Virus die mijn bestanden geencrypted heeft

[MrGangstaQ]

Ik heb sinds vanmiddag een virus op mijn laptop die mijn bestanden geencrypted heeft. Alles is versleuteld met bestandstype .zzz Ik heb al met Linux de bestanden die nog niet beschadigd waren eraf gehaald en met een speciaal programmatje het virus verwijderd. Zojuist heb ik de laptop opnieuw opgestart maar de bestanden kan ik nog steeds niet openen (nog steeds .zzz) en kan ik ook geen vorige versies terugzetten (niet beschikbaar??). Heeft iemand een oplossing?

Er is geen backup beschikbaar van deze laptop, vandaar dit topic dus.

[Morphogenesis]

Gaat het om ransomware? Als in: Als je betaald zeggen ze dat je je bestanden terugkrijgt? Kijk dan eens of je de boel terug kan krijgen met een decryptor. Fox IT heeft zoiets online gezet een jaar terug:
https://www.fox-it.com/nl...lachtoffers-cryptolocker/

Er zijn volgens mij meer tools in omloop, of het werkt is afhankelijk welke vorm van ransomware je mee in aanraking bent gekomen.

Of je gaat betalen. Nooit hoeven doen zelf, maar het schijnt dat het werkt. Je betaalt en je krijgt daadwerkelijk je bestanden terug. Anders, zonder backup, kun je je bestanden als verloren beschouwen.

[GerardVanAfoort]

MrGangstaQ schreef op woensdag 15 juli 2015 @ 00:44:
Ik heb sinds vanmiddag een virus op mijn laptop die mijn bestanden geencrypted heeft. Alles is versleuteld met bestandstype .zzz Ik heb al met Linux de bestanden die nog niet beschadigd waren eraf gehaald en met een speciaal programmatje het virus verwijderd. Zojuist heb ik de laptop opnieuw opgestart maar de bestanden kan ik nog steeds niet openen (nog steeds .zzz) en kan ik ook geen vorige versies terugzetten (niet beschikbaar??). Heeft iemand een oplossing?

Er is geen backup beschikbaar van deze laptop, vandaar dit topic dus.

In ieder geval alle netwerk en data verbindingen ontkoppelen en controleren. Met crypto ransomware heb ik niet vaak te maken, daardoor ken ik dit product niet, maar het kan wel veel
nieuws: Ontwikkelaar brengt decryptie-toolkit uit voor diverse ransomware

[Squ1zZy]

Ik hoorde gisteren toevallig een kennis hierover. zelfde extensie. Kon er weinig over vinden. Hij heeft de ransomware verwijderd, maar weet de naam niet meer.

De toolkit is mooi, maar je moet wel weten om welke ransomware het gaat.

Post het nog even als je meer weet. Lijkt een nieuw variant te zijn.

Overigens heeft de kennis wel "yes" geklikt bij het bezoeken van een website voor UAC popup. Niet slim

[MAX3400]

Laten we wel wezen; je topicstart is heel erg summier en essentiele informatie mist.

- Welk OS moeten we raden?
- Welk virus moeten we raden (want je hebt het al verwijderd dus je hebt een naam)?
- Weet je nog zo precies mogelijk wat je deed toen de encryptie ging plaatsvinden; mogelijk is er een hint/aanleiding zodat we kunnen weten over welke crypto-versie het gaat?

etc. etc. etc.

[MrGangstaQ]

MAX3400 schreef op woensdag 15 juli 2015 @ 07:19:
Laten we wel wezen; je topicstart is heel erg summier en essentiele informatie mist.

- Welk OS moeten we raden?
- Welk virus moeten we raden (want je hebt het al verwijderd dus je hebt een naam)?
- Weet je nog zo precies mogelijk wat je deed toen de encryptie ging plaatsvinden; mogelijk is er een hint/aanleiding zodat we kunnen weten over welke crypto-versie het gaat?

etc. etc. etc.

OS: Windows 7
Naam virus: het stond nergens bij toen ik het verwijderde. Het zat in de Windows starter.
Wat ik deed: mijn computer deed de afgelopen dagen al raar en was traag, maar ik zit eigenlijk nooit bij mijn bestanden dus ik had het hiervoor nog niet gezien. Ik zag het gisteren toen ik bezig was met muziek downloaden.

Daarnaast las ik ook dat je het misschien terug kan halen uit de 'prullenbak'. Er stond bij dat de encrypter de gegevens eerst encrypt en dan de oude versie verwijderd. Deze oude versie zou terug te halen moeten zijn...

