honeybee
Goto Top

Hilfe! Verschlüsselungstrojaner!

Hallo,

ein PC mit Windows 10 wurde von Gandcrab, einem Verschlüsselungstrojaner, infiziert. Bevor ich Windows neu aufsetze, möchte ich die Daten retten und entschlüsseln, da leider nicht von allen Daten ein Backup gemacht wurde.

Das Entfernungstool von Bitdefender funktioniert leider nicht. Es kam die Meldung "Initialization failed".

Was kann ich noch tun?

Content-Key: 399530

Url: https://administrator.de/contentid/399530

Printed on: April 19, 2024 at 16:04 o'clock

Member: Lochkartenstanzer
Lochkartenstanzer Jan 26, 2019 at 22:30:13 (UTC)
Goto Top
Zitat von @honeybee:

Was kann ich noch tun?

Backup einspielen. Alles andere ist vergebene Liebesmühe und vergeudete Lebenszeit.

lks
Mitglied: 129580
129580 Jan 26, 2019 updated at 22:37:12 (UTC)
Goto Top
Guten Abend,

da leider nicht von allen Daten ein Backup gemacht wurde.

das ist natürlich schlecht. Lehre draus ziehen und zukünftig alles sichern.

Das Entfernungstool von Bitdefender funktioniert leider nicht. Es kam die Meldung "Initialization failed".

Um welche Version von Gandcrab handelt es sich? (Tool kann nur bestimmte Versionen dieser Ransomware entschlüsseln.)
Sind die Voraussetzungen für das Decryption Tool von Bitdefender erfüllt?

Siehe auch:
https://labs.bitdefender.com/2018/10/gandcrab-ransomware-decryption-tool ...

Viele Grüße,
Exception
Member: honeybee
honeybee Jan 26, 2019 at 22:44:25 (UTC)
Goto Top
Es handelt sich um die Version 5.1.
Member: St-Andreas
St-Andreas Jan 26, 2019 at 22:46:32 (UTC)
Goto Top
Erstmal offline ein Backup des befallenen Systems machen.
Danach neuinstallieren/Backup restore.

Dann recherchieren welche Version den Befall verursacht hat und nach einem Entschlüsselungstool suchen, oft gibt es die aber erst Monate nach dem ersten Befall.
Mitglied: 129580
129580 Jan 26, 2019 updated at 23:09:43 (UTC)
Goto Top
Dann keine Chance! Ich zitiere mal von dem oben genannten Link:

[...] this tool does not work for users infected with GandCrab version 5.0.4 and newer. GandCrab version 5.0.4 is currently undecryptable and running this tool on a computer infected by this version will result in Initialziation Error.

Dann bleiben dir nur zwei Optionen übrig:

1. Du ziehst die Konsequenz, lebst mit den Datenverlust und spielst das Backup ein.
2. Du zahlst den Betrag an die Erpresser und hoffst, dass diese dir den Key für die Decryption geben. (Würde ich dringend abraten!)

Edit: @St-Andreas und @SeaStorm haben beide recht. Backup von der Kiste machen und warten bis es ein Decryption Tool gibt.
Member: St-Andreas
St-Andreas Jan 26, 2019 at 22:50:40 (UTC)
Goto Top
Nein, es gibt eine dritte Option: Warten.
Member: SeaStorm
SeaStorm Jan 26, 2019 at 22:56:20 (UTC)
Goto Top
Was kann ich noch tun?

1:1 Image von der Platte machen und warten bis es ein Tool gibt, das dir deine Daten wiederbringt
Member: honeybee
honeybee Jan 26, 2019 at 23:12:49 (UTC)
Goto Top
Ich konnte endlich die Daten mit "Shadow Explorer" auf einen USB-Stick retten. Jetzt spiele ich das Image, was vor einem Monat erstellt wurde, zurück.
Member: honeybee
honeybee Jan 26, 2019 at 23:37:37 (UTC)
Goto Top
Es hat doch nicht geklappt. Die Dateien sind unlesbar. Dann muss ich wohl auf ein Tool für die Entschlüsselung warten.
Member: maretz
maretz Jan 27, 2019 at 06:43:10 (UTC)
Goto Top
Naja - zumindest weisst du jetzt das dein Backup-Plan so nicht geklappt hat -> und wo du was verbessern musst. Ich würde entsprechend auch min. 1x im Monat einfach nen Image auf ne USB-Platte hauen und davon einfach mal 2-3 Versionen behalten, bei den Preisen für den Kram is das ja auch nich gleich der finanizielle ruin.
Member: Vision2015
Vision2015 Jan 27, 2019 at 07:05:15 (UTC)
Goto Top
Moin...
Zitat von @honeybee:

