BKA Version 1.09 über svchost.exe (HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\Load)

JamesBolivar

Habe mir gestern trotz Erkennung durch AVG die BKA-Erpresser-Malware eingefangen. AVG zeigte die Infektion an, stoppte sie aber nicht.

Vollscans mit aktuellen Scannern v. AVG, Malwarebytes, OTL und Avira zeigten keinen(!) Befall an. Die Malware lief über eine saubere(!) svchost.exe. Beenden der Malware über den parallell angemeldeten Adminaccount machte den betroffenen Account wieder nutzbar. Der Aufruf der Malware verbarg sich in HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\Load. Das dort aufgerufene File befand sich unter dem Namen "mshuoaph.com" im Temp-Ordner des Benutzerprofils.

Anbei die Analyse von Virustotal:

https://www.virustotal.com/file/fd8e16e45427b334b9aaee0b648acb23ad243ddb08ff162a4f5a2358494f052b/analysis/1332831948/

Bei Bedarf mail ich das Teil dem Team. Ich muss jetzt nach lang durchfummelter Nacht erstmal was für meinen Lebensunterhalt tun. Ob das System damit wieder völlig sauber ist, check ich nachmittags. So wie ich das sehe, hilft nur manuelles Prüfen und Entfernen. Die bekannten Tools versagen derzeit wohl alle.

Mit besten Grüßen, JB, der sich später noch mal meldet.