dirty decrypt

[Quas]

hallo,

Na vele uren zoeken op google vraag ik het toch maar want ik kom er echt niet uit.
mijn over buurman heeft via een email het welbekende politie virus binnengekregen, de variant met kinderporno.
nu heb ik samen met mijn vader het virus verwijderd door middel van de kaspersky rescue cd en de windows defender offline cd, ook hebben we daarna de computer zelf nog laten scannen met avg.

het resultaat was dat het politie virus verwijderd is, maar wat blijkt is dat alle bestanden en foto's verkracht zijn door het onbekende dirty decrypt virus, wat blijkbaar mee is gekomen met het virus.

de vele tutorials op internet zeggen allemaal dat je verschillende bestanden moet verwijderen en verschillende register dingen moet verwijderen.
Deze bestanden en regels zijn niet meer terug te vinden op de laptop maar de afbeeldingen zijn nog niet normaal.

Heeft iemand dit vaker meegemaakt en weet iemand een oplossing hiervoor?

groetjes,

Quas

[Mad Marty]

Formatteren, OS opnieuw installeren en backup terugzetten is de enige manier.

[Hero of Time]

Wordt wel het juiste programma gebruikt voor het openen van de bestanden. Je kan altijd nog proberen de bestanden te openen met een Linux CD. Als dat wel gewoon werkt, dan is je Windows redelijk om zeep en kan je 't beste een backup maken vanaf de Linux omgeving en je OS opnieuw erop zetten.

[ELD]

Het virus encrypt de bestanden, volgens berichten op het forum in de onderstaande link wordt dit met RSA gedaan. Sommige geven aan dat alleen de header is aangetast en volgens anderen is het volledige bestand versleuteld. Er schijnen meerdere varianten te zijn.

Wat je kunt doen is een trial versie downloaden van ultra edit. Als je nog een backup hebt van een bestand dat beschadigd is door het virus dan kun je het met dit programma regel voor regel vergelijken. Het programma zoekt naar patronen dus als regels verschuiven dan kan het toch worden gerelateerd. Als daar uit blijkt dat alleen de header is beschadigd dan kun je volgens mij met recovery programma's de header herstellen.

Als het volledige bestand is ge-encrypt dan kun je het beter wachten of anderen komen met een tool op basis van analyse van het virus. Ik heb er echter een hard hoofd in dat de sleutel is te achterhalen.


ZIe hier voor meer informatie.
http://www.bleepingcomputer.com/forums/t/501540/ransomcrypt-dirtydecryptexe-uses-efs/page-9

Het forum bevat ook veel informatie die duidelijk niet klopt.