Verschlüsselungs-Trojaner, Hilfe benötigt

[Blup]

Zitat:

Wenn ich das richtig verstehe, geht es doch um den SEED des Pseudozufallszahlengenerators. Seien es jetzt CPU-Taktzyklen oder die Uhrzeit, warum genau kann man diese Wert nicht auf ein paar Milliarden Möglichkeiten eingrenzen? Die Uhrzeit des Befalls zumindest kennt man doch relativ exakt. Somit könnte man doch in vernünftiger Zeit Bruteforcen.

Die Uhrzeit ist nicht wichtig, interessant währe, wie lange Windows schon lief (auf die Millisekunde genau).

Der vorherige Wert des Zufallsgenerators ist hier nur ein Faktor der über den nächsten ausgelesenen Wert entscheidet. Die Anzahl der benötigten CPU-Takte bis zum nächsten Abruf eines Wertes wird in die Berechnung mit einbezogen. Diese Anzahl wird nicht nur durch den Prozessor sondern auch dessen Umgebung (Speicher usw.) beeinflusst. Die einzelnen CPU-Befehle werden intern auf mehrere Recheneinheiten verteilt und laufen zum Teil parallel ab. Auf einem Windowssystem laufen viele Threads parallel, die natürlich die selben Einheiten und Warteschlangen nutzen und damit die Laufzeit beeinflussen. Diverse Hardware insbesondere OnBoard-Soundkarten oder Grafikkarten nutzen ebenfalls Teile des Prozessors.
Zwischen den einzelnen Abfragen konnte ich Werte für die CPU-Takte messen die häufiger auftraten, aber dazwischen waren immer auch viele Abweichungen. Das Passwort wird aus einer ganzen Reihe von Abfragen dieses Generators zusammengebaut.

[ichi]

Verstehe, der Programmierer scheint wohl tatsächlich ziemlich gut zu wissen, was er tut.
Traurig, dass solche intelligenten Leute nicht mit legalen Jobs ihr Geld verdienen

[pcnberlin]

Für die, die es interessiert, hier gibt es eine ausführliche Analyse des Trojaners:

hxxp://malware.lu/Pro/RAP001_malware_rannoh_matsnu_1.1.pdf

[CAG83]

Hallo in die Runde!

Hab mich im Mai mit dem Trojaner infziert und diverse wichtige files verschösselt bekommen.
Hab nun vor ca 2 Monaten aufgehört die Forschung zu verfolgen, gibts denn neue Erkenntnisse?
ODer ist die Verschlüsselung nach wie vor unlösbar? Hab die encrypteten files gebackupt mitsamt der hier im Thread erwähnten .$xx files des trojaners.

[markusg]

und einfach mal 1-2 seiten von diesem thema lesen, ist zu schwierig? das würde deine frage schon beantworten.

[CAG83]

hallo!

Ich schätze hier gibt es nichts neues oder?
Oder tüftelt noch irgendwer an dem virus?

[Capstone]

ich denke, die meisten werden aufgegeben haben ...

sowohl die rettenden Programmierer (Rever....psst) hier, als auch die Opfer. Daten weg. Selbst bei Zahlung.


aber interessiern tät's mich auch.

[himitsu]

Selbst Behörden zahlen inzwischen, um wieder an ihre Daten zu kommen.

[Perlsau]

Zitat von himitsu:

Selbst Behörden zahlen inzwischen, um wieder an ihre Daten zu kommen.

Echt irre! Ist denn diese Seite nicht hilfreich?

[BUG]

Zitat von Perlsau:

Echt irre! Ist denn diese Seite nicht hilfreich?

Gegen neuere Ransomware (z.B. CryptoLocker), die mittlerweile Kryptographie richtig anwendet, wird in der nächsten Zeit wohl kein Kraut gewachsen sein.