@markusg
hab über den Rechner schon 3x das AV Programm laufen lassen. Das hat nichts mehr gefunden. Auch gebootet von der Rescue-CD und die Laufwerke abgescannt, nichts gefunden.

Mein AV hat die Schadsoftware ja erkannt, aber leider zu spät.

Was sollte man noch für ein Programm über die Laufwerke jagen? :confused:

Wurde denn die Schadsoftware erfolgreich gelöscht? Es sollten normalerweise 2 EXE-Dateien sein.

Ja, mein AV-Programm hat laut Log-Datei 2 EXE-Dateien im Modus "Echtzeit Datenschutz" gelöscht.
Trotz AV-Programm hat das Schadprogramm aber trotzdem voll zugeschlagen.

Wurde wahrscheinlich erst nach Aktualisierung der Virendefinitionen gefunden. Aber jetzt ist ja anscheinend alles wieder in Ordnung :)

Als ich die Schadsoftware in den Händen hatte, haben sie gerade mal fünf oder sechs der auf VirusTotal gelisteten Anti-Viren-Programme erkannt. Und das waren größtenteils Heuristiken.


EDIT für alle und wieder On-Topic:

Gibt's Feedback zur neuen Version? Funktioniert irgendetwas nicht oder läuft falsch?
Sonst implementiere ich noch das Logging...

jo, gibt jeden tag momentan so 1 2 neue samples, also noch ne relativ geringe routation.
ich bin mal gespannt wie das wird, wenn sie es enden.
deswegen will ich ja die mails immer haben, um zeitnahe reagieren zu können, heißt, dateien einsenden.

Wenn ich versuche, ganze Ordner zu entschlüsseln, wird dein Programm auf einmal inaktiv. Es entschlüsselt keine weiteren Dateien, der entsprechende Button bleibt deaktiviert, aber es tut sich nichts....

Ansonsten: herzlichen Dank für deine Arbeit! Meine Mutter schuldet dir schon jetzt mehrere Kästen Hopfenschorle :)

Nutzt du die letzte Version (DecryptHelper 0.5)?

Es gibt zur Zeit leider noch keine Aktivitätsanzeige.
Schau mal in den ausgewählten Ordner, wird da nicht vielleicht doch gearbeitet?

Ja, ich nutze 0.5 und es tut sich lange nichts - zum Schluss hats dann aber doch geklappt. Ein Aktivitätsanzeige wäre toll, so als große Textbox, in der die entschlüsselten Dateien aufgeführt werden.

hallo
hier sieht ja alles nach einer lösung aus nur scheine ich blond zu sein ^^
habe mir die programme runtergeladen und es auch versucht
decrypt helper 0.5 verlangt die orginaldatei wie und wo finde ich die denn sorry aber pc ist nicht so mein dinge aber man kann ja auch nicht mehr ohne^^

Zum "Schlüssel erzeugen" muss eine von der Schadsoftware verschlüsselte Datei sowie das Original vorhanden sein.

Anbieten würden sich hier zum Beispiel vom Windows mitgelieferte Beispielbilder, eine Sicherung von einem Dokument/Bild von dir auf einem externen Datenträger oder eine Datei, die du per E-Mail verschickt oder ins Internet gestellt hast.
Wichtig ist, dass es wirklich die exakt gleiche Datei ist, die von der Schadsoftware verschlüsselt wurde.

Dieses Pärchen stellst du dem DecryptHelper zur Verfügung und er erzeugt dir deinen rechnerabhängigen Schlüssel, mit dem du die Dateien wiederherstellen kannst (nachdem du eine Sicherheitskopie angefertigt hast!)

ok soweit habe ich das verstanden ABER wenn ich das orginal hätte würde ich mir die bilder einfach wieder auf pc schieben

ich habe ca 10000 bilder auf pc alle von der digi cam rübergezogen und habe nie eine kopie gemacht

heisst das jetzt ich kann die bilder nicht mehr öffnen

vielen dank für die hilfe

Du brauchst nur EIN Original um damit ALLE Dateien wiederherzustellen! :)
Irgendwo findest du doch sicher etwas. Es reicht wie gesagt eine einzige Datei.

Bin gerade dabei zu entsperren, nun fällt mir auf, das bei manchen ordner und dateien ein kleines vorhängeschloss davor ist. was bedeutet das?

hallo leute meine bilder kommen nach und nach wieder

super vielen dank

danke das es so ein forum gibt und leute die sich den a.... aufreissen für sowas

mit dem code wie ich die bilder entschlüsselt habe kann ich damit alles entschlüsseln was loked ist sprich auch meine musik ordner

DANKKKKKEEEEEEEEEEEEE

Version 0.5.1 ist veröffentlicht. Erzeugt jetzt bei Bedarf eine Logdatei mit dieser Struktur:
Dort kann man jetzt endlich den aktuellen Fortschritt überprüfen. (SKIP = wurde überprungen, da originaler Dateiname bereits vergeben ist)
Ist über die bereits bekannten Downloadlinks verfügbar bzw. hier: DecryptHelper


Kannst du davon ein Bild hochladen?
Eventuell ist der Ordner schreibgeschützt. Bist du unter Linux/LiveCD?