Ook ben ik bang dat ik bij het virus verwijderen niet alles heb gedumpt. Het was maar 1 virus en niet een hele lijst zoals ik vroeger altijd had... Daarom durf ik eigenlijk niet op onderzoek te gaan zodat de encrypter misschien ook nog de laatste bestanden kan mollen.

Heb het virus er trouwens afgehaald met een bootable USB met Linux met een kit voor virussen. Weet de naam ervan niet, maar ik heb hem gekregen van mijn zwager die ICTer is.

[ Voor 28% gewijzigd door MrGangstaQ op 15-07-2015 07:56 ]

[Cr0kie]

MrGangstaQ schreef op woensdag 15 juli 2015 @ 07:45:
[...]

OS: Windows 7
Naam virus: het stond nergens bij toen ik het verwijderde. Het zat in de Windows starter.
Wat ik deed: mijn computer deed de afgelopen dagen al raar en was traag, maar ik zit eigenlijk nooit bij mijn bestanden dus ik had het hiervoor nog niet gezien. Ik zag het gisteren toen ik bezig was met muziek downloaden.

Daarnaast las ik ook dat je het misschien terug kan halen uit de 'prullenbak'. Er stond bij dat de encrypter de gegevens eerst encrypt en dan de oude versie verwijderd. Deze oude versie zou terug te halen moeten zijn...

Ook ben ik bang dat ik bij het virus verwijderen niet alles heb gedumpt. Het was maar 1 virus en niet een hele lijst zoals ik vroeger altijd had... Daarom durf ik eigenlijk niet op onderzoek te gaan zodat de encrypter misschien ook nog de laatste bestanden kan mollen.

Heb het virus er trouwens afgehaald met een bootable USB met Linux met een kit voor virussen. Weet de naam ervan niet, maar ik heb hem gekregen van mijn zwager die ICTer is.

kaspersky rescue disk?
Die heb ik ook op een stick staan voor dit soort gevallen.

[Squ1zZy]

Version 2.0.0 of TeslaCrypt

“The encryption scheme has been improved again and is now even more sophisticated than before. Keys are generated using the ECDH algorithm. The cybercriminals introduced it in versions 0.3.x, but in this version it seems more relevant because it serves a specific purpose, enabling the attackers to decrypt files using a ‘master key’ alone,”. “Each file is encrypted using the AES-256-CBC algorithm with session_priv as a key. An encrypted file gets an additional extension, ‘.zzz’. A service structure is added to the beginning of the file, followed by encrypted file contents.”

Tot nu toch nog niet te decrypten...

[MrGangstaQ]

Squ1zZy schreef op woensdag 15 juli 2015 @ 08:09:
Version 2.0.0 of TeslaCrypt

“The encryption scheme has been improved again and is now even more sophisticated than before. Keys are generated using the ECDH algorithm. The cybercriminals introduced it in versions 0.3.x, but in this version it seems more relevant because it serves a specific purpose, enabling the attackers to decrypt files using a ‘master key’ alone,”. “Each file is encrypted using the AES-256-CBC algorithm with session_priv as a key. An encrypted file gets an additional extension, ‘.zzz’. A service structure is added to the beginning of the file, followed by encrypted file contents.”

Tot nu toch nog niet te decrypten...

Ik heb AES 2048

[ Voor 96% gewijzigd door MrGangstaQ op 15-07-2015 08:11 ]

[MrGangstaQ]

RobbertDs1 schreef op woensdag 15 juli 2015 @ 08:08:
[...]


kaspersky rescue disk?
Die heb ik ook op een stick staan voor dit soort gevallen.

Nee het is een ander. Een met een virus icoontje als startknop.

[Squ1zZy]

MrGangstaQ schreef op woensdag 15 juli 2015 @ 08:11:
[...]


Ik heb AES 2048

Haha, 2048 / 8 = ?

Iets met bits en bytes

[ Voor 8% gewijzigd door Squ1zZy op 15-07-2015 08:38 ]

[MrGangstaQ]

Squ1zZy schreef op woensdag 15 juli 2015 @ 08:37:
[...]


Haha, 2048 / 8 = ?

Iets met bits en bytes

Hahah sorry! Daar dacht ik niet aan. Zou het werken om via programma's het oude bestand terug te halen of zou dit al allemaal kapot zijn (R studio)? Ik las ook iets van shadow explorer...

