dateitypen nach trojaner geändert.

[psychshot]

HiHo

Ich habe ein großes Problem,

bei mir liegt ein Notebook von einer Freundin.

Dieser war mit den Bundespolizei Trojaner infiziert.
Den Trojaner habe ich gelöscht.

Alle Programme laufen wieder einwandfrei mit vollen Zugriffen. Bloß die Bilder und Videos gehen nicht mehr zu öffnen.

Die Dateien wurden umgewandelt und sind somit nicht mehr zu verwenden. Nun wollte ich um Hilfe bitte, da diese Bilder von Ihren Kindern sind und diese nirgend woanders abgespeichert sind.

Hier mal ein Bild zu den Vorfall.

 

[DrToxic]

Hast du mal versucht, in der Ordneransicht den Haken bei "Dateiendung bei bekannten Dateitypen ausblenden" rauszumachen und ein ".jpg" ans Ende der Dateien zu setzen? Dann die Meldung "wird eventuell unbrauchbar" bestätigen.

Mit etwas Glück würde nur die Endung gelöscht.

Aber bevor du irgendwas versuchst --> Sicherheitskopie von allem machen!

Und neu aufsetzen ist nach einer Infektion eigentlich immer ratsam. Und nicht vergessen, Automatisches Update für Java etc. zu aktivieren.

 

[kinglouy]

Probier doch einfach mal die Dateiendung .jpg, .png oder .bmp wieder zu ergänzen.

 

[Necareor]

Was passiert denn, wenn du so eine Datei mit der Windows Bildanzeige oder mit Paint oder so öffnest? Würde mal behaupten, dass da nur die Namen verändert wurden und die Dateiendungen entfernt. Kann mir nicht vorstellen, dass die Dateien 'umgewandelt' wurden...

 

[Ishona]

manuell ändern?
Oben Links im Ordner -->Organisieren "Ordner und Suchoptionen" -->Ansicht --> Erweiterungen bei bekannten Dateitypen ausblenden --> deaktivieren

Dann halt nach bild01.jpg umbenennen und schauen was passiert.

 

[green-e]

Hier wurden die Daten verschlüsselt. Man kann das eventuell mit einigen Tools wieder herstellen, ich empfehle aber auch eine Neuinstallation, oder besser ein Backup zurück zu spielen. Wenn kein Backup vorhanden, sollte sich das zumindest für das nächste mal vorgemerkt werden eines anzulegen.

 

[Teknicida]

schau mal da:
http://www.feenders.de/ratgeber/exp...verschluesselte-dateien-wiederherstellen.html

einfach mit umbenennen wird das nicht klappen. Im Artikel wird beschrieben wie die Dateien wieder hergestellt werden können.

 

[eLeSDe]

irfanview zb öffnet dateien unabhängig von der dateiendung und bietet im bedarfsfalle sogar an, diese entsprechend anzupassen

also: irfanview starten, datei per drag und drop öffnen, meldung bestätigen
dann hat man am ende auch gif's mit gif und jpg mit jpg

 

[RaVeN99]

Mahlzeit zusammen!

Also wie die Vorredner bereits schon meinten, wäre das erste Mittel der Wahl einfach mal das stumpfe umbenennen. Mit ein wenig Pech wird aber das auch nicht funktionieren, da seit geraumer Zeit auch Mutationen des Bundestrojaners unterwegs sind, welche tatäschlich eine Verschlüsselung der Dateien vornehmen.
Die dafür genutzten Algorithmen sind zumeist recht simpel (XOR u.ä.). Nach meinem letzten Kenntnisstand benötigt man für die Entschlüsselung eine Originaldatei welche nicht verschlüsselt wurde und ein kleines Tool. Dieses kann anhand des Deltas dann den Schlüssel errechnen und die Dateien wieder entschlüsseln. Als Original dienen häufig Windows Hintergrundbilder.

Da ich nicht weiß ob es inzwischen neue Mutationen mit abgewandelten Algos gibt stell ich auch mal keinen Link hier rein. Musst einfach mal bei Google suchen, den Trojaner möglichst genau beschreiben, dann wirst schon ein entsprechendes Tool finden.


Viel Erfolg!

RaVeN

 

[DrToxic]

schau mal da:
http://www.feenders.de/ratgeber/exp...verschluesselte-dateien-wiederherstellen.html

einfach mit umbenennen wird das nicht klappen. Im Artikel wird beschrieben wie die Dateien wieder hergestellt werden können.

