| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: Probleme während der Beseitigung des Bundespolizei Verschlüsselungs-TrojanerWindows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
 |
16.10.2012, 23:45
| #31 |
 |  Probleme während der Beseitigung des Bundespolizei Verschlüsselungs-Trojaner Hier das GMER.log [code] GMER Logfile: Code:
ATTFilter GMER 1.0.15.15641 - hxxp://www.gmer.net
Rootkit scan 2012-10-16 23:53:35
Windows 5.1.2600 Service Pack 3
Running: r7n43n9x.exe; Driver: C:\DOKUME~1\Falk\LOKALE~1\Temp\kwlyypoc.sys
---- Kernel code sections - GMER 1.0.15 ----
.text C:\WINDOWS\system32\DRIVERS\ati2mtag.sys section is writeable [0xF6959000, 0x18FFBC, 0xE8000020]
---- Registry - GMER 1.0.15 ----
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04@h0 0
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04@ujdew 0x26 0x56 0x77 0x44 ...
Reg HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04 (not active ControlSet)
Reg HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04@h0 0
Reg HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04@ujdew 0x26 0x56 0x77 0x44 ...
Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04 (not active ControlSet)
Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04@p0 C:\Programme\Alcohol Soft\Alcohol 120\
Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04@h0 0
Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04@ujdew 0x69 0x40 0x7D 0x91 ...
---- EOF - GMER 1.0.15 ----
und hier das OSAM.log Code:
ATTFilter OSAM Logfile: Code:
ATTFilter aswMBR version 0.9.9.1665 Copyright(c) 2011 AVAST Software
Run date: 2012-10-17 00:47:08
-----------------------------
00:47:08.515 OS Version: Windows 5.1.2600 Service Pack 3
00:47:08.515 Number of processors: 1 586 0x2F00
00:47:08.515 ComputerName: FALK-HELP UserName: Falk
00:47:09.343 Initialize success
00:50:19.890 AVAST engine defs: 12101601
00:50:37.843 Disk 0 \Device\Harddisk0\DR0 -> \Device\Ide\IdeDeviceP2T0L0-5
00:50:37.843 Disk 0 Vendor: SAMSUNG_SP2004C VM100-33 Size: 190782MB BusType: 3
00:50:37.843 Disk 1 \Device\Harddisk1\DR1 -> \Device\Ide\IdeDeviceP3T0L0-10
00:50:37.843 Disk 1 Vendor: SAMSUNG_SP2004C VM100-33 Size: 190782MB BusType: 3
00:50:37.859 Disk 2 (boot) \Device\Harddisk2\DR2 -> \Device\Ide\IdeDeviceP4T0L0-1b
00:50:37.859 Disk 2 Vendor: WDC_WD5000AAJS-00A8B0 01.03B01 Size: 476940MB BusType: 3
00:50:37.875 Disk 2 MBR read successfully
00:50:37.875 Disk 2 MBR scan
00:50:37.953 Disk 2 Windows XP default MBR code
00:50:37.953 Disk 2 Partition 1 80 (A) 07 HPFS/NTFS NTFS 476929 MB offset 63
00:50:37.953 Disk 2 scanning sectors +976752000
00:50:38.015 Disk 2 scanning C:\WINDOWS\system32\drivers
00:50:56.625 Service scanning
00:51:13.687 Modules scanning
00:51:21.953 Disk 2 trace - called modules:
00:51:21.968 ntkrnlpa.exe CLASSPNP.SYS disk.sys ACPI.sys hal.dll atapi.sys pciide.sys PCIIDEX.SYS
00:51:21.968 1 nt!IofCallDriver -> \Device\Harddisk2\DR2[0x86754ab8]
00:51:21.968 3 CLASSPNP.SYS[f763cfd7] -> nt!IofCallDriver -> \Device\00000070[0x8675c490]
00:51:21.968 5 ACPI.sys[f74b2620] -> nt!IofCallDriver -> \Device\Ide\IdeDeviceP4T0L0-1b[0x86757d98]
00:51:22.875 AVAST engine scan C:\WINDOWS
00:51:46.718 AVAST engine scan C:\WINDOWS\system32
00:54:52.937 AVAST engine scan C:\WINDOWS\system32\drivers
00:55:20.781 AVAST engine scan C:\Dokumente und Einstellungen\Falk
01:10:51.734 AVAST engine scan C:\Dokumente und Einstellungen\All Users
01:13:31.812 Scan finished successfully
01:13:50.125 Disk 2 MBR has been saved successfully to "F:\MBR.dat"
01:13:50.125 The log file has been saved successfully to "F:\aswMBR.txt"
|
|
17.10.2012, 14:31
| #32 |
| /// Winkelfunktion /// TB-Süch-Tiger™   | Probleme während der Beseitigung des Bundespolizei Verschlüsselungs-Trojaner Sieht ok aus. Wir sollten fast durch sein. Mach bitte zur Kontrolle Vollscans mit Malwarebytes und SUPERAntiSpyware und poste die Logs.
