Verschlüsselungs-Trojaner, Hilfe benötigt

[Marcu]

Hallo Sonnenbogen

Zitat:

Wenn ihr den Code einfach ein wenig umschreibt und neu übersetzt und dann in einer sicheren Umgebung ausführt. Stück für Stück.

genau das haben wir hier gemacht, aber wie Aphton es bereits sagte, es hat leider nicht viel gebracht.

Das Problem ist, dass bei jedem Opfer mit einem individuelles Passwort die Dateien verschlüsselt wurde - das Passwort aber nicht auf dem Computer des Opfers abgespeichert wurde.

Es genügt leider nicht das Programm in und auswendig zu kennen. Es gibt hier sogar mittlerweile eine ganze Reihe von Leuten die in Teilen den Virus besser und fehlerfreier schreiben könnten als der Programmierer des Trojaner es getan hat. Doch ohne das Passwort bringt das alles nichts. Man kann die Dateien nicht entschlüsseln. Selbst der Virenprogrammierer höchstpersönlich kann die Dateien nicht entschlüsseln, wenn er keinen Zugang zu den Passwörtern der Opfer hat.

Die Information die jetzt gebraucht wird steckt nicht im Virusprogramm. Es ist ein Passwort, das sich die Erpresser von den Computern der Opfer haben schicken lassen. Vielleicht schafft es die Polizei die Passwörter zu finden. Ich hoffe es sehr. Wenn so ein krimineller Programmierer keinen Fehler begeht, dann hat man leider nicht die geringste Chance. Tut mir sehr leid.

VG Marcu

[Aphton]

Schade

Ich sehe momentan echt nur noch mehr das Hacken des CC Servers als einzige Lösung. Inwiefern das den anderen passt, ist eig. irrelevant - es ist nur eine objektive Lösung.
Und schätzungsweise wird sich die Person - ganz im Gegenteil zu dir, Marcu, wie du deine Reversing Fortschritte hier mehr oder weniger "dokumentiert" hast - hier oder wo auch immer sicher nicht melden, da sie Angst vor evt. Konsequenzen haben wird xD
Das ganze wird dann so ablaufen, dass iwann im Internet ne Riesendatenbank (oder individuelle Tabellen) mit den Passwörtern auftaucht. Wobei fraglich ist wieder, ob die Passwörter auch richtig seitens Server gespeichert wurden. Ach.. Ich sehe echt keine Chance mehr...

Btw danke Marcu. Du hast dein bestes gegeben. Wäre es aus der Seite des Clienten machbar, hättest du es geschafft

[bombinho]

Ist eigentlich irgendwo die RechnerID gespeichert? Immerhin aendert die sich ja scheinbar beim Neustart.
Marcu, deine Praesentationen sind wirklich gut

[Marcu]

@Apthon
Ja. Es wäre gelungen, wenn es möglich gewesen wäre

Dieser Trojaner wird noch viel Schaden anrichten. Die Erpresser haben den Virus so geschrieben, dass die Sprache leicht geändert werden kann.


@bombinho
Danke

Der Trojaner stellt die ComputerId folgendermaßen zusammen:

Delphi-Quellcode:

type
  TCBuffer = array[0..$199] of char;
const
  MAXSIZECB = Sizeof(TCBUffer);
var
  GLOB_BaseName: TCBUffer;   //=ComputerId
 

procedure BuildComputerID; 
var
  SystemDirectory, ComputerName, Name: TCBuffer;
  DriverSerialNumber, CName1, CName2: DWORD;
  n: Cardinal;
begin
  GetSystemDirectory(SystemDirectory, MAXSIZECB);
  SystemDirectory[3] := char(0);
  DriverSerialNumber := 0;
  GetVolumeInformation(
    SystemDirectory, nil, 0, @DriverSerialNumber,
    DWORD(nil^), DWORD(nil^), nil, 0);

  n :=  MAXSIZECB;
  GetComputername(Computername, n);

  CName1 := DWORD(PDWORD(@ComputerName[0])^);
  CName2 := DWORD(PDWORD(@ComputerName[4])^) and $FFFF;
  strfmt(Name, '%0.8X%0.8X%0.4X', [DriverSerialNumber, CName1, CName2]);
  Strcopy(Glob_BaseName, Name);
end;

Die Computerid wird auch für die ersten 20 Zeichen des Katalogdateinamens benutzt.

