DgFRzUIOPHJV verschlüsselte Dateien durch Paysafe Trojaner

ml17950

Moin.

Heute hatte ich die erste Bekanntschaft mit einer der neuen Versionen des Paysafe-Trojaners/-Scareware. Ich habe hier und da was dazu gelesen und auch mal ein wenig in die Dateien hinein geschaut (1 PC betroffen / 1 PC sauber) und möchte es hier mal ein wenig zusammen fassen.

Es geht um die Version, die die Dateien nach dem Schema DgFRzUIOPHJV usw. verschlüsselt. Dabei geht es nicht um die Versionen, die die locked.xxxxx Dateien erstellt (siehe http://www.trojaner-board.de/114548-...tml#post830239).

Was ich bis jetzt herausgefunden habe:

1) Die Dateinamen sehen auf den ersten Blick wie Base64 kodiert aus. Merkwürdig ist aber, das mir noch keiner mit Zahlen unter gekommen sind. Wenn man einen Text mit Base64 kodiert, sind dort doch schon ein paar Zahlen drin.

2) Die Dateien sind 1:1 Verschlüsselt, weil die Größe von ver- und unverschlüsselten Dateien gleich ist. Habe 12 Dateien von einem Windows XP ..\All Users\Vorlagen Verzeichnis.

3) Die Dateien scheinen zum 100% verschlüsselt zu sein und nicht nur die ersten 4KB.

4) Die Verschlüsselung scheint je nach Datei unterschiedlich zu sein. Denn ich habe 5 verschlüsselte Dateien, von denen ich weiß, das es jpeg's sind.
Wenn ich nun xor auf die ersten 14 Bytes mache, um einen Standard Jpeg Header zu bekommen, dann kann ich bei der zweiten Datei mit diesem Schlüssel den Jpeg Header nicht wieder herstellen.

Kann das jemand bestätigen, widerlegen oder hat sonst noch etwas heraus gefunden?

MfG