Verschlüsselungs-Trojaner, Hilfe benötigt

[Marcu]

@pcnberlin

WOW. Klasse!!!

Für Leute die neu dazukommen und noch helfen wollen - das hier ist die erste Adresse um sich einen Überblick zu verschaffen:

Analyse des Windows-Verschluesselungstrojaner-neue-Version


Beim 2 Aufruf (704 bytes Vermutung: public Key) handelt es sich hoffentlich nur um die Textdatei die man später auf seinem Desktop wiederfindet. Ich werde mich mich bis zum Schluss in Zweckoptimismus üben und davon ausgehen, dass die Entschlüsselung möglich ist. Mir ist klar, dass es leicht und naheliegend ist ein Verfahren zu wählen, welches nicht zu überwinden ist. Und wenn der Programmierer es jetzt noch nicht gemacht hat, dann wird er sicher in einer der nächsten Versionen diesen Schritt tun. Es ist nur wenig Programmierarbeit für ihn.

Bisher aber gehe ich noch von einem symmetrischen Verfahren aus und gebe die Hoffnung nicht auf.

vg nach Berlin Meine Stadt ist zu klein um diese zu nennen. Beim den c&c-Server wird auffälliges Debuggen anscheinend per IP gebannt.

[pcnberlin]

Zitat von Marcu:

WOW. Klasse!!!

Danke, ich hoffe, wir werden noch weitere und vor allem positive Informationen finden

Zitat von Marcu:

Beim den c&c-Server wird auffälliges Debuggen anscheinend per IP gebannt.

Ist mir bisher noch nicht aufgefallen. Allerdings nutzen Sie ja verschiedene Domains & IPs und die meisten Domains sind nicht aufzulösen, dann dauerts immer ein paar Minuten. Mich nervt viel mehr diese dämliche Bildschirmsperre, die mir oft dazwischenfunkt, da scheint was nicht sauber programmiert zu sein, denn manchmal werde ich ausgesperrt, manchmal nicht.

Zitat von Marcu:

Beim 2 Aufruf (704 bytes Vermutung: public Key) handelt es sich hoffentlich nur um die Textdatei die man später auf seinem Desktop wiederfindet.

Das könnte sein, ich muss mir das noch mal genau anschaun. Interessant wäre dann in diesem Zusammenhang auch, wo und ob sich Referenzen zu den beim zweiten Abruf übermittelten Daten (data) finden. Wenn das nur die Textdatei wäre & $data ein maschinenabhängiger Schlüssel, bestünde ja eventuell Anlass zur Hoffnung.

[Marcu]

Zitat von pcnberlin:

.. Mich nervt viel mehr diese dämliche Bildschirmsperre, die mir oft dazwischenfunkt ...

Du meinst das Paycash-Eingabefenster des Trojaners? Bitte lade dir angehängte Datei "SwitchBack.zip" runter. Wenn du SwitchBack.exe laufen lässt bevor du den Virus startest, dann schaltet Switchback wieder zurück zum normalen Desktop. Der Quellcode von Switchback befindet sich im angezeigten Memofenster. Der Virus läuft dann ganz normal weiter aber man kann wieder auf Tools zugreifen

Zitat:

Wenn das nur die Textdatei wäre & $data ein maschinenabhängiger Schlüssel, bestünde ja eventuell Anlass zur Hoffnung.

Da spielt mindestens noch MD5 eine Rolle. Heute Abend gehts weiter

[Marcu]

@pcnberlin
Es ist natürlich bemerkenswert dämlich bei dieser Thematik Executables hochzuladen. Ich bin zwar einer von den "Guten" aber kann man ja nie sicher sein. Anbei findest du noch den Quellcode "SwitchBacksrc.zip" zum selbstkompilieren.

[Michael Habbe]

Hallo Marcu.

Kannst Du mir mal den aktuellen Verschlüsseler zur Verfügung stellen? Ich möchte mal ein bischen mit dieser Datei experementieren, die im Temp-Ordner abgelegt wird.
Der SwitchBack funktioniert übrigens prima!

Michael