Hallo zusammen,

ich habe ein verdammt unsicheres Gefühl auf Grund eine Infektion mit einem Virus von dem Rechner meiner Frau und hoffe, ihr könnte mir helfen: Der Patient ist ein Lenovo Thinkpad. Das System ist ca. ein halbes Jahr alt.

Ausnahmsweise weiß ich leider recht genau, wie das System infiziert wurde: Ein kontaminierter USB-Stick hat am 22.01.2012 (~17:30 Uhr) beim Anschluss an den Rechner das laufende Antivir veranlasst, die auf dem Stick hinterlegte autorun.inf zu blockieren. Ich habe blöderweise kurz den Virenschutz deaktiviert, um eine Datei vom USB-Stick zu öffnen, dumm! In dem Moment kam dieses Windows Menü "Was wollen sie mit dem Datenträger tun", ich habe mir eingebildet, dass es irgendwie anders aussah. Auf dem USB-Stick waren Dateien, die dort nicht sein sollten. Ein Scan mit dem Virenscanner ergab dann den Fund des Trojaners:
"D:\winrsrvdr32.exe
[FUND] Ist das Trojanische Pferd TR/Spy.ZBot.ind.5"

Ich habe sofort wieder den Virenschutz aktiviert und das gesamte System scannen lassen, es wurden aber bis auf die Datei auf dem USB-Stick keine Infektion gefunden. Ich habe uns dann sicher gewähnt...

Am übernächsten Tag hat der Rechner nach einem Neustart dann erste Sonderlichkeiten gezeigt: Beim Surfen landete man bei einer google Suche ständig auf der Seite: (thealltimes.com). Da bin ich auch hier auf das Forum gestoßen, diese Seite (thealltimes.com) scheint ja öfter in Zusammenhang mit Trojanern aufzutauchen. Habe dann den Rechner vom Internet getrennt und am Wochenende versucht, das Problem zu beheben:

Da ich Hinweise gefunden hatte, dass solche Trojaner öfter im MBR unterwegs sind, habe ich den Rechner mit der Rettungspartition gestartet (kann man beim lenovo-System-Start auswählen). Dort habe ich 1. den letzten Systemwiederherstellungspunkt vor der Infektion ausgewählt und wiederherstellen lassen und 2. in der Rettungskonsole den mbr repariert (Bootrec.exe /FixMbr).

Dann habe ich mich hier durch verschiedene Beiträge gelesen, welche Tools ein befallenes System untersuchen können, Malwarebytes' Anti-Malware, PCDoctorBackgroundMonitorTask.job, UnHackMe. Keines der Programme hat irgendetwas gefunden. Ich habe dann (29.01.2012) OTL hier (hatte die dateinamen der tools umbennant, otl.exe heißt irk.exe) gefunden und einen Scan durchgeführt.

Ab da an hat sich das System wieder völlig normal verhalten. Wir haben aber schon ein wenig Vertrauen verloren und Onlinebanking o.ä. nicht mehr mit dem Rechner durchgeführt. Einmal gab es noch ein kurzes Zwischenspiel: www.google.de war von dem Rechner aus nicht erreichbar. Ich kann leider nicht sagen, ob es ein temporäres Problem vom Rechner oder vom Internetanschluss war. Ein Neustart des Rechners hat nicht gebracht, nach ca. 1 Stunde ging aber alles wieder. Als weitere Aktion habe ich dann das proramm regrun reanimator heruntergeladen / installiert. Hat bei jedem Start sich gemeldet und 58 Dinge gefunden, u.a. den Explorer von Windows.

Ich weiß jetzt nicht mehr schlau weiter, habe Angst vieleicht weiter falsche Dinge zu tun und kann vor allem nicht einschätzen, was jetzt los ist. Meine Riesenbitte wäre, ob sich jemand das angehängte OTL-Log File anschauen könnte, ob da noch verräterische Spuren zu erkennen sind? Ich habe damals zwar auch ein OTL File erzeugt, aber glaube ich einen haken falsch gesetzt, jedenfalls ist die Datei 2,5MB groß... Ich habe den Scan jetzt noch einmal durchführt und das Feld "Datei-Alter" auf 60 Tage gestellt, damit der kritische Bereich eingeschlossen ist. Ich kann gerne auch andere Analyseschritte durchführen, wenn das irgendwie hilfreich ist. Ich habe in dem Logfile den tatsächlichen Usernamen durch ##USER## ersetzt sowie einige Pfade teilweise mit Rauten ersetzt.

