dateien, die alle von dem Trojaner umbenannt worden sind und komme nicht weiter.
Sie heißen zum Beispiel:
vNraQlOXLtyUoxOJeUGjX
UQGjfLsqyUoGAVXvsr
erTTuDgpvGqfosAA
NTuDgXLsqUoxxAfnsqr

Die Dateien sind für mich von großer Bedeutung und ich weiß nicht wie ich die wiederherstellen kann und ich wie vorgehen soll. Habe es schon mit den oben empfohlenen DecrypHelper probiert, aber da kommt immer dass kein Schlüssel generiert werden kann.

Vielen Dank schonmal im Vorraus. Bin über jede Antwort dankbar, denn ich sitze nun schon seit 2 Tagen vor den Dateien und komme einfach nicht weiter.

Danke

Hier noch die LogDatei :

Malwarebytes Anti-Malware 1.61.0.1400
www.malwarebytes.org

Datenbank Version: v2012.06.06.04

Windows Vista x86 NTFS
Internet Explorer 8.0.6001.18904
Mathias ***** :: MATHIAS-PC [Administrator]

06.06.2012 16:04:04
mbam-log-2012-06-06 (16-04-04).txt

Art des Suchlaufs: Quick-Scan
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 190583
Laufzeit: 4 Minute(n), 55 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 1
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|{BDF217F2-19ED-E600-7386-26E33C69460F} (Trojan.Agent) -> Daten: C:\Users\Mathias *******\AppData\Roaming\Microsoft\IdentityCRL\temp\odbcconf.exe -> Erfolgreich gelöscht und in Quarantäne gestellt.

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 7
C:\Users\Mathias ******\AppData\Roaming\Microsoft\IdentityCRL\temp\odbcconf.exe (Trojan.Agent) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Users\Mathias ******\Desktop\DecryptHelper-0.5.3.exe (Trojan.FakeAlert) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\$Recycle.Bin\S-1-5-21-737281456-2051379455-4103084561-1000\$RRHTGAZ\Mitgliedschaft 2012 .com (Trojan.Agent.SZ) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\$Recycle.Bin\S-1-5-21-737281456-2051379455-4103084561-1000\$RSHQTSJ\Mitgliedschaft 2012 .com (Trojan.Agent.SZ) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Users\Mathias ******\AppData\Local\Temp\onoyebxmgz.pre (Trojan.WinLock) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Users\Mathias ******\Downloads\SoftonicDownloader_fuer_driver-genius.exe (PUP.OfferBundler.ST) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Users\Mathias ******\Downloads\SoftonicDownloader_fuer_easycleaner.exe (PUP.OfferBundler.ST) -> Erfolgreich gelöscht und in Quarantäne gestellt.

(Ende)

seeker19, habe das selbe Problem mit dem Buchstabensalat...würde sagen, einfach abwarten, es wird schon eine Lösung geben...
hast du alle vorgeschlagenen Tools ausprobiert?

Zitat von miha19

seeker19, habe das selbe Problem mit dem Buchstabensalat...würde sagen, einfach abwarten, es wird schon eine Lösung geben...
hast du alle vorgeschlagenen Tools ausprobiert?

moin moin,

seitens der Programmierer des Trojaner Boards und den mitarbeitetenden Programmierern anderer Boards wird es für verschlüsselte Dateien der Form FGHtzHJZuFGh in absehbarer Zeit kein Tool geben, dass a la decrypthelper universell entschlüsselt .

Insofern bleiben nur die bereits bekannten Tools, die bei einigen Dateiformaten zum Erfolg führen.

Gruß Volker

Zitat von Undertaker

moin moin,

seitens der Programmierer des Trojaner Boards und den mitarbeitetenden Programmierern anderer Boards wird es für verschlüsselte Dateien der Form FGHtzHJZuFGh in absehbarer Zeit kein Tool geben, dass a la decrypthelper universell entschlüsselt .

Insofern bleiben nur die bereits bekannten Tools, die bei einigen Dateiformaten zum Erfolg führen.

Gruß Volker

wie kann man die Fotos wiederherstellen?
Die mp3 dateien kann man die einfach umbennen und als .mp3 speichern...

Liebes Forum,

mich hat es auch erwischt, ich habe/hatte den Gema Trojaner.
Nun startet mein Starmoney nicht mehr, ich vermute, auch dort sind Dateien, die zum Starten notwendig sind, verschlüsselt.
Diese liegen unter c: im Verzeichnis Prigramm Data. Mit dem Entschlüsselungsprogramm kann ich diesen Ordner aber nicht sehen/laden.
Was kann ich da tun?

