Guten Morgen ;-)

also ich habe es mit JPG/PDF/doc/tif Originalen versucht.

Paare sind es eineige die ich habe, da es der PC von meinem Opa war und ich noch eine alte HDD mit Daten gefunden hab. Die Paare die ich bilden kann sind dateien aus 2011 o. später, sollte aber doch eigentlich egal sein?!

Gruß Alex

moin moin, 007Alex007,

nö, egal ist das nicht.
Auch der Virus der "alten Variante" hat ja eine Evolution hinter sich.
Wärend die, Mitte April infizierten Rechner, noch mit einem Paar auskamen, wobei sogar ein Beispielbild reichte, haben die nächsten schon die Beispielbilder nichtmehr nutzen können, weil sie suber blieben.
Beim ersten Rechner den ich die Hände bekam, erfolgte die Infizierung am 2.5.2012.
Zur Entschlüsselung von 12000 JPGs brauchte ich insgesamt vier Paare aus einer Auswahl von mehreren hundert.
Auffällig war, dass die Originale aus verschiedenen Jahren jeweils Teilmengen entschlüsselten.

Wenn Du kein passendes Paar findest, bin ich mit meinem Latein auch fast am Ende.
Ich kann Dir nur raten, alle Tools auszuprobieren und auch mal nach Schattenkopien zu sehen.

http://www.trojaner-board.de/115551-...e-version.html

Gruß Volker

Hi Volker,

aber hattest Du das Problem auch, das Du die Dateien entschlüsseln konntest aber Sie danach trotzdem nicht benutzen, da die Datei anscheinend defekt ist?

LG Alex

Ja selbstverständlich war das bei mir genauso.

Sobald ein Tool einen Schlüssel generieren kann, dann bearbeitet es die Datei/Dateien und gibt sie als widerhergestellt aus.
Das Tool verifiziert ja nicht es schreibt nur konsequent die ersten 4000Bytes einer locked-Datei mit dem Schlüssel aus dem Dateipaar um.
War der Schlüssel in Ordnung, ist die Datei widerhergestellt und ist der Schlüssel falsch, dann wird sie zwar im Originalnamen ausgegeben, bleibt aber defekt.

Ich bin folgendermaßen vorgegeangen:
Zuerst habe ich mit dem Kunden selektiert was rekonstruiert werden muß und wass in den Müll kann.
Von den zu rekonstruierenden Dateien wurde eine Sicherungskopie und eine weitere Arbeitskopie gemacht.
Dann habe ich ausschließlich mit der Arbeitskopie hantiert.

Anfangs habe ich AVIRA komplett über die Arbeitskopie mit allen Unterordnern gejagt.
Nachdem ich alle Dateien im Original wiedergefunden habe, dachte ich schon, na prima, ging ja besser als gedacht.
Erst beim Betrachten einiger Bilder quer durch die Unterverzeichnisse stellte ich fest, dass nicht alle Bilder in Ordnung waren.
Gleich mit dem ersten Schlüssel wurden etwa 3000 Bilder wiederhergestellt.

OK, die guten Bilder erstmal gesichert und dann ein anderes Paar in AVira und das Spiel nochmal.

Ergebnis, wieder die gleichen Bilder gut und die gleichen schlecht.

OK, das selbe Spiel nochmal mit einem dritten Paar.

Ergebnis, das gleiche.

Erst als ich den Timestamp der wiederhergestellten Dateien betrachtete fiel mir auf, dass die Zeit stehen geblieben war, sprich, die Dateien waren noch die vom ersten Durchgang.
AVIRA hatte die alten wiederhergestellten Bilder in den folgenden Durchgängen nicht überschrieben.
Seit der Zeit war dieses Tool für mich Geschichte und reif für den Mülleimer.

Dann habe ich ScareUncrypt genommen und das zweite Schlüsselpaar nochmal verwendet.
ScareUncrypt erzeugte zwar neue Dateien aber dennoch keine neuen brauchbaren.
Nach 4 oder 5 weiteren erfolglosen Versuchen habe ich mal gezielt nach einem Dateipaar gesucht, was in den letzten Unterordnern zu finden war.

Und siehe da, ScareUncrypt hat wieder so um die 3000 Bilder im unteren ende der Verzeichnisse brauchbar wiederhergestellt.
Da in den Dateinamern die Jahreszahlen Bestandteil waren fiel mir auf, dass die Originale der ersten Paare aus 2011 und das letzte aus 2009 war.

