Hilfe!! Dateien lassen sich nicht mehr öffnen!!

[tschortsch]

Wann wurden die Daten von der Malware verschlüsselt? Erst vor kurzem 1-2 Wochen oder schon länger 1-2 Jahre?

Wenn du erst jetzt bemerkt hast das die Daten verschlüsselt sind aber das Loch schon seite 2013 besteht, die Daten also dementschrechen lange schon verschlüsselt sind, nehme ich das du die Daten nur selten bis gar nicht brauchst.
Ich hab auf meiner DS jetz auch ausgemiste und alles was ich die letzten 1-2 Jahre nicht gebraucht habe gelöscht...

Sind die Daten wirklich so wichtig das du das Risiko aufnimmst, Geld zahlst und Zeit investierst und eigentlich gar nicht weiß was du dafür bekommst?

 

[alouette]

die betroffenen Dateien sind erst seit dem 12.07.2015 um die Mittagszeit verschlüsselt. Ich habe viele davon zuvor mehrmals täglich benutzt.

Inzwischen kenne ich auch die Forderungen der Erpresser. Ich wollte hier ein Printscreen hochladen, aber die Funktion "Grafik einfügen" funktioniert nicht.

Wenn ich den Encrypter und die Schlüssel wünsche, muss ich bis am 21.07.2015 6:40 Uhr 1.79 Bitcoins (ca. $ 500) auf ein anonymes Bitcoins Konto einzahlen. Wenn ich zu spät bin, verdoppelt sich der Betrag. Ich weiss aber nicht, ob man exakt 1.79 Bitcoins wünscht, oder den Wert von $ 500, entsprechend dem Wechselkurs. Wie ich zu einem Konto und zu einer Überweisung komme, muss ich nun noch herausfinden...in der Schweiz (wo ich lebe) gibt es leider gar kein Bankinstitut, welches mit Bitcoins handelt. ich muss somit wahrscheinlich eine Auslandüberweisung vornehmen und hoffen, dass es zeitlich langt...

Übrigens kann man *gratis* 1 Datei (nach Wunsch) entschlüsseln, um sich zu vergewissern, dass die Entschlüsselung funktioniert. Leider darf die Datei nur 512kb gross sein, ich hätte sonst sofort gewusst, welche es werden würde...nun habe ich mich aber noch nicht entschieden.

 

[goetz]

Hallo,
wenn Du auf Antworten klickst erscheint unten rechts die Option Erweitert, da klicken und Du bist im erweiterten Editor. Dort kannst Du dann Anhänge (zB. Bilder) hochladen (Symbol Büroklammer).
Da ja auch Dateien auf dem PC betroffen sind liegt es nahe, daß der PC infiziert wurde und nicht die DS. Steht denn bei den Forderungen Synolocker oder CryptoLocker oder gar was ganz anderes?

Gruß Götz

 

[alouette]

Danke Götz, daran hatte ich nicht gedacht.

ich habe soeben Malwarebytes 2x laufen lassen und bin vom Resultat doch etwas enttäuscht: beim ersten Durchlauf wurde 1 Datei vermeintlich als Schadware erkannt und als CryptonWall.Trace bezeichnet.

Dabei verwies der Link aber auf den Print-Screen (Format jpg), den ich gestern hier im ersten Beitrag hineingestellt hatte. Als ich das Bild gelöscht habe, und Malware wieder rüber liess, wurde nix mehr gefunden.

werde die Suche nun mit einer weiteren Software fortsetzen...

 

[alouette]

so sieht übrigens der Erpresserbrief aus:

 

[goetz]

Hallo,
das ist nicht der Synolocker. Vermutlich wirst Du kaum noch Rückstände finden, nach dieser Aussage löscht er sich nach Verschlüsselung selbst.
"The malware usually deletes itself after your files are encrypted."
CryptoWall hat Dich erwischt.

Gruß Götz

 

[alouette]

Das wäre ja immerhin eine "gute" Nachricht, ich meine, dass er sich selber löscht.