Freut mich :)
Nutzt du eine Version ab einschließlich 0.5? Damit geht's wesentlich schneller!

Hallo zusammen, bin einer von vielen Leidgenossen und kein Computerprofi. Ich habe decryptHelper 0,5 heruntergeladen, habe aber das Problem, dass bei Doppelklick sich meine Nokia Suit öffnet und in einem Fenster mich auffordert, das Gerät des decryptHelpers anzuschließen ?????
Was mach eich falsch - bitte um Hilfe
LG Michael

Hallo Ingmilu,

gleiches Problem hatte ich auch. Habe einfach die Nokia Suit gelöscht und danach hat alles funktioniert.

Böse Nokia Suite! Klaut sich einfach die Dateiendung!

Versuchs mal mit der Eingabeaufforderung. Dort ins Verzeichnis von der DecryptHelper-0.5.jar wechseln und sie mit diesem Befehl starten:
java -jar DecryptHelper-0.5.jar

Update: Habe dir eine ausführbare Datei erstellt:
DecryptHelper.exe basiert auf Version 0.5.1 und prüft zusätzlich ob die benötigte Java Runtime installiert ist!

Sehr geehrter ,

Herzlichen Glückwunsch, Ihr Premiumemail Upgrade ist eingetragen worden.
357,59 Euro für Jahres Registrationsbeitrag werden Ihnen in kürze von Ihrem Bankkonto zu Last gelegt. Kontrollieren Sie die Vertragsdetails bitte dem Anhang, dort finden Sie auch den Formular über die Lastschriftabbuchung.

mit freudlichen Grüssen
Ihr Kundenservice

Vielen vielen Dank für Eure Hilfe, hat alles super zum ent"locked" funktioniert :-)

Frage noch, wielange soll die Sicherheitskopie der Locked Daten draufbleiben und kann man diese dann einfach löschen?

Hallo matkuni, vielen Dank für die super schnelle Antwort - du bnist ja offensichtlich permanent seit Tagen online. Das Öffnen hat jetzt super geklappt und der Computer arbeitet. Habe bisher 2 Fehlermeldungen erhalten - map failed und irgend etwas war zu klein - wir werden ja sehen. Jedenfalls vielen Dank vorerst.
LG michael

Hallo matkuni, bei mir hat alles geklappt - du bist ein Gott - vielen Dank
LG Michael

Schönen guten Abend,

ich habe gerade am Notebook meiner Eltern gesessen, die sich einen Verschlüsselungstrojaner eingefangen haben. Dank der Hilfe im Forum hier habe ich zumindest den Trojaner entfernen können und wieder Zugriff auf das Notebook. Bei der Entschlüsselung der Dateien habe ich allerdings Probleme. Die gespeicherten verschlüsselten Bilder sind alle nur ca. 50 kb groß. Wenn ich diese mit der Originaldatei "vergleichen" lasse, kommt immer die Fehlermeldung, dass die Dateien unterschiedlich groß sind. Hat jemand vielleicht eine Idee wie ich weiter vorgehen kann?

Vielen Dank im Voraus!

VG, Christoph

Okay Screenshot.. links die Dateien die ich nicht öffnen kann rechts meine Programliste

Vielen Dank erstmal für Eure hilfe kann dieses locked-... nicht mehr sehen
Grüße Melanie

Hey, probiers mal mit dieser Version:
http://matthi.org/DecryptHelper.exe (basiert auf der aktuellsten Version und vereinfacht das Ausführen)

Die verschlüsselte Datei muss exakt die gleiche Größe haben wie das Original.
Bist du sicher, dass du ein passendes Pärchen gefunden hast?

Bis du sicher bist, dass alle wiederhergestellten Dateien 100%ig korrekt sind ;)

Ich würde die nächsten Tage noch abwarten, ob Berichte von Nutzern auftauchen, die fehlerhafte Dateien erzeugt bekommen haben.
War mit der aktuellen Methode (0.4 / 0.5 und aktueller) bisher nicht der Fall.

Am besten wirklich alle äußerst wichtigen Dateien mal kontrollieren..

Hallo nochmal,

auch ich möchte den Entwicklern DANKE sagen. Entschlüsseln der Dateien funktioniert einwandfrei. Und mit viel Arbeit und Zeit (Bezahlung von Kunden) bekommt man es in den Griff.

Gruß:Boogie:

Guten Abend!

Kannst du eine Flag einbauen, mit der bereits vorhandene wiederhergestellte Dateien
nochmal überschrieben werden? :)

Ja ich habe die Originaldatei aus einer Email. Die verschlüsselten Bilder sind alle nur noch um die 50kb groß. Das kann eigentlich nicht sein und hier liegt auch das Problem. Keine Ahnung wieso die Dateien nicht nur verschlüsselt sondern auch kleiner geworden sind.

