|
Log-Analyse und Auswertung: BKA Malware (Bild 1.14 unter botfrei.de)Windows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.XML. |
22.11.2012, 19:53 | #1 |
| BKA Malware (Bild 1.14 unter botfrei.de) Hallo Trojaner-Board, auch einer meiner Freunde hat sich die Malware eingefangen. Bevor ich auf Eure Seite gestoßen bin, habe ich schon einiges dagegen getan (win unlooker von Kaspersky, Avira-Scan, Kaspersky-Online-Scan). Dabei wurden regelmäßig Viren gemeldet (TR/Repix.A und TR/Bublik.dti). Leider habe ich dazu keine weiteren Informationen gefunden. Nach diesen Aktionen scheint der Rechner Malware-frei zu sein. Da ich mir aber nicht sicher bin, habe ich Eure Anweisungen befolgt und anschließend die beiliegenden Dateien erzeugt. Bevor ich weitere Aktivitäten ergreife (Entschlüsselungsversuche usw.) bzw. den Rechner zurückgebe, möchte ich gern sicher sein, dass er clean ist. Vielen Dank schon einmal vorneweg. Viele Grüße wolfmeissen |
23.11.2012, 06:20 | #2 | |
/// Helfer-Team | BKA Malware (Bild 1.14 unter botfrei.de)Zitat:
http://www.trojaner-board.de/125889-...en-posten.html MBAM und Avira Warum hast du 2 aktive Virenscanner auf dem System?
__________________ |
23.11.2012, 11:05 | #3 |
| BKA Malware (Bild 1.14 unter botfrei.de) Hallo t'john,
__________________vielen Dank für Deine Unterstützung. Den Ordner unter C: kann ich nicht finden. Der unter F: ist vorhanden und enthält ein Programm (mrt.exe). Zu Beiden habe ich einen Screenshot beigefügt). Im Archiv befinden sich auch die Logs von MBAM und avira. MBAM habe ich wieder deinstalliert. Es läuft nur noch avira (kostenlose Version). Viele Grüße wolfmeissen |
23.11.2012, 20:57 | #4 |
/// Helfer-Team | BKA Malware (Bild 1.14 unter botfrei.de) 1. Schritt Bitte einen Vollscan mit Malwarebytes Anti-Malware machen und Log posten.danach: Downloade Dir bitte AdwCleaner auf deinen Desktop.
|
26.11.2012, 11:40 | #5 |
| BKA Malware (Bild 1.14 unter botfrei.de) Hallo t'john, hier die beiden logs. Viele Grüße wolfmeissen |
27.11.2012, 12:55 | #6 |
/// Helfer-Team | BKA Malware (Bild 1.14 unter botfrei.de) Fixen mit OTL Lade (falls noch nicht vorhanden) OTL von Oldtimer herunter und speichere es auf Deinem Desktop (nicht woanders hin).
Code:
ATTFilter :OTL O4 - HKCU..\Run: [] File not found O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: HonorAutoRunSetting = 1 O7 - HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 91 00 00 00 [binary data] @Alternate Data Stream - 36 bytes -> C:\WINDOWS\System32\ptipbm.dll:KAVICHS @Alternate Data Stream - 36 bytes -> C:\WINDOWS\System32\Prounstl.exe:KAVICHS @Alternate Data Stream - 36 bytes -> C:\WINDOWS\System32\IntelNic.dll:KAVICHS @Alternate Data Stream - 36 bytes -> C:\WINDOWS\System32\e1000msg.dll:KAVICHS @Alternate Data Stream - 36 bytes -> C:\WINDOWS\System32\e1000325.din:KAVICHS @Alternate Data Stream - 36 bytes -> C:\WINDOWS\System32\drivers\ulsata.sys:KAVICHS @Alternate Data Stream - 36 bytes -> C:\WINDOWS\System32\drivers\e1000325.sys:KAVICHS :Files C:\ProgramData\*.exe C:\ProgramData\*.dll C:\ProgramData\*.tmp C:\ProgramData\TEMP C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\*.exe C:\Dokumente und Einstellungen\homer\Anwendungsdaten\*.exe C:\Dokumente und Einstellungen\homer\Lokale Einstellungen\Anwendungsdaten\*.exe C:\Dokumente und Einstellungen\homer\Lokale Einstellungen\Anwendungsdaten\*.tmp C:\Dokumente und Einstellungen\homer\Lokale Einstellungen\Temp\*.exe C:\Dokumente und Einstellungen\homer\*.exe C:\Dokumente und Einstellungen\homer\Startmenü\Programme\Autostart\ctfmon.lnk C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\ctfmon.lnk C:\Dokumente und Einstellungen\homer\Lokale Einstellungen\Anwendungsdaten\Sun\Java\Deployment\cache\ ipconfig /flushdns /c :Commands [emptytemp]
Hinweis für Mitleser: Obiges OTL-Script ist ausschließlich für diesen User in dieser Situtation erstellt worden. Auf keinen Fall auf anderen Rechnern anwenden, das kann andere Systeme nachhaltig schädigen!