__________________Denk dran beide Tools zu updaten vor dem Scan!!
__________________ |
|
17.10.2012, 21:32
| #33 |
| | Probleme während der Beseitigung des Bundespolizei Verschlüsselungs-Trojaner Hier das SUPERAntiSpyware LogFile:
__________________Code:
ATTFilter SUPERAntiSpyware Scan Log
hxxp://www.superantispyware.com
Generated 10/17/2012 at 09:18 PM
Application Version : 5.6.1012
Core Rules Database Version : 9420
Trace Rules Database Version: 7232
Scan type : Complete Scan
Total Scan Time : 03:58:12
Operating System Information
Windows XP Professional 32-bit, Service Pack 3 (Build 5.01.2600)
Administrator
Memory items scanned : 499
Memory threats detected : 0
Registry items scanned : 37498
Registry threats detected : 0
File items scanned : 362900
File threats detected : 60
Adware.Tracking Cookie
C:\Dokumente und Einstellungen\Falk\Cookies\falk@2o7[1].txt [ /2o7 ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@a6.adserver01[1].txt [ /a6.adserver01 ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@a7.adserver01[1].txt [ /a7.adserver01 ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@ad.ad-srv[2].txt [ /ad.ad-srv ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@ad.yieldmanager[2].txt [ /ad.yieldmanager ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@adfarm1.adition[1].txt [ /adfarm1.adition ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@adopt.euroclick[2].txt [ /adopt.euroclick ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@adopt.specificclick[2].txt [ /adopt.specificclick ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@adrevolver[2].txt [ /adrevolver ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@ads.heias[1].txt [ /ads.heias ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@ads.planetactive[1].txt [ /ads.planetactive ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@adserver[1].txt [ /adserver ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@adtech[1].txt [ /adtech ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@advertising[1].txt [ /advertising ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@adviva[2].txt [ /adviva ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@adx.chip[1].txt [ /adx.chip ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@apmebf[1].txt [ /apmebf ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@bs.serving-sys[1].txt [ /bs.serving-sys ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@burstnet[2].txt [ /burstnet ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@casalemedia[1].txt [ /casalemedia ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@doubleclick[2].txt [ /doubleclick ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@fastclick[1].txt [ /fastclick ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@forum.usenext[2].txt [ /forum.usenext ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@im.banner.t-online[1].txt [ /im.banner.t-online ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@indextools[2].txt [ /indextools ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@komtrack[2].txt [ /komtrack ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@media.adrevolver[1].txt [ /media.adrevolver ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@mediaplex[1].txt [ /mediaplex ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@msnportal.112.2o7[1].txt [ /msnportal.112.2o7 ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@questionmarket[2].txt [ /questionmarket ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@realmedia[1].txt [ /realmedia ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@serving-sys[1].txt [ /serving-sys ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@smartadserver[2].txt [ /smartadserver ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@specificclick[2].txt [ /specificclick ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@statse.webtrendslive[2].txt [ /statse.webtrendslive ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@tacoda[2].txt [ /tacoda ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@tracking.dsquare[2].txt [ /tracking.dsquare ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@tracking.mindshare[2].txt [ /tracking.mindshare ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@tracking.quisma[2].txt [ /tracking.quisma ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@tradedoubler[2].txt [ /tradedoubler ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@traffictrack[1].txt [ /traffictrack ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@tribalfusion[1].txt [ /tribalfusion ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@tto2.traffictrack[1].txt [ /tto2.traffictrack ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@webmasterplan[1].txt [ /webmasterplan ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@windowsmedia[1].txt [ /windowsmedia ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@www.etracker[1].txt [ /www.etracker ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@zanox-affiliate[1].txt [ /zanox-affiliate ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@zanox[1].txt [ /zanox ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@zedo[2].txt [ /zedo ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@germany[1].txt [ /de.sitestat.com ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@de[1].txt [ /de.sitestat.com ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@cgi-bin[2].txt [ /imrworldwide.com ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@saj[1].txt [ /de.sitestat.com ]
C:\Dokumente und Einstellungen\Falk\Cookies\HBJM3JJW.txt [ /atdmt.com ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@324077953304993[1].txt [ /track.webtrekk.de ]
C:\Dokumente und Einstellungen\Falk\Cookies\F515CPC4.txt [ /c.atdmt.com ]
C:\Dokumente und Einstellungen\Falk\Cookies\falk@tom-tailor[1].txt [ /de.sitestat.com ]
Trojan.Agent/Gen-Kryper
C:\SYSTEM VOLUME INFORMATION\_RESTORE{06A706FF-484C-4EF8-9E0A-209AB6A2A499}\RP8\A0001414.RBF
Trojan.Agent/Gen-Autoit
F:\DATENSICHERUNG\PUNDC DATEN\DOKUMENTATIONEN\ADMIN\KONTAKTE\KONTAKTCONVERT.EXE
Trojan.Agent/Gen-Sisproc
F:\SCHNELLE DOWNLOADS\XP SICHERHEITSPATCHES\WINBOARD_UPDATEPACK_XP__3.06.EXE
|
|
17.10.2012, 22:08
| #34 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | Probleme während der Beseitigung des Bundespolizei Verschlüsselungs-Trojaner Wie weit ist Malwarebytes?
__________________ Logfiles bitte immer in CODE-Tags posten  |
|
17.10.2012, 22:42
| #35 |
| | Probleme während der Beseitigung des Bundespolizei Verschlüsselungs-Trojaner Läuft noch - dauert leider immer mehrere Stunden (zumindest ein Vollscan). Zeigt aber bisher nichts weiter an... Hier jetzt noch der Malwarebytes Scan: Code:
ATTFilter Malwarebytes Anti-Malware (Test) 1.65.0.1400 www.malwarebytes.org Datenbank Version: v2012.10.17.08 Windows XP Service Pack 3 x86 NTFS Internet Explorer 8.0.6001.18702 Falk :: FALK-HELP [Administrator] Schutz: Aktiviert 17.10.2012 22:43:57 mbam-log-2012-10-17 (22-43-57).txt Art des Suchlaufs: Vollständiger Suchlauf (C:\|E:\|F:\|G:\|) Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM | P2P Deaktivierte Suchlaufeinstellungen: Durchsuchte Objekte: 656975 Laufzeit: 3 Stunde(n), 2 Minute(n), 48 Sekunde(n) Infizierte Speicherprozesse: 0 (Keine bösartigen Objekte gefunden) Infizierte Speichermodule: 0 (Keine bösartigen Objekte gefunden) Infizierte Registrierungsschlüssel: 0 (Keine bösartigen Objekte gefunden) Infizierte Registrierungswerte: 0 (Keine bösartigen Objekte gefunden) Infizierte Dateiobjekte der Registrierung: 0 (Keine bösartigen Objekte gefunden) Infizierte Verzeichnisse: 0 (Keine bösartigen Objekte gefunden) Infizierte Dateien: 0 (Keine bösartigen Objekte gefunden) (Ende) |
