Trojaner-Board - Neue Verschlüsselungs-Trojaner Variante im Umlauf

Trojaner-Board (https://www.trojaner-board.de/)

- Diskussionsforum (https://www.trojaner-board.de/diskussionsforum/)

- - Neue Verschlüsselungs-Trojaner Variante im Umlauf (https://www.trojaner-board.de/115183-neue-verschluesselungs-trojaner-variante-umlauf.html)

hi,

nein du bist nicht der einzige :) Bei jemand anders läßt sich ein Windows-Bild nicht wieder herstellen obwohl wie bei den anderen nicht die komplette Datei verschlüsselt ist. Warum weiss ich bis jetzt leider noch nicht, da muss es noch irgendwelche Unterschiede im Format geben.

ein windows bild? heftig.
Das könnten wir ja auch als referenz verwenden.
wenn ich nur wüsste wo die abgelegt sind.

Hi..

es handelt sich hier um die Chrysanthemum.jpg. Datei ist so wie die anderen verschlüsselten aufgebaut jedoch erkennt JPEG Recovery die trotzdem nicht.

hxxp://www.file-upload.net/download-4427637/vJQuvJQuJvuQvJuuvJuu.html

Die liegen unter C:\Users\Public\Pictures\Sample Pictures (Win 7)

Grüße

Hallo Nochmal,

ich habe mein Skriptchen für "recoverjpeg" unter Linux nochmal dahingehend angepasst, dass es das Modifikationsdatum der verschlüsselten Bilddatei für die entschlüsselte übernimmt. Da die Dateien noch das Ursprungsdatum haben, ist es für manche recht hilfreich. Zudem habe ich ein paar Kommentare eingepflgt, dass jemand es schneller weiter entwickeln kann.

Code:

#!/bin/bash

mycounter=0
 

# alle Dateien im Verzeichnis nacheinander einlesen

for foto in *; do

  # Recoery-Versuch mit recoverjpeg und Benennung nach "image[mycounter]".jpg

  recoverjpeg -f "image${mycounter}.jpg" ${foto}

  # Ausgabe der bearbeiteten Datei

  echo ${foto}

    # Wenn Datei image[mycounter].jpg existiert, dann

    if [ -f image${mycounter}.jpg ]; then

      # Erstellung des Datum-Strings für den "touch"-Befehl

      mymdate=$(/bin/ls --time-style=long-iso -l ${foto} | awk '{print $6 $7}'| sed 's/://g' | sed 's/-//g')

    # Die wiederhergestellte Datei auf das Datum setzen

    touch -t ${mymdate} image${mycounter}.jpg

    fi

  echo ${mycounter}

  mycounter=$((${mycounter}+1))

done

Gruß
Keks

Zitat:

Zitat von Keks5 (Beitrag 842012)

Hallo zusammen,

ich wollte mal kurz eine kostenlose jpg-Rettungslösung vorstellen. Freunde von mir fingen sich den Verschlüsselungstrojaner TR/Matsnu.A.63 (Avira-Name) ein. Die Idee mit dem JPEG-Recovery fand ich gut und habe den Gedanken dann auch aufgegriffen und unter Linux nach Lösungen gesucht. Ich bin recht erfolgreich gewesen und konnte mit dem Kommandozeilenprogramm "recoverjpeg" über 90% der verschlüsselten Bilder retten. Allerdings nicht den Namen und die EXIF Daten. Wie es mit der Qualität aussieht kann ich ncihts sagen, da ich die Originale nicht kenne.
Wer mag, kann es testen. Einfach z.B. knoppix booten, recoverjpeg installieren und mal testen.
Grober Ablauf (ich arbeite mit einem installierten ubunutu, sollte aber so funktionieren):
- Der Rechner sollte per Kabel am DSL Router angeschlossen werden, da es zu Problemen mit der WLAN Karte kommen kann
- Vom bootbaren USB-Stick oder optischen Laufwerk in ein Ubuntu Derivat booten, z.B. Knoppix
- eine Console aufmachen, wenn eine Internetanbindung besteht und
folgendes hinein kopieren:

Code:

apt-get update

apt-get install recoverjpeg

- Dann einen Editor aufmachen und de Skriptinhalt hinein kopieren. Idealerweise liegt das Skript nun in einem Verzeichnis mit verschlüsselten Bilder.

Code:

sh skriptname

ausführen

Ich habe ein Skript darum gebastelt, da das Programm noch nicht so ausgereift im Batchmodus ist. Ich habe es im Verzeichnis ausgeführt, wo sich die Bilder befinden.

