Liebes Trojaner-Board Team

Vor einigen Tagen hat mich der Polizei Trojaner heimgesucht, der mir alles blockiert. Er ist offenbar dem installierten GDATA Virenschutz durch die Lappen gegangen. Ich habe schon einiges versucht, Stunden verbraten, bisher leider erfolglos. Hier eine Beschreibung meines Problems und meine bisherigen Versuche:

- Nach dem Windowsstart erscheint das Fenster mit der Meldung der angeblichen "Polizei, Cybercrimeinvestigation Department" mit der Aufforderung Geld einzuzahlen.

- Ohne Internetverbindung (WLAN abgeschaltet) und aufstarten: Der Screen bleibt weiss.

- Abgesicherter Modus, egal ob mit oder ohne Netzwerktreiber: Das Problem bleibt.

- Ich habe mit OTLPENet eine Boot-CD gebrannt, den Scan durchgeführt, die Dateien OTL.txt und Extras.txt liegen bei.

- Ich habe von der OTLPENet-Oberfläche das installierte Malwarebyte laufen lassen wollen, aber ich erhalte eine Runtime-Error-Meldung.

- Ich habe bei Kapersky das Kapersky Rescue Disc 10 auf dem USB-Stick geladen, vom USB-Stick aus gebootet und Kapersky laufen lassen. Er hat mir einige verdächtige Trojaner gefunden, aber offenbar die falschen (z.Bsp. "HEUR:Trojan/Win32.Generic". Ich habe die gefundenen Dateien desinfiziert, einige wurden in Quarantäne gestellt. Gute Sache, aber den Polizeitrojaner habe ich dabei nicht erwischt. Ein Problem könnte sein, dass ich bei der so gebooteten Oberfläche keine Internetverbindung hinkriege, sowohl bei OTLPENet als auch bei Kapersky. Somit kann der Virenscanner seine Datenbank nicht updaten.

- Nun, ich bin mit meinem Latein langsam am Ende und beim Lesen einiger Threads hier hatte ich einen sehr guten Eindruck von eurem Board.

Ich hoffe, jemand kann mir helfen, ich wäre sehr dankbar.

Gruss
Eldrazi

Fixen mit OTLpe

• Starte den unbootbaren Computer erneut mit der OTLPE-CD,
• warte bis der Reatogo-X-Pe-Desktop erscheint und doppelklicke das OTLPE-Icon.

• Kopiere folgendes Skript in das Textfeld unterhalb von Custom Scans/Fixes:
• Sollte das mangels Internet-Verbindung nicht möglich sein,
• kopiere den Text aus der folgenden Code-Box und speichere ihn als Fix.txt auf einen USB-Stick.
• Schließe den USB-Stick an den Computer an und öffne Fix.txt mit dem Explorer auf dem Reatogo-Desktop.
• Kopiere den Inhalt von Fix.txt in das Textfeld unterhalb von Custom Scans/Fixes:

Ersetze die *** Sternchen wieder in den Benutzernamen zurück!

:OTL
O20 - HKU\*****_ON_C Winlogon: Shell - (C:\Users\*****\AppData\Roaming\msconfig.dat) - C:\Users\*****\AppData\Roaming\msconfig.dat () 

[2011/07/26 04:04:32 | 000,009,340 | -HS- | C] () -- C:\ProgramData\llnj2v1144n5bo3ok 
@Alternate Data Stream - 127 bytes -> C:\ProgramData\Temp:430C6D84 
@Alternate Data Stream - 105 bytes -> C:\ProgramData\Temp:DFC5A2B2 

[2011/07/26 04:04:32 | 000,009,340 | -HS- | C] () -- C:\Users\*****\AppData\Local\llnj2v1144n5bo3ok 
[2006/11/02 03:31:23 | 000,076,135 | ---- | C] () -- C:\Users\*****\AppData\Roaming\msconfig.dat 
:Files

C:\ProgramData\*.exe
C:\ProgramData\*.dll
C:\ProgramData\*.tmp
C:\ProgramData\TEMP
C:\Users\*****\*.tmp
C:\Users\*****\AppData\Local\{*}
C:\Users\*****\AppData\Local\Temp\*.exe
C:\Users\*****\AppData\LocalLow\Sun\Java\Deployment\cache
%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\ctfmon.lnk
ipconfig /flushdns /c
:Commands
[emptytemp]
         

• Schließe alle Programme.
• Klicke auf den Fix Button.
• Klick auf .
• Kopiere den Inhalt hier in Code-Tags in Deinen Thread.
  Nachträglich kannst Du das Logfile hier einsehen => C:\OTLpe\MovedFiles\<datum_nummer.log>
• Teste, ob den Computer nun wieder in den normalen Windows-Modus booten kannst und berichte.

