Hallo,
ich habe den Lappi einer Freundin hier stehen und sie hat sich den GVU-Trojaner eingefangen.
Hab mal versucht mit der Kasperski-RescueCD das Ding zu entfernen, aber leider ohne Erfolg. Nach dem Neustart kommt wieder das Bild mit der Zahlungsaufforderung.
Das allerdings auch nur wenn eine Internetverbindung besteht. Schalte ich das WLAN ab und starte den Lappi, komme ich ganz normal rein in Windows.

Hab dann auch mal die geforderten logs erstellt, ich häng diese mal an...

Danke schon mal im Vorraus...

Gruß
Phil

hi

dieses script sowie evtl. folgende scripts sind nur für den jeweiligen user.
wenn ihr probleme habt, eröffnet eigene topics und wartet auf, für euch angepasste scripts.


• Starte bitte die OTL.exe
• Kopiere nun das Folgende in die Textbox.

:OTL
O33 - MountPoints2\{1b924642-6a3e-11de-906a-0013ce6c6a83}\Shell - "" = AutoRun
O33 - MountPoints2\{1b924642-6a3e-11de-906a-0013ce6c6a83}\Shell\AutoRun - "" = Auto&Play
O33 - MountPoints2\{1b924642-6a3e-11de-906a-0013ce6c6a83}\Shell\AutoRun\command - "" = E:\AutoRun.exe
O33 - MountPoints2\{81010a9a-918b-11df-90ea-0013ce6c6a83}\Shell - "" = AutoRun
O33 - MountPoints2\{81010a9a-918b-11df-90ea-0013ce6c6a83}\Shell\AutoRun - "" = Auto&Play
O33 - MountPoints2\{81010a9a-918b-11df-90ea-0013ce6c6a83}\Shell\AutoRun\command - "" = E:\AutoRun.exe
O33 - MountPoints2\{a04ed99a-b4cf-11df-90fc-0013ce6c6a83}\Shell - "" = AutoRun
O33 - MountPoints2\{a04ed99a-b4cf-11df-90fc-0013ce6c6a83}\Shell\AutoRun - "" = Auto&Play
O33 - MountPoints2\{a04ed99a-b4cf-11df-90fc-0013ce6c6a83}\Shell\AutoRun\command - "" = H:\LaunchU3.exe -a
O33 - MountPoints2\{a04ed99b-b4cf-11df-90fc-0013ce6c6a83}\Shell - "" = AutoRun
O33 - MountPoints2\{a04ed99b-b4cf-11df-90fc-0013ce6c6a83}\Shell\1\Command - "" = I:\.\RECYCLER\Lcass.exe
O33 - MountPoints2\{a04ed99b-b4cf-11df-90fc-0013ce6c6a83}\Shell\2\Command - "" = I:\.\RECYCLER\Lcass.exe
O33 - MountPoints2\{a04ed99b-b4cf-11df-90fc-0013ce6c6a83}\Shell\AutoRun - "" = Auto&Play
O33 - MountPoints2\{a04ed99b-b4cf-11df-90fc-0013ce6c6a83}\Shell\AutoRun\command - "" = C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL .\RECYCLER\Lcass.exe
O33 - MountPoints2\{ea62848b-1a15-11df-90ab-0013ce6c6a83}\Shell - "" = AutoRun
O33 - MountPoints2\{ea62848b-1a15-11df-90ab-0013ce6c6a83}\Shell\AutoRun - "" = Auto&Play
O33 - MountPoints2\{ea62848b-1a15-11df-90ab-0013ce6c6a83}\Shell\AutoRun\command - "" = E:\LaunchU3.exe -a
O33 - MountPoints2\{ea62848c-1a15-11df-90ab-0013ce6c6a83}\Shell - "" = AutoRun
O33 - MountPoints2\{ea62848c-1a15-11df-90ab-0013ce6c6a83}\Shell\1\Command - "" = I:\.\RECYCLER\Lcass.exe
O33 - MountPoints2\{ea62848c-1a15-11df-90ab-0013ce6c6a83}\Shell\2\Command - "" = I:\.\RECYCLER\Lcass.exe
O33 - MountPoints2\{ea62848c-1a15-11df-90ab-0013ce6c6a83}\Shell\AutoRun - "" = Auto&Play
O33 - MountPoints2\{ea62848c-1a15-11df-90ab-0013ce6c6a83}\Shell\AutoRun\command - "" = C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL .\RECYCLER\Lcass.exe
[2012.12.22 17:46:12 | 095,023,320 | ---- | M] () -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\0tbpw.pad
 :Files
:Commands
[EMPTYFLASH] 
[emptytemp]
         

• Schliesse bitte nun alle Programme.
• Klicke nun bitte auf den Fix Button.
• OTL kann gegebenfalls einen Neustart verlangen. Bitte dies zulassen.
• Nach dem Neustart findest Du ein Textdokument, dessen inhalt in deiner nächsten antwort hier reinkopieren.

Hi, Danke für die schnelle Antowort.

Bisher hab ich auch das WLAN noch nicht wieder eingeschaltet, weiß nicht ob das von wichtigkeit ist!? Also daher startet der Lappi ja ganz normal, ohne den lästigen GVU.

Hier ist aber der Log nach dem Neustart...