@matkuni
dein Script lief gestern nacht bei mir.
Stichproben waren einwandfrei.
Es wurden auch meine Postscript-Schriften wiederhergestellt *.otf und *.ttf, wobei die Systemschriften (Windows) nicht gelocked waren, nur die Fonts in den Auftragsordnern.
Jetzt werde ich mein System bereinigen - wird sicher auch noch spassig.
Danke - Kompliment - meine kleine Welt dreht sich wieder! :taenzer:

Hallo ich habe auch das Problem mit dem entschlüßeln habe zwar einen Key mit einer Kranken und einer gesunden Datei erstellt es wurden auch alle Ordner wiederhergestellt doc,xls,pdf dateien wenn ich die aber aufrufe, kommt eine Schrift die mann nicht lessen kann ganz komische Zeichen was kann ich jetzt dagegen tun das ich die Dateien wieder lessen und bearbeiten kann.

Gruß
Rainer

Hallo zusammen,
Wahnsinn, was hier in kurzer Zeit auf die Beine gestellt wurde. Dafür schon mal vielen Dank! Gestern haben wir uns den Trojaner leider auch ins Haus geholt.
Aber leider funktioniert das mit der Entschlüsselung bei uns nicht. Ich weiß nicht, ob ich das ganze nicht vielleicht falsch verstehe und falsch mache. Man muss ja die locked-Datei erst anklicken, und dann die Originaldatei. Aber was denn für eine Originaldatei? Sind doch alle locked. Hab dann mal so ein Beispielbild abgespeichert. Aber das geht auch nicht. Da steht dann, das ist nicht das gleiche Paar oder hat eine verschiedene Größe. Ich verstehe es nicht.

Hallo matkuni ich möchte das Entschlüsselungsprogramm nutzen einer verschlüsselten Datei z. B. locked-abc.xls.efgb kann ich keine Originaldatei zuordnen. Wenn ich abc.xls eingebe erscheint: die Dateien sind unterschiedlich groß. Was ist der zu ladende Schlüssel?


Gruß und Dank im voraus hkhkl

Ja hallo zunächst Chapou, kein großer Virenscanner kann es bisher!
Ich habe alles durchgeführt erst Malwarebytes 4 Dateien gefunden (im abgesicherten Modus ging bei mir das starten noch) dann besser noch von Dr WEB Drwebcurlet erst damit ging ein start ohne Erpresserbildschirm, dann mit aviraunlocked einige Dateien die wichtigsten entschlüsselt alles geht. Jetzt mit Dercrypthelper die unwichtigen Dateien drüber, weil der in der lage ist die locked- Dateien nicht zu behalten. Was derzeit noch stört die Microsoft Officeprogramme lassen sich nicht richtig starten ein Instalationsvorgang wird gestartet wenn man den abbricht fahren die Office Programme runter?

@MatKuni
Jetzt mal ehrlich:
ich glaube Du hast mit deinem Script so manchen hier glücklich gemacht.
Ganz herzlichen Dank für Deine Mühe!
Ich kann grob erahnen, was es Dich an Arbeit gekostet hat.
Natürlich hätten wir alle ohne Internet und Mail keine Viren... um so toller finde ich Leistungen wie Deine.
Ich bin wirklich froh, auf Deinen Beitrag gestossen zu sein.

Herr KUNIG, Vielen Vielen Vielan Dank!

Über 600 Dateien Datenbanken, alles wieder so wie es sein soll!:dankeschoen::dankeschoen:

Natürlich auch ein großes Dankeschön an www.trojaner-board.de für die Unterstützung von Anfang bis zum Ende!

Ich muss mich auch bedanken, oder besser im Namen meines Kunden, der wird sich am Montag freuen.

Da haben wir echt Schwein gehabt,
das der Schöpfer so "faul" war um für alle Dateien den gleichen Key zu benutzen.

Richtiger wer es doch gewesen ein neues Schlüsselpaar beim infizieren zu erzeugen, den Privaten dann zum Autor zu schicken und restlos vom System Wipen.
Jetzt für jede Datei / Ordner nochmal zufällige Schlüssel generieren und diese dann mit dem Öffentlichen Schlüssel zu verschlüsseln.
Bei Zahlung gibt es dann vielleicht den Privaten zurück......
(oder habe ich da jetzt einen Denkfehler drin wo hier der "Fehler" des Autors lag ?)

oder er hatte wohl die CO2 Bilanz seines Treibens im Hinterkopf :crazy:

hatt doch nicht jeder den selben schlüssel.
außerdem ist das ja erst die erste version.
sie wird weiter entwickelt.
habe gestern eine version eingesendet, in der die möglichkeit besteht, die liste der verwendeten urls auszutauschen.
also der urls der cc server und der server, von denen die malware weitere malware downloaden kann.
da wird sicher noch einiges kommen.

Hallo zusammen

Danke für die geniale Arbeit alle meine Daten sind wieder zurück.
Ich habe mir Vergleichsdaten (Bilder aus dem Ordner Publik ) für XP Vista Win7 zusmmengestellt.
Wer welche braucht, helfe gern Pin mit e.mail Adresss. reicht oder kann ich die hier als zip ablegen?

