Verschlüsselungs-Trojaner, Hilfe benötigt

[pcnberlin]

@alle

Ich habe mir bereits die ein oder andere Nacht um die Ohren geschlagen, um dem Geheimnis des Trojaners auf die Schliche zu kommen. Meine bisherigen Ergebnisse trage ich hier nun unter Verweis auf weitere Erkenntnisse von anderer Seite zusammen und stelle zur Diskussion, dass es sich bei der neuen Variante um ein public-private Key Verfahren handelt, dass auf absehbare Zeit nicht zu knacken sein wird:

Analyse des Windows-Verschluesselungstrojaner-neue-Version

Ich möchte in der Hoffnung mit meiner Vermutung unrecht zu haben mit diesem Post dazu aufrufen, mehr Informationen zu diesem Trojaner zu veröffentlichen, den bisher erreichten Wissensstand offener als bisher zu kommunizieren (Trojaner-board u.a.) und hoffe, dass sich so noch mehr Leute finden, die Willens und in der Lage sind, diesen Virus zu analysieren. Dieser Virus ist in meinen Augen einfach zu gefährlich, als dass man sich über seinen Wissensstand ausschweigen könnte: Wer also Kenntnisse, Ergänzungen und Anregungen hat, der möge diese bitte öffentlich machen.

[EWeiss]

Zitat:

Ich möchte in der Hoffnung mit meiner Vermutung unrecht zu haben mit diesem Post dazu aufrufen, mehr Informationen zu diesem Trojaner zu veröffentlichen, den bisher erreichten Wissensstand offener als bisher zu kommunizieren (Trojaner-board u.a.) und hoffe, dass sich so noch mehr Leute finden, die Willens und in der Lage sind, diesen Virus zu analysieren. Dieser Virus ist in meinen Augen einfach zu gefährlich, als dass man sich über seinen Wissensstand ausschweigen könnte: Wer also Kenntnisse, Ergänzungen und Anregungen hat, der möge diese bitte öffentlich machen.

Recht so aber bitte ohne Dateien hier hochzuladen.

Wer garantiert euch das in der verschlüsselten Datei nicht abermals ein Trojaner steckt?
Wäre nicht das erste mal.. Daher kann ich nur zur vorsicht raten wenn auch wie oben mit lauten Geschrei.
Das war's für mich zu dem Thema.

gruss

[Luckie]

So lange hier kein Trojaner hochgeladen wird, sehe ich keinen Grund den Thread zu schließen.

Wobei warum Trojaner? Spioniert er den Rechner aus und verschickt Daten? Wäre die Bezeichnung Virus nicht passender?

[implementation]

Der Begriff "Trojaner" heißt ja nicht zwingend, dass er Daten ausspäht - das hat das griechische Pferd ja auch nicht gemacht.
Sondern es heißt nur, dass der Benutzer/Trojaner den Virus/Holzpferd freiwillig auf den Rechner/Stadt ließ, weil er meinte es wäre toll und nicht erahnte, wie böse es in Wirklichkeit ist.

[Luckie]

OK, gewonnen.

[EWeiss]

Zitat von implementation:

Der Begriff "Trojaner" heißt ja nicht zwingend, dass er Daten ausspäht - das hat das griechische Pferd ja auch nicht gemacht.
Sondern es heißt nur, dass der Benutzer/Trojaner den Virus/Holzpferd freiwillig auf den Rechner/Stadt ließ, weil er meinte es wäre toll und nicht erahnte, wie böse es in Wirklichkeit ist.

Hätte ich nicht besser beschreiben können.

Aber tut mir leid das sagen zu müssen.
Haben die Leute immer noch nichts gelernt?
Wie kann man nur ansatzweise daran denken Dateien von einem Unbekannten Absender zu öffnen

Zum "glück" erstmal nur über Mail
Es wäre schlimmmer wenn er über Webseiten veröffentlicht würde.
Wäre auch kein großes problem siehe Stichwort Online - Games D3 und so weiter.

gruss

[Medium]

Emil, wenn du Bedenken vor den Dateien hast, dann lade sie einfach nicht herunter. Ich für meinen Teil freue mich sehr über diese fachlich spannende und tiefe Diskussion, nicht zuletzt weil es für mich eher Neuland ist, und total interessant wie die Damen und Herren hier da heran gehen. Und das auf eine gesittete und freundliche Art, die der DP gelegentlich auch mal gut tut
Zudem wurde das meiste, so weit ich das verfolgt habe, ohnehin schon via Mail oder PN ausgetauscht, und die Teilnehmer hier wirken allesamt zu sehr mit der Materie vertraut, als dass man ihnen solche grobe Fahrlässigkeit vorferfen dürfen sollte. Und wie gesagt: Letztlich bist du selbst für deine Downloads verantwortlich, und dank des Kontextes hier sollte ja doch recht klar sein, dass "Unterlagen.pif" nicht für dich interessante Dokumente sein können.

[EWeiss]

JA, ja hab mich mittlerweile wieder beruhigt.

Und laden würde ich solche Dateien sogar angekündigt definitiv nicht.
Destotrotz geschrieben ist geschrieben vielleicht hört ja jemand auf die Warnung wie auch immer.

gruss

[Marcu]

@brain_

Zitat:

... Ich gehe ganz stark davon aus, dass sich in der 2,5 MB Temp-Datei in verschlüsselter Form die neuen Dateinamen inklusive der zugehörigen Original-Dateinamen befinden ...

deinen Nick trägst du nicht ohne Grund, gell? Mein Debugger schmerzte mir entsetzlich in den Augen bis ich endlich zu dieser Erkenntnis kam. Erstaunlich was man mit Blackbox Analyse alles rausfinden kann.

[markusg]

hi,
da ich jetzt erst mal aus dem urlaub zurück gekommen bin, muss ich erst mal meine mails durchgehen, beim ersten lesen hab ich viele neue mails im posteingang die neue samples enthalten.
wer also eines will, bitte mal kurz bescheid geben.

edit:
wer will, kann sich auch im trojaner board anmelden, wir bieten dort ein geschlossenes forum, wo man sich austauschen kann.
da diese leute teilweise mit zu lesen scheinen, was man daran sieht das die zb das tb nach der veröffendlichung des ersten entschlüsselungs programms lam gelegt haben, und wir ungern möchten das es anderen foren auch so geht, hatten wir uns dazu entschlossen.
bei interesse ebenfalls per pm melden