Ich habe nach dieser Anleitung die Registry durchsucht und ebenfalls keine Einträge gefunden. Soll ich noch einen Anti-Malware einsetzen wie z.B. den SpyHunter? Denn eine grosse Ungewissheit bleibt mir im Nacken: wurden neben dem CryptoWall gleichzeitig noch andere Schadware installiert, z.B. ein Keylogger, der Passwörter etc. ausspioniert?

 

[goetz]

Hallo,
jag so viel drüber wie Du kannst. Aber nicht nur Anti-Malware sondern auch Anti-Vieren.

Gruß Götz

 

[g202e]

Fakt ist wohl, dass die Malware über deinen PC gekommen ist! (Wahrscheinlich steht der Erpresser-Server in der Schweiz)


Du solltest also mal überlegen, auf welchen dunklen Seiten des Netzes du dich ungeschützt bewegt hast. So ein Zeug bekommt man nicht mal so nebenbei oder per Email zugeschickt. Hast du denn gar keine Schutz-Software auf deinem PC?

Wie kann man nur so "blond" sein und daran glauben, dass nach Zahlung des Lösegeldes auch nur irgendwas entschlüsselt wird?
Und selbst wenn: Wer sagt dir, dass da nicht noch andere Sachen auf deinen Festplatten lagern?

Es gibt nur eine Lösung: Die wichtigsten Daten auf UNBELASTETE externe Platten kopieren (am besten mit einem Live-Linux)
Alle PC und die DS gnadenlos plattmachen, neu installieren. Einen vernünftigen Scanner, besser mehrere, zum Scannen der gesicherten Daten nutzen:

Und nur wenn mehrere Scanner absolut NULL finden, darfst du die Daten wieder nutzen. Sonst: Tabula rasa!!!

Und zukünftig darauf verzichten, solche Schund-Seiten ungeschützt zu besuchen!

 

[goetz]

Hallo,
@g202e

Wahrscheinlich steht der Erpresser-Server in der Schweiz

lesen und verstehen, Beitrag #22

...in der Schweiz (wo ich lebe) ...

niemand hijackt einen Rechner von einem Schweizer Kabelanschluss um dann über ein Tor-Netzwerk Geld einzutreiben, die angegebene IP war alouette seine eigene.

Gruß Götz

PS: Dein angeschlagener Ton ist schon wieder mehr als grenzwertig.

 

[axuaxu]

alouette, wie du schon in den anderen Foren, in denen du aktiv bist, mitbekommen hast, scheint die neuste Version von Cryptowall 3.0 nicht knackbar zu sein, da ein RSA-Schlüssel mit 2048? Bit verwendet wird.
Wenn du den betrag zahlen möchtest und darauf hoffst den richtigen decryptor zu bekommen, mach es unter den in den anderen Foren genannten Sicherheitshinweisen.
http://www.trojaner-board.de/168116-cryptowall-3-0-decrypter-erhalten-loesegeld-zahlung.html
http://www.trojaner-board.de/168708-win-7-pc-fileserver-cryptowall-trace-befallen.html


Egal was du machst, du solltest dein Backup-Konzept anpassen sowie die Grundlagen der IT-Sicherheit einhalten.
Dazu wird nach der Aktion ein komplettes säubern der Systeme nötig sein.
Cryptowall 3.0 wird via PC ausgeführt, somit kein "Fehler" von synology. Cryptowall 3.0 verschlüsselt wohl alles was erreichbar ist. Somit wäre auch eine allenfalls 2.te DS betroffen -> Ausser man handhabt es richtig.
Hierzu wirst du sicherlich Hilfe erhalten.

