Hallo Matthias
für jede Partition wird ein Thread gestartet, der rekursiv durch den Dateibaum läuft. Diese Threads laufen gleichzeitig. In jedem Thread wird zu jeder Datei ein neuer Dateiname und ein Passwort per Zufall generiert. Dieser Datensatz wird nach der Erstellung in einen gemeinsamen globalen Speicherbereich abgelegt. Am Schluß hat der Virus im Speicher einen langen String mit folgendem Aufbau: Altername<0a0d>Neuername<0a0d>Passwort<0a0d0a0d>.. .
Und genau so sieht auch eine entschlüsselte Datei Katalog.$02 aus - eine reine Textdatei.
Code:
Speicherdump
.
.
.
C:\\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Microsoft\Installer\{A990EAA7-8941-4621-BC27-4F16261D3180}\NewShortcut3_8315396A5EA1419DBEC4978284BDF556.exe
C:\\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Microsoft\Installer\{A990EAA7-8941-4621-BC27-4F16261D3180}\ONtogGLnrsoOxnNsEgG
xDVyGLdAsofyGnUAtEVqxLdjsEfyGLdjsEV
C:\\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Microsoft\Internet Explorer\brndlog.bak
C:\\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Microsoft\Internet Explorer\sEDjJENrOyvQuOngrAujE
gTuQnsrAuAoroyTQnsTUqEEyjodXqQrsEslj
C:\\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Microsoft\Internet Explorer\brndlog.txt
C:\\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Microsoft\Internet Explorer\aeGapdeDsXaflsGapds
DsxaXUelsXTflsxTXgsflsVGdJOQUsfxpNtTgxpNsTOGXrtT
.
.
.
Es gibt ein Limit für die Größe des Speicherbereichs in dem die Datensätze gesammelt werden. Sobald der Katalog dieses Limit erreicht hat werden keine weiteren Datensätze mehr angefügt. Wegen dieses Limits und der Gleichzeitigkeit der Threads kann es durchaus schon dazu kommen, dass nur eine Datei in einem Verzeichnis verschlüsselt wurde.
Vielleicht hat dein Vater sich auch unkooperativ verhalten und mitten in der Verschlüsselungsphase den Computer ausgeschaltet.
Vg Marcu