Hallo liebes Trojaner-board Team,
ich habe mir wohl einen Trojaner eingefangen meiner Meinung nach.
Zuerst dachte ich es währe wieder einer der BKA/Bundespolizei Fälle da ich das U-cash ebenfalls da stehen hatte. Jedoch startete ich den Rechner sofort neu, und somit habe ich mir mein screen nicht so gut merken koennen,da es beim letzten mal gut ging und ich noch auf das Windows somit zugriff hatte.
Dies war diesmal jedoch nicht der Fall, habe einen White screen erhalten und kann nichts mehr machen. Taskmanager oeffnet sich garnicht mehr, keine Reaktion auf irgendwelche Befehle, egal ob mit Internet verbindung oder ohne.
Im abgesichertem Modus auch nicht, nur mit eingabeaufforderung, wenn ich "explorer.exe" eintippe habe ich normalen Zugriff wie sonst auch.
Im Anhang habe ich das defogger log und das OTL log
Ich hoffe ich habe alles richtig gemacht und bedanke mich schonmal recht herzlich im Vorraus

Hi,

das ist ja ganz was nettes...

OLT und Script auf einen Stick kopieren, alles auf den Desktop (über den abgesicherten Modus) und dann das Script abfahren...

Fix für OTL:

• Doppelklick auf die OTL.exe, um das Programm auszuführen.

• Vista/Win7-User bitte per Rechtsklick und "Ausführen als Administrator" starten.

• Kopiere den Inhalt der folgenden Codebox komplett in die OTL-Box unter "Custom Scan/Fixes"

:OTL
O20 - HKCU Winlogon: Shell - (C:\Users\Eddy\AppData\Roaming\msconfig.dat) -C:\Users\Eddy\AppData\Roaming\msconfig.dat ()
O31 - SafeBoot: UseAlternatShell - 1
[2012.08.02 15:02:43 | 000,000,045 | ---- | M] () -- C:\Users\Eddy\AppData\Roaming\msconfig.ini
[2012.01.11 17:14:58 | 000,068,975 | ---- | C] () -- C:\Users\Eddy\AppData\Roaming\msconfig.dat
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoActiveDesktop = 1
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoActiveDesktopChanges = 1

:Commands
[emptytemp]
[Reboot]
         

• Den roten Run Fixes! Button anklicken.

• Bitte alles aus dem Ergebnisfenster (Results) herauskopieren.

• Eine Kopie eines OTL-Fix-Logs wird in einer Textdatei in folgendem Ordner gespeichert:

• %systemroot%\_OTL

Er sollte jetzt wieder normal booten können...

Malwarebytes Antimalware (MAM)
Anleitung&Download hier: http://www.trojaner-board.de/51187-m...i-malware.html
Falls der Download nicht klappt, bitte hierüber eine generische Version runterladen:
http://filepony.de/download-chameleon/
Danach bitte update der Signaturdateien (Reiter "Update" -> Suche nach Aktualisierungen")
Fullscan und alles bereinigen lassen! Log posten.

chris

Malwarebytes Anti-Malware (Test) 1.62.0.1300
www.malwarebytes.org

Datenbank Version: v2012.08.02.07

Windows 7 x64 NTFS
Internet Explorer 9.0.8112.16421
Eddy :: EDDY-PC [Administrator]

Schutz: Aktiviert

02.08.2012 16:37:15
mbam-log-2012-08-02 (16-37-15).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|E:\|)
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 663706
Laufzeit: 2 Stunde(n), 25 Minute(n), 20 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 3
C:\_OTL\MovedFiles\08022012_162443\C_Users\Eddy\AppData\Roaming\msconfig.dat (Exploit.Drop.COD) -> Erfolgreich gelöscht und in Quarantäne gestellt.
E:\Desktop\old, save\ICQ Lite\312347157\jule_417355445\bild.exe (Hoax.BadJoke.Autoit) -> Erfolgreich gelöscht und in Quarantäne gestellt.
E:\Desktop\old, save\ICQ Lite\312347157\StormatiC^_210013192\ICQ Password\mspass.exe (PUP.PSW.MessenPass) -> Erfolgreich gelöscht und in Quarantäne gestellt.

(Ende)

Danke für die schnelle Antwort auf mein Problem und für die Hilfe hat alles super geklappt funktioniert wieder, bin gerade erst heim gekommen, daher die späte Antwort.

Hi,

erstelle und poste noch ein neues OTL-Log...

chris

Hallo Chris,
tut mir leid das es so lange gedauert hat, jedoch war ich über das ganze Wochenende verreist. Hier der OTL log

Hi,

hast Du eine Backup-SW auf dem Rechner (Smart Backup, MB36X oder "ASUS Drive Xpert")?

Bitte folgende Files prüfen:

Dateien Online überprüfen lassen:

• Als erstes versteckte Dateien anzeigen lassen! (nur Punkt 1 durchführen!)

• Suche die Seite Virtustotal auf, klicke auf den Button „Durchsuchen“ und suche folgende Datei/Dateien:

C:\Windows\SysWOW64\XSrvSetup.exe
C:\Users\Eddy\AppData\Local\Akamai\netsession_win.exe
         

• Lade nun nacheinander jede/alle Datei/Dateien hoch, und warte bis der Scan vorbei ist. (kann bis zu 2 Minuten dauern.)

• Poste im Anschluss das Ergebnis der Auswertung, alles abkopieren und in einen Beitrag einfügen.

• Wichtig: Auch die Größenangabe sowie den HASH mit kopieren!

Fix für OTL:

• Doppelklick auf die OTL.exe, um das Programm auszuführen.

• Vista/Win7-User bitte per Rechtsklick und "Ausführen als Administrator" starten.

• Kopiere den Inhalt der folgenden Codebox komplett in die OTL-Box unter "Custom Scan/Fixes"

:OTL
O3 - HKCU\..\Toolbar\WebBrowser: (no name) - {D4027C7F-154A-4066-1AD-4243D8127440} - No CLSID value found.
@Alternate Data Stream - 24 bytes -> C:\Windows:8436F927B7915E6F

:Commands
[emptytemp]
[Reboot]
         

• Den roten Run Fixes! Button anklicken.

• Bitte alles aus dem Ergebnisfenster (Results) herauskopieren.

• Eine Kopie eines OTL-Fix-Logs wird in einer Textdatei in folgendem Ordner gespeichert:

• %systemroot%\_OTL

Wie verhält sich der Rechner, wieder alles OK?

chris