Hallo zusammen,

auch ich musste heute Morgen dieses Problem feststellen. Zahlungsaufforderung von 50 Euro...
Sitze jetzt an einem anderen Rechner und habe auch schon OTL auf einen Stick gepackt.

Erste Frage von mir: Muss ich den infizierten PC im abgesichterten Modus starten oder geht das auch so? (ohne Internetverbindung kommt die Zahlungsaufforderung nämlich nicht und ich habe "normalen" Zugriff)

Danke schon mal im Voraus!

Hi,

ohne Internetverbindung, wichtig ist nur, dass das Log von OTL vom verseuchten BEntuzer kommt, d.h. der muß gebootet werden...

chris

Sorry dass ich nochmal nachfragen muss, aber ich kenn mich nicht allzu gut aus und möchte lieber sicher gehen.Also: Ich hab jetzt OTL auf dem infizierten PC geöffnet. Was muss ich dort ändern?
Minimal-Ausgabe einstellen und zusätzlich auf Benutzte SafeList? Muss ich auch bei LOP Prüfung und Purity Prüfung ein Häkchen machen?

Und zudem noch diesen Text, der schon in anderen Beiträgen erwähnt wurde bei Benutzerdefinierte Scans einfügen? Oder ist der individuell verschieden?



Zuletzt wahrscheinlich noch etwas zum Schmunzeln für viele, aber ich frag es trotzdem: Wenn ich die Text-Datein hinterher auf den Stick kopieren will, kann es nicht auch sein, dass dann der Trojaner auf den Stick kommt?

Hi,

ja, aber nicht über die Textdatei. DAher beim anstöpslen des Sticks an den nicht verseuchten Rechner IMMER die SHIFT-Taste drücken, bis alles erkannt wurde. Das unterdrückt den autorun...

OTL
Lade Dir OTL von Oldtimer herunter (http://filepony.de/download-otl/) und speichere es auf Deinem Desktop

• Doppelklick auf die OTL.exe

• Vista/Win7 User: Rechtsklick auf die OTL.exe und "als Administrator ausführen" wählen

• Oben findest Du ein Kästchen mit Output. Wähle bitte Minimal Output

• Unter Extra Registry, wähle bitte Use SafeList

• Klicke nun auf Run Scan links oben

• Wenn der Scan beendet wurde werden 2 Logfiles erstellt (OTL.TXT und EXTRAS.TXT)

• Poste die Logfiles hier in den Thread

chris

Hm, hab irgendwie Schiss den anderen Rechner auch noch zu verseuchen...Shift gedrückt halten, schon bevor ich den Stick anstöpsel?

Gibt es nicht bestimmte Passagen der Textdatein, die ich manuell abtippen kann?


Sorry für meine Bedenken, aber so ganz ohne PC wäre echt eine Katastrophe, auch wegen der Arbeit...

So hier mal die Datein - ich hoffe das war jetzt richtig. (Habs doch im abgesicherten Modus am infizierten PC gemacht)


Bitte genau erklären wie ich jetzt weiter vorzugeben habe, DANKE!

*schieb* Wäre super wenn einer von euch das heute noch bearbeiten könnte, auch wenn ihr wie man sieht sehr viel zu tun habt.

Hi,

got'em...

Fix für OTL (Ucash)
Script auf CD oder USB-Stick kopieren, OTL starten und wie folgt vorgehen...
(abgesicherter Modus mit Eingabeaufforderung OTL starten dann notepad aufrufen, Script laden und Inhalt der Codebox wie u. beschrieben in OTL kopieren)

• Doppelklick auf die OTL.exe, um das Programm auszuführen.

• Vista/Win7-User bitte per Rechtsklick und "Ausführen als Administrator" starten.

• Kopiere den Inhalt der folgenden Codebox komplett in die OTL-Box unter "Custom Scan/Fixes"

:OTL
O4 - HKLM..\Run: []  File not found
O4 - HKCU..\Run: [firefox.exe] C:\Users\Tobi\AppData\Roaming\Mozilla\Firefox\firefox.exe ()
O4 - Startup: C:\Users\Tobi\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\dxdiag.exe ()
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoActiveDesktop = 1
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoActiveDesktopChanges = 1
@Alternate Data Stream - 138 bytes -> C:\ProgramData\TEMP:5D7E5A8F
@Alternate Data Stream - 133 bytes -> C:\ProgramData\TEMP:93DE1838
@Alternate Data Stream - 121 bytes -> C:\ProgramData\TEMP:0B9176C0
@Alternate Data Stream - 118 bytes -> C:\ProgramData\TEMP:4CF61E54

:Commands
[emptytemp]
[EMPTYFLASH]
[Reboot]
         

• Den roten Run Fixes! Button anklicken.

• Bitte alles aus dem Ergebnisfenster (Results) herauskopieren.

• Eine Kopie eines OTL-Fix-Logs wird in einer Textdatei in folgendem Ordner gespeichert:

• %systemroot%\_OTL

Malwarebytes Antimalware (MAM)
Anleitung&Download hier: http://www.trojaner-board.de/51187-m...i-malware.html
Falls der Download nicht klappt, bitte hierüber eine generische Version runterladen:
http://filepony.de/download-chameleon/
Danach bitte update der Signaturdateien (Reiter "Update" -> Suche nach Aktualisierungen")
Fullscan und alles bereinigen lassen! Log posten.

chris

Hab jetzt auf Fix geklickt und nach ein paar Minuten kommt die Meldung, dass das System einen Neustart benötigt um die Datein zu löschen. Geht das in Ordnung? Vorher schon irgendwas kopieren?

Bei dem Neustart wieder F8 / abgesicherten Modus aktivieren oder passiert das automatisch?

Hi,

nach dem Booten solltest Du wieder "normal" starten können, dann gleich MAM anwerfen!

chris

Hat nichts gefunden, hier der Log

Malwarebytes' Anti-Malware 1.51.2.1300
www.malwarebytes.org

Datenbank Version: 8401

Windows 6.1.7600
Internet Explorer 8.0.7600.16385

20.12.2011 11:10:37
mbam-log-2011-12-20 (11-10-37).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|)
Durchsuchte Objekte: 359820
Laufzeit: 1 Stunde(n), 3 Minute(n), 36 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)





Ist es damit jetzt erstmal erledigt? Welches Antiviren-Programm ist für die Zukunft empfehlenswert um sowas zu verhindern?

Hi,

sieht ok aus...
Das Problem ist eher die Unsicherheit von Windows und die neuen Sachen, die kein signaturbasierender Scanner erkennen kann...

Eine gute Kombination war immer Threadfire free und Avira, wobei ich das mit den aktuellen Versionen nicht probiert habe...
Du hst noch askbar drauf, die ist zumindest diskussionswürdig (wird von Avira mitinstalliert)...
Ev. entfernen...

chris

Alles klar, werde ich machen. Vielen vielen Dank schon mal!

Eine Frage habe ich dann doch noch: Und zwar werden seitdem auf dem Desktop drei Datein angezeigt, so halb durchsichtig -> desktop.ini; desktop.ini und Thumbs.idb

Kann ich die löschen bzw. was ist das?

Hi,

das sind systemdatei und werden gemäß den eingestellen Parametern vom Explorer angezeigt...
Versteckte Dateien, Ordner und Laufwerke anzeigen unter Windows 7 - Windows 7 Tipps, Optimieren, Tricks
->"versteckte Dateien/Ordner" -> nicht anzeigen, übernhemn (für alle Ordner)...

chris