DANKE

Marion

Zitat von miha19

wie kann man die Fotos wiederherstellen?
Die mp3 dateien kann man die einfach umbennen und als .mp3 speichern...

Das ist hier zigfach beschrieben, lese einfach etwas mehr.

Volker

Macht ihr euch überhaupt die Mühe, auch nur ein klein wenig mal mit zulesen ??
@seeker19
Bei der Verschlüsselung gibt es noch nix für die entschlüsselung..
Das einzige was du probieren kanst, da du Vista hast, könntest du evt. Glück haben, wäre das Programm ShadowExplorer. Funktioniert aber auch nur, wenn die Funktion Schattenkopie in Windows an war.
Das Programm findest du als Link nem Post vor deinem, oder oben unter Übersicht der 8 Tools.

Zitat von seeadler

Macht ihr euch überhaupt die Mühe, auch nur ein klein wenig mal mit zulesen ??

Ja, ich hab die anderen Beiträge gelesen, allerdings bin ich kein PC-Fachmann. Ich hab da keine Ahnung von. Und die anderen Dinge die in den Beiträge standen, hab ich schon ausprobiert und es hat leider nicht funktioniert.

was ist denn die "Funktion Schattenkopie"? Wo kann ich schauen ob diese an war? Das Program hab ich schon runtergeladen, komme damit allerding nicht so wirklich klar.

Danke schonmal

Zitat von seeker19

Ja, ich hab die anderen Beiträge gelesen, allerdings bin ich kein PC-Fachmann. Ich hab da keine Ahnung von. Und die anderen Dinge die in den Beiträge standen, hab ich schon ausprobiert und es hat leider nicht funktioniert.

was ist denn die "Funktion Schattenkopie"? Wo kann ich schauen ob diese an war? Das Program hab ich schon runtergeladen, komme damit allerding nicht so wirklich klar.

Danke schonmal

Wenn Du dem Rat von @seeadler gefolgt bist, dann hast Du auch das gesehen.

Also was soll man noch machen wenn nichtmal ein Schritt-für-Schritt-Video hilft.

Volker

Also, ich bin wieder im rechner drin .... vielen dank für die hinweis wegen Kaspersky.

Ich habe nach dem scan einiges gefunden und gelöscht. Die text datei werde ich hier gleich noch mit posten. Kann das sein, das die exe datei mit einer "codierung" in system32 ordner der verschlüsselungs index ist?

Ich werde nun eine kopie aller dateien (scheinbar alles auf dem desktop nur (musik, bilder etc)) machen.