Vielen Dank und einen schönen Abend,

Henning

hi,
wenn ich jetzt mal so blöd fragen darf, warum hast du denn nicht gleich neu aufgesetzt wenn du seit wochen, (knapp 1 monat) nen blödes gefühl hast und da mit dem pc schon am reparieren bist :d
ich würd dir dazu auch raten, schon allein wegen onlinebanking, und da sich die weiterleitung stark nach rootkit symptom anhört.
1. Datenrettung:

• deaktiviere Autorun: http://www.trojaner-board.de/83238-a...sschalten.html
• dann sichere Daten auf einen externen Datenträger (USB-Platte): http://www.trojaner-board.de/82533-d...ted-magic.html
  Bider, Dokumente, Musik, Videos (persönliches) http://www.trojaner-board.de/71715-k...iendungen.html

2. Formatieren, Windows neuinstallieren:

• nutzt du eine Windows CD: http://www.trojaner-board.de/51262-a...sicherung.html
• Recovery CD oder Recovery Partition?
• falls dies ein Fertig-PC ist, nenne Hersteller + Typ.
• Keine Windows 7 DVD? http://www.trojaner-board.de/100776-...-download.html

3. PC absichern: http://www.trojaner-board.de/96344-a...-rechners.html
4. alle Passwörter ändern!
5. nach PC Absicherung, die gesicherten Daten prüfen und falls sauber: zurückspielen.
6. werde ich dann noch was zum absichern von Onlinebanking mit Chip Card Reader + Star Money sagen.

Hi,

ich habe mich vor dem formatieren gedrückt weil das nicht mein Rechner ist. Es gibt dazu auch keine CD oder ähnliches, nur dieser Wiederherstellungspartition. Der Rechner ist ein Thinkpad T510.
Wie würde denn das Neuaufsetzen funktionieren? Ich formatiere die Partition C:. Dann boote ich den Rechner, komme ich dann noch in dieses Wiederherstellungsmenü rein? Kann ich von da aus neu installieren?


Lässt sich aus dem OTL-Log eine Gefährdung erkennen? Also wie akut ist die Gefahr durch ein Rootkit?

Danke und Grüße,
Henning

die umleitung sagt mir schon das es ein rootkit ist. zero access rootkit.
naja aber du werkelst seit einem monat daran rumm, neu aufsetzen dauert einen tag höchstens, ist doch eig klar was da die richtige lösung ist :-)
neu aufsetzen sollte einfach gehen, kann ich ja alles erklären wenn die daten sicherung durch ist.
1. daten rettung:
Tipparchiv - Autorun/Autoplay gezielt für Laufwerkstypen oder -buchstaben abschalten - WinTotal.de
deaktiviere autorun, dann sichere auf nen externen datenträger, bilder dokumente musik vidios (persönliches)

Autorun habe ich abgeschaltet, Daten sind (hoffentlich alle...) gesichert (Kann sich da der Virus auch irgendwie festgesetzt haben?), wie gehts nun am Schlauesten weiter?

Grüße, Henning

hi,
die daten prüfen wir nach absicherung des geräts.
versuche mal folgendes um die wiederherstellung zu starten.
starte neu, drücke dann
f9
f10
f11
f4 oder
alt +f10
eines davon sollte es möglich machen das gerät auf auslieferungszustand wiederherzustellen.
mach dies und folge den anweisungen.
wenn es geklappt hatt:
als antimalware programm würde ich emsisoft empfehlen.
diese haben für mich den besten schutz kostet aber etwas.
http://www.trojaner-board.de/103809-...i-malware.html
testversion:
Meine Antivirus-Empfehlung: Emsisoft Anti-Malware
insbesondere wenn du onlinebanking, einkäufe, sonstige zahlungsabwicklungen oder ähnlich wichtiges, wie zb berufliches machst, also sensible daten zu schützen sind, solltest du in sicherheitssoftware investieren.
vor dem aktivieren der lizenz die 30 tage testzeitraum ausnutzen.

kostenlos, aber eben nicht ganz so gut wäre avast zu empfehlen.
http://www.trojaner-board.de/110895-...antivirus.html
sag mir welches du nutzt, dann gebe ich konfigurationshinweise.
bitte dein bisheriges av deinstalieren
die folgende anleitung ist umfangreich, dass ist mir klar, sie sollte aber umgesetzt werden, da nur dann dein pc sicher ist. stelle so viele fragen wie nötig, ich arbeite gern alles mit dir durch!

