Mit Crypto Malware Infiziert

Wardaddy · 11. April 2016

Also es steht nun fest das es sich um Petya handelt bei der Malware die mein Bekannter hat,über eine USB-Dockingstation verfüht er nicht dazu ist es auch noch ein Notebook und keine Ahnung ob es ein Laufwerk hat.

Könnte das funktionieren wenn ich von einer Linux CD Boote und den Petya Sector Extractor über Wine von dort aus starte,ob das funktioniert.Bleibt wohl nur testen übrig.

bisy · 11. April 2016

mitlerweile gibt es eine Lösung https://www.computerbase.de/forum/t...selung-der-ransomware-petya-geknackt.1576551/

Wardaddy · 12. April 2016

Also,ich war grad beim Bekannten und das Notebook ist noch in dieser Werkstatt und der bekannte hat den jetzt auf die neuen Erkenntnisse angesprochen und der sagte er habe das gelesen aber er will das nicht machen,er ist der Meinung das Risiko ist zu groß das die festplatte beim Entschlüsseln zerstört wird.

Das hat er wirklich gesagt und dann sagte er die haben sowas noch nie gesehen und müssen das ersteinmal alles verstehen lernen.Ich weiß auch in welcher Werkstatt das Notebook nun ist http://www.nvsys.de da ist der in Reperatur.

KlaasKersting · 12. April 2016

Klingt eher nach möglichst viel Arbeitszeit berechnen.

Wardaddy · 12. April 2016

Der Bekannte sagte das er sagte die Arbeiten mit großen Namenhaften Firmen zusammen um das teil vom Notebook entfernen zu können.Was mich eher wundert ist hier sagte niemand hey sei Vorsichtig die Festplatte geht dabei vieleilcht schrott oder ich hab es überlesen.Ich glaub er hat wie ich am Anfang nicht so ganz verstanden wie das funktioniert.bei mir ist ja das Problem gewesen ich wuste nicht wie ich den Petya Sector Extractor ausführen kann um an die Werte zu kommen.Was das programm selber macht hatte ich aber verstanden,ich vermute das hat der ITler in der Werkstatt nicht verstanden darum sagt er die Festplatte könnte dabei zerstört werden.

Vermute ich mal.

tiash · 12. April 2016

Das klingt nach einem furchtbar inkompetenten Laden. Ein Image der Festplatte inklusive Petya-Entschlüsselung sollte ein kompetenter Fachmann in maximal einem Tag Arbeitszeit hinbekommen. Am längsten dürfte dabei das Kopieren der Daten dauern. Die Wahrscheinlichkeit die Festplatte zu zerstören ist quasi 0. Es sei denn, es handelt sich um eins dieser modernen Ultrabooks bei denen alles bis auf die letzte Schraube verlötet ist. In dem Fall kann man aber immernoch ein Live-System booten und die Daten über USB herausholen. Dauert dann nur länger, macht aber dafür garantiert gar nichts kaputt.

Kurz: Die Computerwerkstatt hat keine Ahnung und/oder will Geld machen. Für den Fall das keine Ahnung zutrifft läuft dein Bekannter Gefahr, dass die Situation nach der "Reparatur" schlimmer ist als vorher (wie im Fall der Stadtverwaltung Dettelbach: dort haben Experten für mehrere 10.000€ an den Daten herumgedoktort und am Ende eine Entschlüsselung unmöglich gemacht).

Wardaddy · 12. April 2016

Also was mich wirklich mal Interessiert ist ob für jedes System ein eigener Key beim verschlüsseln per zufall erstellt wird.
Hat jemand schonmal versucht ob ein schon fertig generierter Key auch an einem zweiten System funktioniert,nur so aus reiner neugierde.

Was haben die den da gemacht in Dettelbach,da gibt es doch sicher eine News zu,

purzelbär · 12. April 2016

Was haben die den da gemacht in Dettelbach,da gibt es doch sicher eine News zu,

Kannste nicht mit deinem Fall hier vergleichen weil es hier um Petya geht und in Dettelbach war es wenn ich es richtig in Erinnerung habe eine Variante von Teslacrypt.

tiash · 12. April 2016

Ja, das stimmt, das war eine der Varianten, die einzelne Dateien verschlüsseln. Die Experten haben bei ihren Rettungsversuchen dann eben notwendige Informationen zur Schlüsselwiederherstellung zerstört, so dass auch nach Bezahlen des Lösegelds keine Rettug möglich war.

