Verdächtige XML Datei
Hallo zusammen,
da ich Besitzer eines P42GT30E wollte ich mal meine Erkentnisse teilen.
Eine Info vorweg, ich habe fast keine Ahnung von Linux, aber ich habe mir mal mit Parted Magic bzw. dem Midnight Commander die UFS formatierte USB Platte angeguckt und eine verdächtige .xml Datei gefunden.
Der Name der Datei ist .encfs6.xml . Nach einer kurze Recherche was google dazu sagt war meine Aufmerksamkeit geweckt.
EncFS
Die Kurzfassung davon ist das damit keine Dateisysteme verschlüsselt werden sondern einzelne Dateien. Was sich mit bisherigen Erkentnissen deckt. Dies würde erklären warum z.B. der UFS Explorer die Platte problemlos mounten kann, aber die Videodateien trotzdem verschlüsselt sind.
Ein blick in die Datei war noch interessanter, hier der Inhalt:
<?xml version="1.0" encoding="UTF-8" standalone="yes" ?>
<!DOCTYPE boost_serialization>
<boost_serialization signature="serialization::archive" version="9">
<cfg class_id="0" tracking_level="0" version="20">
<version>20100713</version>
<creator>
EncFS 1.7.4</creator>
<cipherAlg class_id="1" tracking_level="0" version="0">
<name>
ssl/aes</name>
<major>3</major>
<minor>0</minor>
</cipherAlg>
<nameAlg>
<name>nameio/block</name>
<major>3</major>
<minor>0</minor>
</nameAlg>
<keySize>
192</keySize>
<blockSize>1024</blockSize>
<uniqueIV>1</uniqueIV>
<chainedNameIV>1</chainedNameIV>
<externalIVChaining>0</externalIVChaining>
<blockMACBytes>0</blockMACBytes>
<blockMACRandBytes>0</blockMACRandBytes>
<allowHoles>1</allowHoles>
<encodedKeySize>44</encodedKeySize>
<encodedKeyData>
9OH03qw8QB51KS4GhIYWZ3JZaSma6iu0eIRcF5HQoZ0IULsiDfCLFv0c+vR=
</encodedKeyData>
<saltLen>20</saltLen>
<saltData>
Usrby7yaYefzPy+wif1xo6qfZTU=
</saltData>
<kdfIterations>92566</kdfIterations>
<desiredKDFDuration>500</desiredKDFDuration>
</cfg>
</boost_serialization>
Ich habe mal die für mich interessanten Stellen rot hervorgehoben. Dies könnte der AES Schlüssel +SALT sein mit dem die Dateien verschlüsselt werden. Es wäre nicht ungewöhnlich solche Sachen in einer .xml Datei zu verstecken.
Was denkt ihr darüber? Kann man damit was anfangen?
![[HaBo]](/styles/default/logoklein.png){kind=small}
