Hallo,

ich habe heute mit meinem AntiVirus Programm einen Trojaner entdeckt, den ich aber nicht isolieren konnte.

Der hat sich wohl in einer Sekunde der geistigen Umnachtung auf meinen Rechner geschlichen, als ich meiner Firewall erlaubt habe die wmplayer.exe zu aktualisieren. Da kam halt ständig so ein Fenster und ich war leider nicht mehr ganz so wachsam...

Wie kann ich den Trojaner denn entfernen? Muss ich das Programm deinstallieren oder die Datei löschen?

Ich habe hier schon etwas über die Entfernung gelesen, aber ich weiss z.B. nicht wie ich den Run-Eintrag löschen kann, wenn das überhaupt nötig ist.

Danke, schon mal im Voraus!

Hallo!

</font><blockquote>Zitat:</font><hr />Original erstellt von Mera:
ich habe heute mit meinem AntiVirus Programm einen Trojaner entdeckt, den ich aber nicht isolieren konnte.</font>[/QUOTE]Das funktioniert nicht, weil der Trojaner aktiv ist und somit als laufender Prozess vom System geschützt wird.

</font><blockquote>Zitat:</font><hr />Der hat sich wohl in einer Sekunde der geistigen Umnachtung auf meinen Rechner geschlichen, als ich meiner Firewall erlaubt habe die wmplayer.exe zu aktualisieren.</font>[/QUOTE]Ich befürchte eher, das war bereits die Schadsoftware. Sie war bereits aktiv auf dem System (!), als du ihr dann noch zusätzlich "erlaubt" hast, ihrerseits eine Verbindung zum Internet herzustellen. Die wmplayer.exe ist also eine Datei, die mit dem Windows Media Player gar nichts zu tun hat, sondern zwecks Täuschung nur diesen Namen trägt.


</font><blockquote>Zitat:</font><hr />Da kam halt ständig so ein Fenster und ich war leider nicht mehr ganz so wachsam...</font>[/QUOTE]Wo bzw. von wem kam welches Fenster? Bitte etwas genauer!

</font><blockquote>Zitat:</font><hr />Wie kann ich den Trojaner denn entfernen? Muss ich das Programm deinstallieren oder die Datei löschen?</font>[/QUOTE]Trojaner-Dateien sind zu sichern bzw. dann aus dem System herauszulöschen. Es fehlt aber noch die Info: Von welchem AntiViren-Programm wurde diese Datei als welcher Trojaner bezeichnet, und wo liegt diese Datei (Ordner)? Falls du den Namen nicht mehr weißt, prüf sie bitte hier:

http://www.kaspersky.com/de/scanforvirus

Hi Markus,

das Fenster war glaube ich zunächst ein Nachrichten Fenster von Windows Media Player! Das habe ich geschlossen (d.h. nicht auf "ok" geklickt). Anschließend hat meine Firewall mehrere Male einen Update Hinweis gesendet. Also nachgefragt, ob die wmplayer.exe geändert werden darf! Ich habe es mehere Male verneint und dann schließlich doch erlaubt, da ich ein Video nicht anschauen konnte und der WMplayer nach einem neuen Codec gefragt hat! Tja, schön doof ich weiss! [img]graemlins/balla.gif[/img]

Die Datei liegt im Ordner
C:\Programme\windowsmediaplayer\wmplayer.exe

Das kam bei kaspersky heraus:
wmplayer.exe Infiziert: TrojanDownloader.Win32.Small.iq

Geprüft habe ich es vorher mit AVG! Ich habe eben auch schon bei Sophos.de geschaut und nach der Anleitung versucht die Datei zu löschen, aber wie Du schon geschrieben hast, geht das nicht da das Programm wmplayer.exe aktiv ist.

Gruß Mera

</font><blockquote>Zitat:</font><hr />Original erstellt von Mera:
das Fenster war glaube ich zunächst ein Nachrichten Fenster von Windows Media Player! Das habe ich geschlossen (d.h. nicht auf "ok" geklickt).</font>[/QUOTE]Wie sah dieses denn genau aus und welcher Text war in etwa zu lesen?