Hallo,

ein PC mit Windows 10 wurde von Gandcrab, einem Verschlüsselungstrojaner, infiziert. Bevor ich Windows neu aufsetze, möchte ich die Daten retten und entschlüsseln, da leider nicht von allen Daten ein Backup gemacht wurde.

Das Entfernungstool von Bitdefender funktioniert leider nicht. Es kam die Meldung "Initialization failed".

Was kann ich noch tun?
die sache mit der Datensicherung überarbeiten.... und überlegen, ob dein schutz ausreichend ist!
ich vermute mal die Infektion kam als Mailanhang bzw. download link etc...
zu 99% könnte dir ein AV Program helfen, und zu 1% Hirn einschalten!

Frank
Member: Penny.Cilin
Penny.Cilin Jan 27, 2019 at 11:59:11 (UTC)
Goto Top
Hallo,

Deine Frage ist gelöst. Erzählst Du uns noch wie die Lösung aussieht?

Gruss Penny
Member: aqui
aqui Jan 27, 2019 at 12:54:02 (UTC)
Goto Top
Dann muss ich wohl auf ein Tool für die Entschlüsselung warten.
Und dann bleibt immer noch die Angst das doch noch Schnüffelreste auf dem Rechner sind....!
Besser platt machen und neu...
Ein Glück das es noch Mac OS und Linux gibt face-wink
Member: it-fraggle
it-fraggle Jan 27, 2019 updated at 14:09:12 (UTC)
Goto Top
ein PC mit Windows 10 wurde von Gandcrab, einem Verschlüsselungstrojaner, infiziert.
Herausfinden wie es dazu kam und dich/euch so organisieren, dass sowas nicht wieder passiert.

Bevor ich Windows neu aufsetze, möchte ich die Daten retten und entschlüsseln
Du Optimist face-smile

Was kann ich noch tun?
1. Regelmäßig Backups machen.
2. Dazu vielleicht zukünftig einen Fileserver verwenden, der autom. alle XX Minuten oder Stunden einen Snapshot macht. Dann ist der Verlust höchstens einige Stunden groß, aber nicht Tage oder Wochen.
Member: honeybee
honeybee Jan 27, 2019 at 16:46:47 (UTC)
Goto Top
Die gute Nachricht ist: 95% der Daten waren dank der Datensicherung wiederherstellbar. Die 5% kann ich noch verschmerzen.
Mitglied: 89371
89371 Jan 28, 2019 at 14:39:26 (UTC)
Goto Top
Wenn Du in die Reparaturkonsole rein kommst, kannst Du das System zum letzten gespeicherten Zustand wiederhherstellen, wo der Trojaner nicht drauf war.
Member: SeaStorm
SeaStorm Jan 28, 2019 at 15:05:28 (UTC)
Goto Top
das hat damit erstmal wenig zu tun ... Das ist kein System-Snapshot.
Mitglied: 89371
89371 Jan 28, 2019 at 15:11:33 (UTC)
Goto Top
Ich könnte meinen damit los werden. Dateien hat Er nicht verschlüsselt. Das habe ich an der fehlwnden Festplattenaktivität gemerkt.
Member: UweGri
UweGri Jan 28, 2019 at 19:19:33 (UTC)
Goto Top
Im Allgemein wird geraten die Polizei zu verständigen und NICHT zu zahlen.

Ich rate, die Polizei NICHT zu verständigen und bei wichtigen Daten zu zahlen.

Warum?