:dankeschoen: matkuni und natürlich alle die an diesem genialen Tool mithelfen.
Ihr habt mir viel Zeit erspart und dass habe ich heute mit einem "Fuffi" als Spende für eure Arbeit belohnt. Ich weiss, wieviel Arbeit sowas kostet und bin froh, dass es so Leute wie Euch gibt.:daumenhoc
Gruss bummi-fix

hi,

danke die Anwedung startet, aber leider zeigt mir das Program (habe jellyfish als Datei genommen) "Der Schlüssel konnte nicht bestimmt werden."

Gruß Melanie

Ich habe nur die kranken Dateien habe von einem Freund eine Kranke und gesunde Datei erhalten dann hat der den key generiert. Aber nach der entschlüßelung waren die Dateien zwar wieder im ursprungszustand aber Mann konte sie nicht mehr ließen was kann ich jetzt machen damit ich die Dateien wieder ließen kann.

Gruß
Rainer

INFO 1
Habe den Trojaner offensichtlich am 24.4. gefangen und relativ schnell mit Avira gescanned, deshalb ist Befall bei mir nicht 100% (dann erst nach 2 Tagen wieder am Rechner gewesen und das Chaos festgestellt)
Habe festgestellt, daß er beide Festplatten mit insgesamt 5 Partitionen gleichzeit verseucht hat, allerdings nur bis übergeordneter Ordner beginnend mit A bis D - also offensichtliche alphabethische Reihenfolge. Leider ist Dokumente und Einstellungen betroffen inkl. aller links.
Ebenso .dll, mdb und so weiter

INFO 2
Habe mit AVIRA-ransomeFileUnlocker test auf stick mit 3 Stück .jpg gemacht. Einzel-decrypt ist fehlgeschlagen (vielleicht Fehler von mir - er hat die gleiche datei mit zusatz "decrypted" am Ende des Namens vor der Endung gespeichert, diese hat sich nicht öffnen lassen), aber als ich "kompletten Ordner" angeklickt habe, hat das Programm innerhalb Sekunden die 3 Bilder von zusammen 10 MB wiederhergestellt.
Leider steht da jetzt das Datum vom 29.4. 2012 - speziell bei Fotos wäre mir das Original Datum der Datei lieber.
Habe dann leichtsinnigerweise das komplette Laufwerk "C" (Partition einer Festplatte) eingegeben: nach vielleicht 15 min bekam ich die Antwort "3048 files entschlüsselt".
Ich glaube aber, es hat nicht funktioniert: Bei xls bekomme ich nach wie vor Hyroglyphen, bei .doc die Meldung "Konverter kann nicht gestartet werden mswrd632.wpc"
Andere Dateien wie .dll, .db kann man so eh nicht testen.

FRAGE:
Kann ich da jetzt nochmal den "DecryptHelper" laufen lassen? Der Name der Original-Datei existiert ja jetzt wieder in den verseuchten Teilen des Laufwerks

vielen heißen Dank für dein Programm Matkuni, hat mir Zeit und Nerven gerettet.
Ich bin gerne bereit, dir per Paypal eine Anerkennung zu senden, wenn du mir deine Empfängeradresse zukommen läßt.

Ein Problem habe ich allerdings. Ich habe vor DecryptHelper 0.5 zuerst versucht mit Avira Ransom File Unlocker die Dateien zu retten, dummerweise auf der ganzen C Festplatte.
Da die Dateien aber danach erzeugt wurden, aber nicht lesbar sind, habe ich jetzt das Problem, dass ich den DecryptHelper 0.5 dafür verwenden will.

Da aber alle Dateien namentlichals angebliches Original entschlüsselt und schon erzeugt sind, findet DecryptHelper 0.5 natürlich nichts.
Ich müßte jetzt jede einzelne von Avira erzeugte "entschlüsselte" Originaldatei wieder löschen :-(

Gibt es eine Möglichkeit, irgendwie zu hinterlegen "trotzdem erzeugen", also überschreiben.
Das wäre ganz toll

Danke im voraus
zebulon0401

hi, kannst du mir mal von avira den verwendeten key hochladen, das verwendete original und die müll datei?
evtl. auch eine der gesperrten falls vorhanden.

Trojaner-Board Upload Channel
noch mal für alle, man entschlüsselt niemals am original, nur an nem backup.

Huhu!
Ja super..bei allen klappt das wieder,nur bei mir nich *bade ne Runde in Selbstmitleid.Hab es schon mit zwei Pärchen(eine infizierte Bilddatei und eine frisch aus der Camera) mit exakt der selben Größe mehrfach probiert,aber es kommt immer nur "Der Schlüssel konnte nicht bestimmt werden.Und was nu?Muß die Orginaldatei exakt den selben Namen haben,wie die infizierte?