[WWJD]

Kun je de bestanden niet gewoon hernoemen naar de originele extensie? Of zouden ze het dan nog steeds niet doen?

[ Voor 3% gewijzigd door WWJD op 15-07-2015 08:51 . Reden: Sorry niet goed gelezen.. ze zijn wel echt geencrypt dus.. ]

[oheng]

Eerst shadow explorer proberen. Daarna data recovery, zoals R Studio, of getdataback, of Recuva.
Zoek ook even of Windows backup per ongeluk gedraaid heeft.

En, wat ik belangrijk vindt: hoe ben je aan dit virus gekomen?

[MrGangstaQ]

oheng schreef op woensdag 15 juli 2015 @ 08:52:
Eerst shadow explorer proberen. Daarna data recovery, zoals R Studio, of getdataback, of Recuva.
Zoek ook even of Windows backup per ongeluk gedraaid heeft.

En, wat ik belangrijk vindt: hoe ben je aan dit virus gekomen?

Dat vraag ik mij dus ook erg af. Een aantal dagen geleden stonden er bij het opstarten opeens een aantal txt bestandjes op het bureaublad die er normaal niet zouden staan. Daarnaast waren ook opeens alle mappen en bestanden weergeven wat ik normaal gesproken heb uitstaan. Dit heb ik teruggezet naar hoe het was en alles zag er weer normaal uit. Hierna geen aandacht meer aangegeven. Ik heb het vermoeden dat er een link ligt.

De Windows vorige versies zijn allemaal verwijderd. Ik zie ze tenminste niet meer staan en dat stond wel aan..

[ Voor 7% gewijzigd door MrGangstaQ op 15-07-2015 09:53 ]

[OverSoft]

GetDataBack een keer draaien via een USB boot disk. Daarmee zou je in ieder geval een gedeelte terug moeten kunnen halen.

En voor de rest: helaas pindakaas, je hebt zojuist geleerd wat het belang van backups is.

[MrGangstaQ]

OverSoft schreef op woensdag 15 juli 2015 @ 10:02:
GetDataBack een keer draaien via een USB boot disk. Daarmee zou je in ieder geval een gedeelte terug moeten kunnen halen.

En voor de rest: helaas pindakaas, je hebt zojuist geleerd wat het belang van backups is.

Ik heb alles al overgezet op een USB stick. Zou dit programma dan ook zorgen dat de bestandjes die nu versleuteld staan weer werken of doet dit programma eigenlijk hetzelfde als ik handmatig heb gedaan?

Het balen hiervan is dat het een hoop schoolwerk bevat. Maarja mijn eigen domme fout:(

[ Voor 7% gewijzigd door MrGangstaQ op 15-07-2015 10:20 ]

[Tazzios]

Lees even wat GetDataBack doet, aan die encrypted bestanden op je USB stick heb je niks tenzij je voor het decrypten gaat betalen aan de maker van het virus.

[ Voor 9% gewijzigd door Tazzios op 15-07-2015 10:24 ]

[MrGangstaQ]

oheng schreef op woensdag 15 juli 2015 @ 08:52:
Eerst shadow explorer proberen. Daarna data recovery, zoals R Studio, of getdataback, of Recuva.
Zoek ook even of Windows backup per ongeluk gedraaid heeft.

En, wat ik belangrijk vindt: hoe ben je aan dit virus gekomen?

Is shadow explorer hetzelfde als Windows vorige versies handmatig doet?

[MrGangstaQ]

Tazzios schreef op woensdag 15 juli 2015 @ 10:23:
Lees even wat GetDataBack doet, aan die encrypted bestanden op je USB stick heb je niks tenzij je voor het decrypten gaat betalen aan de maker van het virus.

Zo te zien kost dit programma $79??
(Lees wel iets van Testdisk dat dan weer gratis is, wat raden jullie aan?)

[ Voor 11% gewijzigd door MrGangstaQ op 15-07-2015 10:33 ]

[Tazzios]

Dat heb je goed gezien, maar heb je ook gekeken wat het programma doet? In de post van oheng staan ook nog 2 andere vernoemt die je kunt proberen.

[MrGangstaQ]

Tazzios schreef op woensdag 15 juli 2015 @ 10:36:
Dat heb je goed gezien, maar heb je ook gekeken wat het programma doet? In de post van oheng staan ook nog 2 andere vernoemt die je kunt proberen.

