Verschlüsselungstrojaner vom 9.5.2012: Was wird für zukünftige entschlüsselung gebraucht?
 

Liebes Trojaner-Board,

hier schlug der Verschlüsselungs-Trojaner (laut Kaspersky: Trojan.Ransom.IM) am 9.5.2012 1:14 in einem T-Online-Postfach auf und wurde um ca. 8:30 Uhr versehentlich aktiviert.

Die Entfernung war problemlos, leider konnte ich bislang noch keinen passenden Schlüssel für die verschlüsselten Dateien (Typ: "locked-AlterName.Ext.xxxx") erzeugen.

Ich habe versucht, die EML-Datei gezippt und kennwortgeschützt an markusg zu senden, aber die Nachricht kam als unzustellbar zurück: quota_exceeded. Ich hätte gern gewusst, ob dieser Fall zu den bislang noch ungelösten Problemfällen gehört. Gibt es einen alternativen Weg?

Vielleicht für einige als nützlicher Hinweis: Outlook kann keine EML-Datei erzeugen. Folgende Idee hat funktioniert: Parallel zu Outlook Thunderbird installieren und die Daten von Outlook importieren lassen. Darin dann die Schädlingsnachricht wie beschrieben als EML speichern.

Herzlichen Dank für eure Arbeit,
gstr

:hallo:

Vorgehen bei Verschlüsselungstrojaner

1. Besuche diesen Link - hier findest du die derzeit verfügbaren Tools sowie die Anweisungen, wie du zu verfahren hast.
   
   
2. Wenn Bestandteile des Schädlings bzw. die Email, mit der er verschickt wurde, sich noch auf deinem Rechner befinden, besuche bitte diesen Link, um die Entwicklung von Gegenmaßnahmen voranzutreiben!

Mit freundlichem Gruß

Das Team von Trojaner-Board.de

Dieses Thema wurde aus meinen Abos gelöscht.
Solltest du das Thema erneut brauchen, schicke mir bitte eine PM.

Jeder andere bitte hier klicken und ein eigenes Thema erstellen!

Ich habe bislang vergeblich folgende Tools auf einem externen XP-Rechner, auf dem die gesicherten verschlüsselten und einige unverschlüsselte Dateien liegen ausprobiert:
Avira, ScareUncrypt, RannohDecrypter, Trustezeb.A, DecryptHelper und Panda.
Alle bislang ohne Erfolg.

Ich habe mit Hilfe von Fairdell HexCmp2 ein wenig Analyse betrieben. Dabei hat sich herausgestellt, dass diese Version des Trojaners die ersten 9KByte, 10KByte oder 11KByte einer Datei verändert. Ein entsprechendes 7z-Paket mit Trojaner und Beispieldateien ist zu Markus (und BitFox) unterwegs.

In welchem Format sind denn die verschlüsselten Dateien?

Die verschlüsselten Dateien sind zwar noch vom Typ "locked-AlterName.Ext.xxxx", aber die getesteten Tools konnten noch nicht helfen. Diese Variante ist vielleicht auch seltener aufgetreten; hier erst am 9.5.2012.

Dann bleibt dir nichts anderes übrig, als die Tools weiter zu beobachten bzw. dich im Diskussionsforum einzulesen!

Dieses Thema wurde aus meinen Abos gelöscht.
Solltest du das Thema erneut brauchen, schicke mir bitte eine PM.

Jeder andere bitte hier klicken und ein eigenes Thema erstellen!