Original, gesperrte und Mülldatei kann ich dir sofort hochladen, wo finde ich die Avira Keydatei?

geht auch erst mal so, lads mal bitte hoch.

geschehen, wobei Original und gesperrte Datei identisch sind, aber die erzeugte eine andere als Beispiel. Es geht aber doch nur um den Schlüssel. oder?

weitergeleitet ich meld mich

...gut,gleicher Name bringt auch nix.

Kann mir irgendjemand sagen,was ich falsch mache,oder noch ausprobieren kann?
Ich verzeifel gleich.Ich kann bestimmt die nächsten zwei Wochen schreiben,wenn ich das nich wieder hin krieg:confused:

Speasy,

ich als Laie hatte es so verstanden, dass es die GLEICHE Datei sein muss.
Hatte bei mir auch gedauert, es zu verstehen.

Konnte mir helfen, indem ich das Original von einem Webserver nahm und die infizierte von der Festplatte. (Alternativ lies mal hier wegen Hintergrundpic von Windows)
Dann stimmten Größe und Inhalt überein

Ja ne...es ist das gleiche Bild ...einmal schon von der Camera runtergeladen auf die Festplatte (das bild ist gestern dann infiziert worden und gelockt.Das gleiche Foto habe ich dann heute nocheinmal runtergezogen.Also gleiche Größe,gleicher Inhalt.

Hallo zusammen

DecryptHelper von Matthias mit Vista Home und Windows XP verseuchten PC getestet läuft ohne Probleme als Vergleichdaten ein Bild aus dem öffentlichen Verzeichniss benutzt klasse dauerte nur etwas vor allem bei Videos :applaus::applaus::applaus::applaus::applaus::applaus::applaus::applaus:
das blieb mir erspart :headbang::confused:

:dankeschoen:
Pit

Bin heute und auch noch morgen mit Unikram beschäftigt und deshalb nur ein kurzes Update.

- Die Funktion "Existierende Dateien überschreiben" wurde hinzugefügt und macht genau das, was angefragt wurde ;)
- Zeilenumbrüche in der Logdatei sind nun auch unter Windows korrekt

http://matthi.org/DecryptHelper-0.5.2.jar
http://matthi.org/DecryptHelper-0.5.2.exe (für Leute, bei denen Jar-Dateien mit dem falschen Programm geöffnet werden)

Diese Fehlermeldung taucht auf, wenn zwar die Dateigröße die selbe ist, aber die Dateien nach dem Entschlüsseln trotzdem nicht 100%ig übereinstimmen.
Kann dadurch kommen, dass Metadaten (EXIF etc) geändert wurden, nachdem die Datei von der Kamera geladen wurde. Also ein anderes Pärchen suchen.

Es muss sich um die selbe Datei handeln - ohne irgendwelche Änderungen - damit lediglich die Differenz berechnet werden kann, die die Schadsoftware verursacht hat.

Mit Version 0.5.2 ist dies möglich.
Aber auch der DecryptHelper wird deine Erstell-/Änderungszeitpunkte nicht wiederherstellen können. Eventuell kannst du diese aus den EXIF-Daten deiner Bilder auslesen.

@ matkuni
Erst Mal vielen Dank - werde die neue Version ausprobieren, spart mir auf jeden Fall jede Menge Zeit.
Exif Datei hat tatsächlich Original Datum

Habe einige Daten recovered mit 0.5.2 - hat fast alles geklappt, bis auf 2 exe (Steuerprogramm von Lexware). Ich warte erst Mal, bis ich alles fertig habe - kann auch an was Anderem hängen
Melde mich noch Mal

Matthes: Meld dich doch mal bei mir -
wir bauen hier an einander vorbei; das ist Perlen vor die Säue.
Ich habe derweil eine verifizierte Automatik für Win98 und WinXP, die keine 2 Dateien mehr benötigt.

Win7, Win2K und 2K3 sowie 2K8 kann ich leider erst am Mittwoch testen, daher ich Urlaub habe.

Kind Regards.

Oliver

@ bitfox
Oliver
ich habe XP und noch einige 1000 Dateien vor mir - soll ichs Mal Morgen testen?

Bernie

Hallo wir haben hier ein Problem beim Schlüssel erzeugen.
Egal welche Datei mann verwendet kommt immer der Fehler: Dateien unterschiedliche Göße.
Woran kann das liegen?
MfG
Marko

@zebulon0401
rückfrage avira:
> die Dateien sind wieder identisch.
> Scheinbar wurden also für den Key zweimal entschlüsselte Dateien oder zweimal verschlüsselte Dateien angegeben.
> Kannst du mir bitte die Dateien, die oben bei "Verschlüsselte Datei" und "Original Datei" stehen, besorgen (incl. Pfad).
> Könnte auch sein, dass bei "Original Datei" dann "<<<Bekannte Standard-Datei>>>" steht.
>

Es gelingt mir nicht den Schlüssel zu erzeugen. Gibt es unterschiedliche Verschlüsselungstrojaner. Meine verschlüsselten Dateien haben alle die zusätzliche Endung ".QWCiPhErEd" erhalten. Ich habe die Verion 0.5 benutzt.