Hallo t'john

erstmal herzlichen Dank für Deine Hilfe!

Ich habe alles so durchgeführt, wie Du mir beschrieben hast..... und juheee... Windows startet wieder normal!!

Ich habe aber erst nach dem Fix gemerkt, dass ich in folgender Zeile des Codes
O20 - HKU\*****_ON_C Winlogon: Shell -

Die ***** falsch ersetzt habe (Vorname Nachname statt Vorname_Nachname)
Spielt das eine Rolle?

Anbei das Log-File.

Ich warte dann auf Deine weiteren Instruktionen.... Nochmals herzlichen Dank!

Liebe Grüsse
Eldrazi

Sehr gut!

Wie laeuft der Rechner?

1. Schritt

Bitte einen Vollscan mit Malwarebytes Anti-Malware machen und Log posten.
Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss!

Malwarebytes Anti-Malware
- Anwendbar auf Windows 2000, XP, Vista und 7.
- Installiere das Programm in den vorgegebenen Pfad.
- Aktualisiere die Datenbank!
- Aktiviere "Komplett Scan durchführen" => Scan.
- Wähle alle verfügbaren Laufwerke (ausser CD/DVD) aus und starte den Scan.
- Funde bitte löschen lassen oder in Quarantäne.
- Wenn der Scan beendet ist, klicke auf "Zeige Resultate".

danach:

2. Schritt

Downloade Dir bitte AdwCleaner auf deinen Desktop.

• Starte die adwcleaner.exe mit einem Doppelklick.
• Klicke auf Search.
• Nach Ende des Suchlaufs öffnet sich eine Textdatei.
• Poste mir den Inhalt mit deiner nächsten Antwort.
• Die Logdatei findest du auch unter C:\AdwCleaner[R1].txt.

Der Rechner läuft soweit normal, die einzige Veränderung: Im Opera Browser funktionieren die automatischen Popups mit Java nicht mehr. Dies liegt wahrscheinlich daran, dass bei meinem Cleaning mit Kapersky bevor ich hier zum TB gekommen bin einige verdächtige Java-Dateinen in die Quarantäne verschoben wurden.

Nachdem Windows wieder funktioniert hat, hat mein Installierter Virenwächter GDATA Total Care eine verdächtige Datei gefunden und desinfisziert. Es war die folgende Datei: c:/users/*****/ms.exe und sie wurde als Trojan.Generic.KD.786726 (Enigne A) identifiziert.

Zum Malwarebyte-Scan.

Ich habe das alte Programm auf dem Compi deinstalliert, das neue frisch heruntergeladen und installiert- Virendatenbank upgedatet und den Scan gestartet. Nach weniger als 2 Minuten Scannen ist er hängengeblieben, ich konnte nichts mehr anklicken, öffnen, etc. und musste den Compi abwürgen.
Beim zweiten Versuch dasselbe, aber nicht genau bei derselben Datei und Zeit.

Was geklappt hat ist der ADW-Cleaner Scan: Logfile liegt unten. Sieht soweit gut aus.

Momentan scanne ich gerade meine HD mit GDATA- kann noch einige Stunden dauern....

Ich melde dann, ob GDATA Total Care etwas gefunden hat.

Liebe Grüsse
Eldrazi

Scan mit Malwarebytes' Anti-Rootkit
Download: Download - Malwarebytes Anti-Rootkit BETA

Anleitung: Anleitung: Malwarebytes Anti-Rootkit

Hallo t'john

Nach der vollständigen Prüfung von GDATA Total Care (logfile posted, hat nur was gefunden, das schon OTL entfernt hat) habe ich die Malwarebite Anti-Rootkit darüber laufen lassen.

Anbei das Logfile.

Ist der Rechner nun sauber?

BTW: Macht ihr Helfer das eigentlich Hauptberuflich oder nur nebenbei? Wirklich ein Top Service!!

Werde das TB gerne unterstützen.

Poste das Logifle (rot markiert)

Ok. Die Datei fehlt bei mir. Nach/während des Scans ist der Computer heruntergefahren und neu gestartet- ich dachte das gehört automatisch zur Routine und habe mir nichts dabei gedacht. Vielleicht ist er abgestürzt?

