Hallo,

gestern nacht hatte ich plötzlich auf dem Rechner (XP-SP3 Laptop mit Aviran Antivir Personal) diesen Ukash-Bundespolizei Trojaner, der den Rechner blockierte und beim Neustart auch erschien.

Im abgesicherten Modus war dann zwar auch kein Prozess im Taskmanager zu sehen, aber bei msconfig war ein neuer Autostarteintrag namens UTD. Dessen Autostart habe ich dort abgewählt und im fast leeren Temporärverzeichnis fand sich ebenfalls eine neue Datei namens UTD.exe, die ich gelöscht habe.

Der anschließende Neustart im Normalmodus schien zwar etwas länger als gewöhnlich zu dauern, klappte aber. Die Oberfläche und Explorer liefen auf Anhieb, ohne daß ich wie wohl bei anderen Fällen dieses Trojaner in der Registry den Shell-Eintrag ändern musste. Autoruns/Logons hatte keine zusätzlichen Einträge, /Explorer übrigens auch nicht. Avira-DE-Cleaner hat nichts gefunden und Malwarebytes nur die drei PUM-Fundstellen wegen inaktiver Sicherheitscenterabschaltungswarnungen. In der Registry war mit den üblichen Stichworten des Trojaners nicht zu finden, mittels Suche nach "utd" bei /RUN eine kleine Sektion namens "vasja", die sich auf utd.exe bezog. Das habe ich natürlich auch gelöscht.

Bislang läuft alles normal. Naja, fast normal. Im Taskmanager, in den ich sowieso des öfteren hineinschaue waren zwar Anzahl und Namen der Prozesse wie gewohnt, nur fehlten bei fast allen Prozessen die Angabe des Benutzernamens (System, Lokaler Dienst, Netzwerkdienst...). Einmal "Prozesse aller Benutzer zeigen" ab- und wieder angewählt erbrachte diese aber und das blieb auch so nach einem Neustart. Naja, und auf der kleinen, relativ vollen Systempartition war ein halbes Gigabyte mehr frei als vorher, aber ohne daß von den paar eigenen Dateien etwas fehlte. Allerdings hatte die Installation und Deinstallation einer Druckerpaketes einige Tage vorher auch Platz in ähnlichem Umfang unterschlagen gehabt. Vielleicht ist der ja nun beim internen Systemaufräumen wie ans Tageslicht gekommen.

Ob's das nun war kann man von außen wohl noch nicht beurteilen. Aber was würdet ihr zum Geschilderten sagen und wonach sollte ich möglicherweise noch gucken?

und Malwarebytes nur die drei PUM-Fundstellen wegen inaktiver Sicherheitscenterabschaltungswarnungen.

Bitte trotzdem alle Logs posten