Hi
inet sollte gehen, bitte testen.
download tdss killer:
http://www.trojaner-board.de/82358-t...entfernen.html
Klicke auf Change parameters
• Setze die Haken bei Verify driver digital signatures und Detect TDLFS file system
• Klick auf OK und anschließend auf Start scan
- bei funden erst mal immer skip wählen, log posten

Hey,

Internet geht... also er fährt ganz normal hoch, ohne GVU-Bild.

hier der log...

Hi,
combofix:

Combofix darf ausschließlich ausgeführt werden, wenn dies von einem Team Mitglied angewiesen wurde!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich
ziehen und eine Bereinigung der Infektion noch erschweren.

Downloade dir bitte Combofix von einem dieser Downloadspiegel

Link 1
Link 2


WICHTIG - Speichere Combofix auf deinem Desktop

• Deaktiviere bitte all deine Anti Viren sowie Anti Malware/Spyware Scanner. Diese können Combofix bei der Arbeit stören.

Starte die Combofix.exe und folge den Anweisungen auf dem Bildschirm.

Wenn Combofix fertig ist, wird es eine Logfile erstellen. Bitte poste die C:\Combofix.txt in deiner nächsten Antwort.


Hinweis: Solltest du nach dem Neustart folgende Fehlermeldung erhalten

Es wurde versucht, einen Registrierungsschlüssel einem ungültigen Vorgang zu unterziehen, der zum Löschen markiert wurde.

starte den Rechner einfach neu. Dies sollte das Problem beheben.

Hey,
ich hab so gut es ging alles beendet. Trotzdem sagte mir Combofix,dass noch der Avira Personal Virusscanner aktiv wäre!? War er aber definitiv nicht, also mehr als beenden und den Guard deaktiviren kann ich doch nicht oder?

Das Programm ist trotzdem angelaufen, ich hoffe es hat jetzt nicht weiter gestört!? Da es angelaufen ist, konnte ich Antivir auch nicht mehr komplett deinstallieren, was ja evtl. den Konflikt behoben hätte!?

Das Problem mit der Fehlermeldung und dem damit verbundenen Neustart hatte ich nicht.

Hier ist der Log...

Hi,
lade den CCleaner standard:
CCleaner Download - CCleaner 3.26.1888
falls der CCleaner
bereits instaliert, überspringen.
öffnen, Tools,uninstall Llist, als txt speichern. öffnen.
hinter, jedes von dir benötigte programm, schreibe notwendig.
hinter, jedes, von dir nicht benötigte, unnötig.
hinter, dir unbekannte, unbekannt.
liste posten.

Hey,
da es ja nicht mein Rechner ist, hab ich jetzt einfach mal die Liste so gemacht wie ich meine das es so in Ordnung ist!

Ist der Trojaner denn nun wech?

Hier die Liste...

Hi, dann frag bitte den Besitzer und bearbeitet die liste.

Guten Morgen,
Da der Besitzer eine Frau ist, also eine Besitzerin die wenig bis keine Ahnung von Computern hat, kannst du dir sicher auch vorstellen, dass ich anstatt sie auch meine Kaffeemaschine hätte fragen können!
Sie sagte mir, sie bräuchte 2 Ordner mit Fotos usw., das ist alles...

Was nun?

deinstaliere:
Adobe Flash Player alle
Adobe - Adobe Flash Player installieren
neueste version laden
adobe reader:
Adobe - Adobe Reader herunterladen - Alle Versionen
haken bei mcafee security scan raus nehmen

bitte auch mal den adobe reader wie folgt konfigurieren:
adobe reader öffnen, bearbeiten, voreinstellungen.
allgemein:
nur zertifizierte zusatz module verwenden, anhaken.
internet:
hier sollte alles deaktiviert werden, es ist sehr unsicher pdfs automatisch zu öffnen, zu downloaden etc.
es ist immer besser diese direkt abzuspeichern da man nur so die kontrolle hat was auf dem pc vor geht.
bei javascript den haken bei java script verwenden raus nehmen
bei updater, automatisch instalieren wählen.
übernehmen /ok



deinstaliere:
Google Toolbar
ICQ
J2SE : alle

Java: alle
Yahoo
Öffne CCleaner, analysieren, starten, PC neustarten.


Downloade Dir bitte AdwCleaner auf deinen Desktop.

• Schließe
  alle offenen Programme und Browser.
• Starte die adwcleaner.exe mit einem Doppelklick.
• Klicke auf Löschen.
• Bestätige jeweils mit Ok.
• Dein
  Rechner wird neu gestartet, je nach Schwere der Infektion auch mehrmals - das ist normal. Nach dem Neustart öffnet sich eine Textdatei.
• Poste mir den
  Inhalt mit deiner nächsten Antwort.
• Die Logdatei findest du auch unter C:\AdwCleaner[Sx].txt. (x = fortlaufende Nummer)

Tach ...

Die ICQ-Toolbar lies sich nicht entfernen, der Rest ist aber deinstalliert worden.

Hier der Log vom adwcleaner.

Hi,
neustarten, teste bitte, wie der PC + Programme laufen.

So auf den ersten Blick scheint alles ok zu sein, also alles läuft normal.

Wie gehts weiter oder sind wir dann damit durch?