__________________ --> BKA Malware (Bild 1.14 unter botfrei.de) |
29.11.2012, 10:38 | #7 |
| BKA Malware (Bild 1.14 unter botfrei.de) Hallo t'john, hier der Code: Code:
ATTFilter All processes killed ========== OTL ========== Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\\ deleted successfully. Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\\HonorAutoRunSetting deleted successfully. Registry value HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\\NoDriveTypeAutoRun deleted successfully. ADS C:\WINDOWS\System32\ptipbm.dll:KAVICHS deleted successfully. ADS C:\WINDOWS\System32\Prounstl.exe:KAVICHS deleted successfully. ADS C:\WINDOWS\System32\IntelNic.dll:KAVICHS deleted successfully. ADS C:\WINDOWS\System32\e1000msg.dll:KAVICHS deleted successfully. ADS C:\WINDOWS\System32\e1000325.din:KAVICHS deleted successfully. ADS C:\WINDOWS\System32\drivers\ulsata.sys:KAVICHS deleted successfully. ADS C:\WINDOWS\System32\drivers\e1000325.sys:KAVICHS deleted successfully. ========== FILES ========== File\Folder C:\ProgramData\*.exe not found. File\Folder C:\ProgramData\*.dll not found. File\Folder C:\ProgramData\*.tmp not found. File\Folder C:\ProgramData\TEMP not found. File\Folder C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\*.exe not found. File\Folder C:\Dokumente und Einstellungen\homer\Anwendungsdaten\*.exe not found. File\Folder C:\Dokumente und Einstellungen\homer\Lokale Einstellungen\Anwendungsdaten\*.exe not found. File\Folder C:\Dokumente und Einstellungen\homer\Lokale Einstellungen\Anwendungsdaten\*.tmp not found. C:\Dokumente und Einstellungen\homer\Lokale Einstellungen\Temp\MSETUP4.EXE moved successfully. C:\Dokumente und Einstellungen\homer\Lokale Einstellungen\Temp\nerodeltmp.exe moved successfully. C:\Dokumente und Einstellungen\homer\Lokale Einstellungen\Temp\_is9.exe moved successfully. C:\Dokumente und Einstellungen\homer\Lokale Einstellungen\Temp\_isA0.exe moved successfully. C:\Dokumente und Einstellungen\homer\Lokale Einstellungen\Temp\_isA1.exe moved successfully. C:\Dokumente und Einstellungen\homer\Lokale Einstellungen\Temp\_isE2.exe moved successfully. C:\Dokumente und Einstellungen\homer\Lokale Einstellungen\Temp\_isE3.exe moved successfully. C:\Dokumente und Einstellungen\homer\Lokale Einstellungen\Temp\_isED.exe moved successfully. C:\Dokumente und Einstellungen\homer\Lokale Einstellungen\Temp\_isEE.exe moved successfully. File\Folder C:\Dokumente und Einstellungen\homer\*.exe not found. File\Folder C:\Dokumente und Einstellungen\homer\Startmenü\Programme\Autostart\ctfmon.lnk not found. File\Folder C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\ctfmon.lnk not found. Folder C:\Dokumente und Einstellungen\homer\Lokale Einstellungen\Anwendungsdaten\Sun\Java\Deployment\cache not found. < ipconfig /flushdns /c > Windows-IP-Konfiguration Der DNS-Auflösungscache wurde geleert. C:\Dokumente und Einstellungen\homer\Desktop\cmd.bat deleted successfully. C:\Dokumente und Einstellungen\homer\Desktop\cmd.txt deleted successfully. ========== COMMANDS ========== [EMPTYTEMP] User: All Users