Hintergrund: eine Freundin von mir ärgerte sich darüber dass ihr Windows Laptop (Windows 7 Home) sehr langsam wurde und vermutete Virenbefall.

Da das "langsam werden" bei Windows nun nicht so ungewöhnlich ist glaubte ich das erst mal nicht, gab ihr aber meine Disinfec't CD mit. Ergebnis: Funde.


Bitdefender:

"Infizierte Datei";"ggf. Datei in Archiv";"";"Fund durch Bitdefender";"";"";
"";"";"";"";"";"";
"/media/BOOT/Users/Medion/AppData/Local/xypldb.exe.VIRUS";"";"";"Trojan.Generic.KD.655337";"";"";
"/media/BOOT/ProgramData/Microsoft/Windows Defender/LocalCopy/{A247A9BF-1AF2-6B6F-CDF4-92D2BB62F05E}-xypldb.exe.VIRUS";"(Quarantine-PE)";"";"Trojan.Generic.KD.655337";"";"";
"/media/BOOT/Users/Medion/AppData/Local/Temp/plugtmp-8/plugin-ap2.php.VIRUS";"(TIFF)";"";"Exploit.TIFF.Gen";"";"";
"/media/BOOT/ProgramData/Microsoft/Windows Defender/LocalCopy/{09B239A3-A650-23D3-9FCF-F4F2D6800A9F}-xypldb.exe.VIRUS";"(Quarantine-PE)";"";"Trojan.Generic.KD.655337";"";"";
"/media/BOOT/Users/Medion/AppData/Local/Temp/plugtmp-8/plugin-ap2.php.VIRUS";"(JAVASCRIPT)";"";"Exploit.PDF-JS.FT";"";"";
"/media/BOOT/Program Files/Yontoo Layers/YontooIEClient.dll.VIRUS";"";"";"Adware.ZBO";"";"";
"/media/BOOT/ProgramData/Avira/AntiVir Desktop/INFECTED/55c108a8.qua";"(Quarantine-8)";"";"Trojan.Generic.KD.655337";"";"";
"/media/BOOT/ProgramData/Microsoft/Windows Defender/LocalCopy/{49310244-5A22-48D8-F36C-715B08AC26AF}-xypldb.exe.VIRUS";"(Quarantine-PE)";"";"Trojan.Generic.KD.655337";"";"";
"/media/BOOT/Users/Medion/AppData/Roaming/prapproxy32.exe.VIRUS";"";"";"Trojan.Generic.KDV.601722";"";"";
"/media/BOOT/Users/Medion/AppData/Roaming/10021/components/AcroFF021.dll.VIRUS";"";"";"Gen:Variant.Zusy.5027";"";"";
         

Avira:

"Infizierte Datei";"ggf. Datei in Archiv";"Fund durch Avira";"";"";"";
"";"";"";"";"";"";
"/media/BOOT/ProgramData/Microsoft/Windows Defender/LocalCopy/{A247A9BF-1AF2-6B6F-CDF4-92D2BB62F05E}-xypldb.exe.VIRUS";"";"TR/Agent.snrr";"";"";"";
"/media/BOOT/Users/Medion/AppData/Roaming/10021/components/AcroFF021.dll.VIRUS";"";"TR/Spy.Banker.20115";"";"";"";
"/media/BOOT/Users/Medion/AppData/Local/Temp/plugtmp-8/plugin-ap2.php.VIRUS";"";"EXP/Pdfka.OPS.1";"";"";"";
"/media/BOOT/ProgramData/Microsoft/Windows Defender/LocalCopy/{49310244-5A22-48D8-F36C-715B08AC26AF}-xypldb.exe.VIRUS";"";"TR/Agent.snrr";"";"";"";
"/media/BOOT/Users/Medion/AppData/Roaming/prapproxy32.exe.VIRUS";"";"TR/Inject.dlpa";"";"";"";
"/media/BOOT/Users/Medion/AppData/Local/xypldb.exe.VIRUS";"";"TR/Agent.snrr";"";"";"";
"/media/BOOT/ProgramData/Microsoft/Windows Defender/LocalCopy/{09B239A3-A650-23D3-9FCF-F4F2D6800A9F}-xypldb.exe.VIRUS";"";"TR/Agent.snrr";"";"";"";
         

Sie ließ die Viren umbenennen, danach startete der Rechner normal und verhielt sich unauffällig.

Ihr Rechner aktualisiert sich, Avira Free ist installiert. Als Infektionsquelle vermute ich die Installation von Freeware aus nicht ganz so bekannter Quelle.

Ich ließ sie ein eigenes Admin Konto (mit Passwort) einrichten, ihrem "normalen" Konto die Admin Rechte entziehen, Firefox (ihr Browser) hat jetzt Noscript und Adblock Plus.

Ihrem Sohn wird sie nahelegen den IE nicht weiter zu benutzen.

Ich habe ihr vorgeschlagen ihr Internet Banking erst mal zwei Wochen lang per Ubuntu Live CD durchzuführen, dann den Rechner nochmal zu scannen und wenn er dann noch "sauber" (im Sinne von Disinfec't) ist wieder ganz normal damit zu arbeiten.

Reicht das voraussichtlich anhand der gefundenen Schadprogramme aus oder soll ich sie lieber hier vorbeischicken (habe ihr nen Link auf die FAQ Seite mitgegeben..) damit Ihr nochmal sorgfältig mit Mbam etc. scant ?


Neuinstallation ist ein wenig schwierig da sie natürlich keine Installationsmedien hat...

"/media/BOOT/Users/Medion/AppData/Roaming/prapproxy32.exe.VIRUS";"";"";"Trojan.Generic.KDV.601722";"";"";
"/media/BOOT/Users/Medion/AppData/Roaming/10021/components/AcroFF021.dll.VIRUS";"";"";"Gen:Variant.Zusy.5027";"";"";
         

Das ist was im Busch
Haste schon MBAM und ESET empfohlen, Dackel?

Hi Arne!

Ja, ich habe ihr schon empfohlen sicherheitshalber die Scans zu machen und die Ergebnisse hier zu posten.. dein Kommentar verleiht dem Ganzen etwas mehr Dringlichkeit...

So gesehen ist es wohl ganz gut dass ich ihr für das Internetbanking und andere sensible Sachen erst mal eine Ubuntu-Live CD gebrannt habe...

Ich habe sie gerade angerufen und ihr zu den Scans geraten...

Vielen Dank!

Ja, gerade die AcroFF021.dll hab ich schon oft als Banking-Spion gesehen...

Avira ist da offensichtlich deiner Meinung:

"/media/BOOT/Users/Medion/AppData/Roaming/10021/components/AcroFF021.dll.VIRUS";"";"TR/Spy.Banker.20115";"";"";"";