Verschlüsselungs-Trojaner, Hilfe benötigt

[bombinho]

Mein tmp file ist nach dem Entpacken nur voller 00h. Allerdings habe ich mit dem kleinen tool sofort wieder meinen Arbeitsplatz vor mir gehabt und noch keine Eingaben getaetigt. Version 1.555.1

[johX]

Was ist eigentlich mit den Windows-Beispielbildern?
Hat mal irgendwer verschiedene Versionen von unterschiedlichen Rechnern auf Gemeinsamkeiten in den verschlüsselten Bereichen gecheckt?

[pcnberlin]

@johX

Ich denke nicht, dass uns das wirklich weiterbringen wird. Der zur Verschküsselung genutzte Schlüssel ist sehr wahrscheinlich zumindest anteilig dynamisch. Für jede einzelne Datei wird zudem ein eigener Schlüssel generiert.

@Marcu

Ich konnte anhand eines verseuchten Rechners und Deines Tools nachvollziehen, dass in der temp-Datei (1kb) die Paysafe/Ucash-Nummer mit abgespeichert wird, vermute deshalb, dass Du 1234123412341234 mal zum Testen eingegeben hattest und das nun in Deiner Datei steht. Bei dem verseuchten Rechner wurde eine reale Nummer eingegeben (es wurde NICHT entschlüsselt) und die Nummer steht in der Datei. Habe sie auch mit dem Kundenbeleg verglichen - identisch.

[bombinho]

Kann noch jemand bestaetigen, dass EAX mit DEADCAFE geladen wird? Dann waere das ja mal ein Name fuer das Teil.

[johX]

Zitat von pcnberlin:

@johX

Ich denke nicht, dass uns das wirklich weiterbringen wird. Der zur Verschlüsselung genutzte Schlüssel ist sehr wahrscheinlich zumindest anteilig dynamisch.

Ich habe mal die relevanten Teile deiner Aussage markiert.
Ich glaube zwar auch nicht, das es großartig helfen wird, aber dann wäre zumindest ausgeschlossen, das uns dieser Ansatz weiterbringt.

Zitat von pcnberlin:

Für jede einzelne Datei wird zudem ein eigener Schlüssel generiert.

Ist das sicher oder eine Vermutung?
Klar ist für mich nur, das die verschlüsselten Bytes bei ähnlichen Dateien unterschiedlich sind.
Aber wie sieht es aus bei gleichen Dateien im gleichen Verzeichnis?
Z.B. bei 2 Durchläufen des Trojaners auf die gleichen Daten?

wo ich gerade bei den mir offenen Fragen bin:
- was passiert mit einer Datei mit z.B. 30k (40k 50k) Nullen?
- wird wirklich verschlüsselt oder einfach mit Random-Werten überschrieben?
- wie werden die Dateinamen bei unterschiedlichen Durchläufen gesetzt? (ok, eher nebensächlich)
- warum hat der Programmierer er versäumt, bei der mir vorliegenden Original-Platte das Verzeichnis c:\Lego-Bilder zu verschlüsseln/umzubennen, obwohl ansonsten auf beiden Partitionen der Platte alles versclüsselt wurde?

eventuell schaffe ich es ja, am WE mal einen Testrechner aufzusetzen.

ich kann mir nicht vorstellen, das (wie du im Blog meinst), der Programmierer eine saubere, fehlerfreie Implementierung hinbekommt. Wie war das noch mit SSL...

Gruß
Joh

[johX]

Zitat von pcnberlin:

Bei dem verseuchten Rechner wurde eine reale Nummer eingegeben (es wurde NICHT entschlüsselt) und die Nummer steht in der Datei. Habe sie auch mit dem Kundenbeleg verglichen - identisch.

Das heißt, du hast tatsächlich jemanden, der definitiv bezahlt hat und dessen PC nicht entschlüsselt wurde?
Wie wäre es mit einem offiziellem Beitrag in c't oder Co. Dann hatte ich bei meinen Kunden mal was in der Hand

[Marcu]

@pcnberlin

Zitat:

... vermute deshalb, dass Du 1234123412341234 mal zum Testen eingegeben hattest..