Polizei kann A nichts tun und bringt B nur Ärger. Bis hin zum beschlagnahmen der IT. Weiter sind alle Daten, welche die Polizei zur Sache zu jeder Person aufnimmt, auf ewig gespeichert. Woher weiß ich das? Ich hatte vor xx Jahren mal die Polizei gerufen, weil ein Besoffener auf dem Dach war. Wollte dem das Leben retten … Fast 10 Jahre später, habe ich durch Zufall erfahren, das ALLE Daten die zur Sache und über mich aufgenommen wurden, immer noch vorhanden waren!

Warum zahlen? Weil das bei wichtigen Daten die einzige wirkliche Möglichkeit ist, wieder an die Daten zu kommen. Laut einschlägigen Berichten wird nach Zahlung der Key geschickt. Das ist auch logisch, würde nicht der Key geschickt werden, das Verfahren nicht funktionieren, spricht sich das sehr schnell herum. Keiner würde noch zahlen. Deren "Geschäftsmodell" basiert aber auf den "guten Ruf"... Es gibt Firmen (auch Krankenhäuser) die haben 6stellig gezahlt und bekamen die Daten wieder.

Natürlich MUSS das System neu aufgesetzt werden!

Weiterhin der Einfallsweg analysiert und geschlossen werden. Wenn letzteres möglich.
Member: Lochkartenstanzer
Lochkartenstanzer Jan 28, 2019 at 19:31:00 (UTC)
Goto Top
Zitat von @UweGri:

Ich rate, die Polizei NICHT zu verständigen und bei wichtigen Daten zu zahlen.

Du bist also einer dieser Erpresser.


Warum?

Polizei kann A nichts tun und bringt B nur Ärger. Bis hin zum beschlagnahmen der IT.

Falsch.

Weiter sind alle Daten, welche die Polizei zur Sache zu jeder Person aufnimmt, auf ewig gespeichert. Woher weiß ich das? Ich hatte vor xx Jahren mal die Polizei gerufen, weil ein Besoffener auf dem Dach war. Wollte dem das Leben retten … Fast 10 Jahre später, habe ich durch Zufall erfahren, das ALLE Daten die zur Sache und über mich aufgenommen wurden, immer noch vorhanden waren!

Das ist ein anderes Problem.

Warum zahlen? Weil das bei wichtigen Daten die einzige wirkliche Möglichkeit ist, wieder an die Daten zu kommen. Laut einschlägigen Berichten wird nach Zahlung der Key geschickt.

Nur in 50% der Fälle! Die Chancen auch das geld zu verlieren sind also sehr gut.

Das ist auch logisch, würde nicht der Key geschickt werden, das Verfahren nicht funktionieren, spricht sich das sehr schnell herum. Keiner würde noch zahlen.

Die "unehrlichen" Erpresser profitieren einfach davon, daß es ein paar "ehrliche" Erpresser gibt. das sagt aber ncihts darüber aus, an welchen man gerade geraten ist.

Deren "Geschäftsmodell" basiert aber auf den "guten Ruf"... Es gibt Firmen (auch Krankenhäuser) die haben 6stellig gezahlt und bekamen die Daten wieder.

Die haben nur Glück gehabt.

Natürlich MUSS das System neu aufgesetzt werden!

Weiterhin der Einfallsweg analysiert und geschlossen werden.

Das ist Grundvoraussetzung.

Wenn letzteres möglich.

Das muß möglich sein. Ansonsten hat man das Ungeziefer gleich wieder.

Fazit. Dein Rat ist für den Poppes. Man soltle ihn nur befolgen, wenn man wirklich verzweifelt ist. Ansonsten sollte man das ganze als lehrgeld abschreiben und darauf achten, in zukunft es besser zu machen.

lks
Mitglied: 129580
129580 Jan 28, 2019 updated at 19:39:05 (UTC)
Goto Top
Guten Abend,

Polizei kann A nichts tun und bringt B nur Ärger. Bis hin zum beschlagnahmen der IT. Weiter sind alle Daten, welche die Polizei zur Sache zu jeder Person aufnimmt, auf ewig gespeichert. Woher weiß ich das? Ich hatte vor xx Jahren mal die Polizei gerufen, weil ein Besoffener auf dem Dach war. Wollte dem das Leben retten … Fast 10 Jahre später, habe ich durch Zufall erfahren, das ALLE Daten die zur Sache und über mich aufgenommen wurden, immer noch vorhanden waren!