habe alle meine locked-verschlüsselten Dateien mit dem decrythelper von matkuni entschüsseln können, herzlichen Dank für die gute Hilfe. Ein Hinweis zur Beschreibung, es sollte darauf hingewiesen werden, dass zur Erzeugung des Schlüssels eine unverschlüsselte Datei und eine identische verschlüsselte Datei benötigt werden und dass nach Erzeugung des Schlüssels nur ganze Ordner komplett entschlüsselt werden können.
Nochmals Dank und Gruß hkhkl

DANKE matkuni, hat jetzt Super geklappt. Hast mir den A... gerettet, Spende ist unterwegs :applaus:

Hallo,

ich hatte auf einem Computer diesen verdammten Trojaner.

Dank Eurer Hilfe konnte ich alle Word, Excel und PDF Dateien wieder

entschlüsseln. Dabei war mir das Download Verzeichnis sehr hilfreich.

:taenzer:

Habe den "DecryptHelper von Matthias (DecryptHelper-0.5.2)" verwendet.
Es hatte erst nicht geklappt, dann habe ich den Key mit anderen Dateipaaren (Original und Infiziert) erneut erstellt und beim vierten mal hat es dann geklappt.
THX a lot!!

klasse.
evtl. solltest du dein tool mal in ein extra thema auslagern.

Hallo Herr Kunig,

Ihr Java Tool hat mir wirklich sehr geholfen. :daumenhoc
(Version 5.2 und aktuelles Java liegt vor)
Ich konnte damit alle Fotos, Musik und Dokumente rekonstruieren. :party:

Nur beim Factory Image hatte ich keine Erfolge.
Ich bekam eine Fehlermeldung.......siehe Bild. :confused:

Werde den Beitrag verfolgen und ich hoffe, daß es noch eine Version gibt,
die ein Image von einem MEDION Laptop (Cyberlink PowerRecovery Image)
erkennt und entschlüsseln kann.

:dankeschoen: Auf Alle Fälle nochmals Vielen DANK :dankeschoen:

Hey, kannst du die die Links zu den Beispiel-Bildern vielleicht auch für Windows XP posten?
Wäre dir sehr verbunden!
Gruss

@bitfox

Hallo Oliver,
habe Dein Programm von heute Nacht getestet - OHNE ERFOLG.

Trotz mehrerer Versuche mit allen Varianten mit und ohne Häkchen, manchmal mit Felermeldung "Stack Überlauf"
Dabei fiel mir auf
1.) Datei 1 und Datei 2 - ist es egal, was Original und verschlüsselt ist? (habe beides erfolglos probiert).
2.) Das Programm schließt jedes Mal automatisch nach einem Versuch. Wenn man also 10 Versuche (oder aber auch 10 Main-Directories usw.) hat, dann startet man auch 10 Mal - das nervt dann.
Wie gesagt -bei mir liefs nicht.
Bernie

@MATKUNI und Kopie @wildlion80

Habe heute die letzte Version positiv an Stick getestet.
Dann FEHLSChLAG: es kam beim Häkchen "ganzer Ordner" Fehlermeldung "java.io.IOExeption: MAP failed"; nach 2 weiteren Versuchen habe ich oberste Ebene mit Häkchen für Single Datei probiert -2 x selbe Fehlemeldung.
Nach mehrmaligem Programm-Neustart und Sticktest habe ich es noch einmal probiert => OHNE PROBLEME

Habe dann 5 Festplatten/Partitionen decrypted - scheint alles zu funktionieren (mit und ohne Kopie, mit und ohne Original-Datei löschen).

Das fiel mir auf:
1. wenn Häkchen für kompletten Ordner gesetzt ist, geht das nur 1x, dann ist das Feld "Ordner" inaktiv, und man muß Prg schließen, neu öffnen neu Code laden.
2. die noch fehlende Fortschrittsanzeige ist teilweise durch das Feld "Ordner" ersetzt: es wird dann inaktiv, wenn die vorhergehende Operation abgschlossen ist.

Bernie

Entschlüsselung klappt nicht bei sehr großer Datei (> 1 GB)
 

Hallo Matthias,

bis jetzt klappt das Entschlüsseln mit deinem Tool (DANKE!).

Leider stürzt die aktuelle Version 0.5.2 bei einer Datei eines Mailordners von Pegasusmail andauernd ab.

Hier die Fehlermeldung des Programmes:

Woran kann das liegen und was kann man tun, damit der Ordner entschlüsselt wird?

Guten Abend an alle !

Ich habe ein grosses Problem. Habe mir auch diesen "Trojaner" eingefangen und das System komplett neu aufgespielt, soweit läuft auch alles wieder. Jetzt zu meinem Problem: Ich habe an meinen Rechner zwei weitere Festplatten angeschlossen auf denen sich alle meine Fotos und Videos befinden. Auf beiden Festplatten sind alle Dateien jetzt verschlüsselt. Ich habe hier gelesen das man zum entschlüsseln die Original Dateien benötigt aber diese habe ich nicht. Hilfe ! Bitte, kann mir hier jemand helfen?! Das sind die Fotos und Videos meines ganzen Lebens. Ich bedanke mich schon mal und wünsche noch einen schönen Abend !