Es ging mir eher allgemein darum aufzuzeigen, was unbedachtes Herumfuhrwerken an verschlüsselten Dateien auslösen kann. Würde mich nicht wundern, wenn die 'Fachleute' es auch hier schaffen würden, die entsprechenden Datenbereiche auf der Festplatte zu überschreiben.

Wardaddy · 12. April 2016

Ich hab mich ja die ganze Zeit hier an die Community gerichtet und um rat geben,daher hatte ich keienrlei bedenekn das irgendwas dabei Kaputt gehen würde und ich glaub auch niemand hatte etwas derartiges erwähnt.

KlaasKersting · 12. April 2016

Was soll denn passieren?
Platte vorher klonen und fertig.

powerfx · 12. April 2016

Wardaddy schrieb:
Ich hab mich ja die ganze Zeit hier an die Community gerichtet und um rat geben,daher hatte ich keienrlei bedenekn das irgendwas dabei Kaputt gehen würde und ich glaub auch niemand hatte etwas derartiges erwähnt.

Doch, z.B. KlaasKersting in #49.
Kurz: Wenn du die Schadsoftware entfernst, entfernst du u.U. auch benötigte Information für eine evtl. Entschlüsselung. Die Festplatte selbst wird dadurch natürlich nicht "zerstört", aber eben die Daten, weil sie danach nicht mehr zu entschlüsseln sind.

tiash · 12. April 2016

Wenn ich Wardaddy richtig verstehe meinte der Mensch in der Werkstatt aber tatsächlich die physikalische Zerstörung der Festplatte und das ist natürlich Quatsch.
Was aber auch sein kann ist, dass hier einfach ein Missverständnis vorliegt. Vielleicht hat der Bekannte von Wardaddy da etwas falsch verstanden und der Fachmann sprach von einer möglichen Zerstörung der Daten.

Wardaddy · 12. April 2016

Jap ganz genau tiash das meint der ITler in der Werkstatt auch denn er sagte die Festplatte kann ihnen nicht ersetzt werden.

Mein bekannter schilderte mir das so das eine Physische Zerstörung gemeint ist und ich glaube das dieses auch wirklich so gemeint war.

chrigu · 13. April 2016

nein, durch ein krypto-trojaner kann die festplatte nicht zerstört werden, nur die daten die auf der festplatte liegen sind endgültig nicht mehr lesbar (also zerstört), durch ein simples formatieren ist die festplatte aber wieder nutzbar...

wardaddy... du solltest vielleicht deinem bekannten ein wenig skeptischer gegenüber treten wenn er dir irgendwas sagt, das der neffe des cousins seines onkels schwiegervater des nachbarkindes tante mütterlicherseits vom briefträger seines bruders der einen IT-experten kennt.. sagt..

Wardaddy · 13. April 2016

chrigu schrieb:
wardaddy... du solltest vielleicht deinem bekannten ein wenig skeptischer gegenüber treten wenn er dir irgendwas sagt, das der neffe des cousins seines onkels schwiegervater des nachbarkindes tante mütterlicherseits vom briefträger seines bruders der einen IT-experten kennt.. sagt..

Ich verstehe was du meinst,also um mal ehrlich zu sein,ich glaube dieser IT-Experte hat keine Ahnung,selbst ich hatte ideen und Gedanken wie man es machen könnte,diese Ideen waren hier nciht sehr gut angekommen aber es waren wenigstens Ideen die man hätte verasuchen können,ob etwas davon funktioniert hätte oder nicht,darüber kann man streiten und ist nun nicht mehr von belangen.

Und der hat sicher nur die News der Woche gelesen und traut nichteinmal dehnen weil ihm das Nötige wissen dazu fehlt,den meinem Bekannten fehlt selber auch das nötige wissen darüber.Der glaubt nämlich Felsenfest das die Festplatte Physisch zerstört werden könnte dabei,ich habe ihm versucht zu erklären das dieses nicht der fall ist,lustigerweise hat seine Frau das verstanden,nur er nicht und er beharte darauf das der IT-Experte Recht hat und alle anderen also auch die News von Computerbase.de unrecht haben.