User: Default User ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 33170 bytes User: homer ->Temp folder emptied: 2407567600 bytes ->Temporary Internet Files folder emptied: 92788693 bytes ->Java cache emptied: 3326131 bytes ->FireFox cache emptied: 14367950 bytes ->Flash cache emptied: 15524 bytes User: LocalService ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 33170 bytes User: NetworkService ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 115751641 bytes %systemdrive% .tmp files removed: 0 bytes %systemroot% .tmp files removed: 2114764 bytes %systemroot%\System32 .tmp files removed: 0 bytes %systemroot%\System32\dllcache .tmp files removed: 0 bytes %systemroot%\System32\drivers .tmp files removed: 0 bytes Windows Temp folder emptied: 57180759 bytes RecycleBin emptied: 1806699010 bytes Total Files Cleaned = 4.291,00 mb OTL by OldTimer - Version 3.2.69.0 log created on 11292012_102119 Files\Folders moved on Reboot... PendingFileRenameOperations files... Registry entries deleted on Reboot... wolfmeissen |
02.12.2012, 16:12 | #8 |
/// Helfer-Team | BKA Malware (Bild 1.14 unter botfrei.de) Sehr gut! Wie laeuft der Rechner? 1. Schritt Bitte einen Vollscan mit Malwarebytes Anti-Malware machen und Log posten.danach: 2. Schritt Downloade Dir bitte AdwCleaner auf deinen Desktop.
|
04.12.2012, 11:13 | #9 |
| BKA Malware (Bild 1.14 unter botfrei.de) Hallo t'john, der Rechner läuft einwandfrei. Inzwischen habe ich mit den Tipps aus dem Board auch die Outlook-Datendateien wiederherstellen können. Ich habe die Scanns mit Anti-Maleware und AdwCleaner nochmal wiederholt (siehe Anlage). Ich denke, es ist geschafft. Vielen herzlichen Dank für Deine Hilfe. MfG wolfmeissen |
04.12.2012, 20:11 | #10 |
/// Helfer-Team | BKA Malware (Bild 1.14 unter botfrei.de) Sehr gut! Wie laeuft der Rechner? Malware-Scan mit Emsisoft Anti-Malware Lade die Gratisversion von => Emsisoft Anti-Malware herunter und installiere das Programm. Lade über Jetzt Updaten die aktuellen Signaturen herunter. Wähle den Freeware-Modus aus. Wähle Detail Scan und starte über den Button Scan die Überprüfung des Computers. Am Ende des Scans nichts loeschen lassen!. Mit Klick auf Bericht speichern das Logfile auf dem Desktop speichern und hier in den Thread posten. Anleitung: http://www.trojaner-board.de/103809-...i-malware.html |
07.12.2012, 14:31 | #11 |
| BKA Malware (Bild 1.14 unter botfrei.de) Hallo t'john, hier der Report: Code:
ATTFilter Emsisoft Anti-Malware - Version 7.0 Letztes Update: 07.12.2012 12:24:55 Scan Einstellungen: Scan Methode: Detail Scan Objekte: Rootkits, Speicher, Traces, C:\, D:\, E:\, F:\ Riskware-Erkennung: Aus Archiv Scan: An ADS Scan: An Dateitypen-Filter: Aus Erweitertes Caching: An Direkter Festplattenzugriff: Aus Scan Beginn: 07.12.2012 12:26:51 C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Avira\AntiVir Desktop\INFECTED\525e9311.qua -> (Quarantine-8) gefunden: Gen:Variant.Kazy.93968 (B) C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Avira\AntiVir Desktop\INFECTED\525e93f4.qua -> (Quarantine-8) gefunden: Gen:Variant.Kazy.93968 (B) C:\System Volume Information\_restore{E868A04B-79C9-4D49-9350-924F5E42C3BF}\RP6\A0007148.exe gefunden: Trojan-Spy.Win32.Agent.bsss.AMN (A) Gescannt 401601 Gefunden 3 Scan Ende: 07.12.2012 13:22:45 Scan Zeit: 0:55:54 C:\System Volume Information\_restore{E868A04B-79C9-4D49-9350-924F5E42C3BF}\RP6\A0007148.exe Quarantäne Trojan-Spy.Win32.Agent.bsss.AMN (A) C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Avira\AntiVir Desktop\INFECTED\525e9311.qua -> (Quarantine-8) Quarantäne Gen:Variant.Kazy.93968 (B) C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Avira\AntiVir Desktop\INFECTED\525e93f4.qua -> (Quarantine-8) Quarantäne Gen:Variant.Kazy.93968 (B) Quarantäne 3 wolfmeissen |
07.12.2012, 18:36 | #12 |
/// Helfer-Team | BKA Malware (Bild 1.14 unter botfrei.de) Sehr gut! Deinstalliere: Emsisoft Anti-Malware ESET Online Scanner Vorbereitung
|
10.12.2012, 11:50 | #13 |
| BKA Malware (Bild 1.14 unter botfrei.de) Hallo t'john, hier der Report: Code:
ATTFilter ESETSmartInstaller@High as downloader log: all ok # version=8 # OnlineScannerApp.exe=1.0.0.1 # OnlineScanner.ocx=1.0.0.6844 # api_version=3.0.2 # EOSSerial=1b1c164395f40b44a5d92a7b5edeaaf4 # end=finished # remove_checked=false # archives_checked=true # unwanted_checked=false # unsafe_checked=false # antistealth_checked=true # utc_time=2012-12-10 10:41:57 # local_time=2012-12-10 11:41:57 (+0100, Westeuropäische Normalzeit) # country="Germany" # lang=1033 # osver=5.1.2600 NT Service Pack 3 # compatibility_mode=1797 16775165 100 93 9894 91672973 2674 0 # scanned=90640 # found=0 # cleaned=0 # scan_time=4418 wolfmeissen |
10.12.2012, 13:45 | #14 |
/// Helfer-Team | BKA Malware (Bild 1.14 unter botfrei.de) Java aktualisieren Dein Java ist nicht mehr aktuell. Älter Versionen enthalten Sicherheitslücken, die von Malware missbraucht werden können.
Dann so einstellen: http://www.trojaner-board.de/105213-...tellungen.html Danach poste (kopieren und einfuegen) mir, was du hier angezeigt bekommst: PluginCheck Java deaktivieren Aufgrund derezeitigen Sicherheitsluecke: http://www.trojaner-board.de/122961-...ktivieren.html Danach poste mir (kopieren und einfuegen), was du hier angezeigt bekommst: PluginCheck |
04.01.2013, 11:20 | #15 |
| BKA Malware (Bild 1.14 unter botfrei.de) Hallo t'john, bitte entschuldige, dass ich mich erst jetzt wieder melde. Der Bekannte hat sich in der Zwischenzeit einen neuen Rechner zugelegt :-( Er wollte einfach nicht länger warten. Ich habe ihm jetzt seinen alten Rechner zurückgebracht und seine outlook dateien wieder eingespielt. Ich bin ehrlich gesagt ziemlich sauer, nach der ganzen Arbeit. Trotzdem möchte ich mich bei Dir nochmal recht herzlich für die Unterstützung bedanken und alles Gute für das Jahr 2013 wünschen. Mit vielen Grüßen wolfmeissen |
Themen zu BKA Malware (Bild 1.14 unter botfrei.de) |
aktionen, aktivitäten, befolgt, bild, clean, dateien, freunde, gefunde, gemeldet, informationen, kaspersky, malware, nicht sicher, rechner, regelmäßig, schei, schließe, seite, tr/bublik.dti, tr/repix.a, troja, trojaner-board, viren, weiteren, win |