Hallo,

ich habe gestern eine falsche Mail von Telekom erhalten und diese samt Anhang geöffnet.
Habe mich an die Anleitung aus folgendem Thread gehalten:
http://www.trojaner-board.de/160588-...2375929-a.html

Anbei meine Logfiles, mit der Bitte um Hilfe.

Was soll ich als nächsten Schritt tun?

Viele Grüße
rasselfisch

Hallo rasselfisch



Mein Name ist Timo und ich werde Dir bei deinem Problem behilflich sein.

• Bitte arbeite alle Schritte der Reihe nach ab.
• Hier findest du die Anleitung für Hilfesuchende
• Lese die Anleitungen sorgfältig. Sollte es Probleme geben, bitte stoppen und hier so gut es geht beschreiben.
• Nur Scans durchführen zu denen Du von einem Helfer aufgefordert wirst.
• Bitte kein Crossposting ( posten in mehreren Foren).
• Installiere oder Deinstalliere während der Bereinigung keine Software ausser Du wurdest dazu aufgefordert.
• Lese Dir die Anleitung zuerst vollständig durch. Sollte etwas unklar sein, frage bevor Du beginnst.
• Poste die Logfiles direkt in deinen Thread. Nicht anhängen ausser ich fordere Dich dazu auf.

Hinweis:
Ich kann Dir niemals eine Garantie geben, dass ich auch alles finde. Eine Formatierung ist immer der sicherste Weg.

Wir "arbeiten" hier alle freiwillig und in unserer Freizeit *hust*. Daher kann es bei Antworten zu Verzögerungen kommen.
Solltest du innerhalb 48 Std keine Antwort von mir erhalten, dann schreib mit eine PM
Solltest Du Dich für eine Bereinigung entscheiden, arbeite solange mit, bis ich oder jemand vom Team sagt, dass Du clean bist.

So funktioniert es:
Posten in CODE-Tags
Die Logfiles anzuhängen oder sogar vorher in ein ZIP, RAR, 7Z-Archive zu packen erschwert mir massiv die Arbeit, es sei denn natürlich die Datei wäre ansonsten zu gross für das Forum. Um die Logfiles in eine CODE-Box zu stellen gehe so vor:

• Markiere das gesamte Logfile (geht meist mit STRG+A) und kopiere es in die Zwischenablage mit STRG+C.
• Klicke im Editor auf das #-Symbol. Es erscheinen zwei Klammerausdrücke [CODE] [/CODE].
• Setze den Cursor zwischen die CODE-Tags und drücke STRG+V.
• Klicke auf Erweitert/Vorschau, um so prüfen, ob du es richtig gemacht hast. Wenn alles stimmt ... auf Antworten.

Bitte die Logs in CODE TAgs posten. Das erleichtert das Arbeiten.

Hallo Timo,

ok - bin noch neu in der Forenwelt hier und muss mich erst an die Regeln gewöhnen - habe leider vorschnell etwas gepostet, OHNE vorher alle, wirklich alle Schritte durchzulesen... das hab ich mittlerweile nachgeholt und festgestellt:
1. wir sind eine kleine Firma mit 5 Frauen ohne eigene IT-Abteilung - hilfst Du mir trotzdem weiter?
2. ich habe leider Schritt 1 nicht vorher gemacht (Laufwerksemulationen abschalten mit Defogger) sondern direkt mit dem FRST download begonnen, wie in dem anderen Post beschrieben, den ich gefunden hatte und der genau meinem Problem entspricht.

viele Grüße
rasselfisch

Bitte lasse die Datei aus der Code-Box bei Virustotal überprüfen.

• Klicke auf Wählen Sie eine
• Kopiere nun folgendes in die Suchleiste

  C:\Dokumente und Einstellungen\gabi\Anwendungsdaten\Identities\hcjucfuf.exe
           

• und klicke auf Öffnen.
• Klicke auf Scannen!.
• Warte bitte bis die Datei vollständig hochgeladen wurde. Solltest Du folgende Meldung bekommen

  Diese Datei wurde bereits von VirusTotal analysiert...

  klicke auf Neu analysieren.
• Warte bis dir das Analysedatum angezeigt wird und der Scan abgeschlossen ist.
• Kopiere den Link aus deiner Adresszeile und poste ihn hier.

Hallo Timo,

konnte die gewünschte Datei nur als versteckte Datei auf meinem Rechner finden... kann sie aber nicht aus dem Menü bei VirusTotal hochladen, weil eben versteckt - wie bekomme ich die denn so sichtbar machen, dass ich sie auswählen kann?

viele Grüße
rasselfisch

Den Pfad direkt hier rauskopieren und beim Virustotal Hochladedialog einfügen sollte gehen.