Code:

#!/bin/bash

mycounter=0
 

for foto in *; do

  recoverjpeg -f "image${mycounter}.jpg" ${foto}

  echo ${mycounter}

  mycounter=$((${mycounter}+1))

done

Ich hoffe, dass es nicht zu unverständlich ist, aber ich versuche nun noch Archive zu retten und werde bei Erfolg ebenfalls bescheid geben.:taenzer:

@Keks

Kannst du bitte mal folgende Datei probieren :

hxxp://www.file-upload.net/download-4427637/vJQuvJQuJvuQvJuuvJuu.html

Grüße

Hallo Forrest,

leider nicht mit dem recoverjpeg.
Ich bin aber noch dabei, einige Programme zu testen.

Gruß
Keks

Mit dem JPEG recovery tool lassen sich die locked Bilder wieder "entschlüssen" aber leider sind es bei mir dann nur kleine Vorschaubilder und nicht zugebrauchen da diese zuklein sind und in einer Schlechten qualität sind.

Hallo nochmal,wollte noch mal höflichst anfragen,woran ihr erkannt habt,das es sich um eine AES 256 bit-Verschlüsselung handelt.
Zwar stand das auch auf meinem Bildschirm,ist für mich aber kein Beweis,das es auch so ist.

Oder wollt ihr nicht darüber reden.Wäre nett,wenn ich mal eine Antwort bekomme,da meine anderen Fragen auch nicht beantwortet wurden.
Wie man jpegs wieder hinbekommt,ist ja nun lang und breit diskutiert worden.
Aber wir wollen ja nicht nur Bilder wieder herstellen.
Gruss Rainer

Zitat:

Zitat von thalon05 (Beitrag 842491)

Oder wollt ihr nicht darüber reden.

:confused:

Wenn meine Kollegen und ich mehr Infos hätten würden wir schon all deine Fragen beantworten oder meinst du nicht

Zitat:

das es sich um eine AES 256 bit-Verschlüsselung handelt.

Lies doch mal dieses Posting oder ist das auch schon überholt :balla: => http://www.delphipraxis.net/1169769-post147.html

Zitat:

Zitat von Marcu

Es tut mir leid. Kein Happy End!

Es gibt kein Hintertürchen im Programm, keine nennenswerten Programmierfehler, keine logischen Fehler, keine Schwachstelle in der Parametrierung der Verschlüsselungsfunktionen und keine Schwäche in der Zufallsfunktion. Ich habe die relevanten Funktionen der Malware zurückübersetzt und im Detail nachvollzogen. Es ist keine Vermutung mehr von mir und ich kann mit Sicherheit sagen: Das benötigte Passwort ist nicht mehr auf den betroffenen Computern. Es gibt keinen Weg dieses Passwort zu berechnen. Es gibt keinen Weg das Passwort zu Lebzeiten zu erraten. Es ist diesmal nicht möglich mit einem Vergleich zwischen Originaldateien und verschlüsselten Dateien eine Entschlüsselung für alle Dateien abzuleiten. Es bleibt nur zu hoffen, dass ein Polizist das Passwort zurückbringt.

Benötigt wird das Passwort für eine Datei in der zu jeder verschlüsselten Datei der Originalname, der zufällige neue Dateiname und das zufällige Passwort steht mit der die Datei verschlüsselt wurde. Der Virus speichert diese Katalogdatei im Temp-Verzeichnis mit der Dateierweiterung ".$02" ab. Z.B: 1C7F90CE4148555A5355.$02
Eigentlich wäre es sehr einfach ein Programm zu schreiben welches die Daten restauriert. Man muss lediglich das Programm unter #138 mit der Funktion unter #41 koppeln und seine entschlüsselte $02-Katalogdatei als Eingabe bereitstellen. Daraus wird leider nichts solange das Passwort zum Entschlüsseln der $02-Datei nicht herbeigeschafft ist.

Es gibt eine einzige kleine Schwachstelle im Virenprogramm, die aber nicht reicht um die Daten zu entschlüsseln. Während der Verschlüsselungsphase legt der Virus eine Datei mit der Endung ".$03" im temp-Verzeichnis an. In dieser Datei steht für jede verschlüsselte Datei die Zuordnung zwischen dem Originaldateinamen und dem neuen zufälligen Dateinamen. Diese Datei wird nach der Verschlüsselung mit einem simplen kernel32_DeleteFileA gelöscht. Man hat also tatsächlich eine Chance diese Datei wiederherzustellen.
Mit der $03-Datei ist es möglich den verschlüsselten Dateien ihren Originalnamen zurückzugeben. Jedoch bleibt es weiterhin nicht möglich die Dateien vollständig zu reparieren, da in der $03-Datei nicht das Passwort für die Verschlüsselung steht. Die $03- Datei lässt sich mit dem Programm unter #138 entschlüsseln. Das zu machen hat aber wahrscheinlich für Niemanden einen Sinn.

pcnberlin hat Recht wenn er sagt, dass man den Opfern dieser Malware nicht hilft wenn man schweigt.
Es ist allen dringend zu raten eine Anzeige zu erstatten. Wenn viele Anzeigen bei der Polizei vorliegen, erhöht das sicher die Bereitschaft zu ermitteln. Vielleicht ist der Täter nicht in Deutschland. Es kann lange dauern bis die Passwörter beschlagnahmt sind. Deswegen sollten die Opfer eine Sicherungskopie anfertigen und jetzt eine Neuinstallation durchführen.