Vorsicht!
Bei verschiedenen Laufwerken scheinen verschiedene Schlüssel benötigt zu werden - so gesehen bei einem MD8080.

Die externe Festplatte benötigte einen anderen Schlüssel -
die Geschichte mit den Beispieldateien klappt also somit nicht 100% zuverlässig.
Damit ist auch erklärt, warum bei einigen das Toll von Matthes oder mir läuft, bei anderen wieder nicht.

Interessanter Weise hat das Biest mit den Netzwerkshares dort beim Kunden gleiche Schlüssel genutzt. Es scheint also so, als würde der MBR, die Paritioninfo oder was auch immer als Komplement genutzt zu werden.
Laufwerke C: und D: (beide auf der gleichen physikalischen Platte) wurden ebenfalls mit ein und dem selben Schlüssel von Laufwerk C restored.

Grüße,

Olli

(Sorry, bei der Version von heute Mittag war ein Fehler drin. Das "Datei nicht gefunden." ist behoben... Nun werden Schlüssel wieder automatisch erstellt.)

Gibt es eine möglichkeit meine ganze C:/ Festplatte aufeinmal
alles durchlaufen zu lassen ? weil sonst hocke ich hier noch Jahre :/

Hallo , ich habe leider auch das problem das ich diesen Virus drauf hatte -.-
Habe nun das ganze system neu aufgespielt. Das schlimme an der sache ist das auch meine ganze externe betroffen ist ... wie kann ich die dateien wieder herstellen ich habe kein locked und das originale davon :confused:


Kann vielleicht jemand eine LOCKED von einem Windows 7 Beispielbild hocladen das ich gucken kann ob ich meine externe damit entschlüsseln kann ?

Beispiel-Bilder zu Windows 7 hab ich hier: http://www.trojaner-board.de/114115-...tml#post820441

wenn jemand noch zu XP und Vista welche hat, bitte melden...

Ja, natürlich geht das. Mit dem DecryptHelper von Matthias musst du dann "Ordner entschlüsseln" auswählen nachdem du Dir den Entschlüsselungscode erstellt hast. Und dann wählst du einfach die Partition C:\ als Ordner aus. Nun entschlüsselt er dort alles.

Beim Avira Ransom File Unlocker kannst du natürlich auch einfach dann die Partition C:\ auswählen.

Ja auch gemerkt, aber ich lass es schon 2 Stunden laufen und hab kb wielange das noch läuft x.X es gibt ja keine Progressbar oder sowas

Beim Avira Ransom File Unlocker ist diese vorhanden.
Aber 2 Stunden kommen mir extrem lange vor.

Wieviel Gigabyte hast du denn zu entschlüsseln?

~200GB muss es entschlüsseln

Wens interessiert was ich habe:
16GB Arbeitsspeicher 2133Mhz
AMD FX8 8150 auf Stufe 2 übertacktet

Ich denke du hast vorher von den verschlüsselten Dateien ein Backup gemacht oder?

Dann würde ich vllt. einfach mal ein anderes Tool benutzen, wie z.B. "Avira Ransom File Unlocker" oder das Tool von "Dr. Web".

Dr Web Funktioniert nicht :/

Aber der Avira Ransom File Unlocker oder?

Was ist denn die Fehlermeldung?

Keiner er entschlüsselt nur nicht

mit welchem tool arbeitest du nun im moment, mit avira, mit mathias tool?

mathias tool, es funktioniert auch einwandfrei :/
Nur sehe ich nicht wielange das noch dauert bis die 200GB durch sind...

wird schon n bissel dauern.
einfach mal abwarten :-)
das dauert ne weile.
hattest du meine aufforderung gelesen, die betroffenen mails weiter zu leiten?
wenn du die mail über ein mail programm erhalten hast.
öffne diese, datei speichern unter, dort als datei typ zb
.eml
wählen.
mail an:
http://markusg.trojaner-board.de
senden, und die so eben gespeicherte datei anhängen.
wenn du über ein web mailer gehst, bzw dessen internet seite, sag mir mal welchen bitte.

Wie hast du das genau gemacht? Bei mir funktioniert das Entschlüsseln einer 1,2 GB großen Mailordnerdatei nicht. Jedesmal der Hinweis: java.io.IOExeption: Map failed

Auch das Entschlüsseln der Datei nach Kopieren in einen separaten Ordner brachte nichts.

Alle anderen Dateien konnte ich entschlüsseln.

:/ Man kann keine Videos entcrypten -.-"

sicher kann man.
aber ohne genaue problem beschreibung deiner seits wird hier keiner arbeiten können.