Wenn keiner eine Strafanzeige erstellt, dann wird auch nie ein Ermittlungsverfahren gegen die Straftäter eingeleitet. Man sollte daher grundsätzlich eine Strafanzeige stellen, auch wenn die Chancen auf den ersten Blick sehr gering aussehen. Abgesehen davon sind Kriminelle auch nur Menschen und machen auch Fehler, die dann schnell zur Verhaftung führen. Gleiches gilt auch für andere Gebiete wie z.B. Einbrecher. Versicherungen zahlen übrigens nur, wenn du denen nachweisen kannst, dass du die Behörden (Polizei) über die Straftat informiert hast.

Kann schon sein, dass die Behörden bei solchen Vorgängen Daten langfristig speichern müssen - je nach konkreten Fall aber insbesondere bei Strafverfahren als Beweissicherung. Ansonsten gelten auch für die Behörden die bundesweiten und europäischen Gesetze.

Aber so genau kenne ich mich da nicht aus. Ich sehe da auch kein Problem, solange diese Daten nur zu diesem Zweck gespeichert sind.

Warum zahlen? Weil das bei wichtigen Daten die einzige wirkliche Möglichkeit ist, wieder an die Daten zu kommen. Laut einschlägigen Berichten wird nach Zahlung der Key geschickt.

Darauf würde ich nicht wetten. Wer kann dir garantieren, dass die dir den Key schicken?
Abgesehen davon unterstützt man die Kriminellen, sodass diese garantiert zukünftig an ihrem "Geschäftsmodell" weiterarbeiten. Ich könnte mir gut vorstellen, dass die Täter das Opfer erneut und ganz gezielt angreifen, da diese dann anschließend wissen, dass das Opfer eine Zahlungsbereitschaft hat und ggf. bei weiteren Attacken erneut zahlt.

Viele Grüße,
Exception
Member: maretz
maretz Jan 28, 2019 at 20:40:51 (UTC)
Goto Top
Moin,

ehrlich gesagt habe ich selten so einen Unsinn gelesen....

a) Keine Anzeige erstatten: Das könnte ich (wenn auch nicht mit der Begründung) ja sogar noch durchgehen lassen. Ich würde für gewöhnlich da auch keine Anzeige machen da es viel Arbeit macht und die Chance da doch sehr überschaubar ist. Denn soweit derjenige nicht mal in DE sitzt würde das internationale Ermittlungen erfordern - eher nicht das was für nen Heim-PC so gemacht wird. Dafür aber ne Menge Arbeit...

Das mit den gespeicherten Daten: Whow, und, dein Personalausweis enthält auch div. Daten die allesamt gespeichert sind. Wenn ich eine Anzeige mache - dann habe ich üblicherweise noch nicht mal was dagegen das diese Daten gespeichert werden -> wenn ich den Trojaner bei ner illegalen Aktion gefangen habe gehe ich eh eher nicht zur Polizei. Und das die meine IT beschlagnahmen ist wohl auch eher nicht zu erwarten wenn ich selbst die Anzeige erstelle. Warum auch? Klar muss ich die Festplatte o.ä. in dem Moment als Beweismittel sichern, aber ohne das bringt es auch nix ne Anzeige zu machen.

Was aber schlimmer ist: Deine Begründung fürs "bezahlen": Klar, weil derjenige der mir den Trojaner raufgehauen hat auch prinzipiell vertrauenswürdig ist wird der den Key rausgeben... Und natürlich funktioniert das System nur weil man den ganzen Skript-Kiddys uneingeschränkt vertrauen kann - der hat ja schließlich mit seinem real-namen und Adresse unterschrieben. Was soll der Blödsinn von wegen "sonst funktioniert das nicht" - woher weisst du denn ob der zusammengeklickte Trojaner jetzt wirklich vom selben kommt oder ob es unterschiedliche Leute sind? Also vertraust du jedem im Internet, ja? Und nur weil es Leute gibt die Erfolg hatten bedeutet das nix. Es gibt auch Leute die haben nen Flugzeugabsturz überlebt oder nen Blitzschlag. Trotzdem würde ich niemandem Empfehlen das auszuprobieren... Es gab eben auch Leute mit weniger Glück...

