Foro de elhacker.net

Buenas a todos y perdón si esto se podría enmarcar dentro de Windows o Hacking o qué se yo, es mi primera vez y creo que es mejor ponerlo aquí que así no me equivoco.

Os voy a exponer un problema interesante y difícil, que espero tenga solución. En primer lugar, os voy a enumerar en orden los acontecimientos que han sucedido:

1. Tengo una carpeta en un disco duro externo y decido comprimirla con WinRar y le pongo una contraseña (la cual creo que recuerdo).
2. Formateo mi disco duro C del ordenador, donde tengo el Windows.
3. Vuelvo a intentar acceder a la carpeta con contraseña del disco duro externo, pero no me deja introducir la contraseña, apareciendo el mensaje: "ERROR, No se puede abrir F:\..."

Ahora os voy a decir las cosas que he intentado sin éxito y la información que he podido recabar:

1- Botón derecho extraer aquí/extraer allá/etc. --> Mismo error que si lo intento abrir
2- Actualizar WinRar y probar con 7-Zip --> Mismo error que si lo intento abrir, con la diferencia que 7-Zip me aparece el mensaje "Acceso denegado."
3- Botón derecho, propiedades, seguridad. En editar compruebo que esta mi usuario con todos los permisos. En opciones avanzadas estaba mi usuario anterior y le di a cambiar, escribiendo el mío actual. Activé la herencia --> Todo esto no hace nada.
4- Botón derecho, general, avanzados, quitar lo de cifrar contenido para ver los datos --> Error al aplicar atributos al archivo: ..., No se pudo descifrar el archivo especificado.
5- En la misma ventana que la anterior, si le doy a detalles encuentro lo que creo que es más valioso para el problema, que es: "Acceso de usuario a [la carpeta]". Aparece mi usuario antiguo y aparece la huella digital de certificado antigua. Puedo intentar "Agregar" la mía nueva, pero al darle a aceptar aparece: "Sistema de cifrado de archivos. Para agregar usuarios a este archivo, debe tener tanto acceso al archivo como permisos de escritura o modificación en él."
6- He probado con programas de estos que te quieren estafar rollo EaseUS Data y no se puede acceder a esa carpeta tampoco.
7- He probado otro programa como si no me supiese la contraseña como "PassFab for Rar" y nada.

Espero haber sido claro. Yo creo que la clave está en algún programa turbio que me deje cambiar mi huella digital de certificado del equipo a la antigua.

Muchas gracias.

Bienvenido al foro:

¿Te permite introducir una contraseña o realmente te olvidaste de la contraseña?

¿Programa turbio? el rar va a tener la misma clave no importa en que máquina estés. Existen software como John The Ripper y Hashcat que realizan ya sea con un diccionario de contraseñas posibles y/o en el caso de Hashcat mediante la generación de un patrón para la palabra clave, realizar fuerza bruta para identificar la contraseña correcta.


B#

Me se la contraseña, pero no aparece ningún cuadro para ponerla, en su lugar me aparece la una ventana emergente que pone:

Error

(X)      No se puede abrir F:\...\...\...\...\Carpeta.rar


No se adjuntar imagen.       

Archivo dañado o por lo que muestra problema de ruta larga. Difícil que recuperes algo si el archivo está cifrado con una contraseña, aunque en teoría como WinRar por defecto comprime de manera no sólida se debería de poder extraer los archivos y descifrarlos

Por otro lado también entiendo que hablas de algún tipo de cifrado de Unidad, no sé si te refieres a BitLocker o EFS o simplemente a permisos NTFS, puedes descartar esto último copiando el archivo a una unidad con formato Fat32 o ExFat. Empieza por esto último, luego reconoce si el cifrado de disco es BitLocker o EFS u otro

Se puede aprovechar de alguna manera eso que dices de que WinRar comprime de manera no sólida?

No puedo copiarlo a otra unidad, solo moverlo dentro de la misma, aparece la siguiente ventana:

Acceso denegado al archivo.

Necesita permisos para realizar esta acción.

Se requieren permisos de [Mi anterior ordenador] para hacer cambios en este archivo.

Reintentar / Cancelar

Creo que he atinado a insertar fotos, así que voy a clarificar cada punto que he escrito en el primer mensaje con fotos.

0. Si intento abrir sin más, no pide contraseña, sino que aparece:
(https://imagizer.imageshack.com/img924/3747/0oe7tw.png)

1. Si intento extraer donde sea:
(https://imagizer.imageshack.com/img924/7305/l8Yr5K.png)

2. Si lo abro con 7-Zip:
(https://imageshack.com/i/poJFbiYRp)

4. Si en propiedades-> General -> Avanzados quito el cifrado y lo aplico aparece esto
(https://imagizer.imageshack.com/img922/7382/wMIfmA.png)

5. Si en el mismo punto le doy a detalles, aparece mi antiguo usuario. Se puede añadir mi usuario inútilmente, ya que al darle a aceptar me sale un error, pero os pongo la foto para que veáis que se llaman parecido pero con distinta huella digital de certificado (el antiguo usuario es Retardmonger@PRETIMONIO). Ya probé a cambiar el nombre de usuario y equipo pero no se por qué a veces sale y a veces no.
(https://imagizer.imageshack.com/img922/3080/AXeqFL.png)

6. En EaseUS nisiquiera sale el rar

7. En un programa como el que dijo el primer compañero B# para probar contraseñas desde un diccionario o a fuerza bruta, no sirve de nada porque aparece un error antes siquiera de probar nada:

(https://imagizer.imageshack.com/img923/2672/Ec6PDP.png)

He seguido investigando y tengo un dato que podría ser clave.