Es ist schön dass wenigstens du weißt was für Testdaten ich eingegeben habe. ... mein lieber Schwan ... ist das peinlich...


@Alle

Es tut mir leid. Kein Happy End!

Es gibt kein Hintertürchen im Programm, keine nennenswerten Programmierfehler, keine logischen Fehler, keine Schwachstelle in der Parametrierung der Verschlüsselungsfunktionen und keine Schwäche in der Zufallsfunktion. Ich habe die relevanten Funktionen der Malware zurückübersetzt und im Detail nachvollzogen. Es ist keine Vermutung mehr von mir und ich kann mit Sicherheit sagen: Das benötigte Passwort ist nicht mehr auf den betroffenen Computern. Es gibt keinen Weg dieses Passwort zu berechnen. Es gibt keinen Weg das Passwort zu Lebzeiten zu erraten. Es ist diesmal nicht möglich mit einem Vergleich zwischen Originaldateien und verschlüsselten Dateien eine Entschlüsselung für alle Dateien abzuleiten. Es bleibt nur zu hoffen, dass ein Polizist das Passwort zurückbringt.

Benötigt wird das Passwort für eine Datei in der zu jeder verschlüsselten Datei der Originalname, der zufällige neue Dateiname und das zufällige Passwort steht mit der die Datei verschlüsselt wurde. Der Virus speichert diese Katalogdatei im Temp-Verzeichnis mit der Dateierweiterung ".$02" ab. Z.B: 1C7F90CE4148555A5355.$02
Eigentlich wäre es sehr einfach ein Programm zu schreiben welches die Daten restauriert. Man muss lediglich das Programm unter #138 mit der Funktion unter #41 koppeln und seine entschlüsselte $02-Katalogdatei als Eingabe bereitstellen. Daraus wird leider nichts solange das Passwort zum Entschlüsseln der $02-Datei nicht herbeigeschafft ist.

Es gibt eine einzige kleine Schwachstelle im Virenprogramm, die aber nicht reicht um die Daten zu entschlüsseln. Während der Verschlüsselungsphase legt der Virus eine Datei mit der Endung ".$03" im temp-Verzeichnis an. In dieser Datei steht für jede verschlüsselte Datei die Zuordnung zwischen dem Originaldateinamen und dem neuen zufälligen Dateinamen. Diese Datei wird nach der Verschlüsselung mit einem simplen kernel32_DeleteFileA gelöscht. Man hat also tatsächlich eine Chance diese Datei wiederherzustellen.
Mit der $03-Datei ist es möglich den verschlüsselten Dateien ihren Originalnamen zurückzugeben. Jedoch bleibt es weiterhin nicht möglich die Dateien vollständig zu reparieren, da in der $03-Datei nicht das Passwort für die Verschlüsselung steht. Die $03- Datei lässt sich mit dem Programm unter #138 entschlüsseln. Das zu machen hat aber wahrscheinlich für Niemanden einen Sinn.


pcnberlin hat Recht wenn er sagt, dass man den Opfern dieser Malware nicht hilft wenn man schweigt.
Es ist allen dringend zu raten eine Anzeige zu erstatten. Wenn viele Anzeigen bei der Polizei vorliegen, erhöht das sicher die Bereitschaft zu ermitteln. Vielleicht ist der Täter nicht in Deutschland. Es kann lange dauern bis die Passwörter beschlagnahmt sind. Deswegen sollten die Opfer eine Sicherungskopie anfertigen und jetzt eine Neuinstallation durchführen.

Ich möchte mich noch bei allen bedanken. Der konstruktive und freundschaftliche Umgang bei der Analyse der Malware war echt klasse. Vielen Dank an pcnberlin und Michael und Markusg und an alle anderen.
Falls sich bei mir mehr als drei Interessierte melden, werde ich ein Paper machen in dem die Funktionsweise dokumentiert ist. Bitte PM an mich.

Noch ein letztes Wort an die Opfer - falls die hier mitlesen:
Es gibt keinen Grund mit sich selbst böse zu sein, weil man dieses blöde Zip-File angeklickt hat. Der Gebrauch von E-Mailanhängen so wie er heute üblich ist, ist leider schrecklich kaputt. Die Regeln die empfohlen werden sind ein Armutszeugnis der EDV. Wenn man sich bei dieser Sache Selbstvorwürfe macht, dann richtet man seinen Zorn an den falschen.