Dann habe ich willkürlich ein Original aus 2010 und eines aus 2012 genommen und so alle 12000 Bilder wiederhergestellt.

Wenn Du ein Original hast, das auch verschlüsselt vorliegt, dann muß zumindest dieses Eine wiederhergestellt werden.
Bei mir hingen da zufällig weitere 2999 dran.

Gruß Volker

Hallooo,

also ich habe jetzt alle tools ausprobiert, und alle funktionieren (nachdem einer unserer alten Fileserver teilweise davon befallen wurde). Aber: keines dieser tools funktioniert bei Excel files die mit einem Passwort geschützt waren, durch Excel 2007, also mit der eingebauten Passwortfunktion in Excel.
Ich konnte eine original Datei aufspüren und dadurch einen Decrypt key erzeugen. Wie gesagt, alle tools funktionieren für alle Dateien, aber eben nicht für Passwort geschützte Excel Files.

Irgendjemand der mir damit helfen kann und eine Lösung hat?

Vielen vielen Dank

-Martin

@martinret,

für so einen Sonderfall gibt's hier noch keine Hinweise.
Ich könnte Dir nur den Tip geben, es einmal mit einem Passwortremover für Exceldateien zu versuchen.

Poste bitte dann Deine Erfahrungen, die sind sicher für einige interessant.

Gruß Volker

Moinsen.Hab schon alle Progi´s ausprobier.Das einzige was wenigsten das wenigsten einen Schlüssel generierte war das ScareU.... aber leider entschlüsselt er nicht los,wenn ich auf den button drücke.Der PC von meinem Kollegen war befallen + externe Festplatte jpeg,mpeg und dokumente zb. mal eine jpeg : ddvJAAXXssOOoo ... wollte nur mal fragen warum das Programm nicht entschlüsselt.

Weil es für diese Dateien nicht geschrieben wurde.
Das kannst Du aber hier alles nachlesen.
Überwinde Deine Lesefaulheit.

Entschuldigung,wollte echt nicht "Lesefaul" wirken. Ich muss aber zugeben ich hab nicht nur in diesem Forum,die post´s überflogen ... sry.Hatte leider nur ein bissl Zeitdruck.Kann man denn überhaupt Bilder und Dokumente wiederherstellen?P.S: hab di Suchfunktion+google schon mehr als ausgereizt.Weil doch eigentl. Bilder + Dokumente das wichtigste auf dem Rechner sind ... !?
Danke schonmal für die schnelle Antwort.

Ja, in meinem Post #102, also 8 vor diesem habe ich einen Link auf das Reparaturthema gepostet.

Dort findest Du Hilfsmittel, Anregungen und sogar Videos, was momentan geht und was nicht.

Worddokumente gehen momentan nicht, PDF-Dokumente teilweise, bei JPGs sieht es sehr gut aus, auch bei MP3s.
Vielleicht hilft auch der Shadow Explorer.

Aber warum schreibe ich das alles, lies doch einfach nach.
Wenn dann nochwas unklar ist, kann man drüber reden.
Es macht aber keinen Spaß, immer wieder das gleiche, beginnend von der Ursuppe zu schreiben, nur weil die Leute nicht lesen wollen.

Ich hoffe Du verstehst das.

zumal die wartezeit auf die antwort ja wenigstens mal dafür genutzt werden könnte sich selbst hier in dem thema zu informieren, bzw einfach mal vor dem schreiben, erst sagen, man ist unter zeitdruck, aber dann trotzdem auf ne antwort warten können :-)

Hallo Bitfox,

habe gestern das Tool benutzt und damit die Festplatte einer Freundin voll zerschossener Daten mithilfe des automatisch generierten Schlüssels wiederherstellen können.

Ihr System war Windows 7. Der Bezahl-Update-Bildschirm ist bei ihr nicht gekommen.

Besten Dank!

ScareUncrypt funktioniert bei mir nicht...die "entschlüsselten" Daten werden zwar als .jpg oder .psd angezeigt aber das öffnen ist imme rnoch mit einem Fehler verbunden...

Dann hast Du nicht die passenden Dateipaare, suche welche.

Volker

Da hast du Recht.:dankeschoen:

ich hab jetzt hier das Problem das die Dateien nur noch aus zusammengewürfelten Buchstaben in Groß- und Kleinschreibung bestehen. Somit ist es quasi unmöglich, selbst wenn vorhanden, eine Originaldatei zuzuordnen.

Gibts da eine Lösung? Würde meinem Freund gerne seine Dateien retten.