Independientemente de este problema he encontrado otro. He estado moviendo todos los archivos de mi disco duro interno D (HDD) a otro disco duro interno E (HDD). Cuando pensaba que ya estaba todo transferido, resulta que hay ciertos archivos que no se han copiado. Resulta que esos archivos, antes del formateo, estaban ocultos con el software Winmend Folder Hidden. Los archivos afectados del ordenador son imágenes, las cuales no puedo visualizar. Si las intento abrir con EaseUS Data Recovery me dice que están encriptadas. Al igual que con el rar de mi disco duro externo, si intento ver en propiedades los detalles de qué cifró el contenido, aparece mi antiguo usuario.

(https://imagizer.imageshack.com/img923/1136/tWPjGn.png)

Creo que esto tiene relación con el rar porque en la raíz de mi disco duro externo hay una carpeta oculta llamada Winmend~Folder~Hidden (igual que en mi disco duro interno D). No recuerdo haber usado este software en el disco duro, pero no lo descarto debido a estas pruebas.

He visto en un foro un poco artificial que una serie de personas dicen lo mismo que yo: "Hola tenía una carpeta protegida con folder hidden y por un virus he formateado mi windows y ahora no puedo acceder a esas carpetas blablabla". La solución que dan es inútil, y es que se vuelva a instalar folderhidden y que introduzca la misma contraseña que tenía, pero he hecho eso y no detecta las carpetas para desencriptarlas ni nada.

Adjunto el link del foro, hay varias preguntas diferentes con la misma respuesta:
https://ccm.net/forum/affich-746351-how-to-recover-winmend-hide-folder-file (https://ccm.net/forum/affich-746351-how-to-recover-winmend-hide-folder-file)

Espero que esto ayude a encontrar una solución y que no sea peor esto que descifrar un rar.

Muchas gracias y espero haberme explicado.

Hola, gracias por dejar las capturas de pantalla  siempre ayudan mucho.
Yo creo que el problema es por falta de permisos no porque esté dañado el archivo ya que si lo estaría Windows o WinRaR te diría que el archivo está dañado, pero te dice que no tenes permisos para abrir el archivo.

Vos agregaste tu antiguo usuario exactamente el mismo nombre que el anterior pero aqui hay un detalle muy importante y es que la huella digital no es igual por eso no toma ese nuevo usuario como válido,.en estos casos habría que ver si existe algún método, truco o script para poder cambiar la huella digital exactamente igual a la anterior.


Saludos

Claro yo creo que la clave está ahí. Quedo a la espera de algún experto que sea capaz de hacerlo, ojala no sea imposible.

1. Deja de usar el PC/Disco que has formateado, debes montar ese Disco en otro PC o usar un Sistema Live como Hirens

Pues ya está claro, tu problema es que has usado el cifrado EFS, y como has formateado has perdido los archivos necesarios para hacer el descifrado. Mientras no quites ese cifrado no hay manera de que otro programa como WinRAR o 7Zip o el propio Windows pueda acceder al archivo o carpeta cifrado.

Normalmente se da por perdido el archivo o carpeta cifrada, las opciones de recuperación se suelen realizar cuando aún se tiene el Sistema original pero tú lo has formateado, en lugar de usar técnicas forenses complejas te sugiero descargar y utilizar: https://www.elcomsoft.es/download/aefsdr_setup_en.msi

- Ese programa permite hacer un escaneo a la Unidad de tu Sistema anterior para buscar los archivos que son necesarios para el descifrado de la información, suele tener dos búsquedas, una rápida y una más exhaustiva que ofrecerá si la rápida no encuentra nada, como has formateado seguramente tendrás que usar la exhaustiva (sector por sector) que tarda un buen tiempo.

- Una vez encontrados los archivos necesarios te preguntará para buscar archivos cifrados, ahí elijes tu HDD Externo, y por último solo queda hacer el descifrado. Este programa es de pago, pero de manera gratuita puedes probarlo y ver si funciona, si lo hace lo puedes pagar o solo exportar las claves.

EdePC pero si ese software no funciona entonces el compañero tendría que dar por perdido sus archivos?, si él ha formateado su pc porque no probar de recuperar la información después del formateo? Si fue un formateo normal/comun no a bajo nivel, puede existir la posibilidad de que recupere esos archivos o al menos eso creo.

