Sehr geehrte Damen und Herren,
seit einiger Zeit erscheint kurz nach dem Hochfahren ein Bildschirm, den man nicht entfernen oder umgehen kann. Der Hintegrund ist weiß. Die Überschrift lautet "GVU" und ferner befindet sich ein Logo mit Bundesadler, Nationalfarben und dem Schriftzug "Bundesamt für Sicherheit in der Informationstechnik". Links oben ist ein Webcam-Symbol und ein Fenster zu sehen, deren Inhalt das Bild der eigenen Webcam sein soll. Darunter stehen IP-Adresse, Provider und Ort, der auch noch falsch ist. Darunter steht weiß auf blauem Hintergrund "Ihr Computer wurde gesperrt!" Wiederum darunter stehen verschiedene Auszüge aus dem StGB. Rechts steht, wie man die Zahlung abzuwickeln hat, um einer Anzeige zu entgehen, für die man 48 Stunden Zeit hat. Die Zahlungsmethode nennt sich "Paysafecard". Sie beinhaltet den Kauf von Coupons an einer Tankstelle, deren Code unten rechts eingegeben werden muss.
Ich bin nun im abgesicherten Modus mit Netzwerktreibern im Internet, um dies zu verfassen. In ebendiesem Modus führte ich einen Quick Scan mit OTL durch. Der Log befindet sich im Anhang. Auf diesem Rechner war schon einmal ein Trojaner dieser Art, mit ähnlichem Inhalt, aber anderen Farben. Genaueres weiß ich nicht mehr.
Das System ist Windows Vista, 32bit. Beim Scan mit OTL kam folgende Fehlermeldung: "Win32 Error. Code:23. Datenfehler (CRC-Prüfung)". Es gibt leider keine "Extras.txt", jedoch eine "OTL.txt".
Ich hoffe auf baldige Hilfe. Mit freundlichen Grüßen,
Martin R.

Dir ist schon klar, dass das aussternen sinnlos war?

Computer Name: VANESSAREICH-PC | User Name: *** | Logged in as Administrator.

Lesestoff:
******
Du hast deinen Namen unkenntlich gemacht. Dies macht es auch gleichzeitig schwerer für mich deine Logfiles auszuwerten und dir ein Fixskript zu schreiben. Mache deinen Namen bitte nur dann unkenntlich, wenn es unbedingt nötig ist. Entscheidest du dich dennoch dazu mußt du jedesmal die *** wieder gegen den Benutzernamen austauschen.

Ich werde dir bei deinem Problem helfen. Eine Bereinigung ist mitunter mit viel Arbeit für Dich (und mich) verbunden. Bevor es los geht, habe ich etwas Lesestoff für dich.

Lesestoff:
Regeln für die Bereinigung
Damit die Bereinigung funktioniert bitte ich dich, die folgenden Punkte aufmerksam zu lesen:

• Bitte arbeite alle Schritte der Reihe nach ab. Gib mir bitte zu jedem Schritt Rückmeldung (Logfile oder Antwort) und zwar gesammelt, wenn du alles erledigt hast.
• Nur Scanns durchführen zu denen Du von einem Helfer aufgefordert wirst.
• Bitte kein Crossposting (posten in mehreren Foren).
• Installiere oder Deinstalliere während der Bereinigung keine Software, ausser Du wurdest dazu aufgefordert.
• Lese Dir die Anleitung zuerst vollständig durch. Sollte etwas unklar sein, frage bevor Du beginnst.
• Poste die Logfiles direkt in deinen Thread (möglichst in Code-Tags). Nicht anhängen ausser ich fordere Dich dazu auf, oder das Logfile wäre zu gross. Erschwert mir nämlich das Auswerten.
• Mache deinen Namen nur dann unkenntlich, wenn es unbedingt sein muss.
• Beim ersten Anzeichen illegal genutzer Software (Cracks, Patches und Co) wird der Support ohne Diskussion eingestellt.
• Sollte ich nicht nach 3 Tagen geantwortet haben, dann (und nur dann) schicke mir bitte eine PM.
• Eine Bitte: Mache bitte solange mit, bis ich oder ein anderer Helfer dir mitteilt, dass du "sauber" bist. Das gebietet alleine schon die Höflichkeit und ein Verschwinden der Symptome bedeutet nicht, dass die Schädlinge auch wirklich alle entfernt wurden.
• Hinweis: Ich kann Dir niemals eine Garantie geben, dass ich auch alles finde. Eine Formatierung ist meist der Schnellere und immer der sicherste Weg.

Wenn du das alles gelesen und verstanden hast, kannst du loslegen!