Also er glaubt nicht das dieses funktioniert weil die Methode nicht von Gadata oder Kaspersky gekomemn ist.Aber so nebenbei hat er mir gesagt er hat den It-Experten i nder Werkstatt gefragt was das ganze kosten solle wenn Petya entfernt wurde,ich weiß nicht aber 120€ verlangt der dann dafür.

Ich Arbeite nciht im IT-Bereich,damit kennt ihr euch sicher besser aus,ich find es nur komisch das er den Preis jetzt schon weiß.

chrigu · 13. April 2016

jaja, ich befürchte das liegt in der famile, du bist ja auch verwandt mit dem

120Euro ist die normale gebühr für virenentfernung in einem pc-laden... ohne garantie das die alten daten noch vorhanden sind. das ist aber eigentlich zum nulltarif machbar, selber, nennt sich neu installieren von windows mit vorheriger formatierung der festplatte. heutzutage gibt es sogar bei youtube ein deutsches video-tutorial... wie man sowas macht für solche die wenig bis keine ahnung haben.

tiash · 13. April 2016

Wenns ein Firmengerät ist dann versteh ich schon, dass man das in die Reparatur gibt statt da selber herumzubasteln. Vor allem, wenn die Firma vermutlich keine brauchbare IT-Abteilung hat. In dem Fall finde ich 120€ eigentlich auch ganz fair. Viel mehr als 2 Stunden Arbeitszeit werden dadurch vermutlich nicht abgedeckt (kenne den aktuellen Stundensatz im PC-Schrauberbereich nicht, aber in der Größenordnung hat das ein Kommilitone vor einigen Jahren schon gemacht). Sollte das Ergebnis aber ein neuaufgespieltes Windows ohne alte Daten sein statt einer Entschlüsselung würde ich mich in diesem Fall trotzdem betrogen fühlen.

CaptainPicard24 · 13. April 2016

purzelbär schrieb:
@wardaddy
Mein Rat: baut die Festplatte aus, legt die in einen Schrank und kauft eine neue Festplatte für den Computer.

Dem Stimme ich absolut zu. So ein Mistvieh hatte ich Frühjahr 2012 auch. Damals machte ich auch nur jährlich Back-Ups.
Das kam aber über einen Drive-By-Download. Gott sei Dank war die letzte Sicherung nur ein paar Monate her.
Die wirklich wichtigen Dinge lagen auf einer externen Festplatte, die Gott sei nochmals Dank, gerade abgezogen war.

Nachdem ich erfuhr, wie gefährlich mein "Vieh" wirklich ist, baute ich die Festplatten aus und schickte sie in Rente.
Ich hatte eine Begründung, die 8 Jahre alten HDDs durch neuere, schnellere zu ersetzen. Back-Ups eingespielt und fertig.

Die alten liegen jetzt wie bei purzelbär im Schrank. Nur hatte ich die schon ganz vergessen.

Daraus lernt man ein brauchbares Sicherheitskonzept zu haben oder zu entwickeln. Sowas kann heute nicht mehr passieren.

tiash · 13. April 2016

Der Rat von purzelbär ist glaube ich nicht so gemeint, dass die Platte aus Sicherheitsgründen in den Schrank gelegt werden soll, sondern um die Daten dort zu konservieren, bis es eine Entschlüsselungsmöglichkeit gibt. Da diese mittlerweile gefunden ist kann man sich das Einlagern also sparen.

Auch wenn Low-Level-Firmware-Viren denkbar sind, in Wahrheit sieht es aktuell doch so aus, dass die viel naiveren Ansätze völlig ausreichen, um Geld zu machen. Und denen ist durch eine Festplattenformatierung zum Glück gut beizukommen.

Mit Crypto Malware Infiziert

Banned

Fleet Admiral

Banned

Commander

Banned

Lt. Junior Grade

Banned

Admiral

Lt. Junior Grade

Banned

Commander

Admiral

Lt. Junior Grade

Banned

Fleet Admiral

Banned

Fleet Admiral

Lt. Junior Grade

Ensign

Lt. Junior Grade