Objects Scan: completed <1 minute ago (events: 42, objects: 421848, time: 01:11:26)
6/5/12 9:24 PM Task completed
6/5/12 9:24 PM Deleted: Trojan.Win32.Jorik.Pandora.p C:/WINXP/system32/CE435491986436023A20.exe
6/5/12 9:24 PM Disinfected: Trojan.Win32.Jorik.Pandora.p HKEY_USERS\S-1-5-21-1659004503-1450960922-725345543-1003\Software\Microsoft\Windows\CurrentVersion\Run/98643602
6/5/12 9:24 PM Disinfected: Trojan.Win32.Jorik.Pandora.p HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon/UserInit
6/5/12 9:23 PM Detected: Trojan.Win32.Jorik.Pandora.p C:/WINXP/system32/CE435491986436023A20.exe
6/5/12 9:23 PM Deleted: Trojan.Win32.Jorik.Pandora.p C:/Dokumente und Einstellungen/Arschkekz/Lokale Einstellungen/Temp/Vertrag 2012.zip
6/5/12 9:23 PM Detected: Trojan.Win32.Jorik.Pandora.p C:/Dokumente und Einstellungen/Arschkekz/Lokale Einstellungen/Temp/Vertrag 2012.zip/Rechnung nach Vertrag.com
6/5/12 9:23 PM Deleted: Exploit.Java.CVE-2010-4452.a C:/Dokumente und Einstellungen/Arschkekz/Anwendungsdaten/Sun/Java/Deployment/cache/6.0/28/5c23311c-7ef361f5
6/5/12 9:23 PM Detected: Exploit.Java.CVE-2010-4452.a C:/Dokumente und Einstellungen/Arschkekz/Anwendungsdaten/Sun/Java/Deployment/cache/6.0/28/5c23311c-7ef361f5
6/5/12 9:23 PM Deleted: Exploit.Java.CVE-2010-4452.a C:/Dokumente und Einstellungen/Arschkekz/Anwendungsdaten/Sun/Java/Deployment/cache/6.0/28/5c23311c-6a1d3734
6/5/12 9:23 PM Detected: Exploit.Java.CVE-2010-4452.a C:/Dokumente und Einstellungen/Arschkekz/Anwendungsdaten/Sun/Java/Deployment/cache/6.0/28/5c23311c-6a1d3734
6/5/12 9:23 PM Deleted: Exploit.Java.CVE-2010-4452.a C:/Dokumente und Einstellungen/Arschkekz/Anwendungsdaten/Sun/Java/Deployment/cache/6.0/28/5c23311c-5a304dd4
6/5/12 9:23 PM Detected: Exploit.Java.CVE-2010-4452.a C:/Dokumente und Einstellungen/Arschkekz/Anwendungsdaten/Sun/Java/Deployment/cache/6.0/28/5c23311c-5a304dd4
6/5/12 9:23 PM Deleted: Exploit.Java.CVE-2010-4452.a C:/Dokumente und Einstellungen/Arschkekz/Anwendungsdaten/Sun/Java/Deployment/cache/6.0/28/5c23311c-23d713f0
6/5/12 9:23 PM Detected: Exploit.Java.CVE-2010-4452.a C:/Dokumente und Einstellungen/Arschkekz/Anwendungsdaten/Sun/Java/Deployment/cache/6.0/28/5c23311c-23d713f0
6/5/12 9:23 PM Deleted: Exploit.Java.CVE-2010-4452.a C:/Dokumente und Einstellungen/Arschkekz/Anwendungsdaten/Sun/Java/Deployment/cache/6.0/28/5c23311c-205a617c
6/5/12 9:23 PM Detected: Exploit.Java.CVE-2010-4452.a C:/Dokumente und Einstellungen/Arschkekz/Anwendungsdaten/Sun/Java/Deployment/cache/6.0/28/5c23311c-205a617c
6/5/12 9:23 PM Deleted: Exploit.Java.CVE-2010-4452.a C:/Dokumente und Einstellungen/Arschkekz/Anwendungsdaten/Sun/Java/Deployment/cache/6.0/28/5c23311c-1aa93588
6/5/12 9:23 PM Detected: Exploit.Java.CVE-2010-4452.a C:/Dokumente und Einstellungen/Arschkekz/Anwendungsdaten/Sun/Java/Deployment/cache/6.0/28/5c23311c-1aa93588
6/5/12 9:23 PM Deleted: Trojan.Win32.Jorik.Pandora.p C:/Dokumente und Einstellungen/Arschkekz/Anwendungsdaten/Fuytr/5D5C7AB49864360274FF.exe
6/5/12 9:12 PM Detected: Trojan.Win32.Jorik.Pandora.p C:/Dokumente und Einstellungen/Arschkekz/Anwendungsdaten/Fuytr/5D5C7AB49864360274FF.exe