Schritt 1:
Fix mit OTL

Warnung: Dieses Skript wurde nur für diesen User und diese spezielle Situation geschrieben. Auf anderen Computern ausgeführt kann es nachhaltige Schäden anrichten!
Hinweis: Wenn du deinen Benutzernamen unkenntlich gemacht hast, musst du wieder deinen richtigen Namen einsetzen, ansonsten wird das Skript nicht funktionieren.

• Starte bitte die OTL.exe.
• Kopiere nun den Inhalt aus der Codebox in die Textbox.

:OTL
DRV - File not found [Kernel | Boot | Stopped] -- C:\Windows\System32\Drivers\fb1d927f557e62b3.sys -- (fb1d927f557e62b3)
O4 - Startup: C:\Users\***\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ctfmon.lnk = C:\ProgramData\lsass.exe (Microsoft Corporation)
[2012.11.25 15:03:55 | 095,023,320 | ---- | M] () -- C:\ProgramData\0tbpw.pad


:commands
[Emptytemp]
         

• Schliesse bitte nun alle Programme.
• Klicke nun bitte auf den Fix Button.
• OTL kann gegebenfalls einen Neustart verlangen. Bitte dies zulassen.
• Nach dem Neustart findest Du ein Textdokument auf deinem Desktop. ( Auch zu finden unter C:\_OTL\MovedFiles\<time_date>.txt)
• Kopiere nun den Inhalt hier in deinen Thread, möglichst in Code-Tags.

Hinweis: Die Ausführung des Kommandos kann einige Minuten dauern und OTL scheint in dieser Zeit nicht zu reagieren. Bitte geduldig sein!

Schritt 2:
Normal booten und in das infizierte Konto einloggen

Schritt 3:
Lösche OTL und lade dir die neuste Version herunter.

Schritt 4:
Kontrollscan mit OTL

• Starte bitte OTL.exe - falls noch nicht vorhanden: LINK
• Stelle sicher, dass "Alle Benuzter Scannen" angehakt ist!
• Drücke den Quick Scan Button.
• Poste die OTL.txt hier in deinen Thread.

Hallo,

bis jetzt sieht es super aus. Vielen Dank schonmal bis hierhin! Das ominöse Fenster zeigte sich nicht mehr. Das mit dem PC-Namen war peinlich. Dennoch lege ich weiterhin Wert auf Anonymität. Ich habe alle Schritte befolgt, also normal gebootet, eingeloggt in den Admin-Account, OTL aktualisiert und einen Quick Scan über alle Benutzer gemacht. Die Logs befinden sich gezippt im Anhang. Mit freundlichen Grüßen,
Martin R.

Lesestoff:
Posten in CODE-Tags
Die Logfiles anzuhängen oder sogar vorher in ein ZIP, RAR, 7Z-Archive zu packen erschwert mir massiv die Arbeit, es sei denn natürlich die Datei wäre ansonsten zu gross für das Forum. Um die Logfiles in eine CODE-Box zu stellen gehe so vor:

• Markiere das gesamte Logfile (geht meist mit STRG+A) und kopiere es in die Zwischenablage mit STRG+C.
• Klicke im Editor auf das #-Symbol. Es erscheinen zwei Klammerausdrücke [CODE] [/CODE].
• Setze den Curser zwischen die CODE-Tags und drücke STRG+V.
• Klicke auf Erweitert/Vorschau, um so prüfen, ob du es richtig gemacht hast. Wenn alles stimmt ... auf Antworten.

-------------

Hallo, benötigst Du noch weiterhin Hilfe ?

Sollte ich innerhalb der nächsten 24 Stunden keine Antwort von dir erhalten, werde ich dein Thema aus meinen Abos nehmen und bekomme dadurch keine Nachricht über neue Antworten.

Das Verschwinden der Symptome bedeutet nicht, dass dein System schon sauber ist

Hi,

ich wusste jetzt nicht, ob es das schon war. Funktionieren tut's, ich dachte nur, die Kontrolllogs hätten noch eine gute/schlechte Nachricht parat. Vielen Dank für deine Hilfe und sorry für nerviges zippen/"nicht in Code-Tags" posten. Falls es also fertig ist hier, alles Gute und bis (hoffentlich nicht allzu) bald. Gruß,
Martin

Schön, dass wir helfen konnten

Dieses Thema scheint erledigt und wird aus meinen Abos gelöscht. Solltest Du das Thema erneut brauchen schicke mir bitte eine PM.

Jeder andere bitte hier klicken und einen eigenen Thread erstellen