Trojaner TR/Vawtrak.A.343, TR/Vawtrak.A.366, Rogue.Installer, Trojan.FakeMS: Behoben

wivwilli

Bericht: UdpeTpove.dat, TR/Vawtrak.A.343, TR/Vawtrak.A.366, Rogue.Installer, Trojan.FakeMS

Hallo, zusammen,

ich habe mich gestern hier registriert, weil ich Hilfe suchte. Mit dem folgenden Bericht möchte ich mich bedanken, damit andere auch etwas davon haben.

System: Dell Dimension 4600 (12 Jahre alt), Intel Pentium 4 2.40 GHz, MS Windows XP Prof. SP 3, 1 GB RAM, CD- und DVD-Laufwerke defekt, DSL 2000 (Telekom, noch)

Heute ist Samstag. Letzte Woche Freitag meldete Avira Free Antivirus mir den Virus o.a. "TR/Vawtrak.A.343" in der Datei "C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\UdpeTpove\UdpeTpove.dat" . Im www konnte ich nichts dazu finden, bin aber auf das Trojaner-Board gestoßen. Ihr habt mich auf Malwarebytes Anti-Malware aufmerksam gemacht.

Laut den Datei-Eigenschaften handelt es sich bei UdpeTpove um ein "Persian Standard Keyboard Layout" von Microsoft. Avira hat es in die Quarantäne verschoben, etwas installierte es jedoch innerhalb einer Sekunde neu, immer wieder. Malwarebytes fand es überhaupt nicht, dafür aber Rogue.Installer und PUP.Optional.Softonic.A (Registrierungsschlüssel). Ab in die Quarantäne.

Ich habe in der Registry den UdpeTpove-Schlüssel bei HKEY_Users\S-1-5-...\Software\Microsoft\Windows\CurrentVersion\RUN\UdpeTpove gelöscht, half aber nichts - immer wieder neu installiert. (Ich habe von IT keine Ahnung, alles auf eigenes Risiko)

Gestern abend habe ich mich wieder rangemacht und Eure Empfehlung befolgt:
1. Defogger. Ergebnis: defogger_disable.log
2. FRST. Ergebnis: FRST.txt
3. Gmer_19357. Ergebnis: Läuft bei mir nicht, will einfach nicht (Gmer 1.0.15 hab ich im Sep. 2010 ausprobiert, lief auch, Log noch vorhanden).

Da habe ich zur Vorbereitung von Logfiles für Euch noch einmal Malwarebytes auf die Reise geschickt. Ergebnis: Fund "Trojan.FakeMS" 2 mal, als Datei und als Registrierungsschlüssel. Die sind jetzt gemäß Vorschlag in der Quaratäne und, oh Wunder, der Ordner UdpeTpove ist noch da, aber jetzt - endlich - leer! Registry ebenfalls! (Vorher hat mir Avira diesmal "TR/Vawtrak.A.366" gemeldet)

Ich weiß nicht genau, wo ich mir den Trojaner gefangen habe und wie ich ihn wieder los geworden bin, aber ich gehe davon aus, dass ich dank Avira und Malwarebytes wieder "sauber" bin. Avira scannt gerade noch einmal und findet nichts :-)

Eigenartig ist, dass Avira den Trojaner findet, den Installer aber nicht, und dass Malwarebytes den Installer findet, den Trojaner aber nicht. Oder ich verstehe es einfach nicht...

Egal: Ich danke Euch. Schön, dass es Euch gibt.

Was machen TR/Vawtrak.A.343 und 366 eigentlich?

Wenn Ihr Logfiles haben möchtet (vorher - nachher): gerne. Sonst: Bis denne!