6/5/12 9:12 PM Untreated: Trojan.Win32.Jorik.Pandora.p C:/WINXP/system32/CE435491986436023A20.exe Postponed
6/5/12 9:12 PM Detected: Trojan.Win32.Jorik.Pandora.p C:/WINXP/system32/CE435491986436023A20.exe
6/5/12 9:06 PM Untreated: Trojan.Win32.Jorik.Pandora.p C:/WINXP/system32/CE435491986436023A20.exe Postponed
6/5/12 9:06 PM Detected: Trojan.Win32.Jorik.Pandora.p C:/WINXP/system32/CE435491986436023A20.exe
6/5/12 8:48 PM Untreated: Trojan.Win32.Jorik.Pandora.p C:/Dokumente und Einstellungen/Arschkekz/Lokale Einstellungen/Temp/Vertrag 2012.zip/Rechnung nach Vertrag.com Postponed
6/5/12 8:48 PM Detected: Trojan.Win32.Jorik.Pandora.p C:/Dokumente und Einstellungen/Arschkekz/Lokale Einstellungen/Temp/Vertrag 2012.zip/Rechnung nach Vertrag.com
6/5/12 8:14 PM Untreated: Exploit.Java.CVE-2010-4452.a C:/Dokumente und Einstellungen/Arschkekz/Anwendungsdaten/Sun/Java/Deployment/cache/6.0/28/5c23311c-7ef361f5 Postponed
6/5/12 8:14 PM Detected: Exploit.Java.CVE-2010-4452.a C:/Dokumente und Einstellungen/Arschkekz/Anwendungsdaten/Sun/Java/Deployment/cache/6.0/28/5c23311c-7ef361f5
6/5/12 8:14 PM Untreated: Exploit.Java.CVE-2010-4452.a C:/Dokumente und Einstellungen/Arschkekz/Anwendungsdaten/Sun/Java/Deployment/cache/6.0/28/5c23311c-6a1d3734 Postponed
6/5/12 8:14 PM Untreated: Exploit.Java.CVE-2010-4452.a C:/Dokumente und Einstellungen/Arschkekz/Anwendungsdaten/Sun/Java/Deployment/cache/6.0/28/5c23311c-5a304dd4 Postponed
6/5/12 8:14 PM Detected: Exploit.Java.CVE-2010-4452.a C:/Dokumente und Einstellungen/Arschkekz/Anwendungsdaten/Sun/Java/Deployment/cache/6.0/28/5c23311c-6a1d3734
6/5/12 8:14 PM Detected: Exploit.Java.CVE-2010-4452.a C:/Dokumente und Einstellungen/Arschkekz/Anwendungsdaten/Sun/Java/Deployment/cache/6.0/28/5c23311c-5a304dd4
6/5/12 8:14 PM Untreated: Exploit.Java.CVE-2010-4452.a C:/Dokumente und Einstellungen/Arschkekz/Anwendungsdaten/Sun/Java/Deployment/cache/6.0/28/5c23311c-23d713f0 Postponed
6/5/12 8:14 PM Detected: Exploit.Java.CVE-2010-4452.a C:/Dokumente und Einstellungen/Arschkekz/Anwendungsdaten/Sun/Java/Deployment/cache/6.0/28/5c23311c-23d713f0
6/5/12 8:14 PM Untreated: Exploit.Java.CVE-2010-4452.a C:/Dokumente und Einstellungen/Arschkekz/Anwendungsdaten/Sun/Java/Deployment/cache/6.0/28/5c23311c-205a617c Postponed
6/5/12 8:14 PM Untreated: Exploit.Java.CVE-2010-4452.a C:/Dokumente und Einstellungen/Arschkekz/Anwendungsdaten/Sun/Java/Deployment/cache/6.0/28/5c23311c-1aa93588 Postponed
6/5/12 8:14 PM Detected: Exploit.Java.CVE-2010-4452.a C:/Dokumente und Einstellungen/Arschkekz/Anwendungsdaten/Sun/Java/Deployment/cache/6.0/28/5c23311c-205a617c
6/5/12 8:14 PM Detected: Exploit.Java.CVE-2010-4452.a C:/Dokumente und Einstellungen/Arschkekz/Anwendungsdaten/Sun/Java/Deployment/cache/6.0/28/5c23311c-1aa93588
6/5/12 8:14 PM Untreated: Trojan.Win32.Jorik.Pandora.p C:/Dokumente und Einstellungen/Arschkekz/Anwendungsdaten/Fuytr/5D5C7AB49864360274FF.exe Postponed
6/5/12 8:14 PM Detected: Trojan.Win32.Jorik.Pandora.p C:/Dokumente und Einstellungen/Arschkekz/Anwendungsdaten/Fuytr/5D5C7AB49864360274FF.exe
6/5/12 8:12 PM Task started

