Cryptosoftware / ransomware op PC?

[MrBlueEyes]

Ik kreeg van mijn ouders te horen dat ze een opgeslagen PDF niet konden openen.

Deze hadden ze van een collega gekregen per mail. Deze opende netjes in de browser. Na opslaan was hij alleen niet te openen met Adobe. Na even rond te kijken bleken ook andere PDFjes niet te openen.

Dit was op het account van mijn moeder zonder admin rechten.

Vervolgens veranderde ik van gebruikers naar het account van mijn vader. Dat account heeft wel admin rechten.

Zijn wallpaper was verandert en er stond iets van Your files will be encrypted.

Tegelijkertijd komt er van Windows steeds de vraag dat iets admin rechten wilt hebben om te komen bij "C:\Windows\SYsWOW64\cmd.exe" /C "C:\Windows\Sysnative\vssadmin.exe" Delete Shadows /All /Quiet.

Hoe vaak je ook op Nee klikt, het komt meteen terug. Muziekbestanden en afbeeldingen kon ik nog wel openen. Dus het encrypten als dat sowieso al gebeurd is nog niet klaar.

Ik zie van alles over kopieën maken etc.

Alleen welke stappen moet ik nu uitvoeren, zodat ik zoveel mogelijk bestanden kan bewaren zonder dat de encryptie software kopieer naar een online opslagdienst, een usb-stick of externe harde schijf.

De informatie via Google die ik vind gaan voornamelijk over wat te doen zodra je de melding krijgt dat je moet gaan betalen, maar dan is het al gebeurd.

Zoals: http://www.bleepingcomput...se-ransomware-information

Ik heb nu de pc maar even uitgezet.

[cornfed99111]

Goed dat je de PC uit hebt gezet.

Ik zou dat programma dat admin rechten wil, nooit toestemming geven!

Maar eerst backups maken.
Boot via een Linux Live CD/USB Stick je PC en sluit een externe schijf (of iets anders) aan op de PC.
En kopieer alles wat relevant is naar die externe opslag.
Dan is ieder geval de persoonlijke data veilig.

[WouterG]

Harde schijf openen in een linux machine en daarin een virusscan draaien?

[MrBlueEyes]

Ik ga even zoeken naar het gebruiken van een Linux Live CD, die heb ik zelf niet zo bij de hand,

[D4NG3R]

Houd dat systeem trouwens van het netwerk af. In Linux booten (bijvoorbeeld met het eerder opgenoemde Live CD'tje / USB stick) en dan redden wat er valt te redden. Die bestanden scannen, en dan gewoon Windows opnieuw installeren.

[MrBlueEyes]

D4NG3R schreef op zondag 12 april 2015 @ 20:38:
Houd dat systeem trouwens van het netwerk af. In Linux booten (bijvoorbeeld met het eerder opgenoemde Live CD'tje / USB stick) en dan redden wat er valt te redden. Die bestanden scannen, en dan gewoon Windows opnieuw installeren.

Welke live cd kan ik het makkelijkst gebruiken?

[D4NG3R]

Als je weinig tot geen ervaring hebt met Linux zou ik lekker Mint pakken, qua navigeren is die namelijk erg gefocussed op Windows gebruikers:

http://www.everydaylinuxu...table-linux-mint-usb.html

[MrBlueEyes]

Door wat kan dit gebeurd zijn? Het lijkt allemaal gebeurd te zijn na het ontvangen van een PDF per mail. Deze was via de browser wel te openen en normaal in te zien en had de verwachte inhoud.
Dus eigenlijk kan ik mij niet voorstellen dat het daardoor kwam, maar daar lijkt het wel op als ik de tijdslijn van mijn ouders hoor.

[oheng]

Die melding die je krijgt, is omdat hij je system resotre points probeert te wissen. Want als je Windows Vista of hoger hebt, kun je daarmee namelijk met behulp van dit programma: http://www.shadowexplorer.com/ waarschijnlijk alle bestanden terughalen, of ze nou geencrypt zijn of niet.