http://www.trojaner-board.de/96344-a...-rechners.html
Starte bitte mit der Passage, Windows Vista und Windows 7
Bitte beginne damit, Windows Updates zu instalieren.
Am besten geht dies, wenn du über Start, Suchen gehst, und dort Windows Updates eingibst.
Prüfe unter "Einstellungen ändern" dass folgendes ausgewählt ist:
- Updates automatisch Instalieren,
- Täglich
- Uhrzeit wählen
- Bitte den gesammten rest anhaken, außer:
- detailierte benachichtungen anzeigen, wenn neue Microsoft software verfügbar ist.
Klicke jetzt die Schaltfläche "OK"
Klicke jetzt "nach Updates suchen".
Bitte instaliere zunächst wichtige Updates.
Es wird nötig sein, den PC zwischendurch neu zu starten. falls dies der Fall ist, musst du erneut über Start, Suchen, Windows Update aufrufen, auf Updates suchen klicken und die nächsten instalieren.
Mache das selbe bitte mit den optionalen Updates.
Bitte übernimm den rest so, wie es im Abschnitt windows 7 / Vista zu lesen ist.
aus dem Abschnitt xp, bitte den punkt "datenausführungsverhinderung, dep" übernehmen.
als browser rate ich dir zu chrome:
Installation von Google Chrome für mehrere Nutzerkonten - Google Chrome-Hilfe
anleitung lesen bitte
falls du nen andern nutzen willst, sags mir dann muss ich teile der nun folgenden anleitung


Sandboxie
Die devinition einer Sandbox ist hier nachzulesen:
Sandbox
Kurz gesagt, man kann Programme fast 100 %ig isuliert vom System ausführen.

Der Vorteil liegt klar auf der Hand, wenn über den Browser Schadcode eingeschläust wird, kann dieser nicht nach außen dringen.
Download Link:
http://www.trojaner-board.de/71542-a...sandboxie.html
ausführliche anleitung als pdf, auch abarbeiten:
Sandbox Einstellungen |

bitte folgende zusatz konfiguration machen:
sandboxie control öffnen, menü sandbox anklicken, defauldbox wählen.
dort klicke auf sandbox einstellungen.
beschrenkungen, bei programm start und internet zugriff schreibe:
chrome.exe
dann gehe auf anwendungen, webbrowser, chrome.
dort aktiviere alles außer gesammten profil ordner freigeben.
Wie du evtl. schon gesehen hast, kannst du einige Funktionen nicht nutzen.
Dies ist nur in der Vollversion nötig, zu deren Kauf ich dir rate.
Du kannst zb unter "Erzwungene Programmstarts" festlegen, dass alle Browser in der Sandbox starten.
Ansonsten musst du immer auf "Sandboxed webbrowser" klicken bzw Rechtsklick, in Sandboxie starten.
Eine lebenslange Lizenz kostet 30 €, und ist auf allen deinen PC's nutzbar.

Weiter mit:
Maßnahmen für ALLE Windows-Versionen
alles komplett durcharbeiten
anmerkung zu file hippo.
in den settings zusätzlich auswählen:
Run updateChecker
when Windows starts

Backup Programm:
in meiner Anleitung ist bereits ein Backup Programm verlinkt, als Alternative bietet sich auch das Windows eigene Backup Programm an:
Windows 7 Systemabbild erstellen (Backup)
Dies ist aber leider nur für Windows 7 Nutzer vernünftig nutzbar.
Alle Anderen sollten sich aber auf jeden fall auch ein Backup Programm instalieren, denn dies kann unter Umständen sehr wichtig sein, zum Beispiel, wenn die Festplatte einmal kaputt ist.

Zum Schluss, die allgemeinen sicherheitstipps beachten, wenn es dich betrifft, den Tipp zum Onlinebanking beachten und alle Passwörter ändern
bitte auch lesen, wie mache ich programme für alle sichtbar:
Programme für alle Konten nutzbar machen - PCtipp.ch - Praxis & Hilfe
surfe jetzt also nur noch im standard nutzer konto und dort in der sandbox.
wenn du die kostenlose version nutzt, dann mit klick auf sandboxed web browser, wenn du die bezahlversion hast, kannst du erzwungene programm starts festlegen, dann wird Sandboxie immer gestartet wenn du nen browser aufrufst.
wenn du mit der maus über den browser fährst sollte der eingerahmt sein, dann bist du im sandboxed web browser

Hi,

kurzer Zwischenbericht der Wiederherstellung.
Habe die Zurücksetzung angetoßen. Funktionierte bei dem Lenovo mit F4, dann mit F8 in das erweiterte Menü (siehe Bild).
Dort Computer reparieren gedrückt. Dann kam ich ich das nächste Menü (zweites Bild). Dort habe ich dann die Option "Lenovo Factory Recovery" gewählt. Das lief dann in ca. 15 Minuten durch. Jetzt ist der Rechner neu gestart so als ob der neu gekauft wurde. Alles an Daten, Programmen etc. ist völlig verschwunden. DU hast geschrieben ("bitte dein bisheriges av deinstalieren"), fällt dadurch aus, oder?