Jaa, ga alles vanavond proberen. Heb trouwens gemerkt dat de veilige modus uitgeschakeld is door het virus... Wil sowieso even de trial versie proberen van getdataback om te kijken wat ik allemaal kan inzien. Misschien is alles al kapot

[ Voor 14% gewijzigd door MrGangstaQ op 15-07-2015 10:47 ]

[MAX3400]

MrGangstaQ schreef op woensdag 15 juli 2015 @ 10:27:
[...]

Zo te zien kost dit programma $79??
(Lees wel iets van Testdisk dat dan weer gratis is, wat raden jullie aan?)

Dan heb je vast ook gezien dat je een demo kan downloaden gratis?

Nou ben ik heel bot; maar ben je liever $79 kwijt voor een applicatie die mogelijk (na het testen met de demo) jouw bestanden kan terughalen of ben je liever $250 kwijt aan de ransomware-auteur of ben je liever al je bestanden kwijt die $priceless zijn?

[MrGangstaQ]

MAX3400 schreef op woensdag 15 juli 2015 @ 10:46:
[...]

Dan heb je vast ook gezien dat je een demo kan downloaden gratis?

Nou ben ik heel bot; maar ben je liever $79 kwijt voor een applicatie die mogelijk (na het testen met de demo) jouw bestanden kan terughalen of ben je liever $250 kwijt aan de ransomware-auteur of ben je liever al je bestanden kwijt die $priceless zijn?

Jaaa, dit heb ik gelezen. Zie mijn vorige post. Wanneer hij idd al mijn bestanden kan terug halen is dit het overwegen waard:) heb overigens wel een deel gebackupt maar dat is ruim 1,5 jaar geleden

[ Voor 5% gewijzigd door MrGangstaQ op 15-07-2015 10:49 ]

[Squ1zZy]

Na mijn idee heb je pech

[chimera2]

zoiets als dit ?

laxvhza extentie

[Cens]

Garanties zijn er niet, maar kijk ook even hier:
http://deletemalware.blog...teslacrypt-virus-and.html

[MrGangstaQ]

Cens schreef op woensdag 15 juli 2015 @ 12:19:
Garanties zijn er niet, maar kijk ook even hier:
http://deletemalware.blog...teslacrypt-virus-and.html

Deze had ik idd ook gevonden! Bedankt voor het plaatsen. Daar staat beetje samengevat naar welke opties hier allemaal naar voren zijn gekomen!:)

[DeadlyGast]

https://noransom.kaspersky.com/

kan je heir wat mee ?

[ Voor 186% gewijzigd door DeadlyGast op 15-07-2015 12:46 ]

[OverSoft]

MrGangstaQ schreef op woensdag 15 juli 2015 @ 10:18:
[...]

Ik heb alles al overgezet op een USB stick. Zou dit programma dan ook zorgen dat de bestandjes die nu versleuteld staan weer werken of doet dit programma eigenlijk hetzelfde als ik handmatig heb gedaan?

Het balen hiervan is dat het een hoop schoolwerk bevat. Maarja mijn eigen domme fout:(

Ik weet dat hier al semi op geantwoord is, maar je skipped er zo snel over heen dat ik niet weet of je ook daadwerkelijk LEEST wat er hier gezegd wordt.

Het programma kan verwijderde bestanden van je harde schijf terug halen (mits deze ruimte niet overschreven is door iets anders). Je kans op terughalen is groter als de schijf nog niet zo vol staat.

Aan ge-encrypte bestanden op een USB sticks heb je niks, je hebt de originele hard disk nodig.
Als je deze al geformatteerd hebt of je hebt Windows al opnieuw geïnstalleerd (of heel veel bewerkingen er op uitgevoerd) dan schat ik de kans op het terughalen van bestanden HEEL laag in. Dit geldt overigens ook voor het eventueel betalen van de virus-verspreider, zonder originele schijf geen bestanden.

Je kan overigens de demo gebruiken, die's gratis.

[MrGangstaQ]

OverSoft schreef op woensdag 15 juli 2015 @ 13:21:
[...]


Ik weet dat hier al semi op geantwoord is, maar je skipped er zo snel over heen dat ik niet weet of je ook daadwerkelijk LEEST wat er hier gezegd wordt.

Het programma kan verwijderde bestanden van je harde schijf terug halen (mits deze ruimte niet overschreven is door iets anders). Je kans op terughalen is groter als de schijf nog niet zo vol staat.