En je moet dit probleem offline aanpakken. Je kunt de harde schijf ook in een andere PC drukken, en dan handmatig de volgende bestanden veiligstellen:
- Bureaublad
- Documenten
- Afbeeldingen
- Video's
- Muziek
- Email bestanden (van bijv. Outlook)
- Adresboek (indien je iets anders gebruikt dan Outlook)
- Favorieten van de browser (die van Chrome zijn hier: %USERPROFILE%\AppData\Local\Google\Chrome\User Data\Default\Bookmarks

Let erop dat Cryptovirussen meestal niet gevonden worden door virusscanners, dus bijvoorbeeld Malwarebytes draaien kan, maar tenzij je goed bent in het opsporen van virussen, moet je helemaal opnieuw installeren.

Het is te gevaarlijk om te vertrouwen op virusscanners.

[MrBlueEyes]

oheng schreef op zondag 12 april 2015 @ 22:08:
Die melding die je krijgt, is omdat hij je system resotre points probeert te wissen. Want als je Windows Vista of hoger hebt, kun je daarmee namelijk met behulp van dit programma: http://www.shadowexplorer.com/ waarschijnlijk alle bestanden terughalen, of ze nou geencrypt zijn of niet.

En je moet dit probleem offline aanpakken. Je kunt de harde schijf ook in een andere PC drukken, en dan handmatig de volgende bestanden veiligstellen:
- Bureaublad
- Documenten
- Afbeeldingen
- Video's
- Muziek
- Email bestanden (van bijv. Outlook)
- Adresboek (indien je iets anders gebruikt dan Outlook)
- Favorieten van de browser (die van Chrome zijn hier: %USERPROFILE%\AppData\Local\Google\Chrome\User Data\Default\Bookmarks

Let erop dat Cryptovirussen meestal niet gevonden worden door virusscanners, dus bijvoorbeeld Malwarebytes draaien kan, maar tenzij je goed bent in het opsporen van virussen, moet je helemaal opnieuw installeren.

Het is te gevaarlijk om te vertrouwen op virusscanners.

Wordt mijn pc niet besmet als ik die hardeschijf aansluit?

[cornfed99111]

PC's worden besmet doordat programma starten.
Als je geen programma start vanaf de besmette harde schijf, zit je veilig.
Maar kijk altijd goed uit wat je overzet naar de nieuwe harde schijf.
Daar kan dan ook weer dat bewuste crypto-virus bij zitten.

[MrBlueEyes]

cornfed99111 schreef op zondag 12 april 2015 @ 22:29:
PC's worden besmet doordat programma starten.
Als je geen programma start vanaf de besmette harde schijf, zit je veilig.
Maar kijk altijd goed uit wat je overzet naar de nieuwe harde schijf.
Daar kan dan ook weer dat bewuste crypto-virus bij zitten.

Is dit sowieso een .exe, .bat of iets in die richting? Of kan het ook gewoon een pdf, doc of ander databestand zijn?

[cornfed99111]

Dat is vaak het grote probleem.
Er is geen eenduidige dader aan te wijzen. Dan was het een simpele zaak voor de virus scanners.
Het kan echt van alles zijn.

Zeker is dat er iets gestart is op die PC.
Want anders had je al die meldingen niet gezien.

[ Voor 23% gewijzigd door cornfed99111 op 12-04-2015 22:39 ]

[Brilsmurfffje]

Gewoon niet in je eigen pc steken, niet doen, pc waarmee je de besmette bestanden doorzoekt niet aan een netwerk hangen. Alle bestanden naar een andere disk kopiëren met een Linux live cd, gebruik een ubuntu, dat werkt out of the box direct.

Dan windows opnieuw op de besmette pc zetten, zorg ervoor dat je de machine helemaal update via windows update en herstart de machine verschillende malen om ervoor te zorgen dat windows update geen nieuwe updates meer vind. Maak nu een complete systeembackup.

Nu kan je de bestanden gaan terug zetten en controleren of het virus nog ergens inzit, zo ja gebruik de systeembackup en begin opnieuw

[Brilsmurfffje]

MrBlueEyes schreef op zondag 12 april 2015 @ 22:31:
[...]

