GVU Trojaner - geht wieder aber wahrscheinlich nicht sauber

_tom_

Hab ein Laptop von ein Verwandt bekommen mit einer GVU Trojaner drauf - ich bin kein Expert aber der hat ganz wening Ahnung, also, ich bin tran. Deutsch ist nicht meine Muttersprache, also ich mach's so gut wie ich kann.

[GVU - ihr computer ist gesperrt]
Glaube dass ist eine "Verschlüsselungs-Trojaner" gennant?
Opera ist default Browser - Trojan ist wahrend browsen mit Opera bekommen.

----------
DETAILs:
----------
Windows 7 Service Pack 1 x64 NTFS (Deutsch)
Internet Explorer 9.0.8112.16421
"User" Konto mit UAC
Alles ist auf "C" partition; "Q" ist recovery; und es gibts eine MS Office partition.
(Lenovo Notebook)

Das "User" Konto ist infiziert - kam immer eine Vollbild Warnung mit Geld wunsch.
Alt+Tab funktioniert nicht
Mit Ctrl+Alt+Del kann ich abmelden/ausschalten - aber die "Task Manager" funktioniert nicht.
Hab Ctrl+Shift+Esc vergessen ...

-------------

Was ich bis jetzt gemacht habe:
das machine könnte nicht gestartet werden. Der besitzer hat kein Recovery disk, also ich habe versucht mit meinem. Ich habe damit ein System Restore machen konnen. *Danach startet das OK*

# Malwarebytes war schon drauf - neuste version, ich hab "mbam-rules.exe" benutzt (Datenbank Version: v2013.01.07.06)
# Auch Avira 'Internet Security 2012' ist drauf - dass habe ich updated per internet.
Ich habe verscheidene scans mit denen gemacht (inklusive Vollstandige scans von allem mit beidem); auch eine Avira 'Suche nach Rootkits und Aktiver Malware' scan.)

------------------------------
Folgendes gefunden - alles mit Avira außer eine mit Malwarebytes (markiert):
------------------------------
____________________
13.01.2013, 18:52:03
Die Datei 'C:\Users\____\AppData\Local\Temp\jar_cache7117247631116606110.tmp'
enthielt einen Virus oder unerwünschtes Programm 'EXP/CVE-2011-3544' [exploit].
Durchgeführte Aktion(en):
Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '57ae5a7f.qua' verschoben!
____________________
13.01.2013, 20:33:43
In der Datei 'C:\Users\____\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\12\49500e8c-2f6b710b'
wurde ein Virus oder unerwünschtes Programm 'RKIT/Agent.139264.2' [trojan] gefunden.
Ausgeführte Aktion: Zugriff verweigern
____________________
13.01.2013, 20:37:03
Die Datei 'C:\Users\____\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\12\49500e8c-2f6b710b'
enthielt einen Virus oder unerwünschtes Programm 'RKIT/Agent.139264.2' [trojan].
Durchgeführte Aktion(en):
Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '54f4a31b.qua' verschoben!
___________________________
*MALWAREBYTES* - 14.01.2013
Voll und Quick scans gemacht - neuste version mit updates (Datenbank Version: v2013.01.07.06). EINS GEFUNDEN:
Infizierte Dateien: 1
C:\Users\____\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runctf.lnk (Trojan.Ransom.SUGen) -> Erfolgreich gelöscht und in Quarantäne gestellt.
____________________
14.01.2013, 17:08:54
In der Datei 'C:\Users\____\wgsdgsdgdsgsd.exe'
wurde ein Virus oder unerwünschtes Programm 'RKIT/Agent.139264.2' [trojan] gefunden.
Ausgeführte Aktion: Zugriff verweigern
____________________
14.01.2013, 17:12:12
Die Datei 'C:\Users\____\wgsdgsdgdsgsd.exe'
enthielt einen Virus oder unerwünschtes Programm 'RKIT/Agent.139264.2' [trojan].
Durchgeführte Aktion(en):
Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '54a98018.qua' verschoben!
____________________
14.01.2013, 23:44:13
Die Datei 'C:\Users\____\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\56\4733da38-321fcca9'
enthielt einen Virus oder unerwünschtes Programm 'EXP/CVE-2013-0422' [exploit].
Durchgeführte Aktion(en):
Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '57c52e4f.qua' verschoben!

=====================

Noch dem Fund von Malwarebytes [runctf.lnk (Trojan.Ransom.SUGen)], kann ich im user Konto. Kein Sperrung mehr.
Die Daten sehen OK aus - habe die wichtigste Dokumente kopiert auf eine USB Stick

Wie soll ich weiter gehen?

Ich vermute ich soll u.a. prüfen ob eine neue System restore gemacht worden ist - und falls ja, das löschen.

Vielen Dank im Voraus, Tom
- dass hier ist eine Super Forum