Guten Abend,

habe hier einen Rechner von einem Bekannten, der mit der neuen GVU Variante befallen ist.

Habe mir am Anfang nichts dabei gedacht und mit der Kaspersky / Gdata Rescue Disk durchgescannt, gefunde Befunde gelöscht und gewundert ...

Erst dann ist mir aufgefallen, dass es sich hierbei um eine neue Variante handelt, da ich nicht in den abgesicherten Modus komme (Neustart).

Im Anhang befindet sich einmal ein OTL(PE) Log und ein eventueller Fix? (Habe ihn noch nicht ausgeführt, weil da sicher noch etwas fehlt :P)

Ich bedanke mich schon mal im vorraus,

Gruß
Simon

Hallo Simon,

Habe mir am Anfang nichts dabei gedacht und mit der Kaspersky / Gdata Rescue Disk durchgescannt, gefunde Befunde gelöscht und gewundert ...

Kannst du mir bitte bevor wir zum Fix übergehen zuerst noch die Logs von diesen Scans nachreichen, wo aufgeführt ist, was da genau gelöscht wurde?

Einen (alten) Malewarebytes Scan habe ich noch mit einer Windows 7 PE durchgejagt.

Anhang:
Kaspersky, Gdata, Malewarebytes, Kaspersky Unlocker

Eine HitmanPro USB Stick Variante hatte ich auch ausprobiert, leider ohne Erfolg, es kam keine grüne Oberfläche.

Gruß
Simon

Hallo Simon,

wie ist die Situation nach folgendem Fix?

• Starte den infizierten Rechner mit der OTLpe-CD und öffne OTLpe.
• Kopiere nun den folgenden Inhalt aus der Codebox in die Textbox.
  Wichtig: Falls du deinen Benutzernamen im Log unkenntlich gemacht hast (z.B. durch ***), dann mach das hier wieder rückgängig.

:OTL
[2013/06/27 07:02:02 | 000,393,540 | ---- | C] () -- C:\Dokumente und Einstellungen\Kerstin\Anwendungsdaten\2433f433
[2013/06/27 07:02:02 | 000,393,513 | ---- | C] () -- C:\Dokumente und Einstellungen\Kerstin\Lokale Einstellungen\Anwendungsdaten\2433f433
[2013/06/27 07:02:02 | 000,393,505 | ---- | C] () -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\2433f433

:files
C:\Dokumente und Einstellungen\Christian\Lokale Einstellungen\Temp\*.exe
C:\Dokumente und Einstellungen\Christian\Lokale Einstellungen\Temp\*.dll
C:\Dokumente und Einstellungen\Kerstin\Lokale Einstellungen\Temp\*.exe
C:\Dokumente und Einstellungen\Kerstin\Lokale Einstellungen\Temp\*.dll
         

• Klicke jetzt auf den Fix Button.
• Starte danach neu und versuche wieder in den normalen Modus von Windows zu booten.
• Nach dem Neustart findest du ein Textdokument auf deinem Desktop.
  (Auch zu finden unter C:\OTL\MovedFiles\<time_date.log>)
• Kopiere nun dessen Inhalt hier in deinen Thread.

Konnte wieder starten und Avira meldet fleißig weiter :-)

Danke schon mal.

Ok, dann:


Schritt 1

Downloade dir bitte aswMBR.exe und speichere die Datei auf deinem Desktop.

• Starte die aswMBR.exe - (aswMBR.exe Anleitung)
  Ab Windows Vista (oder höher) bitte mit Rechtsklick "als Administrator ausführen" starten".
• Das Tool wird dich fragen, ob Du mit der aktuellen Virendefinition von AVAST! dein System scannen willst. Beantworte diese Frage bitte mit Ja. (Sollte deine Firewall fragen, bitte den Zugriff auf das Internet zulassen )
  Der Download der Definitionen kann je nach Verbindung eine Weile dauern.
  
• Klicke auf Scan.
• Warte bitte bis Scan finished successfully im DOS-Fenster steht.
• Drücke auf Save Log und speichere diese auf dem Desktop.

