Trojaner: runctf.lnk - kein desktop

Angebo

Hallo,

ich habe mir heute (mal wieder....) diesen nervigen BKA-Trojaner eingefangen. Diesmal ist mein Virenscanner jedoch nicht in der Lage gewesen, das ganze mit einem Neustart zu beheben.
Also habe ich den abgesicherten Modus versucht - nur um fest zu stellen, dass der Virus sogar da den Bildschirm überlagert.

Wenn ich mich jedoch ganz normal anmelde, läuft das darauf hinaus, dass ich vor einem schwarzen Bildschirm hocke - vergleichbar damit, wenn die "explorer.exe" abstürzt. Über den Taskmanager -> Neuer Task schaffe ich es mittlerweile, ein paar Programme zum laufen zu bringen - u.a. Mozilla. Wenn ich die "explorer.exe" starte, öffnet sich jedoch nur das Laufwerk. Auf die gespeicherten Daten habe ich wie es aussieht zugriff.

Ich habe über msconfig -> Autostart die Datei "runctf" ausgemacht und ausgeschaltet, anschließend in den Ordner "C:\Users\Andreas\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" verfolgt und gelöscht - oben genanntes Problem besteht weiterhin. Aus dem Papierkorb ist die Datei mittlerweile verschwunden.


Ich möchte gerne meinen Rechner neu aufsetzen, da das letzte Mal schon ein ganzes Weilchen her ist und er im Laufe der Zeit immer mehr Macken gekriegt hat.
Allerdings sind auf dem PC noch einige Daten, die ich nur sehr ungern opfern würde. Außerdem war zum Zeitpunkt der Infektion meine Externe Festplatte angeschlossen, auf der sich für mich durchaus wichtige Daten befinden, keine Ahnung ob diese bereits infiziert sind.


Mir ist es nicht wichtig, ob mein System vollständig bereinigt wird - das erledigt sich in ein paar Tagen mit dem neu aufsetzen von selbst. Allerdings möchte ich vorher gern 1. die gewünschten Dateien von meiner Festplatte retten und 2. meine externe Festplatte säubern, BEVOR ich sie an den neu aufgesetzten PC anschließe.

Dazu stellen sich mir noch ein paar Fragen:
- Kann ich meine Festplatte wieder an den PC anschließen (ich habe sie kurz nach der Infektion getrennt), ohne großen Schaden an zu richten?
- Kann ich Programme wie TS, ICQ weiter nutzen oder verbreite ich dadurch den Trojaner nur? Das möchte ich auf jeden Fall verhindern.


Malwarebyte-Scan (ohne externe Festplatte):



Malwarebytes Anti-Malware (Test) 1.70.0.1100
www.malwarebytes.org

Datenbank Version: v2013.01.18.09

Windows 7 Service Pack 1 x64 NTFS
Internet Explorer 9.0.8112.16421
Andreas :: PC_ANDREAS [Administrator]

Schutz: Aktiviert

18.01.2013 23:31:08
MBAM-log-2013-01-19 (00-27-28).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|)
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 434821
Laufzeit: 35 Minute(n), 36 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 4
HKCR\CLSID\{C0F1636E-13A8-4C84-BB11-774BE45E1F83} (Trojan.Banker) -> Keine Aktion durchgeführt.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{C0F1636E-13A8-4C84-BB11-774BE45E1F83} (Trojan.Banker) -> Keine Aktion durchgeführt.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{C0F1636E-13A8-4C84-BB11-774BE45E1F83} (Trojan.Banker) -> Keine Aktion durchgeführt.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{C0F1636E-13A8-4C84-BB11-774BE45E1F83} (Trojan.Banker) -> Keine Aktion durchgeführt.

Infizierte Registrierungswerte: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung: 1
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon|Shell (Exploit.Drop.GSA) -> Bösartig: (C:\PROGRA~3\dsgsdgdsgdsgw.bat) Gut: () -> Keine Aktion durchgeführt.

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 5
C:\Users\Andreas\AppData\Roaming\AcroIEHelpe252.dll (Trojan.Banker) -> Keine Aktion durchgeführt.
C:\ProgramData\dsgsdgdsgdsgw.bat (Exploit.Drop.GSA) -> Keine Aktion durchgeführt.
C:\ProgramData\dsgsdgdsgdsgw.pad (Exploit.Drop.GSA) -> Keine Aktion durchgeführt.
C:\ProgramData\dsgsdgdsgdsgw.reg (Exploit.Drop.GSA) -> Keine Aktion durchgeführt.
C:\Users\Andreas\AppData\Roaming\appConf32.exe (Backdoor.Agent) -> Keine Aktion durchgeführt.

(Ende)