Is dit sowieso een .exe, .bat of iets in die richting? Of kan het ook gewoon een pdf, doc of ander databestand zijn?

je kan een executabel zo maken dat het eruit ziet als een word bestand en ook gewoon als je dubbelklikt een word bestand opent

[xFeverr]

Brilsmurfffje schreef op zondag 12 april 2015 @ 22:39:
[...]


je kan een executabel zo maken dat het eruit ziet als een word bestand en ook gewoon als je dubbelklikt een word bestand opent

Maar die zal wel de .exe extensie hebben natuurlijk.

Controleer wel goed of je je bestanden hebt gebackupt. Zou zonde zijn als je er een paar geëncrypteerd kopieerd. Die zou je misschien nog uit de file recovery kunnen halen, want je hebt geen toestemming gegeven om ze te wissen

[MrBlueEyes]

xFeverr schreef op maandag 13 april 2015 @ 06:09:
[...]


Maar die zal wel de .exe extensie hebben natuurlijk.

Controleer wel goed of je je bestanden hebt gebackupt. Zou zonde zijn als je er een paar geëncrypteerd kopieerd. Die zou je misschien nog uit de file recovery kunnen halen, want je hebt geen toestemming gegeven om ze te wissen

Ja, even kijken hoe ik dat ga doen.

Werkt dat ook voor afbeeldingen? Ik heb wel al 100den afbeeldingen gezien die geencrypt zijn.

[oheng]

MrBlueEyes schreef op maandag 13 april 2015 @ 18:43:
[...]

Ja, even kijken hoe ik dat ga doen.

Werkt dat ook voor afbeeldingen? Ik heb wel al 100den afbeeldingen gezien die geencrypt zijn.

Je kunt bijvoorbeeld naar een bepaalde extensie zoeken, in een map, en dan alle zoekresultaten in 1 keer verwijderen.

[MrBlueEyes]

oheng schreef op maandag 13 april 2015 @ 22:56:
[...]
Je kunt bijvoorbeeld naar een bepaalde extensie zoeken, in een map, en dan alle zoekresultaten in 1 keer verwijderen.

Ja, verwijderen gaat wel lukken.

Bedoelde meer voor die shadowkopieën.

[oheng]

MrBlueEyes schreef op dinsdag 14 april 2015 @ 10:36:
[...]

Ja, verwijderen gaat wel lukken.

Bedoelde meer voor die shadowkopieën.

Schaduw kopiëen zie ik vrij vaak verwijderd worden door een cryptovirus, maar je kunt het altijd proberen met Shadow Explorer.

[MrBlueEyes]

oheng schreef op dinsdag 14 april 2015 @ 11:39:
[...]
Schaduw kopiëen zie ik vrij vaak verwijderd worden door een cryptovirus, maar je kunt het altijd proberen met Shadow Explorer.

Ja, maar windows gaf ik geen toegang het te laten doen. Daar kreeg ik steeds de melding dat iets het wilde verwijderen.

Voor Shadow Explorer moet ik wel weer met Windows inloggen toch?

[oheng]

MrBlueEyes schreef op dinsdag 14 april 2015 @ 11:43:
[...]

Ja, maar windows gaf ik geen toegang het te laten doen. Daar kreeg ik steeds de melding dat iets het wilde verwijderen.

Voor Shadow Explorer moet ik wel weer met Windows inloggen toch?

Ja. Dus je moet eerst het virus eraf halen. Als je een beetje overweg kunt met computers en softwar. dan kan dat bijvoorbeeld offline met het programma Autoruns

En anders Malwarebytes, Hitman Pro, en andere virusscanners gebruiken.

[MrBlueEyes]

oheng schreef op dinsdag 14 april 2015 @ 11:58:
[...]

Ja. Dus je moet eerst het virus eraf halen. Als je een beetje overweg kunt met computers en softwar. dan kan dat bijvoorbeeld offline met het programma Autoruns

En anders Malwarebytes, Hitman Pro, en andere virusscanners gebruiken.

Ik heb het volgende gevonden:

Mijn ouders hebben blijkbaar last van CoinVault. De Nederlandse politie heeft in samenwerking met kasperky blijkbaar een tool hiervoor op de markt gebracht.