Danke schonmal :-)

welchen Nährwert hat Dein Posting für das scareUbcrypt?

Hallo Leute,
ich hätte mal eine frage und zwar ob irgendwer mir vllt eines der windows xp Beispielbilder geben könnte was gelocked ist weil das ist das einzige was ich noch als Heile (unverschlüsselte Datei) habe weil alle datein sehen bei mir im moment ganz Fragwürdig aus z.B
___________________________________________________________________
AsldVONoLTpxtJujqDsfd
DsxQOyjeXUfOJEnae
gTQeryVnGAdsqfnGADO
LqleGUrOqopaVGQJEjsl
onsDsxgNjqTXUfvunol
VnxAdostyfLGjDga
yVnxlgTQerNXvDOaEtqf

und die ganzen datei Typen sind weg.
:headbang::headbang::pfui::pfui::pfui::heulen:
auf wunsch kann ich auch bilder hochladen.
Über baldige Antworten würde ich mich sehr Freuen


Mit freundlichem Gruß


pcschrauber

Das ist eine Härtere Verschlüsselung und dafür gibt es momenta noch keine Lösung soviel ich Informiert bin .


Grüße

Ah danke für die schnelle Antwort :).
Das finde ich doof :D hm aber gut nix zumachen Trotzdem danke nur meine idee war halt das mann das mit den normalen tools hin bekommen könnte z.b von Avira und so weiter nur mein Problem war ja das ich keine Beispielbilder habe die gelocked sind sonst hätte ich gesagt habe ich ja 2 gleiche Datein, und hätte ja somit einen Schlüssel generiern können.
aber wenn du meinst das geht nicht auch gut


Mit freundlichem Gruß

pcschrauber

Sag erstmal was zum System.
Welches Betriebssystem, wieviele Partitionen und auf welcher liegen die Daten?

Es ist ein windows xp es sind 2 partionen
C:
D:

Mhhh, dann hilft nur abwarten und hoffen.
Bei Win7 oder Vista wäre da noch die Chance aus den Shadow-Copies was rauszukitzeln.

Volker

Ich hab vor 2 Wochen mit Avira Telefoniert und gesagt bekommen das die noch keine Lösung haben das Virenlabor aber unter Druck dran arbeitet :party: ich verlass mich da mal drauf :rofl:

Mynti was denkst du wie lange man warten muss ?
ist nur eine Frage ich weiß das du mir da keine genaue Antwort drauf geben kannst aber vllt eine grobe Schätzung.


Mfg

Na dann schaun wir mal.
Ich habe da aber so meine Zweifel, es sei denn, die C&C-Server gehören AVIRA. :wtf:

Volker

Ehrlich gesagt kann ich dir da keinerlei Auskunft geben. Ich hoffe bald da ich die Lösung auch dringend erwarte :)


Wer Nicht Volker...

Wer nicht ...

Hallo liebes Experten-Team,
seit Mittwoch habe ich den Trojaner auf meinem PC. Die Malware software hat zwar keinerlei infizierte Objekte gefunden, ich kann aber inzwischen nach einer Systemwiederherstellung auch im normalen Modus Windows 7 starten. Das Problem ist nun, dass alle Datein so aussehen: yedLXUgptQldQjdrEsfET und weder der Shadow-Explorer noch der DecryptHelper-0.5.3 geholfen haben.. Nun verzweifle ich wirklich, da ich meine Masterarbeit auf dem Rechner habe und langsam echt Panik bekomme, dass ich an alle meine Daten nie wieder ran komme...
Kann mir irgendjemand helfen?? Bitte bitte!!!

Und das hat auch nicht funktioniert (auch wenn ich ganz sicher ein richtiges "Verschlüsseltes-Original-Paar" habe...

Also mit Avira Ransom File Unlocker

Hallo Markus,
seit Mittwoch habe ich den Trojaner auf meinem PC. Die Malware software hat zwar keinerlei infizierte Objekte gefunden, ich kann aber inzwischen nach einer Systemwiederherstellung auch im normalen Modus Windows 7 starten. Das Problem ist nun, dass alle Datein so aussehen: yedLXUgptQldQjdrEsfET und weder der Shadow-Explorer noch der DecryptHelper-0.5.3 geholfen haben.. Nun verzweifle ich wirklich, da ich meine Masterarbeit auf dem Rechner habe und langsam echt Panik bekomme, dass ich an alle meine Daten nie wieder ran komme...
Kann mir irgendjemand helfen?? Bitte bitte!!!