Acá el problema no es que no sepa la contraseña, sino que no tiene perniso/acceso para acceder a esos archivos.


Saludos

Es tal como dices, por eso al inicio de mi anterior mensaje recomendé no usar el Disco directamente, sino usar otro Sistema para hacer la recuperación y no sobreescribir mas el Disco, el detalle es que saber la contraseña no basta, el EFS hace cifrado asimétrico por lo que además de la contraseña se requiere la clave asimétrica que se guarda en la carpeta del usuario, claro que se podría intentar recuperar archivos borrados y entre ellos los archivos necesarios para hacer el descifrado, el programa que recomendé hace todo eso, intenta recuperar por cualquier medio los archivos para el descifrado, aunque haya formateado también busca por archivos eliminados

(https://i.ibb.co/gyYtVq7/efs-recovery.png)

He intentado utilizar tu solución y al utilizar el programa con escaneo simple me otorga esto:

Al utilizarlo por sectores me sale esto:

(https://imagizer.imageshack.com/img923/263/lwPpbl.png)

Creo que lo que dices se parece más a lo primero, pero con eso conseguido, yendo al apartado de encrypted files y escaneo el disco, me aparecen efectivamente todos los archivos cifrados pero en rojo --> Not decryptable

(https://imagizer.imageshack.com/img923/2463/5sgB39.png)

Esto son indicadores de que me olvide o se supone que tengo que pagar 150€ por el programa para ver si quizá funciona?

Si no es así, cómo se pueden utilizar esas claves al yo exportarlas en formato .edt? Se pueden añadir a mis claves de windows de alguna manera?

Muchas gracias

EdePC bien ahora entiendo el punto, gracias por la aclaración.

Perrimon yo creo que deberías haber hecho un escaneo profundo en vez de uno simple y ahi ver que muestra ese software.


Saludos

Nop, el programa tiene que decir que es capaz de recuperar los archivos sino no te va a servir aunque pagues por él. Si has echo el escaneo por sector pues es todo lo que programa puede recuperar, guarda todo eso presionando el botón BackUp Data (importante). Si el programa dice que no se puede descifrar los archivos significa que ha fallado en uno de estos pasos:

1. Recuperar el Private Key y su correspondiente Master Key (en tu caso veo que ha encontrado esta pareja)

2. Recuperar o ingresar manualmente un Usuario y Contraseña del Sistema que hizo el cifrado, esto solo en el caso de el Usuario que hizo el cifrado tenía una contraseña de inicio de sesión

3. Recuperar el SysKey de Windows, esto solo si el Sistema tenía activado el SysKey (por defecto viene desactivado)

4. Cada archivo cifrado guarda también un Identificador hacia su correspondiente clave privada, para descifrarse el archivo requiere dicha Private Key, es decir, en el paso 1 el Programa debería de haber encontrado la Private Key correcta o será "imposible" el descifrado

Deberías prestarle atención al paso 1 y 4 que creo yo son los que te pueden estar fallando. Entonces no es posible recuperar tus archivos, puedes salir de dudas examinando un archivo cifrado para ver si el Programa recuperó o no la Private Key necesaria (lo explico al final), otra opción es llevar tu Disco a un centro especializado de recuperación de datos, estos centros suelen cobrar un mínimo de 1000 dólares.

---
Encontrar el Identificador del Primary Key

1. El Programa muestra la lista de Private Key encontradas, para ver su identificador hay que darle doble click y mostrará dicho Identificador con el nombre de Container name

(https://i.ibb.co/gMzTGvg/Private-Key-ID.png)

2. Ahora viene la parte más complicadita, descargar un Editor Hexadecimal con soporte de visualización de sistemas de archivos, recomiendo WinHex: https://www.x-ways.net/winhex.zip

- WinHex puede funcionar portable (winhex.exe) o se puede instalar (setup.exe), una ves abierto WinHex hay que ir a Tools > Open disk (Herramientas > Abrir disco) y seleccionar la Letra de Unidad del Disco que contiene los archivos cifrados. Luego solo hay que buscar un archivo cifrado que se quiera recuperar, en mi caso quiero descifrar hello.txt, asi que lo ubico y le doy doble click, este se abrirá como si fuera una carpeta y me mostrará:

(https://i.ibb.co/1709t3M/Win-Hex-EFS.png)

3.  Ahora solo resta comparar ambas Private Key, si el Programa no logró encontrar la Private Key correcta incluso con la con la búsqueda por Sector (Scan by sector) pues mal, esta se perdió y restaría acudir a un centro especializado que quizá tengan mejor suerte.

- Un centro especializado debería de tener mejores herramientas para una labor automática o más manual, quizá hacer la búsqueda por sector pero con más tolerancia para encontrar Private Key aunque sea dañadas e intentar repararlas, es una tarea ardua

- Si los identificadores de los Private Key coinciden, entonces el problema está en otra parte, de momento revisa hasta aquí.

---
Scan by sector es igual al escaneo profundo que menciona Daniel