Hallo, ich möchte gar nicht so viele Worte verlieren. Nur eines: Ich habe noch nie so schnelle, kompetente, nachvollziehbare Hilfe erfahren wie in diesem Forum. Ich habe sämtliche Dateien zurück. Ich kann gar nicht beschreiben wie glücklich ich bin. Ein kompletter Datenverlust wäre der Super-Gau gewesen. Diese Sch... war mir eine Lehre. Ab heute sicher ich meine Datren regelmäßig. Ich bedanke mich bei allen, die mir dabei geholfen haben und verbleibe
mit freundlichen Grüßen
Stefan P.
PS: Für einen kleinen Obolus benötige ich eine Bankverbindung.
D A N K E D A N K E D A N K E D A N K E D A N K E D A N K E D A N K E

Ne, es kommt dan ein Error:
java.io.IOException: Map failed

@Quistian

Hatte mehrmals das gleiche Problem. Lies mal den unteren Teil meines Beitrags Nr. 271 an Matthias.
Kenne mich mit Java und details auch nicht aus - vielleicht war irgendeine Datei einfach nicht "verfügbar".
Starte einfach Programm neu und versuch es noch einmal. Ich habe in vielleicht 30 min Teile von 5 Partitionen (nacheinander) decrypted mit dem tool von Matthias!

Zuerst vielen Dank an Matthias Kunig für das Tool! :-)

Leider wurden von dem Trojaner auch eine Acronis Imagedatei (*.tib) verschlüsselt. :-(

Nun meine Frage...

Die verschlüsselte Datei war 9,5 GB groß. Nach der Entschlüsselung, welche DecryptHelper erfolgreich abgeschlossen hat, ist die Imagedatei nur noch 2,1 GB groß.
Ist das normal, dass die verschlüsselte Datei größer ist als die Ursprungsdatei? Bei den restlichen Dateitypen konnte ich das nicht feststellen.

Vielen Dank für das Feedback.
Zoobel

ich hoffe du hast an nem backup entschlüsselt und nicht an der original datei?
denn ich denke eig kaum das so ein unterschied dabei raus kommen sollte.

Hallo zusamme

anbei einige Vista Bilder aus dem Demo Ordner

Lieber Admin bitte die Vergleichsbilder an die richtige Stelle verschieben sollten noch mehr benötig werden ich habe welche von XP pr. Wundows7 Ultimat bescheidsagen

Danke

Pit

Habe nur noch die verschlüsselte Datei, welche ich natürlich vorher noch gesichert habe. Die restlichen Dateien auf der HD konnte ich alle entschlüsseln. Vielleicht gibt es noch eine Möglichkeit über Acronis die Datei zu prüfen, denn ich weis nicht wie groß die Datei vor dem verschlüsseln war. Will ja nicht gleich den Restore starten und dann habe ich danach keine System mehr drauf. :-)

leider bekomme ich bei AVI Dateien immer den Fehler:

"java.io.IOExeption: MAP failed"

Ich benutze DecryptHelper-0.5.2 und es wird immer eine Datei erzeigt mit temp am Schluss:
aus meinFilm.avi wird
meinFilm.avi7282129434688601377.tmp

woran kann das liegen?
#271 habe ich gelesen und den Tipp probiert, ohne Erfolg

Hallo,

warum sagt er bei mir datei ist keine zugelassenen größe? Also habe garkeinen plan wie es gehen soll. Bin anscheinend zu blöd dafür.

Bei mir klappt garnichts. :headbang:

Der Schlüssel hat eine ungültige Größe" kommt bei mir immer. Egal welche Datei ich entschlüsseln will. Es steht vor jeder datei ein locked.

Bitte um Hilfe!!!

MfG

ValRoss

nutzt du denn ein pärchen?
also verschlüsselte datei und unverschlüsselt müssen identisch sein.

Habe das Acronisimage nun überprüft. Leider ist die Datei defekt bzw. nicht komplett obwohl die Meldung vom DecryptHelper kommt Entschlüsslung erfolgreich abgeschlossen.

Kann mir jemand sagen ob es eine Größenbeschränkung vom DecryptHelper gibt?
Info vom Programmierer des Tools wäre perfekt! :-D

Nach dem Entschlüsseln habe ich folgende Dateien im Ordner:

- locked-19102010.tib.pppf (klar die veschlüsselte Version) >> 9.448.391KB
- 19102010.tib (entschüsselte Datei, leider zu klein) >> 2.097.152KB
- 19102010.tib4241831206482047645.tmp >> 0KB

Sieht aus wie DecryptHelper einfach abbricht, aber dennoch sagt es wäre erfolgreich entschlüsselt worden...

Gruss
Zoobel

Hallo kann mir bitte jemand helfen ich komme vorne und hinten nicht klar... frau eben mein Pc wurde auch von dem Trojaner befallen so ne dumme rechnung... nun sind alle datein verschlüßelt und ich weiß nicht wie das funktio0nieren soll. Auf meinem pc sind haufen Arbeiten und Fotos.

ValRoss welche windows Version xp Vista Win7 ?
und per pin deine mail Adress ich sende dir dann die Beispielbilder versuch es mal damit

mfg
Pit