DirtyDecrypt - Verschlüsselungs-Trojaner

seit einigen Tagen ist ein neuer "Verschlüsselungstrojaner" im Umlauf.
Verschlüsselt werden u.a Dokumente, Bilder etc.

Betroffene sollten hier im Forum ein Thema eröffnen.

Man bekommt beim Aufruf folgende Meldung:

File is encrypted
This file can be decrypted using the program DirtyDecrypt.exe
Press CTRL+ALT+D to run DirtyDecrypt.exe

If DirtyDecrypt.exe not opened сheck the paths:
C:\Program Files\Dirty\DirtyDecrypt.exe
C:\Program Files (x86)\Dirty\DirtyDecrypt.exe
C:\Users\[YOUR USER]\AppData\Roaming\Dirty\DirtyDecrypt.exe
C:\Documents and Settings\[YOUR USER]\Application Data\Dirty\DirtyDecrypt.exe

C:\Documents and Settings\[YOUR USER]\Local Settings\Application Data\Dirty\DirtyDecrypt.exe

Zitat von AdminBot

DirtyDecrypt - Verschlüsselungs-Trojaner

seit einigen Tagen ist ein neuer "Verschlüsselungstrojaner" im Umlauf.
Verschlüsselt werden u.a Dokumente, Bilder etc.

Betroffene sollten hier im Forum ein Thema eröffnen.

Man bekommt beim Aufruf folgende Meldung:

Falls man die dirty...exe auf seinem Computer drauf hat, kann man sich es sparen die zu starten (sollte man so oder so):

Anyway, I restored back to the first point that I could and found the DirtyDecrpt.exe program. Of course i ran it and it was a standard ransomeware input screen which wanted you to put either a 100 euros or 100 pounds sterling kcash or something like that code it to decrypt the file. I obviously didn't do that.

hxxp://www.bleepingcomputer.com/forums/t/493322/dirtydecryptexe/

moin,
ich habe mir mal ein paar "verschlüsselte" JPEG-Bilder angesehen.
Alle haben eins gemeinsam.
Von 0x0000h bis 0x64f9h sind alle gleich.



Bei diesen 25850 Bytes handelt es sich um ein PNG-Picture und beinhaltet genau das oben gezeigte schwarze Bild..
Der Rest der Dateien ist für die Darstellung ohne Belange und enthält wahrscheinlich die Originaldatei, wobei allerdings ab 0x64fa nichts auf einen JPG-Header hindeutet.

Da ich kein Vergleichsoriginal habe, kann ich nicht einschätzen, ob diese 25k komplett mit dem PNG überschrieben, oder ob es nur eingehangen wurde.

Falls der Rest der Datei tatsächlich das Original ist, wurde zumindest der Header komplett zerstört.

Undertaker

Eine JPEG Datei sollte mit

FF D9

aufhören

DirtyDecrypt

ich habe im Quarantäne Verzeichnis von Avira noch einiges von diesem Trojaner.

Ich habe 3 Screenshots von meinem Avira Quarantäne Verzeichnis gemacht und diese mit einer MAil ans Board gesendet. Ferner habe ich hier verschlüsselte und bestimmt das eine oder andere Bild, Dokument, xls-, pdf-Datei dazu unverschlüsselt passende Datei.

Kann jemand damit etwas anfangen? Wenn ja dann schreib mir bitte wie und wohin ich sowas hochladen kann.

Grüße markus320

uns würde ein verschlüsseltes und ein unverschlüsseltes zum vergleichen helfen. Du kannst einen Hoster (mag ich nicht so gerne) nutzen oder es direkt hier anhängen.

FF Marken findet man zuhauf, allerdings fast keine JPG-typischen FF Dx.
Von einer Quantifizierungstabelle ist weit und breit auch nichts zu sehen.
Nichtmal etwas was annähernd danach riecht.

@Markus,
ich schicke Dir einen FTP-Link zu meinem privaten Server.

ich würde mich (auch) drüber freuen zwei Dateien zu vergleichen...

Ich seh schon mort hat um einiges mehr ahnung als ich (undertaker sowieso)

mort guck mal wir haben schon voll viele Sterne gesammelt


mfg HardStylerx3

20 Min Internet Ausfall

Zitat von HardStylerx3

... wir haben schon voll viele Sterne gesammelt.

Ich sehe auch nur noch Sterne, hexadezimale.

Welchen Hex Editor nutzt du?

Zitat von mort

Welchen Hex Editor nutzt du?

Klar kam die Nachricht an.
HxD, da Freeware, gelegentlich auch UE und UC von IDM.

Ok, dann habe ich das gleiche

Hallo,

Zitat von Betroffenem

Die üblichen Decrypter (Avira, Kaspersky) funktionieren nicht, schon weil sich die Dateigröße zwischen Original und verschlüsselter Datei geändert, nämlich vergrößert hat, um ca. 25 kB.

Die "ca. 25 kB", sind das Photoshop-Bild. (PNG)

Bei anderen Formaten pappt ein RTF vor den verschlüsselten Daten.
- Das sind nur einige Bytes.

Das Teil ist mehr als 200-1000 mal langsamer als andere Varianten, also begnügt sich der Kappes nicht mit 2k oder 12k einer Datei.
- Der verschüsselt scheinbar die ganze Datei.

Tschau