Ich arbeite mich jetzt durch die Anleitung ("Absicherung Windows Rechner") durch.

Zu den von dir angesprochenen Programmen: Du empfiehlst entweder emisoft anti-malware (kaufen) oder alternativ avast free antivirus. Braucht man beides (anti-malware und anti-virus) oder machen die eigentlich das Gleiche? Ich habe (auch auf meinem Rechner) Antivir genutzt, taugt das gar nichts, sollte man das auch ersetzen?

Zum Surfen: Funktioniert das Ganze auch mit Firefox? Das wäre mir (bzw. Frau) lieber/gewohnter.

Vielen Dank und Grüße,
Henning

hi,
manche geräte haben ja vorinstalierte programme, und da auch manchmal antivirus software, die müsste dann weg, falls vorhanden.

wegen antimalware und antivirus.
eigendlich sind die bezeichnung irre führend, antimalware ist der oberbegriff, denn malware ist die bezeichnung für alle schadhaften programme, antivierus hat sich nur eingebürgert.
damit ist nur ein programm nötig.

naja, ich will nicht sagen, dass programm x, in dem falle avira, nichts taugt, ich denke nur das du zb mit emsisoft besser bedient bist, da es einige schutzmodule mehr mit bringt, bzw, wenn man sich die verhaltensanalyse ansieht, dort besser ist als avira.
firefox geht auch.

bei der sandbox endert sich:
sandboxie control öffnen, menü sandbox anklicken, defauldbox wählen.
dort klicke auf sandbox einstellungen.
beschrenkungen, bei programm start und internet zugriff schreibe:
firefox.exe
plugin-container.exe
dann gehe auf anwendungen, webbrowser, firefox, aktiviere alles außer gesammten profil ordner.

Habe mich jetzt als antivirus / antimalware Programm für avast entschieden.
Ich habe bei der Installation alle Komponenten beim Echzeitschutz ausgewählt, in der optionalen Kategorie klangen für mich die Kompoeneten "Web Reputation Toolbar" und Sidebar-Gadget als verzichtbar. War das richtig?
Was sollte ich bei der Konfiguration alles beachten?

hi, du machst doch onlinebanking etc, da solltest du die 20 € in emsisoft pro jahr investieren, da es besseren schutz bietet.
hinweise zur emsi oder avast konfig gibts, wenn die anleitung durchgearbeitet ist.

Hi,

habe mich jetzt durch alles durchgeschlagen, sämtliche Tools sind installiert, alle Einstellungen aus der Anleitung befolgt.

Ich muss gestehen, dass ich noch nie ansatzweise dermaßen viel Sicherheitssoftware auf einem PC gesehen habe...
Dieses Plugin für den FireFox "NoScript", kann es sein dass ich damit so selte aktuelle WEB-Sites bedienen kann, ohne Ausnahmen zu erstellen? Ich glaube alleine für den Download der weiteren Tools habe ich öfters vergeblich nach einem Download-Link o.ä. gesucht, bis ich diese Leiste unten gesehen habe, dass Skripte unterdrückt worden sind...

Wie gehe ich jetzt mit den gesicherten Daten auf der externen Festplatte um. Müssen die noch irgendwie gereinigt o.ä. werden?

Eine Frage noch, bevor es an das Rückspielen der Daten geht?

Ich habe die Sandbox eingerichtet, das Surfen darüber scheint auch zu klappen, die Rauten werden im Titel angezeigt, bei Zugriffen auf das Dateisystem muss ich den Inhalt "recovern", alles wie es soll. Immer, wenn ich den firefox beende, gibt es einen Fehler, siehe beide Bilder. Muss da noch etwas eingestellt werden, was ich übersehen habe?

Grüße.

hast du avast oder emsisoft instaliert?

ich habe avast installiert

naja, wie gesagt, emsisoft wäre besser für dich.
öffne Sandboxie sandboxie menü, dort sandbox wählen, einstellung beschrenkung, hardware zugriff.
dort:
programmen die enderung an firewall einstellung erlauben, ok
dann gibts die meldung nicht mehr.