Verschlüsselungs-Trojaner, Hilfe benötigt

[Medium]

Emil, wenn du Bedenken vor den Dateien hast, dann lade sie einfach nicht herunter. Ich für meinen Teil freue mich sehr über diese fachlich spannende und tiefe Diskussion, nicht zuletzt weil es für mich eher Neuland ist, und total interessant wie die Damen und Herren hier da heran gehen. Und das auf eine gesittete und freundliche Art, die der DP gelegentlich auch mal gut tut ;)
Zudem wurde das meiste, so weit ich das verfolgt habe, ohnehin schon via Mail oder PN ausgetauscht, und die Teilnehmer hier wirken allesamt zu sehr mit der Materie vertraut, als dass man ihnen solche grobe Fahrlässigkeit vorferfen dürfen sollte. Und wie gesagt: Letztlich bist du selbst für deine Downloads verantwortlich, und dank des Kontextes hier sollte ja doch recht klar sein, dass "Unterlagen.pif" nicht für dich interessante Dokumente sein können.

[EWeiss]

JA, ja hab mich mittlerweile wieder beruhigt.

Und laden würde ich solche Dateien sogar angekündigt definitiv nicht.
Destotrotz geschrieben ist geschrieben vielleicht hört ja jemand auf die Warnung wie auch immer.

gruss

[Marcu]

@brain_

Zitat:

... Ich gehe ganz stark davon aus, dass sich in der 2,5 MB Temp-Datei in verschlüsselter Form die neuen Dateinamen inklusive der zugehörigen Original-Dateinamen befinden ...

deinen Nick trägst du nicht ohne Grund, gell? Mein Debugger schmerzte mir entsetzlich in den Augen bis ich endlich zu dieser Erkenntnis kam. Erstaunlich was man mit Blackbox Analyse alles rausfinden kann. :)

[Marcu]

@Luckie

Hallo Luckie, :-)

Zitat:

Wobei warum Trojaner? Spioniert er den Rechner aus und verschickt Daten? Wäre die Bezeichnung Virus nicht passender?

Ja. Es handelt sich bei diesem Virus, um einen Trojaner mit einer Schnittstelle zu einem C&C Server und den Befehlen Wait, Load, Upgrade, Execute, usw. Dieser Trojaner hat zudem die Befehle Lock und Unlock welche die Verschlüsselung und Entschlüsselung der Daten auslöst.

Zitat:

So lange hier kein Trojaner hochgeladen wird, sehe ich keinen Grund den Thread zu schließen.

Die Leute die dieses Botnetz betreiben sind keine Kiddies die ein bisschen spielen wollen. Die Moderatoren von Trojaner-Board haben mich eindringlich davor gewarnt. Die verschicken mal eben ein paar 10000 E-Mails an eine E-Mailadresse oder stoßen einen Server vom Netz, wenn denen danach ist.
Was ich sagen will ist, dass es vernünftiger wäre diesen Thread zu schließen um Delphi-Praxis nicht zu gefährden. Ich wäre dir Luckie darum bestimmt nicht böse. Wenn du es signalisierst, dann werde ich sofort zum TB umziehen.

vg

[Marcu]

@pcnberlin

WOW. Klasse!!!

Für Leute die neu dazukommen und noch helfen wollen - das hier ist die erste Adresse um sich einen Überblick zu verschaffen:

Analyse des Windows-Verschluesselungstrojaner-neue-Version


Beim 2 Aufruf (704 bytes Vermutung: public Key) handelt es sich hoffentlich nur um die Textdatei die man später auf seinem Desktop wiederfindet. Ich werde mich mich bis zum Schluss in Zweckoptimismus üben und davon ausgehen, dass die Entschlüsselung möglich ist. Mir ist klar, dass es leicht und naheliegend ist ein Verfahren zu wählen, welches nicht zu überwinden ist. Und wenn der Programmierer es jetzt noch nicht gemacht hat, dann wird er sicher in einer der nächsten Versionen diesen Schritt tun. Es ist nur wenig Programmierarbeit für ihn.