Von daher: Nicht anzeigen sehe ich sogar noch ein, bezahlen is Schwachsinn wenn man nicht eh ne Versicherung hat die genau diese Fälle abdeckt...
Member: Vision2015
Vision2015 Jan 28, 2019 at 21:09:17 (UTC)
Goto Top
Moin...
Keiner würde noch zahlen. Deren "Geschäftsmodell" basiert aber auf den "guten Ruf"... Es gibt Firmen (auch Krankenhäuser) die haben 6stellig gezahlt und bekamen die Daten wieder.

das ist aber eine Zeitungs Ente...

Weil das bei wichtigen Daten die einzige wirkliche Möglichkeit ist, wieder an die Daten zu kommen.
also ernsthaft, wenn die Daten soooooo wichtig sind- warum ist das Backup so sträflich vernachlässigt worden?
da habe ich echt kein verständnis für!

Weiterhin der Einfallsweg analysiert und geschlossen werden. Wenn letzteres möglich.
wer heutzutage die Einfallswege nicht kennt, und diese nicht schon längst geschlössen hat, ist mit einem diskettenlaufwerk (5 25 Zoll)gepudert worden... klar 99% schutz kann mit Software erreicht werden, und zu 1% muss der User mitdenken....

Frank
Member: Penny.Cilin
Penny.Cilin Jan 29, 2019 at 09:10:49 (UTC)
Goto Top
Zitat von @UweGri:

Im Allgemein wird geraten die Polizei zu verständigen und NICHT zu zahlen.
Richtig. Kann man tun, muss man aber nicht.

Ich rate, die Polizei NICHT zu verständigen und bei wichtigen Daten zu zahlen.
Und DU garantierst!!!!! das die Daten bei Zahlung wiederhergestellt werden?
Falls dem nicht so ist, kann man Dich dann verklagen???


Polizei kann A nichts tun und bringt B nur Ärger. Bis hin zum beschlagnahmen der IT.
Falsch.
Weiter sind alle Daten, welche die Polizei zur Sache zu jeder Person aufnimmt, auf ewig gespeichert. Woher weiß ich das? Ich hatte vor xx Jahren mal die Polizei gerufen, weil ein Besoffener auf dem Dach war. Wollte dem das Leben retten … Fast 10 Jahre später, habe ich durch Zufall erfahren, das ALLE Daten die zur Sache und über mich aufgenommen wurden, immer noch vorhanden waren!
Das ist aber ein ganz anderes Thema und hat mit der Frage nichts zu tun.

Warum zahlen? Weil das bei wichtigen Daten die einzige wirkliche Möglichkeit ist, wieder an die Daten zu kommen. Laut einschlägigen Berichten wird nach Zahlung der Key geschickt. Das ist auch logisch, würde nicht der Key geschickt werden, das Verfahren nicht funktionieren, spricht sich das sehr schnell herum. Keiner würde noch zahlen. Deren "Geschäftsmodell" basiert aber auf den "guten Ruf"... Es gibt Firmen (auch Krankenhäuser) die haben 6stellig gezahlt und bekamen die Daten wieder.
Das stimmt auch nur zur Hälfte. In vielen Fällen kann man den gezahlten Betrag dann als Verlust abschreiben, weil die Daten trotzdem nicht wiederherstellbar sind.

Natürlich MUSS das System neu aufgesetzt werden!

Weiterhin der Einfallsweg analysiert und geschlossen werden.
Das versteht sich doch von selbst.

Gruss Penny
Member: honeybee
honeybee Feb 20, 2019 updated at 08:35:05 (UTC)
Goto Top
Natürlich MUSS das System neu aufgesetzt werden!