Und der Avira Ransom File Unlocker hat auch nicht funktioniert (auch wenn ich ganz sicher ein richtiges "Verschlüsseltes-Original-Paar" habe...

..was soll ich denn jetzt tun??? Kannst du mir irgendwie helfen??

@Beatrice,
auch wenn Du das in jedem Thema postest, wird es nicht besser, zumal die Tools mit den Dateipaaren bei Deiner Verschlüsselungsversion nicht helfen.
Selbst 10 mal Bitte bitte!!! und 1000 Euro Prämie können da nicht helfen.

Ich hoffe, dass Du für das nächste mal gelernt hast.
Sowas wichtiges wie die Masterarbeit sichert man ab, möglichst mehrfach.
Schleppst Du Deine Arbeit nicht als Kopie auf einem Stick mit Dir rum, um Dich auszutauschen und anderenorts daran zu arbeiten?

Ich kenne Studenten die haben soviele Kopien, dass sie schon den Überblick verlieren, welche die Aktuelle ist.

Volker

Das heißt, ich bekomme meine Datein auf keinen Fall wieder??
Und ja, ich habe Kopien...aber nur aus der letzten Woche. Und bitte nicht so streng mit mir sein, ich habe es nur nochmal dort gepostet, wo ich gesehen habe, dass jemand online ist... und ich dachte, dass das nicht so schlimm wäre. entschuldige

Also auch ich bin ein Opfer der Verschlüsselungstrojaners gewesen. Habe nun alle allgemeine Hinweise des Boards durchgeführt wie ich weiter vorgehen soll und versuche nun meine Daten wieder zu entschlüsseln bzw. wieder herzustellen. Nur mit ScareUncrypt ist es mir gelungen aus einem Dateienpärchen einen Schlüssel zu erstellen. Wenn ich dann jedoch einen Ordner auswähle den ich entschlüsseln will, zeigt das Programm zwar an "ich hoffe wir konnten helfen usw...." aber sonst passiert nichts, es werden keine entschlüsselten Dateien angelegt o.ä. Kann mir irgendjemand helfen?

moin moin,
Du hast den Rechner Anfang Juni infiziert und zusammen mit cosinus wieder bereinigt.
Aus Deinen bisherigen Beiträgen geht nicht hervor, wie Deine verschlüsselten Dateien aussehen.
Ich vermute mal in etwas so: rFGTZbnZUztuGHJK
Wenn dem so ist, helfen ScareUncrypt und die anderen sieben Tools nicht.

Dir bleiben dann nur die Möglichkeiten, die unter Datenrettung nach Verschlüsselungstrojaner beschrieben sind.
Zuerst sollte nach Schattenkopien gesucht werden.
Dazu ist das Tool Shadow Explorer sinnvoll.
Alle anderen Tools bringen nur teilweise und nur bei bestimmten Dateiformaten Erfolg.

Volker

Nee der Dateiname ist überhaupt nicht verändert, ich bekomme lediglich eine Fehlermeldung beim Öffnen bzw. es werden nur Hieropglyphen dargestellt.

Ok, auch für diese Form gilt das gleiche wie für rFGTZbnZUztuGHJK.

Volker

:twak: :glaskugel2:

ich möchte aktuell warnen, der spam mit verschlüsselungstrojanern nimmt tatsächlich wieder zu es gibt wieder neue versionen, bzw versionsnummern.
also, wer was reinbekommt, an mich senden.

http://www.trojaner-board.de/119168-...eue-welle.html

Hallo zusammen

Ein Kollege von mir hat sich den Bundestrojaner eingefangen, ich konnte diesen mit löschen des Profils entfernen und ein neues Profil auf seinem Windows 7 Pro 64 bit erstellen.

Das oberdoofe ist alle seine Daten auf der Partition D sind nun verschlüsselt und unlesbar, ein Beispiel ist: DEgsXADENtXplDgNs

Kann mir bitte jemand weiterhelfen?
Mein Kollege dreht fast am Rad da er kaum Daten gesichert hat :pfui: , ich weiss auch nicht optimal aber was soll ich machen :headbang:

Vielen Dank für jegliche Hilfe und beste Grüsse
Nick

Hallo Nick,
wie wär's mal mit Lesen, beispielsweise was unter Punkt 3 der Hinweise, at top of the page, steht?