Wenn ich dich so direkt fragen darf: Aus welcher ecke der schweiz kommst du? (alternativ auch per pn)
grüsse

 

[ebusynsyn]

Cryptowall 3.0 wird via PC ausgeführt, somit kein "Fehler" von synology. Cryptowall 3.0 verschlüsselt wohl alles was erreichbar ist. Somit wäre auch eine allenfalls 2.te DS betroffen -> Ausser man handhabt es richtig.
e

Hallo zusammen, hab hier interessiert und leicht geschockt mitgelesen. Hab schon oft von solchen Fällen gelesen ... aber so direkt 'miterlebt' noch nie ... unglaublich. Aber eine Frage habe ich noch. Du schreibst "... alles was erreichbar ist...". Ich habe eine zweite DS auf die ich 3x täglich meine Backups von der Haupt-DS mache. Wäre diese - die zweite - auch befallen worden? Wie kann ich das verhindern ...? müsste die zweite DS immer nur zum Zeitpunkt des Backups ... also 3x am Tag etwa eine halbe Stunde eingeschaltet sein?

Mit Dank und Gruss

 

[axuaxu]

sofern du via pc schreibrechte darauf hast: meiner meinung nach JA
Verhindern könnte meiner meinung nach folgendes Setup:
PC auf DS 2 nur lesezugriff.
DS2 holt sich die Daten von der DS 1, behält aber jeweils die erste Version. (Inkrementell?)
Er wird die DS sicherlich als netzwerklaufwerk eingebunden gehabt haben. alternativ kann cryptowall evt. auch aktiv das Netzwerk durchsuchen (mutmassung)

 

[ebusynsyn]

Hallo - auch ein Frühaufsteher

Auf die zweite DS haben keine PC's oder Mac's zugriff. Sowohl die Windows- wie auch die Mac Dateidienste sind nicht aktiviert. Die zweite DS ist ausschliesslich für das Backup von der Haupt-DS. Damit - meine ich - dürfte die zweite DS - so quasi - nicht im Netz eingebunden sein - so meine Hoffnung. Allerdings kann ich via DSM-Admin-Oberfläche darauf zugreifen und Einstellungen vornehmen.

 

[dil88]

Solange die zweite DS die korrumpierten Files der ersten sichert, hilft Dir das m.E. auch nicht weiter.

 

[ebusynsyn]

Solange die zweite DS die korrumpierten Files der ersten sichert, hilft Dir das m.E. auch nicht weiter.

Da hast Du wohl recht ... ich hoffe, dass ich es merken würde, wenn sich so ein Schädling an meinen Daten zu schaffen machen würde. Falls nicht .. tja was soll man dann machen.

Idee: Ich werde wohl heute mal eine ältere HDD wieder in Betrieb nehmen und nach dem Prinzip "ein-aus-Stöpseln" wöchentlich ein Backup machen. Ob ich das lange durchhalte ... wer weiss. So würde im Fall eines Problems max. eine Woche verloren gehen. In meinem privaten Haushalt fallen nicht so viele Daten an.

Mit Gruss ...

 

[axuaxu]

alternativ mit versionierung arbeiten
sollte das volumen seeehr schnell ansteigen, weiste auch das was schief ist

 

[dil88]

Richtig. Eine etwas aufwändigere Variante, bei der so etwas aber sofort auffällt, wenn man nicht völlig verpennt ist. Man baut sich zwei rsync-Skripte, einen mit der dry-run-Option (Testlauf) und einen produktiven. Zunächst läßt man immer nur den dry-run-Skript laufen und checkt das Logfile so lange, bis alle Unklarheiten beseitigt sind. Erst dann sichert man produktiv. Ich nutze so einen Ablauf als drittes Backup (zusätzlich zu einer normalen DSM-Datensicherung und einem versionierten Time Backup) und schütze mich so gegen Eventualitäten wie diese hier.

