Guten Abend,

ich habe mir heute einen Schädling eingefangen. Ich vermute, dass es sich um eine Variante des GVU-Trojaners handelt. Die Symptome sind/waren folgende:

Beim Neustart des Systems kam für kurze Zeit mein Hintergrundbild und die Taskleiste und dann im Vollbildmodus eine Warnung der GVU, dass ich denen Geld überweisen soll. Den Taskmanager konnte ich zwar noch starten, aber er war nicht sichtbar. Nach Starten im abgesicherten Modus, in dem ich aber keinerlei Veränderungen am System durchgeführt habe, konnte ich Windows wieder normal starten. Im Abgesicherten Modus hat sich lediglich der Windows Explorer etwa alle 15 Sekunden neu gestartet, weshalb ich nochmals versucht habe normal zu starten.
Seitdem habe ich Antivir und Malwarebytes durchlaufen lassen und die gefunden Objekte in die Quarantäne verschoben (Antivir) und entfernt (Malwarebytes).
Die Logfiles sind im Archiv im Anhang zusätzlich zu OTL.txt und Extras.txt zu finden.

Da mir trotzdem etwas unwohl mit dem Gedanken ist, mein System könnte kompromitiert sein, und ich meinen Laptop schon seit langer Zeit nicht mehr formatiert habe, möchte ich dies nun tun.

Meine erste Frage hierzu ist Folgende:
Auf den Partitionen D und E sind größtenteils nur Daten gespeichert, die ich ansonsten auf eine externe Festplatte überspielt hätte um bei der Neuinstallation von Windows alle Partitionen löschen zu können und alle neu zu formatieren. Das hin- und herkopieren dauert aber sehr lange.
Ist es denn überhaupt sinnvoll die Daten einfach nur zu sichern und danach wieder aufzuspielen oder erreiche ich damit das selbe, wie wenn ich die beiden Partitionen D und E gar nicht formatieren würde?

Meine zweite Frage betrifft das neu Aufsetzen des Systems:
In anderen Beiträgen habe ich gelesen, dass es unter Umständen sinnvoll ist die MBR zu überschreiben (http://www.trojaner-board.de/105771-...rtitionen.html).
Das habe ich zuvor noch nie gemacht, wenn ich meinen Rechner neu aufgesetzt habe. Ist das nun sinnvoll?

Hallo,

einfach von der Windows-DVD booten und im Setup die Windows-Systempartition formatieren. Die anderen Partitionen einfach in Ruhe lassen.
Während der Neuinstallation wird auch der MBR neu geschrieben.

Vielen Dank für die rasche Antwort.

Also kann ich die 2 "Datenpartitionen" einfach so belassen wie sie sind?
Sollte ich vor / nach der Formatierung noch einen Onlinescan durchführen um die Datenpartitionen zu überprüfen?

Sollte ich vor / nach der Formatierung noch einen Onlinescan durchführen um die Datenpartitionen zu überprüfen?

Ja ist ratsam, mach es am besten mit ESET:
ESET Online Scanner

• Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
• Lade und starte Eset Online Scanner
• Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
• Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
• Klicke auf Starten.
• Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
• Klicke am Ende des Suchlaufs auf Fertig stellen.
• Schließe das Fenster von ESET.
• Explorer öffnen.
• C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
• Logfile hier posten.
• Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
• Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

Hier ist das Logfile des ESET Onlinescans:
Alle Funde sind auf der C-Partition. Kann ich also nun C formatieren und die beiden Datenpartitionen belassen wie sie sind?

ESETSmartInstaller@High as downloader log:
all ok
# version=8
# OnlineScannerApp.exe=1.0.0.1
# OnlineScanner.ocx=1.0.0.6844
# api_version=3.0.2
# EOSSerial=a280cffdd7840a4faf11225b09d956ad
# end=finished
# remove_checked=false
# archives_checked=true
# unwanted_checked=false
# unsafe_checked=false
# antistealth_checked=true
# utc_time=2012-12-31 02:24:43
# local_time=2012-12-31 03:24:43 (+0100, Mitteleuropäische Zeit)
# country="Germany"
# lang=1033
# osver=6.1.7601 NT Service Pack 1
# compatibility_mode=1799 16775165 100 96 70848 222387173 16352 0
# compatibility_mode=5893 16776574 100 94 280678 108593733 0 0
# scanned=133697
# found=3
# cleaned=0
# scan_time=3184
C:\ProgramData\dsgsdgdsgdsgw.js	JS/Agent.NID trojan (unable to clean)	6735C06A1232F879CB7A37A306C50438C41B2602	I
C:\Users\All Users\dsgsdgdsgdsgw.js	JS/Agent.NID trojan (unable to clean)	6735C06A1232F879CB7A37A306C50438C41B2602	I
C:\Users\***\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\30\1ede2ede-35891cbe	Win32/Reveton.O trojan (unable to clean)	1FD60BE31BA20447F3B4B5B0EACC90120053633B	I
         

Ja kannst du so machen