Habe vor einigen Tagen einen PC von Bekannten bekommen mit dem og. beschriebenen Problem Verschlüsselungs-Trojaner. Nach PC-Start kommt die Seite mit der UCash-Aufforderung und dann reagiert der PC nicht mehr.
Der Rechner läuft mit Win XP Prof. und der Trojaner wurde vermutlich am 12.06.2012 mit einem Rechnungs-Anhang an einer Mail geladen.
Ich habe die Festplatte nun an einem Win 7 System extern angeschlossen und mit Malwarebytes vollständig geprüft - jedoch wurde kein Trojaner gefunden.
Die Datei-Namen auf der Festplatte sind zum Teil durch wilde Buchstabenfolgen ersetzt und das Erstelldatum auf den 13. Februar 1601 gesetzt. In den betroffenen Verzeichnissen sind nur einige Dateien vom Typ .inf .dat .bin .ini scheinbar nicht verändert.
Im Temp-Verzeichnis habe ich Dateien gefunden, welche zum warscheinlichen Zeitpunkt der Änderungen angelegt wurden:

B4F02758323053570000.$02
B4F02758323053570000.$$0
B4F027583230535700006461
Desk.$00

Im Verzeichnis C:\Dokumente und Einstellungen\Desktop habe ich eine Datei ACHTUNG-LESEN.txt gefunden mit dem Inhalt:

Sehr geehrte Damen und Herren,
anscheinend wurde das Update Programm vollständig unterbrochen. Jetzt kann das Virus nur manuell beseitigt werden. Dies brauchen Sie um Ihre Dateien benutzen zu können. Falls Sie also die gesperrten Daten brauchen, senden Sie uns bitte 200 Euro Ukash Code an die Email: software-update@inbox.lt, so bald dieser Code geprüft wurde, erhalten Sie ein Update Programm. Falls Sie Ihre Daten nicht brauchen raten wir Ihnen dringend Ihren Computer zu formatieren um den Virus vollständig zu entfernen. Ukash können Sie an einer beliebigen Tankstelle erwerben und auch in mehreren Internetcafes in Ihrer Nähe.
mfG Ihr Security Team

Vieleicht helfen diese Informationen etwas weiter bei der Suche nach einer Lösung.

Zitat von Olaf-NF

Nach PC-Start kommt die Seite mit der UCash-Aufforderung und dann reagiert der PC nicht mehr.
...
- jedoch wurde kein Trojaner gefunden.

moin moin,
wenn der XP-Rechner mit dieser HDD noch das o. g. Verhalten zeigt, dann ist er nicht virenfrei.
Welche Verhaltensauffälligkeiten zeigt der Rechner noch?
Ist er noch im abgesicherten Modus bootbar?
Hast Du Zugriff auf den Taskmanager und Regedit?
Welches Interesse besteht an den verschlüsselten Daten?

Zitat von Olaf-NF

auf der Festplatte sind zum Teil durch wilde Buchstabenfolgen ersetzt und das Erstelldatum auf den 13. Februar 1601 gesetzt.

Das sind typische Anzeichen für eine Trojanerversion, die die ersten 12k einer Datei überschreibt und damit verschlüsselt.
Bei dieser Verschlüsselung helfen die oben unter Hinweise beschriebenen acht Tools nicht.

Zitat von Olaf-NF

Im Temp-Verzeichnis habe ich Dateien gefunden, welche zum warscheinlichen Zeitpunkt der Änderungen angelegt wurden:

B4F02758323053570000.$02
B4F02758323053570000.$$0
B4F027583230535700006461
Desk.$00

Im Verzeichnis C:\Dokumente und Einstellungen\Desktop habe ich eine Datei ACHTUNG-LESEN.txt gefunden mit dem Inhalt:

Auch das ist symptomatisch für den Verschlüsselungstrojaner der Version 1.o4.xx oder höher.
Die Datei *.$02 enthält die Informationen über die Verschlüsselung jeder einzelnen Datei, einschließlich Klarnamen und Schlüssel.
Die Datei selbst ist doppelt verschlüsselt und der Schlüssel wurde auf einen externen Server ausgelagert.

Zitat von Olaf-NF

Vieleicht helfen diese Informationen etwas weiter bei der Suche nach einer Lösung.

Weniger, aber trotzdem Danke.

Volker

Zitat von Undertaker

wenn der XP-Rechner mit dieser HDD noch das o. g. Verhalten zeigt, dann ist er nicht virenfrei.

Der Rechner bootet wieder normal - ohne Fehlermeldungen.
Scheinbar sind keine system-wichtigen Dateien verschlüsselt worden.

Zitat von Undertaker

Welche Verhaltensauffälligkeiten zeigt der Rechner noch?
Ist er noch im abgesicherten Modus bootbar?
Hast Du Zugriff auf den Taskmanager und Regedit?

Zum Zeitpunkt vor der "Reinigung" bootete der Rechner nicht im abgesicherten Modus und im normalen Modus wurde er ja gleich eingefroren, so daß Regedit und Taskmanager nicht möglichwaren.

Zitat von Undertaker

Welches Interesse besteht an den verschlüsselten Daten?

Auf der Festplatte sind einige Bilder / Foto's gespeichert, für die es keine Sicherung gibt - aber soooo wichtig scheinen diese auch nicht.

Die Festplatte ist eine MAXTOR DiamondMax Plus 8 ATA/133 mit 40 GB.
Ich kann / darf euch diese überlassen, wenn sie für eine Analyse hilfreich ist.

MfG
NF-Olaf