es handelt sich wohl um eine Pandora version..


vielen dank erstmal wieder :-)

Das tut mir leid, das hatte ich nicht gefunden. Hatte nur ein englischsprachiges gefunden, wo ich nicht allzu viel verstand.

Ich habe nachgeschaut und feststellen müssen, dass die Schattenkopie nicht angestellt waren.
Da ich auch nicht den Prefix "locked" habe, stehen die Chancen sehr schlecht, oder?

Eine ganz blöde Frage hätte ich noch: Würde es sich lohnen, sich nochmal den Trojaner draufzuziehen damit man den Prefix "locked" erhält, denn dann würden die anderen Tools von oben ja greifen. Oder ist das sinnlos, weil sie dann sozusagen "Doppelt verschlüsselt" wären?

Ich frage deswegen so dumm, weil die Dateien echt wichtig sind... Es handelt sich um meine Doktorarbeit, die zwar noch nicht fertig war, aber dennoch schon über 100 Seiten beiinhaltete und alle möglichen Quellen dazu...
Deswegen ist es für mich von großer Bedeutung!

Danke

Zitat von seeker19

Das tut mir leid, das hatte ich nicht gefunden. Hatte nur ein englischsprachiges gefunden, wo ich nicht allzu viel verstand.

Ich habe nachgeschaut und feststellen müssen, dass die Schattenkopie nicht angestellt waren.
Da ich auch nicht den Prefix "locked" habe, stehen die Chancen sehr schlecht, oder?

Wenn es sich um Texte der Doktorarbeit handelt, ja.
Bei JPGs kann noch was gehen und bei PDF teilweise.

Du kannst nur sichern und auf bessere Zeiten hoffen.

Eine ganz blöde Frage hätte ich noch: Würde es sich lohnen, sich nochmal den Trojaner draufzuziehen damit man den Prefix "locked" erhält, denn dann würden die anderen Tools von oben ja greifen. Oder ist das sinnlos, weil sie dann sozusagen "Doppelt verschlüsselt" wären?

Stell Dir mal folgendes vor:

Ich nehme Deinen Personalausweis und mache aus sebastian seeker ---> ferdinand keeser.

Nun bittest u @seeadler das wieder in Ordnung zu bringen.
Der macht nun aus ferdinand keeser ---> klaus-ferdinand keeser-flop

Wer soll glauben, dass Du eigentlich sebastian seeker heißt?

Zitat von Undertaker

Wenn es sich um Texte der Doktorarbeit handelt, ja.
Bei JPGs kann noch was gehen und bei PDF teilweise.

Du kannst nur sichern und auf bessere Zeiten hoffen.

Ja es sind hauptsächlich Texte. Aber auch die JPG's aus dem Ordner kann ich nicht wiederherstellen... Trotzdem Danke.

Zitat von Undertaker

Stell Dir mal folgendes vor:

Ich nehme Deinen Personalausweis und mache aus sebastian seeker ---> ferdinand keeser.

Nun bittest u @seeadler das wieder in Ordnung zu bringen.
Der macht nun aus ferdinand keeser ---> klaus-ferdinand keeser-flop

Wer soll glauben, dass Du eigentlich sebastian seeker heißt?

Ja, das klingt logisch. Aber die Hoffnung stirbt ja bekanntlich zuletzt. :-)

Danke.

Zitat von seeker19

Aber auch die JPG's aus dem Ordner kann ich nicht wiederherstellen...

Das stimmt so nicht, lese mal im Reparaturthema nach.

hallo zusammen,

auch mich hat es erwischt.
jetzt habe ich mir hier die beispielsbilder im forum runtergeladen und versuche verzweifelt diesen schlüssel zu generieren. aber es klappt nicht :-(

ich habe hier wirklich an die 50 seiten gelen aber ich verstehe es nicht. kann mir jemand erklären was ich zu tun habe? kenne mich sowas absolut nicht aus.

natürlich habe ich auch nie eine datensicherung gemacht. sei es mir eine lehre. werde das in zukunft machen.

aber wie komme ich jetzt an meine bilder ran?? bitte helft mir? da sind die letzten 10 jahre drauf. die können doch nicht einfach so weg sein.. und wie ich sehe haben hier ja auch welche erfolg.

danke im voraus...


hier noch die txt aus meinem 2ten lauf.. die erste hab ich leider nicht gespeichert. wusste nicht das die von bedeutung sind

Malwarebytes Anti-Malware (Test) 1.61.0.1400
www.malwarebytes.org

Datenbank Version: v2012.06.05.06

Windows XP Service Pack 3 x86 NTFS
Internet Explorer 8.0.6001.18702
sebastian :: SEBASTIAN_MOBIL [Administrator]

Schutz: Aktiviert

06.06.2012 07:28:30
mbam-log-2012-06-06 (07-28-30).txt

Art des Suchlaufs: Vollständiger Suchlauf
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 398881
Laufzeit: 2 Stunde(n), 6 Minute(n), 16 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 1
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System|DisableRegedit (Hijack.Regedit) -> Daten: 1 -> Erfolgreich gelöscht und in Quarantäne gestellt.

Infizierte Dateiobjekte der Registrierung: 1
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System|DisableRegistryTools (PUM.Hijack.Regedit) -> Bösartig: (1) Gut: (0) -> Erfolgreich ersetzt und in Quarantäne gestellt.

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 0
(Keine bösartigen Objekte gefunden)

(Ende)