Das blieb mir erspart! Hatte ein sauberes Image vom Betriebssystem. Habe es zurückgespielt und fertig. Habe dann den Laptop mit mehreren Virenscannern auf Viren geprüft und es wurde nix gefunden.

So vorbildlich bin ich im Umgang mit Datensicherung. ;)

Eine Anzeige habe ich nicht erstattet. Das bringt mir auch meine Daten nicht zurück. Erpressergeld habe ich nicht gezahlt, weil ich nicht blöd bin und die Wahrscheinlichkeit so gering ist, die Daten unverschlüsselt zu bekommen. Außerdem hatte ich nur einen Datenverlust von ca. 5%, was fast gar nix ist und zu verschmerzen ist.

Bitdefender hat mich aber gebeten, ihnen eine verschlüsselte Datei inkl. Keyinformationen zukommen zu lassen. Vielleicht gibt es bald ein Entschlüsselungstool.
Member: St-Andreas
St-Andreas Feb 20, 2019 at 08:55:45 (UTC)
Goto Top
Übrigens: Anzeige erstatten ist schnell und unkompliziert online gemacht und hilft schlussendlich allen.
Warum: Weil Du nur so in den offiziellen Statistiken auftauchst.
Und sämtliche Ressourcen werden nur basierend auf solchen Statistiken verteilt, will heissen: Explodiert die Anzahl der Anzeigen wegen Computerkriminalität, dann besteht eine gute Chance das unser Staat hier mehr gegen tut, z.B. Stellen bei den Strafverfolgungsbehörden schafft.

Ausserdem: Man kann sich privat und auch im geschäftlichen Umfeld inzwischen gegen solche Dinge und vor allem gegen daraus resultierende Verluste versichern. Da muss man dann in der Regel aber zwingend eine Anzeige erstatten.
Member: honeybee
honeybee Feb 20, 2019 at 22:12:55 (UTC)
Goto Top
Bitdefender hat mich aber gebeten, ihnen eine verschlüsselte Datei inkl. Keyinformationen zukommen zu lassen. Vielleicht gibt es bald ein Entschlüsselungstool.

Die gute Nachricht:
Es gibt jetzt ein Entschlüsselugnstool! Das hat man mir zu verdanken!

https://labs.bitdefender.com/2019/02/new-gandcrab-v5-1-decryptor-availab ...
Member: Penny.Cilin
Penny.Cilin Feb 21, 2019 at 08:48:54 (UTC)
Goto Top
Selbstbeweihräucherung...
Member: Vision2015
Vision2015 Feb 21, 2019 at 10:17:14 (UTC)
Goto Top
moin...
Zitat von @Penny.Cilin:

Selbstbeweihräucherung...
also echt jetzt.... da schuftet das honigbienchen nächtelang im licht der nachtischlampe, erstellt ein entschlüsselugnstool, wohl gemerkt mit papier und bleistift, schreibt alles noch mal in einen compiler ab, erstellt und übersetzt das ganze.... und du machst das lächerlich.... schäm dich penny....

Frank
Member: St-Andreas
St-Andreas Feb 21, 2019 at 10:43:47 (UTC)
Goto Top
Gruselig.... ich erinner mich gerade an die Computerspiele die ich noch eigenhändig aus den überteuerten Computerzeitungen abgetippt habe.
Member: Lochkartenstanzer
Lochkartenstanzer Feb 21, 2019 at 10:54:17 (UTC)
Goto Top
Zitat von @St-Andreas:

Gruselig.... ich erinner mich gerade an die Computerspiele die ich noch eigenhändig aus den überteuerten Computerzeitungen abgetippt habe.

Das habe ich genau einmal gemacht. Danach habe lieber selber welche geschrieben und eingeschickt als abzutippen. face-smile

kls
Member: maretz
maretz Feb 21, 2019 at 21:48:06 (UTC)
Goto Top
Das habe ich genau einmal gemacht. Danach habe lieber selber welche geschrieben und eingeschickt als abzutippen. face-smile

kls

tja "KLS", wenn du da auch soviele Buchstabendreher drin hattest waren aber viele Abtipper unglücklich