Ich möchte mich noch bei allen bedanken. Der konstruktive und freundschaftliche Umgang bei der Analyse der Malware war echt klasse. Vielen Dank an pcnberlin und Michael und Markusg und an alle anderen.
Falls sich bei mir mehr als drei Interessierte melden, werde ich ein Paper machen in dem die Funktionsweise dokumentiert ist. Bitte PM an mich.

Noch ein letztes Wort an die Opfer - falls die hier mitlesen:
Es gibt keinen Grund mit sich selbst böse zu sein, weil man dieses blöde Zip-File angeklickt hat. Der Gebrauch von E-Mailanhängen so wie er heute üblich ist, ist leider schrecklich kaputt. Die Regeln die empfohlen werden sind ein Armutszeugnis der EDV. Wenn man sich bei dieser Sache Selbstvorwürfe macht, dann richtet man seinen Zorn an den falschen.

Viele Grüße
Marcu

Hallo zusammen, ich glaube bin in der falschen Rubrik gelandet, aber vielleicht wüßte jemand doch Antwort.

Habe noch XP, zudem Kaspersky 2012 und jetzt das eigentl. Problem:
Unten rechts in der Leiste neben der Uhr, wurde signalisiert, dass ein Update zur Verfügung steht, drauf geklickt, neues fenster öffnete sich - grau unterlegt ... also alles wie sonst bisher auch, bin dann auf benutzer Installation gegangen, da erschien dann auch "Download erfolgreich".
Danach habe ich den PC ordnungsgemäß runtergefahren und bin dann wieder auf Neustart, erfolgte dann auch reibungslos, es kam neues fenster mit so wie in der Anzeige hier oben links .. zu zahlen bla bla bla 100 US$ mit UKASH.

Hab ich natürlich nicht gemacht !

Bei mir sind alle Word + Excel Dateien locked, Beispiel: locked080612H9crjxydocs ZUDEM hats den KAS12 komplett aus den Angeln gehoben!!!

Also, ich habe keine mails geöffnet.

Weiß jemand Rat ?

Zitat:

Also, ich habe keine mails geöffnet.

Die vorherigen Erpresser-Trojaner haben sich nicht per Mail verbreitet. Man (wir) haben Lücken in Java, Flash und AdobePDF vermutet. Die ganzen Browserplugins also, die bieten eine riesige Angriffsfläche.
Edit: Ich denke die Masche mit der Mail ist jetzt zu offensichtlich, jetzt verteilen die Erpresser ihre Schädlinge so wie die damals harmlosere RansomWare, also die die nichts verschlüsselt (oder soll man besser jetzt sagen Dateien zerstört?) hat? :wtf: :balla:

Zitat:

Weiß jemand Rat ?

Lies doch bitte ERSTMAL ALLE VORHANDENEN HINWEISE bevor du fragst. Und ja, es gibt nicht immer ein Happy End. Die aktuellen Trojaner zerstören quasi deine Dateien. Dann hilft nur noch ein Backup oder der ShadowExplorer. Aber naja, ich weiß, nur Beckenrandschwimmer machen Backups ;)

@all: Wollen wir nicht einen Neuen Fred aufmachen, wos nur um die Wiederherstellung von Jpgs geht? hier wirds zu heftig unübersichtlich.

Zitat:

Zitat von cosinus (Beitrag 842502)

:confused:

Wenn meine Kollegen und ich mehr Infos hätten würden wir schon all deine Fragen beantworten oder meinst du nicht

Lies doch mal dieses Posting oder ist das auch schon überholt :balla: => hxxp://www.delphipraxis.net/1169769-post147.html

Danke für die schnelle Antwort.Es ist nur so,das ich Sachen gefunden habe ( das merkwürdige Erstellungsdatum oder die mit ?gekennzeichnete Benutzerkonto)die mit Sicherheit was mit dem Trojaner zu haben,aber keine Reaktion kam.Ich habe jetzt 8 solcher E-Mails und ein Ende ist nicht abzusehen.
Und meine Recherchen im Netz sind auch sehr widersprüchlich.
Trotzallem grosses Dankeschön an Alle,die daran gearbeitet haben. Ich werde weiter forschen und wenn ich was weiss,lass ich es euch wissen.
Ihr wisst ja,die Hoffnung stirbt zuletzt.:daumenhoc
Gruss Rainer

Lieber Rainer, kämpfe nicht gegen Windmühlen ;)
So wie es aussieht haben "unsere" Trojanerprogrammierer ganz Arbeit geleistet. Bei den Algorithmen hat man ohne den vollständigen Schlüssel keine reelle Chance etwas zurückzurechnen.