Laptop mit Windows Vista (32bit) infiziert mit JS/Agent.480412 (BKA-Trojaner)

imhotep

Liebes Trojaner-Board-Team,

leider habe ich mir jüngst eine Variante des BKA-Trojaners eingefangen und zwar handelt es sich wohl laut avira um JS/Agent.480412.

Zunächst habe ich mir im abgesicherten Modus den aktuellen winlogon-Pfad angeschaut, der eingetragene Wert war der normale explorer.exe; ein Zurücksetzen des Systems via rstrui.exe scheiterte, weil kein Wiederherstellungspunkt gefunden wurde, obwohl bei jedem Windows-Update meines Wissens ein Wiederherstellungszeitpunkt erstellt wurde.

Ich habe mir Kaspersky Windows Unlocker Software sowie das Avira-Rettungskit via botfrei per Zweitrechner auf CD gebrannt (booten via usb-stick hat bei diversen Versuchen bei meinem infizierten Stamm-Laptop nicht funktioniert) und mehrfach probiert, damit meinen Laptop (OS ist übrigens Windows Vista, 32bit) wieder zum Laufen zu bringen, allerdings schaltet sich mein Gerät irgendwann während des Ladens der CDs beim Boot-Vorgang einfach ab, ein halbes Dutzend Mal ist es mir so ergangen, egal ob ich Kaspersky oder Avira Rescue nutze.

Daraufhin habe ich über das zweite Benutzerkonto meiner Freundin, das keine Administrator-Rechte besitzt, das Notebook hochgefahren und über dieses dann einen Vollscan mit Avira (kostenlose Antivir-Version) gemacht, in der Hoffnung, dem Virus damit beizukommen.

Avira hat hierbei zweifach das Java-Scriptvirus JS/Agent.480412 sowie einmal den Exploit EXP/Java.HLP.FW gefunden, laut Avira-Report konnte JS/Agent.480412 einmal ins Quarantäneverzeichnis verschoben werden sowie auch der Exploit; das zweite JS/Agent.480412 enthält im antivir-Report den Hinweis, daß es nicht ins Quarantäneverzeichnis verschoben werden konnte: "Fehler in der ARK-library. Die Datei wurde zum Löschen nach einem Neustart markiert."

Habe dann die Dateien in der Quarantäne gelöscht und neu gestartet. Wenn ich mich über mein Hauptnutzerkonto beim System anmelde, erscheint kurz nach Hochfahren des Desktop-Bildschirms wieder der Sperrbildschirm des Virus, ein Betrieb meines Geräts ist daher zur Zeit nur über den account meiner Freundin möglich.

Hab´ nun Euer Board hier entdeckt und würde mich über Hinweise zu einer Lösung meines Problems sehr freuen, Sorgen macht mir die Unmöglichkeit, das System derzeit per Rettungs-CD hochzufahren, aber evtl. gibt es eine Einfallstür über den Zweitaccount?


Herzlichen Dank im voraus für Eure Mühen & Beste Grüße

imhotep