|
18.10.2012, 09:28
| #36 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | Probleme während der Beseitigung des Bundespolizei Verschlüsselungs-Trojaner Sieht ok aus, da wurden nur Cookies gefunden, die können alle weg. Die anderen Funde sind imho Fehlalarme. Cookies sind keine Schädlinge direkt, aber es besteht die Gefahr der missbräuchlichen Verwendung (eindeutige Wiedererkennung zB für gezielte Werbung o.ä. => HTTP-Cookie ) Wegen Cookies und anderer Dinge im Web: Um die Pest von vornherein zu blocken (also TrackingCookies, Werbebanner etc.) müsstest du dir mal sowas wie MVPS Hosts File anschauen => Blocking Unwanted Parasites with a Hosts File - sinnvollerweise solltest du alle 4 Wochen mal bei MVPS nachsehen, ob er eine neue Hosts Datei herausgebracht hat. Ansonsten gibt es noch gute Cookiemanager, Erweiterungen für den Firefox zB wäre da CookieCuller http://filepony.de/download-cookie_culler/ Wenn du aber damit leben kannst, dich bei jeder Browsersession überall neu einzuloggen (zB Facebook, Ebay, GMX, oder auch Trojaner-Board) dann stell den Browser einfach so ein, dass einfach alles beim Beenden des Browser inkl. Cookies gelöscht wird. Ich halte es so, dass ich zum "wilden Surfen" den Opera-Browser oder Chromium unter meinem Linux verwende. Mein Hauptbrowser (Firefox) speichert nur die Cookies von den Sites die ich auch will, alles andere lehne ich manuell ab (der FF fragt mich immer) - die anderen Browser nehmen alles an Cookies zwar an, aber spätestens beim nächsten Start von Opera oder Chromium sind keine Cookies mehr da. Ist dein System nun wieder in Ordnung oder gibt's noch andere Funde oder Probleme?
__________________ --> Probleme während der Beseitigung des Bundespolizei Verschlüsselungs-Trojaner |
|
18.10.2012, 10:15
| #37 |
| | Probleme während der Beseitigung des Bundespolizei Verschlüsselungs-Trojaner Hallo Cosinus, erst einmal ein großes Danke für die Hilfe. Mein System fühlt sich nun wieder normal an. Zwar ein bischen langsamer als sonst weil MalewareBytes immer mit läuft aber sonst ganz normal. Zu Deinen Cookie Ausführungen: Ich habe meinen FF bereits so eingestellt das er die Cookies beim schliessen des Browsers immer löscht. Allerdings behalte ich die Chronik was wahrscheinlich auch schon ausreicht um Tracking zu betreiben. Zumindest hab ich mal einen Artikel gelesen in dem das gelungen ist...MVPS ist genial und hab ich schon in die HOSTS gepackt! Ansonsten werde ich mir Deine "Surf-Konfiguration" mal anschauen. Wie gesagt es ist mir ein Rätsel wie ich mich infizieren konnte. Ich bin kein unvorsichter Surfer und treibe mich auch nicht auf diversen Portalen rum. Der Rechner dient fast ausschliesslich der einfachen Kommunikation per Email. Was hälst Du davon wenn man zum Surfen einen Browser in eine VM "einsperrt" - verspricht das mehr Sicherheit? (Zum Beispiel - Ubuntu+FF mit geteilten Ordnern für die Downloads). Das HauptOS sollte immer ein WindowsSystem bleiben. In diesem Fall sogar ein WindowsXP. Die restlichen Rechner in meinem Netzwerk laufen auf Windows7... Bin gespannt auf Deine Meinung. Geändert von bluewood (18.10.2012 um 10:20 Uhr) |
|
18.10.2012, 12:23
| #38 | ||
| /// Winkelfunktion /// TB-Süch-Tiger™ | Probleme während der Beseitigung des Bundespolizei Verschlüsselungs-TrojanerZitat:
Zitat:
__________________ Logfiles bitte immer in CODE-Tags posten |
|
| Themen zu Probleme während der Beseitigung des Bundespolizei Verschlüsselungs-Trojaner |
| anleitung, anmelden, beseitigung, bildschirm, computer, dateien, eigenartig, einfrieren, ergebnis, fehler, fehlermeldung, festplatte, forum, gesperrt, google, infizierte, infizierte dateien, installation, neustart, nicht mehr, problem, probleme, reparieren, setup, sp3, system, windows xp |
Linear-Darstellung