Poste mir die aswMBR.txt in deiner nächsten Antwort.

Wichtig: Drücke keinesfalls einen der Fix Buttons ohne Anweisung

Hinweis: Sollte der Scan Button ausgeblendet sein, schließe das Tool und starte es erneut. Sollte der Scan abbrechen und das Programm abstürzen, dann teile mir das mit und wähle unter AV Scan die Einstellung (none).




Schritt 2

Lade dir bitte OTL (von Oldtimer) herunter und speichere es auf deinen Desktop.

• Doppelklick auf die OTL.exe.
• Unter Extra Registry, wähle bitte Use SafeList.
• Setze den Haken bei Scan all Users.
• Klicke nun auf Run Scan.
• Wenn der Scan beendet ist, werden 2 Logfiles (OTL.txt und Extras.txt) erstellt.
• Poste den Inhalt dieser Logfiles hier in den Thread.

Bitte poste in deiner nächsten Antwort:

• Log von aswMBR
• Logs von OTL

Guten Abend Leo,

leider musste ich den aswMBR Scan abbrechen und kann erst am Montag Vormitag weitermachen. Ich würde mich dann wieder mit den Logs melden. Ich bedanke mich für deine Hilfe und wünsche dir noch ein angenehmes Wochenende.

Gruß
Simon

Ok, alles klar, danke für die Mitteilung.

Guten Tag,

im Anhang befinden sich die benötigten Logs.

Hallo,

dann machen wir wie folgt weiter:


Schritt 1

Packe bitte die Datei L:\Albrecht\MBR.dat in ein zip-Archiv (Rechtsklick drauf -> Senden an -> zip-komprimierten Ordner) und hänge es hier an.



Schritt 2

Lade SystemLook (von jpshortstuff) herunter und speichere das Tool auf dem Desktop.

• Doppelklicke auf die SystemLook.exe, um das Tool zu starten.
  Vista und Win7 User: Rechtsklick und "als Administrator starten".
• Kopiere den Inhalt der folgenden Codebox in das Textfeld des Tools:
  
  

  :regfind
  b34btbztdb0vavaw
           

• Klicke nun auf den Button Look, um den Scan zu starten.
• Wenn der Suchlauf beendet ist, wird sich dein Editor mit den Ergebnissen öffnen. Poste diese in deinen Thread.
• Das Log-File wird auch auf dem Desktop als SystemLook.txt gespeichert.

Schritt 3

• Gehe zu Start --> Systemsteuerung und öffne Software.
• Suche und deinstalliere dort der Reihe nach folgende Einträge:
  • SweetIM for Messenger 3.3
  • IB Updater 2.0.0.550
  • SweetIM Toolbar for Internet Explorer 4.0
  • softonic-de3 Toolbar
• Schliesse das Fenster wieder und führe einen Neustart durch, wenn das gefordert wurde.

Schritt 4

Downloade Dir bitte AdwCleaner auf deinen Desktop.

• Schließe alle offenen Programme und Browser. Bebilderte Anleitung zu AdwCleaner.
• Starte die AdwCleaner.exe mit einem Doppelklick.
• Stimme den Nutzungsbedingungen zu.
• Klicke auf Optionen und vergewissere dich, dass die folgenden Punkte ausgewählt sind:
  • "Tracing" Schlüssel löschen
  • Winsock Einstellungen zurücksetzen
  • Proxy Einstellungen zurücksetzen
  • Internet Explorer Richtlinien zurücksetzen
  • Chrome Richtlinien zurücksetzen
  • Stelle sicher, dass alle 5 Optionen wie hier dargestellt, ausgewählt sind
• Klicke auf Suchlauf und warte bis dieser abgeschlossen ist.
• Klicke nun auf Löschen und bestätige auftretende Hinweise mit Ok.
• Dein Rechner wird automatisch neu gestartet. Nach dem Neustart öffnet sich eine Textdatei. Poste mir deren Inhalt mit deiner nächsten Antwort.
• Die Logdatei findest du auch unter C:\AdwCleaner\AdwCleaner[Cx].txt. (x = fortlaufende Nummer).