Bisher aber gehe ich noch von einem symmetrischen Verfahren aus und gebe die Hoffnung nicht auf.

vg nach Berlin :-) Meine Stadt ist zu klein um diese zu nennen. Beim den c&c-Server wird auffälliges Debuggen anscheinend per IP gebannt.

[pcnberlin]

Zitat:

Zitat von Marcu (Beitrag 1168459)

WOW. Klasse!!!

Danke, ich hoffe, wir werden noch weitere und vor allem positive Informationen finden ;-)

Zitat:

Zitat von Marcu (Beitrag 1168459)

Beim den c&c-Server wird auffälliges Debuggen anscheinend per IP gebannt.

Ist mir bisher noch nicht aufgefallen. Allerdings nutzen Sie ja verschiedene Domains & IPs und die meisten Domains sind nicht aufzulösen, dann dauerts immer ein paar Minuten. Mich nervt viel mehr diese dämliche Bildschirmsperre, die mir oft dazwischenfunkt, da scheint was nicht sauber programmiert zu sein, denn manchmal werde ich ausgesperrt, manchmal nicht.

Zitat:

Zitat von Marcu (Beitrag 1168459)

Beim 2 Aufruf (704 bytes Vermutung: public Key) handelt es sich hoffentlich nur um die Textdatei die man später auf seinem Desktop wiederfindet.

Das könnte sein, ich muss mir das noch mal genau anschaun. Interessant wäre dann in diesem Zusammenhang auch, wo und ob sich Referenzen zu den beim zweiten Abruf übermittelten Daten (data) finden. Wenn das nur die Textdatei wäre & $data ein maschinenabhängiger Schlüssel, bestünde ja eventuell Anlass zur Hoffnung.

[Marcu]

Zitat:

Zitat von pcnberlin (Beitrag 1168472)

.. Mich nervt viel mehr diese dämliche Bildschirmsperre, die mir oft dazwischenfunkt ...

Du meinst das Paycash-Eingabefenster des Trojaners? Bitte lade dir angehängte Datei "SwitchBack.zip" runter. Wenn du SwitchBack.exe laufen lässt bevor du den Virus startest, dann schaltet Switchback wieder zurück zum normalen Desktop. Der Quellcode von Switchback befindet sich im angezeigten Memofenster. Der Virus läuft dann ganz normal weiter aber man kann wieder auf Tools zugreifen :-)

Zitat:

Wenn das nur die Textdatei wäre & $data ein maschinenabhängiger Schlüssel, bestünde ja eventuell Anlass zur Hoffnung.

Da spielt mindestens noch MD5 eine Rolle. Heute Abend gehts weiter :-)

[Marcu]

@pcnberlin
Es ist natürlich bemerkenswert dämlich bei dieser Thematik Executables hochzuladen. Ich bin zwar einer von den "Guten" aber kann man ja nie sicher sein. Anbei findest du noch den Quellcode "SwitchBacksrc.zip" zum selbstkompilieren. :-)

[Michael Habbe]

Hallo Marcu.

Kannst Du mir mal den aktuellen Verschlüsseler zur Verfügung stellen? Ich möchte mal ein bischen mit dieser Datei experementieren, die im Temp-Ordner abgelegt wird.
Der SwitchBack funktioniert übrigens prima! :thumb:

Michael

[markusg]

hi,
da ich jetzt erst mal aus dem urlaub zurück gekommen bin, muss ich erst mal meine mails durchgehen, beim ersten lesen hab ich viele neue mails im posteingang die neue samples enthalten.
wer also eines will, bitte mal kurz bescheid geben.

edit:
wer will, kann sich auch im trojaner board anmelden, wir bieten dort ein geschlossenes forum, wo man sich austauschen kann.
da diese leute teilweise mit zu lesen scheinen, was man daran sieht das die zb das tb nach der veröffendlichung des ersten entschlüsselungs programms lam gelegt haben, und wir ungern möchten das es anderen foren auch so geht, hatten wir uns dazu entschlossen.
bei interesse ebenfalls per pm melden