Aan ge-encrypte bestanden op een USB sticks heb je niks, je hebt de originele hard disk nodig.
Als je deze al geformatteerd hebt of je hebt Windows al opnieuw geïnstalleerd (of heel veel bewerkingen er op uitgevoerd) dan schat ik de kans op het terughalen van bestanden HEEL laag in. Dit geldt overigens ook voor het eventueel betalen van de virus-verspreider, zonder originele schijf geen bestanden.

Je kan overigens de demo gebruiken, die's gratis.

Nee ik begrijp wat je ermee bedoeld. Ik dacht alleen in het begin dat die alle bestanden iver zou zetten. Ik had nog niet gelezen toen dat deze de oude verwijderde bestanden zou terug halen. Het enige wat ik tot nu toe heb gedaan is 2 zip files aanmaken met de mappen documenten en afbeeldingen. Hier staan namelijk op dit moment bestanden in die het virus nog niet heeft gemold. Ik ga vananond kijken met dit programma wat er nog terug te halen valt en als dit veel is er misschien ook voor betalen. (Ik ben een student en $80 is toch echt een hele hoop geld)

[OverSoft]

Het beste wat je kan doen is booten vanaf een aparte bootdisk (USB of rescue CD) en vanaf daar je rescue programma's draaien. Hoe minder je met de harddisk doet, hoe meer je terug kan halen.

Een goed voorbeeld:
https://www.runtime.org/data-recovery-live-cd.htm
(Zelf geen ervaringen mee overigens)

En als je klaar bent en zoveel mogelijk terug hebt, en je weet zeker dat je niet meer terug wilt proberen te halen door de virusmaker/verspreider te betalen: PC leeg gooien (helemaal, ook eventuele 2e partities/schijven) en Windows opnieuw installeren. Virus scanner er op en een GOEDE online backup instellen. (Crashplan is relatief goedkoop, maar als je met minder ruimte vooruit kan gebruik zoiets als Dropbox)

[MrGangstaQ]

OverSoft schreef op woensdag 15 juli 2015 @ 14:03:
Het beste wat je kan doen is booten vanaf een aparte bootdisk (USB of rescue CD) en vanaf daar je rescue programma's draaien. Hoe minder je met de harddisk doet, hoe meer je terug kan halen.

Een goed voorbeeld:
https://www.runtime.org/data-recovery-live-cd.htm
(Zelf geen ervaringen mee overigens)

En als je klaar bent en zoveel mogelijk terug hebt, en je weet zeker dat je niet meer terug wilt proberen te halen door de virusmaker/verspreider te betalen: PC leeg gooien (helemaal, ook eventuele 2e partities/schijven) en Windows opnieuw installeren. Virus scanner er op en een GOEDE online backup instellen. (Crashplan is relatief goedkoop, maar als je met minder ruimte vooruit kan gebruik zoiets als Dropbox)

Ik zal vanavond via zo'n rescue programma draaien met mijn zwager die ICTer is. Weet iemand hoe ik aan een legale versie van Windows 7 kan komen? Ik heb gewoon de code alleen bij aankoop zat er geen dvd bij met Windows erop:(

[MrGangstaQ]

MrGangstaQ schreef op woensdag 15 juli 2015 @ 15:02:
[...]

Ik zal vanavond via zo'n rescue programma draaien met mijn zwager die ICTer is. Weet iemand hoe ik aan een legale versie van Windows 7 kan komen? Ik heb gewoon de code alleen bij aankoop zat er geen dvd bij met Windows erop:(

Deze staat op de recovery partitie. Maar deze wil ik idd niet meer gebruiken zoals jij zelf ook al aangeeft.

[MAX3400]

Er is een edit-knop op de forums; kan je deze misschien gebruiken i.p.v 2 posts achter ekaar dat zetten?

Ik weet even niet of je nu wel zo goed bezig bent; blijf alsjeblieft even van Windows af of van herinstallatie of whatever totdat je geen mogelijkheid meer hebt om bestanden te redden. Installeer nu Windows en ik kan je op een bordje geven dat geen van de encrypted bestanden ooit nog worden decrypted.

[oheng]

MrGangstaQ schreef op woensdag 15 juli 2015 @ 10:24:
[...]

Is shadow explorer hetzelfde als Windows vorige versies handmatig doet?

Ja, in principe wel, maar met shadow explorer heb je meer overzicht.
Helaas werkt dit, en data recovery, tegenwoordig zelden bij crytolocker virussen.

Meestal is betalen de enige mogelijkheid om je bestanden terug te krijgen.

[MrGangstaQ]

Het gaat trouwens op Cryptowall 3.0