Ich versuche es nochmals...

Gruss
Eldrazi

Und wie schaut es aus?

Guten Morgen

ich habe gestern das Malwarebyte Anti-Rootkit zum 2.Mal laufen lassen- und diesmal ohne Absturz das Resultat erhalten. 2 Dateien wurden aufgespürt. Nach dem Reboot habe ich es nochmals laufen lassen wollen, aber das Laptop ist wieder hängen geblieben und ich musste es abwürgen.

Nun, anbei das Logfile des nicht abgestürzten Scans.

Sind die beiden Dateien die Bösewichte?

LG
Eldrazi

Downloade Dir bitte AdwCleaner auf deinen Desktop.

• Schließe alle offenen Programme und Browser. Bebilderte Anleitung zu AdwCleaner.
• Starte die AdwCleaner.exe mit einem Doppelklick.
• Stimme den Nutzungsbedingungen zu.
• Klicke auf Optionen und vergewissere dich, dass die folgenden Punkte ausgewählt sind:
  • "Tracing" Schlüssel löschen
  • Winsock Einstellungen zurücksetzen
  • Proxy Einstellungen zurücksetzen
  • Internet Explorer Richtlinien zurücksetzen
  • Chrome Richtlinien zurücksetzen
  • Stelle sicher, dass alle 5 Optionen wie hier dargestellt, ausgewählt sind
• Klicke auf Suchlauf und warte bis dieser abgeschlossen ist.
• Klicke nun auf Löschen und bestätige auftretende Hinweise mit Ok.
• Dein Rechner wird automatisch neu gestartet. Nach dem Neustart öffnet sich eine Textdatei. Poste mir deren Inhalt mit deiner nächsten Antwort.
• Die Logdatei findest du auch unter C:\AdwCleaner\AdwCleaner[Cx].txt. (x = fortlaufende Nummer).

danach


Malware-Scan mit Emsisoft Anti-Malware

Lade die Gratisversion von => Emsisoft Anti-Malware herunter und installiere das Programm.
Lade über Jetzt Updaten die aktuellen Signaturen herunter.
Wähle den Freeware-Modus aus.

Wähle Detail Scan und starte über den Button Scan die Überprüfung des Computers.
Am Ende des Scans nichts loeschen lassen!. Mit Klick auf Bericht speichern das Logfile auf dem Desktop speichern und hier in den Thread posten.

Anleitung: http://www.trojaner-board.de/103809-...i-malware.html

Hi t'john

anbei der Log des AdwCleaner Scans.

Die Emsisoft Software liess sich nicht installieren, nach dem Sprach-Fenster kam die Errormeldung, Windows Vista brauche das Servicepack 2.
Dies erscheint mir komisch, ich habe die automatische Updatefunktion eingeschaltet, ich bin mir ziemlich sicher, dass das installiert sein müsste.

Liebe Grüsse
Eldrazi

Die Emsisoft Software liess sich nicht installieren, nach dem Sprach-Fenster kam die Errormeldung, Windows Vista brauche das Servicepack 2.
Dies erscheint mir komisch, ich habe die automatische Updatefunktion eingeschaltet, ich bin mir ziemlich sicher, dass das installiert sein müsste.

Service Pack 1 kam 2008 und Nr 2 kam 2009 raus.
Du hast keinen installiert.

Alles Windows Updates einspielen, inkl. Service Pack!

Hallo t'john

bin wieder da. Habe Platz auf der Harddisk schaffen müssen, die Service Packs 1 und 2 installiert (SP2 machte Probleme und ich musste noch ein Hilfstool von Microsoft installieren).

Jetzt habe ich die Emsisoft Software installiert und laufen gelassen:
1.Versuch: Absturz
2.Versuch heute: 90% durchgescannt ohne eine verdächtige Datei oder Prozess zu finden. Dann ist der Explorer eingefroren und ich konnte nichts anderes tun als neu zu starten.

Im Verzeichnis /Documents/Anti-Malware/Reports hat es keine Datei und im Ordner Scansets auch keine. Ich deute das als gutes Zeichen. Die 10% die noch gefehlt haben war auf einer Partition, die keine Windows-Dateien enthält, ich brauche sie nur selten als Datenablageort.

Soll ich morgen nochmals einen Scan mit Emsisoft versuchen?

Liebe Grüsse
Eldrazi