Übel. Da steht nämlich auch, dass es eine Version gibt, welche die Dateien einfach schreddert:

UPDATE 1. Jun 2012

Es gibt seit Mitte Mai neue Versionen des Verschlüsselungstrojaners. Sie verbreiten sich als Rechnung in ZIP-Dateien getarnt über Emails. Diese Trojaner zerstören die Dateien duch zufällige Dateinamen dem wahllosen Füllen des Dateiinhaltes. Die so zerstörten Dateien können vermutlich nicht entschlüsselt werden. Wenn unter Windows 7 oder Vista automatische Backups aktiviert waren, dann kann man versuchen die alten Inhalte über die Schattenkopie wiederherzustellen.
Das sollte man einen Fachmann machen lassen.

Danach sieht es hier aus, das wäre natürlich Sche*ße..

 

[Phantom2k]

@Teknicida: die anleitung die du gepostet hast ist für den alten verschlüsslungstrojaner, das hilft hier überhaupt nicht.

@psychshot: schau mal nach den schattenkopien, da haste die besten chancen die original datei wiederherzustellen. Rechte maustaste auf eine verschlüsselte datei, dann eigenschaften, dann vorgängerversion. Alternativ geht das mit dem programm "shadow explorer" noch einfacher und schneller.

 

[Teknicida]

Der Link sollte nur ein Beispiel sein.
Im Trojanerboard wird aber z.B. genau die selbe Vorgehensweise empfohlen.

Vom BKA / Ukash / GEMA / GVU gibt es tausende Varianten. Ich selbst habe davon schon ca 20 verschiedene Versionen gesehen.

Da genau das selbe Problem....nur das es anscheinend noch kein richtiges Tool gibt, das Ganze zu entschlüsseln:
http://forum.botfrei.de/showthread....Csselt-quot-Brauche-Professionelle-HILFE-quot

 

[psychshot]

Erstmal danke für die Antworten. Leider Hilft es nicht die Dateien umzubennen oder den Dateityp zu ergänzen. Alles schon versucht. Funktioniert nur leider nicht.

Auf den Bild ist auch zu erkennen das nicht nur der Dateityp geändert wurde. Auch die Namen der Dateien Sind nicht mehr Original.

Ich werde jetzt gleich mal die Methode mit den Schattenkopien versuchen oder die Dateien zu entschlüsseln.

 

[Teknicida]

da noch eine genaue Anleitung aus dem Trojanerboard:
http://www.trojaner-board.de/115496-shadowexplorer-dateien-wiederherstellen.html

 

[psychshot]

Jetzt habe ich es nochmal versucht. Leider war die Sicherung deaktviert. vorherige Versionen existieren nicht.

Und die Dateityp Änderung habe ich jetzt nochmal versucht.

Die Meldung für Bilder lautet

"Das Bild kann in der Windows-Fotoanzeige nicht geöffnet werden, da die Datei mögöicherweise beschädigt oder zu groß ist."

 

[Teknicida]

Dann schau mal im Trojanerboard vorbei. Die Leute dort sind sehr sehr kompetent.
Evtl können die Dir weiterhelfen.
Das Problem ist da auf jeden Fall nicht unbekannt.

Allerdings mache ich Dir, auf Grund der fehlenden Sicherung, keine große Hoffnung die geschredderten Dateien wiederherzustellen.

 

[psychshot]

Also habe das jetzt mit den Tool versucht. Es sind wirklich alle Dateien vorhanden.

Ein Bild konnte ich wiederherstellen. Jetzt versuche ich es mit den Kompletten Ordner "Eigene Dateien". Mal schauen ob es funzt und wie lange es dauert.

 

[green-e]

Eventuell wird ja beim nächsten mal ja doch ein Backup angelegt. Dieses erspart einem viel Zeit und Ärger.
Und ein kompromittiertes System ist für mich nicht mehr sicher, egal mit welchem Tool es repariert wurde. Ist wie beim Auto, ein Unfallwagen bleibt ein Unfallwagen, auch wenn man ihn gerichtet und neu lackiert hat.

 

[Teknicida]

Na dann Drück ich Dir mal die Daumen. Und GANZ GANZ wichtig....

Dateien im Nachgang sichern!!
Sicherung einschalten!

 

[purzelbär]

Dateien im Nachgang sichern!!
Sicherung einschalten!

Ergänzend dazu: ich würde, wenn eine USB Festplatte vorhanden ist, das System in regelmäßigen Abständen mit einem Backup/Image Programm sichern. Wenn ein solches Programm noch nicht vorhanden ist, kann man dieses Freeware Programm: http://www.paragon-software.com/de/home/br-free/ dafür verwenden um Partitionen oder Festplatten damit zu sichern.