Schritt 5

Starte bitte die OTL.exe.

• Setze den Haken bei Scan all Users.
• Drücke auf den Quick Scan Button.
• Poste den Inhalt von OTL.txt hier in den Thread.

Bitte poste in deiner nächsten Antwort:

• zip-Archiv als Anhang
• Log von SystemLook
• Log von AdwCleaner
• Log von OTL

Nabend,

im Anhang befinden sich die gewünschten Logs.

Gruß
Simon

Hallo Simon,

wie läuft der Rechner jetzt?


Schritt 1

• Doppelklicke noch einmal auf die SystemLook.exe, um das Tool zu starten.
  Vista und Win7 User: Rechtsklick und "als Administrator starten".
• Kopiere den Inhalt der folgenden Codebox in das Textfeld des Tools:
  
  

  :filefind
  *webfetti*
  
  :folderfind
  *webfetti*
  
  :regfind
  webfetti
           

• Klicke nun auf den Button Look, um den Scan zu starten.
• Wenn der Suchlauf beendet ist, wird sich dein Editor mit den Ergebnissen öffnen. Poste diese in deinen Thread.
• Das Log-File wird auch auf dem Desktop als SystemLook.txt gespeichert.

Schritt 2

Downloade Dir bitte Malwarebytes Anti-Malware

• Installiere das Programm in den vorgegebenen Pfad. (Bebilderte Anleitung zu MBAM)
• Starte Malwarebytes' Anti-Malware (MBAM).
• Klicke im Anschluss auf Scannen, wähle den Bedrohungssuchlauf aus und klicke auf Suchlauf starten.
• Lass am Ende des Suchlaufs alle Funde (falls vorhanden) in die Quarantäne verschieben. Klicke dazu auf Auswahl entfernen.
• Lass deinen Rechner ggf. neu starten, um die Bereinigung abzuschließen.
• Starte MBAM, klicke auf Verlauf und dann auf Anwendungsprotokolle.
• Wähle das neueste Scan-Protokoll aus und klicke auf Export. Wähle Textdatei (.txt) aus und speichere die Datei als mbam.txt auf dem Desktop ab. Das Logfile von MBAM findest du hier.
• Füge den Inhalt der mbam.txt mit deiner nächsten Antwort hinzu.

Schritt 3


ESET Online Scanner

• Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
• Lade und starte Eset Online Scanner
• Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
• Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
• Klicke auf Starten.
• Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
• Klicke am Ende des Suchlaufs auf Fertig stellen.
• Schließe das Fenster von ESET.
• Explorer öffnen.
• C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
• Logfile hier posten.
• Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
• Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

Schritt 4

Downloade Dir bitte SecurityCheck und:

• Speichere es auf dem Desktop.
• Starte SecurityCheck.exe und folge den Anweisungen in der DOS-Box.
• Wenn der Scan beendet wurde sollte sich ein Textdokument (checkup.txt) öffnen.

Poste den Inhalt bitte hier.



Bitte poste in deiner nächsten Antwort:

• Log von SystemLook
• Log von MBAM
• Log von ESET
• Log von SecurityCheck

Guten Abend Leo,

der Rechner läuft aktuell stabil.

Systemlook und Malewarebytes durchgeführt. Eset Scan läuft noch und hat schon 4 Funde, wird aber wohl noch die ganze Nacht laufen.

Ich melde mich morgen wieder.

Gruß
Simon

Hallo Simon,

Eset Scan läuft noch und hat schon 4 Funde, wird aber wohl noch die ganze Nacht laufen.

Ja, der ESET-Scan kann unter Umständen sehr lange dauern - das ist normal.

Hallo,
ESET Scan ist nun durch und es ist bei den 4 Funden geblieben.
Hier dann noch die 2 fehlenden Log's von ESET & SecurityCheck.

Gruß Simon