Such mal bitte über die Windows Suche (&gt;Start &gt;Suchen &gt;Dateien und Ordner) nach Dateien namens wmplayer.exe auf dem ganzen System. Wie viele werden gefunden, und jeweils wo?

</font><blockquote>Zitat:</font><hr />Die Datei liegt im Ordner
C:\Programme\windowsmediaplayer\wmplayer.exe

Das kam bei kaspersky heraus:
wmplayer.exe Infiziert: TrojanDownloader.Win32.Small.iq</font>[/QUOTE]Das ist schlecht, da man nicht wissen kann, was über sie bereits heruntergeladen und installiert wurde.

</font><blockquote>Zitat:</font><hr />...aber wie Du schon geschrieben hast, geht das nicht da das Programm wmplayer.exe aktiv ist.</font>[/QUOTE]Strg Alt Entf gleichzeitig drücken, dann in der Liste der laufenden Prozesse *diese* wmplayer.exe markieren, "Prozesse beenden" wählen, und diese Datei dann anschließend in Quarantäne nehmen (das heißt: aus dem ursprünglichen Ordner ausschneiden, in einen Sicherungsordner, den du beliebig erstellen kannst, einfügen und zippen - die zip-Datei behalten, die exe-Datei hingegen löschen).

So, vielen Dank schon mal bis hier hin!

Bin kurz vorher auch noch drauf gekommen, das mit dem Taskmanager zu machen! [img]smile.gif[/img]

Die Datei ist nun gelöscht und vorher als .zip Datei in einen anderen Ordner kopiert. Mehr Dateien mit diesem Namen konnte ich nicht finden!

Unter regedit habe ich es unter folgender Anleitung gelöscht:

Suchen Sie unter HKEY_LOCAL_MACHINE die Einträge:

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
Windows Media Player = wmplayer.exe


Wenn ich den Rechner jetzt hochfahre, dürfte der wmplayer ja wahrscheinlich nicht mehr funktionieren, oder? Falls nicht wie kann ich den wieder aktivieren ohne gleich den Trojaner wieder drauf zu haben? Hast Du da vielleicht noch einen Tipp?

Ansonsten wie gesagt schon mal vielen Dank für die gute Hilfe! [img]graemlins/party.gif[/img]

Gruß,
Mera

</font><blockquote>Zitat:</font><hr />Original erstellt von mmk:
[QB] </font><blockquote>Zitat:</font><hr />Original erstellt von Mera:
das Fenster war glaube ich zunächst ein Nachrichten Fenster von Windows Media Player! Das habe ich geschlossen (d.h. nicht auf "ok" geklickt).</font>[/QUOTE]Wie sah dieses denn genau aus und welcher Text war in etwa zu lesen?)</font>[/QUOTE]Ach so, das hatte ich eben noch vergessen zu beantworten. Leider weiss ich es nicht mehr so genau, da es schon etwas länger her ist!

Es stand auf jeden Fall etwas mit wmplayer.exe drin und das diese Datei geändert werden soll und ob ich es zu lassen möchte!

Anschließend hatte ich mich immer gewundert, warum immer der IE geöffnet wurde wenn ich den Player benutzen wollte.

Gruß,
Mera

OK, entferne den Registry-Eintrag. Du kannst zuvor ggf. auch noch ein HijackThis-Log erstellen bzw. damit den Eintrag dann gezielt löschen. Etwaige Programme, die durch Ersetzen von Schadsoftwaredateien unbrauchbar geworden sind, müssten neu installiert werden.

Allerdings gebe ich dringend das Folgende zu bedenken:
http://oschad.de/wiki/index.php/Kompromittierung

Für zukünftigen Schutz:
http://www.mathematik.uni-marburg.de...ompromise.html

Ok, schönen Dank für die kompetente Hilfe [img]smile.gif[/img]

Gruß,
Mera