Volker

Hallo,
ich habe nun wieder einne Kunden Pc bekommen mit dem Unlocker virus aber alle tools haben nicht geholfen und der Kunde hat kaum eine Datensicherung gemacht. Und nun sehen alle datein so aus wie die paar auf dem Bild und ich bin ein wenig ratlos habt ihr Vllt eine IDEE ? siehe bild http://www.bilderhochladen24.de/imag...d_unlocker.png

Lieben Gruß
Benjamin

Ps über eine schnelle Lösung würde ich mich sehr Freuen.

Benjamin,

wenn Du Kunden hast, dann gehe ich mal davon aus, dass diese Kunden ihren PC zu einem Fachmann bringen und vielleicht noch Kohle dafür hinlegen.
Bist Du ein Fachmann?
Wenn ich mir Deinen Beitrag ansehe, dann habe ich da meine Zweifel.
Ich hätte Magenschmerzen, Dir meinen PC zu überlasssen.
Selbst als fortgeschrittener PC-Nutzer sollten Dir die Antworten auf Deine vier vorangegangenen Beiträge Antwort genug sein.
Außerdem stellt sich mir die Frage, weshalb Du hier im ScareUncrypt-Thread rumeierst.
Ansonsten gilt für Dich das Gleiche wie für @Nick.

Volker

Doch schon nur ich habe meist keine lust im internet groß klein zuschreiben und vondaher schreibe ich meist immer klein. Und wieso hast du da deine Zweifel dran ? hm jedenfalls ist das Problem das er mir jedesmal sagt das das paar nicht zusammen passt, jedoch habe ich nur 1 Paar was gleich ist einmal ein Verschlüsseltes Koala Bild und einmal orginal die größe passt über ein.

Was hat meine Antwort mit Groß- oder Kleinschreibung zu tun?
Wenn Du annimmst, ich stoße mich am Deutsch, dann liegst Du falsch.
Die Schreibweise ist mir solange wurscht, solange der Sinn noch verständlich ist.
Da bin ich tolerant, nicht aber bei Fogendem:

Genau deshalb habe ich meine Zweifel.
Es ist doch logisch dass Deine Dateipaare nicht funktionieren und nie funktionieren werden.
Als Fachmann hätte Dir schon nach den Antworten auf Dein erstes Posting und nach Lektüre des Punktes 3 der Hinweise ein Licht aufgehen müssen, spätestens aber nach etwa 300 der über 1000 Postings hier im Board.
Insofern zweifle ich Deine fachlichen Fähigkeiten, Informationen aufzunehmen und für Deine Kunden einzusetzen, an.

Volker

Hallo Volker

Besten Dank für die Antwort aber das Problem ist mein Kollege hat keine Datei die unverschlüsselt ist die er mit den Tools zum vergleichen nutzen kann, hast du eine Idee wie ich vorgehen soll?

Vielen Dank und Gruss Nick

Hallo Nick,
ich dachte ja der Verweis auf Punkt 3 der Hinweise reiche aus, aber dem scheint nicht so zu sein.

Also nochmal, zum hundertsten mal, bei einer 12k-Verschlüsselung der Form DEgsXADENtXplDgNs helfen die Tools nicht.
Dafür gibt es kein Entschlüsselungstools.

Du kannst nur versuchen zu retten, was zu retten ist.
Die Chancen liegen zwischen 100% bei MP3 und 0% bei anderen Formaten.

Klicke auf den Link HIER in meiner Signatur, dann kannst Du nachlesen was geht, was nicht geht und womit was geht.

Hallo,
das Tool scareuncrypt generiert bei mir einen Schlüssel, aber es scheint keine entschlüsselten Dateien zu erstellen, obwohl keine Fehlermeldung erscheint.
Habt ihr dazu einen Tipp?
Danke!
Oetty

moin Oetty,
wie sehen denn deine verschlüsselten Dateien aus?

Undertaker

Hi Undertaker,
du hast Recht, wenn du annimmst, dass es sich bei meinen Dateien um den schwer entschlüsselbaren Typ handelt. Nichtsdestotrotz möchte ich nichts unversucht lassen und in diesem Fall würde mir ja schon helfen, wenn ich wüßte, wo das Programm die entschlüsselten Dateien normalerweise ablegt.
Gruß
Oetty

hi, steht doch eig schon in post1, dass sich die neuen Variannten nicht entschlüsseln lassen.
http://www.trojaner-board.de/116851-...tml#post851585
alle daten, die du nach durchführung der tipps im geposteten Link nicht wiederhergestellt bekommst, kannst du löschen, die wirst du nie wieder zurück bekommen.