Vg
Marcu

[HofMar]

Hallo Marcu,

Zitat von Marcu:

Code:

  strfmt(Name, '%0.8X%0.8X%0.4X', [DriverSerialNumber, CName1, CName2]);

Die Computerid wird auch für die ersten 20 Zeichen des Katalogdateinamens benutzt.

Wenn ich das richtig sehe, ist die ComputerID immer nur 20 Zeichen (8+8+4) lang! Demnach ist der Katalogdateiname immer auch gleich die ComputerID.

Woher kommen dann aber die weiteren vier Zeichen bei der Datei ohne Erweiterung? Oder sollte das oben '%0.8X%0.8X%0.8X' heißen und damit 24 Zeichen lang sein? Das würde das Abschneiden nach 20 Zeichen für die Katalogdatei erklären...

Gruß Martin

[RenéLandscheidt]

Hallo

habe das jetzt schon einige zeit Verfolgt weil meine Cousine sich den Trojaner eingefangen hat.
(Habe die Mail - mit dem Anhang von ihr auch bekommen; Eine weitere Mail habe ich von einem Kollegen - der hatte den aber auf grund meiner Warnung nicht geöffnet.)

Je mehr ich aber lese - um so mehr fällt mir auf - das man eigentlich an die DB des C&C Servers kommen müste.

Allerdings ist mir was eingefallen. Bei einem frisch befallenen System , könnte man theoretisch mit einer Cold-Boot Atacke den Speicher Dumpen und im Dump des Speichers nach dem Passwort suchen - das würd aber nur bei eine Frisch infizierten Rechner der nicht ausgemacht wird - bis man alles für den Cold-Boot Angriff vorbereitet hat - funktionieren. Wenn mann dann in den Speicher nach dem "CatalogPassword" oder wie der Identfier für die Varaiable heißt sucht - müsste mann doch was finden.

Viele Grüße

R. Landscheidt

[Peter I.]

Zitat von RenéLandscheidt:

Hallo

habe das jetzt schon einige zeit Verfolgt weil meine Cousine sich den Trojaner eingefangen hat.
(Habe die Mail - mit dem Anhang von ihr auch bekommen; Eine weitere Mail habe ich von einem Kollegen - der hatte den aber auf grund meiner Warnung nicht geöffnet.)

Je mehr ich aber lese - um so mehr fällt mir auf - das man eigentlich an die DB des C&C Servers kommen müsste.

Allerdings ist mir was eingefallen. Bei einem frisch befallenen System, könnte man theoretisch mit einer Cold-Boot Attacke den Speicher Dumpen und im Dump des Speichers nach dem Passwort suchen - das würd aber nur bei eine Frisch infizierten Rechner der nicht ausgemacht wird - bis man alles für den Cold-Boot Angriff vorbereitet hat - funktionieren. Wenn mann dann in den Speicher nach dem "CatalogPassword" oder wie der Identfier für die Variable heißt sucht - müsste mann doch was finden.

Viele Grüße

R. Landscheidt

Klingt ganz gut, nur frage ich mich jetzt, was ihr einem Anwender antwortet, der Euch anruft, daß er jetzt vor der Zahlungsaufforderung sitzt und der PC nichts anderes mehr tut, als ihn den Code eingeben zu lassen oder den Taskmanager aufzurufen, der lediglich jede Menge laufender Prozesse, aber keine Anwendung anzeigt, die man beenden könnte? Die meisten Leute werden schon das Ding gar nicht kennen oder mit ihm etwas anfangen können. Ergo wird wohl in 99,9Periode von 100 Fällen die Kiste ausgeschaltet.

[markusg]

hatt wer lust sich version 2.0.11 anzusehen, da gibts wohl einige enderungen.

[HofMar]

Hallo,

wie bekommt man möglichst schnell die Versionsnummer aus dem schadhaften Code heraus?

Gruß Martin

[markusg]

ja die server von denen sind vernünftig abgesichert so wies aussieht.
und zwar alle bisher verwendeten cc's