 

[alouette]

guten Morgen

Ich weiss, dass ich selber Schuld bin und möchte mich hier auch nicht für die vorgesehene Lösegeldzahlung rechtfertigen müssen: aber dennoch sei auf die beide nachfolgende Fälle hingewiesen, die nach Bezahlung den Decrypter und die Schlüssel erhalten haben:

http://www.trojaner-board.de/168116-cryptowall-3-0-decrypter-erhalten-loesegeld-zahlung.html

hallo, habe mir den "CryptoWall 3.0" eingefangen.
wollte hier einfach nur mal mitteilen, das wenn man wie ich auf die verschlüsselten daten angewiesen ist und die 500 dollar bezahlt den decrypter erhält.
bin nun schon seit 3 tagen am entschlüsseln.

http://www.deutschlandfunk.de/cyber-attacken-krieg-der-hacker.724.de.html?dram:article_id=322503

Zitat: " „Jede Firma, die im Internet agiert, erlebt diese Erpressungsversuche. Bei uns, der Deutschen Telekom, ist der Letzte, glaube ich, vier Wochen her. Wir haben übrigens bezahlt. Wir hatten keine andere Möglichkeit.""

Im Artikel der Deutschen Post steht zudem:

Zitat: " Ein Botnetz - das ist ein Verbund von Rechnern, die von kleinen Päckchen Schadsoftware befallen sind und so ferngesteuert aktiv werden können. An den Honigtöpfen der Telekom zählt man die Angriffe. Ende 2014 waren es monatlich eine Million. Das Wachstum, berichtet Eßer, sei exponentiell. "In Deutschland ist jetzt nach meiner Schätzung jeder Dritte Privatcomputer infiziert. Ende des Jahres könnte es, wenn ich nicht falsche liege, jeder Zweite sein."

Ich habe am 12.7.2015. am Vormittag im Internet Informationen zu einer bevorstehenden Operation und deren Methoden gesucht. Als ich auf einer Seite mit der Endung .de einen Artikel als pdf auf mein PC abspeicherte, fing dieser plötzlich wie verrückt an zu werkeln und der Kühl-Ventilator drehte stark auf. Bis ich begriff was los ist, verging einiges an Zeit. Als es mir zu blöd wurde, startete ich den taskmanager und benötigte mehre Versuche, bis ich die laufenden Prozesse abschiessen konnte.

Dass das Synology-System zumindest seit Dezember 2013 immer wieder von grossen Sicherheitslücken betroffen ist, die gerne von Trojaner wie dem meinen genutzt werden, habe ich in den letzten 48h auch herausgefunden:

Im Dezember 2013 (6 Monate nach unserem Kauf) wurde meines Wissens nach die erste entdeckt: Die Ursprungsversion (?) des SynoLocker war geboren

Hier eine Meldung vom August 2014: hxxp://www.heise.de/security/meldung/Verschluesselungstrojaner-attackiert-Synology-Speichersysteme-2282625.html

Trotz neuen Updates, wurde noch heuer im Frühjahr wieder eine neue Sicherheitslücke entdeckt: hxxp://www.pctipp.ch/news/hardware/artikel/synology-patcht-schwerwiegende-sicherheitsluecke-82484/.

wenn ich daran, denke, dass auf unserer DS zur Zeit noch immer das OS DSM 4.2-3211 läuft, ist mir gar nicht wohl. Ich wollte zuerst nicht updaten, weil ich befürchte, dass ich danach die Daten vielleicht nicht mehr entschlüsseln bekomme: ich weiss ja nicht über welchen Weg der Entrypter dies machen würde. Nachtaktiv vom anderen Forum hat mir aber gestern per E-Mail geschrieben, dass er die Entschlüsselung ohne Netz bzw. ohne Internet Anschluss am Rechner durchgeführt habe.


Nun meine konkrete Bitte an diejenigen hier, die mir konstruktiv helfen möchten: wie kann ich ohne Datenverlust von unserer DSM 4.2 auf die neueste DSM updaten?

Forent Tschortsch schrieb in einem vorderen Beitrag, ich müsse dies in mehren Steps durchführen. Ist dem wirklich so?

vg
alouette

 

[dil88]

Ja, das kannst Du in den Release-Notes auch nachvollziehen. Am einfachsten geht es über die Update-Funktion im DSM-Webfrontend, wenn diese nicht auf "nur wichtige Updates" konfiguriert ist. Du bekommst dann immer die nächste DSM-Version angeboten, die installiert werden kann. Ein Backup solltest Du dennoch vorher ziehen.