Viele Grüße
Marcu

[deraddi]

Hallo, mein erster Beitrag hier und ich habe direkt 1-2 Fragen.
Danke erstmal @ Marcu für Deine Mühen, habe den Verlauf mitverfolgt.

Ich habe Teildaten einer Festplatte von einer 130 km entfernten Bekannten hier vorliegen, die den Matsnu.A.23 erwischt hat. Ca 4800 Fotos sind futsch, davon konnten wir von ihrer Sicherung gut 2300 wiederherstellen. Der Rechner ist aber nun eh wertlos weil sie nun einen Laptop gekauft hat (Mit externer Sicherungsplatte ) da einige Kondensatoren auf dem betagten Mainboard schon aufgebläht waren und diverse Bluescreens Verdacht auf Hardwaredefekt früher schon vermuten ließen.

Kriege die Platte per Paketdienst morgen oder übermorgen und werde in den gelöschten Bereichen im Temp mal weitersuchen. Schattenkopien waren deaktiviert ... Habe schon fast aufgegeben das AES je geknackt werden könnte, aber Dein letzter Beitrag ließ mich nochmal nachsehen: diese $02 Datei habe ich auf der Platte gefunden. Es gibt aber eine nur 1 kB große Datei mit fast identischem Namen ohne Endung im selben Ordner, was hätte sie für eine Bedeutung?
Ich hänge ein RAR an, den Virus habe ich 2x gefunden mit verschiedenen Dateinamen.

[TBUndertaker]

Achtung, im RAR von @deraddi ist der Trojaner und das RAR ist ohne PW.
Admins, bitte den Anhang löschen!!!

Hallo liebe Delphis,
ich komme vom Trojaner Board und lese hier seit Anfan an mit.
Bisher hatte ich mich nicht registriert, da meine Programmierkenntnisse zu schwach sind, um hier sinnvoll mitarbeiten zu können.
Ich habe das heute auf Grund Marcu's letztem Post trotzdem getan.
Es ist mir ein Bedürfnis all denjenigen zu danken, die sich die Nächte um die Ohren geschlagen haben, nur um Anderen zu helfen.

Der letzte Beitrag von Marcu macht mich trotzdem nachdenklich.
Dass das Password nicht explitid auf dem Rechner zu finden ist, kann ich nachvollziehen.
Stellt sich nur die Frage, wo es ist.
Ist es nur ein Passwort für Alle?
Gibt es jeden Tag ein neues Password?
Gibt es für jeden Rechner eins?
Ich stelle mir gerade vor, welchen administrativen Aufwand die Verwaltung der Passworddatenbank bedeutet.
Ich kann mir auch nicht vorstellen, dass die Passworte irgendwo auf der Welt gespeichert sind und ein Polizist die irgendwann zurück bringen könnte.

Eher bin ich davon überzeugt, dass der fehlende Part so simpel gestrickt ist, dass wir ihn nicht sehen.

Gruß Undertaker

[Daniel]

Guten Morgen und Danke für die Warnung bzgl. des Anhangs.

Wenn Ihr für Recherche-Zwecke ein lebendiges Exemplar des Trojaners benötigt, so verlinkt ihn meinetwegen irgendwie, schreibt aber in rot und fett unmissverständlich eine Warnung neben den Link. Als Anhang kann ich den Trojaner hier nicht gestatten, da das Risiko einer Infektion durch unbewusstes oder gar leichtfertiges Verhalten einfach zu groß ist. Ich bitte um Verständnis.


Zur Sache selbst kann ich leider nichts sagen - es wäre schade, wenn der Algorithmus gut genug ausgearbeitet wäre, um in endlicher Zeit nicht zu knacken wäre. Aber vom technischen Standpunkt ausgesehen würde es mich nicht überraschen, da die Kryptographie weit genug aufbereitet wurde, so dass der Zugang zu komplexer Verschlüsselung vergleichsweise leicht geworden ist.