Nu blijkt alleen dat de tool pas werkt wanneer je de Demand van Coinvault is gekomen. Terwijl ik nu natuurlijk al eerder de pc stopte waardoor dat stopgezet is. Moet ik die pc nu rechtstreeks weer op internetplaatsen zodat CoinVault alles vast kan zetten en dat ik een kans heb om de bestanden die al encrypt zijn nog te kunnen decrypten?

Hmm zo te zien is dit natuurlijk voor url's die ze al hebben. Die van mijn ouders bestaat nog niet, dus die kunnen ze nog niet hebben.

http://www.pcworld.com/ar...ool-may-decrypt-them.html

https://noransom.kaspersky.com/

https://noransom.kaspersk...nvault-decrypt-manual.pdf

En zie nu ook dat Tweakers het er gisteren over had.

nieuws: Politie: dader achter Coinvault-ransomware is mogelijk in Nederland

[ Voor 14% gewijzigd door MrBlueEyes op 14-04-2015 22:05 ]

[oheng]

MrBlueEyes schreef op dinsdag 14 april 2015 @ 21:56:
[...]

Ik heb het volgende gevonden:

Mijn ouders hebben blijkbaar last van CoinVault. De Nederlandse politie heeft in samenwerking met kasperky blijkbaar een tool hiervoor op de markt gebracht.

Nu blijkt alleen dat de tool pas werkt wanneer je de Demand van Coinvault is gekomen. Terwijl ik nu natuurlijk al eerder de pc stopte waardoor dat stopgezet is. Moet ik die pc nu rechtstreeks weer op internetplaatsen zodat CoinVault alles vast kan zetten en dat ik een kans heb om de bestanden die al encrypt zijn nog te kunnen decrypten?

Hmm zo te zien is dit natuurlijk voor url's die ze al hebben. Die van mijn ouders bestaat nog niet, dus die kunnen ze nog niet hebben.

http://www.pcworld.com/ar...ool-may-decrypt-them.html

https://noransom.kaspersky.com/

https://noransom.kaspersk...nvault-decrypt-manual.pdf

En zie nu ook dat Tweakers het er gisteren over had.

nieuws: Politie: dader achter Coinvault-ransomware is mogelijk in Nederland

Als je alle niet-geencrypte bestanden er al af hebt gehaald, dan kun je een gokje wagen.
Ik heb de Coinvault decryptie tool nog niet nodig gehad. Dus ik weet niet welke bestanden die kan decrypten.

[MrBlueEyes]

oheng schreef op dinsdag 14 april 2015 @ 23:01:
[...]
Als je alle niet-geencrypte bestanden er al af hebt gehaald, dan kun je een gokje wagen.
Ik heb de Coinvault decryptie tool nog niet nodig gehad. Dus ik weet niet welke bestanden die kan decrypten.

Moet ik hem wel direct op internet aansluiten lijkt mij? zonder toegang tot de rest van het netwerk

Edit: Ik heb nu de melding gehad en een bitcoinadres. Helaas is deze nog niet bekend.

Is het genoeg als ik nu alleen de encrypte bestanden houd voor als de code ooit bekend wordt? Of heb ik daar de hele Windows installatie voor nodig?

[ Voor 22% gewijzigd door MrBlueEyes op 15-04-2015 10:02 ]

[oheng]

Je hebt alleen de geëncrypteerde bestanden nodig. En de informatie die je nu (alsnog) hebt gekregen.

[Audi-RS4]

wat voor bestandsextensie wordt er dit keer gebruikt door de cryptolocker? toevallig *.ebd bestanden?

[MrBlueEyes]

Audi-RS4 schreef op woensdag 15 april 2015 @ 22:51:
wat voor bestandsextensie wordt er dit keer gebruikt door de cryptolocker? toevallig *.ebd bestanden?

Zal ik zo niet even durven te zeggen. Viel mij niet echt op dat bestandstype was aangepast. Volgens mij bleef deze hetzelfde.

Heb net pc leeg gemaakt.

[MrBlueEyes]

Het is gelukt met https://noransom.kaspersky.com/ om al de encrypte bestanden van mijn ouders terug te krijgen! Erg blij mee!

[cornfed99111]

Nou zeg. Je hebt heel veel geluk gehad.