Mit STRG+C für kopieren, STRG+V für einfügen.

Hallo Timo,

es hat geklappt.
Dies ist der Link:

https://www.virustotal.com/de/file/785e58e6aaade2891f3a76577874efb0fbec918602176483a802975efaed3432/analysis/1415713881/

Tausend Dank für deine Hilfe!

Warnung: Infostealer

Aus deinen Logs ist ersichtlich, dass du Malware eingefangen hast, die es speziell auf deine sensitiven Daten (Benutzernamen, Passwörter, Onlinebankingzugangsdaten, etc.) abgesehen hat.
Man kann nicht genau wissen, was alles mitgeloggt wurde, aber sicherheitshalber würd ich alle auf diesem Rechner eingegebenen Daten und Passwörter als bekannt voraussetzen.

Ich würde dir daher raten, zum Schluss oder von einem sauberen Rechner aus sämtliche Zugangsdaten, welche an diesem Rechner verwendet wurden, zu ändern.

Drücke bitte die Windowstaste + R Taste und schreibe notepad in das Ausführen Fenster.

Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument

HKU\S-1-5-21-4224918936-2246675992-548615425-1006\...\Run: [hcjucfuf.exe] => C:\Dokumente und Einstellungen\gabi\Anwendungsdaten\Identities\hcjucfuf.exe [184388 2008-04-14] ( )
C:\Dokumente und Einstellungen\gabi\Anwendungsdaten\Identities\hcjucfuf.exe
         

Speichere diese bitte als Fixlist.txt auf deinem Desktop (oder dem Verzeichnis in dem sich FRST befindet).

• Starte nun FRST erneut und klicke den Entfernen Button.
• Das Tool erstellt eine Fixlog.txt.
• Poste mir deren Inhalt.

Guten Morgen Timo,

hier der fixlogtxt:

Fix result of Farbar Recovery Tool (FRST written by Farbar) (x86) Version: 10-11-2014
Ran by gabi at 2014-11-12 08:26:57 Run:1
Running from D:\rasselfisch\a_pdf
Loaded Profile: gabi (Available profiles: gabi & Administrator)
Boot Mode: Normal

==============================================

Content of fixlist:
*****************
HKU\S-1-5-21-4224918936-2246675992-548615425-1006\...\Run: [hcjucfuf.exe] => C:\Dokumente und Einstellungen\gabi\Anwendungsdaten\Identities\hcjucfuf.exe [184388 2008-04-14] ( )
C:\Dokumente und Einstellungen\gabi\Anwendungsdaten\Identities\hcjucfuf.exe
*****************

HKU\S-1-5-21-4224918936-2246675992-548615425-1006\Software\Microsoft\Windows\CurrentVersion\Run\\hcjucfuf.exe => value deleted successfully.
C:\Dokumente und Einstellungen\gabi\Anwendungsdaten\Identities\hcjucfuf.exe => Moved successfully.

==== End of Fixlog ====



Herzliche Grüße
Gabi

Ok, dann so weitermachen:

Downloade Dir bitte AdwCleaner auf deinen Desktop.

• Schließe alle offenen Programme und Browser. Bebilderte Anleitung zu AdwCleaner.
• Starte die AdwCleaner.exe mit einem Doppelklick.
• Stimme den Nutzungsbedingungen zu.
• Klicke auf Optionen und vergewissere dich, dass die folgenden Punkte ausgewählt sind:
  • "Tracing" Schlüssel löschen
  • Winsock Einstellungen zurücksetzen
  • Proxy Einstellungen zurücksetzen
  • Internet Explorer Richtlinien zurücksetzen
  • Chrome Richtlinien zurücksetzen
  • Stelle sicher, dass alle 5 Optionen wie hier dargestellt, ausgewählt sind
• Klicke auf Suchlauf und warte bis dieser abgeschlossen ist.
• Klicke nun auf Löschen und bestätige auftretende Hinweise mit Ok.
• Dein Rechner wird automatisch neu gestartet. Nach dem Neustart öffnet sich eine Textdatei. Poste mir deren Inhalt mit deiner nächsten Antwort.
• Die Logdatei findest du auch unter C:\AdwCleaner\AdwCleaner[Cx].txt. (x = fortlaufende Nummer).

Beende bitte Deine Schutzsoftware um eventuelle Konflikte zu vermeiden.
Bitte lade Junkware Removal Tool auf Deinen Desktop

• Starte das Tool mit Doppelklick. Ab Windows Vista (oder höher) bitte mit Rechtsklick "als Administrator ausführen" starten.
• Drücke eine beliebige Taste, um das Tool zu starten.
• Je nach System kann der Scan eine Weile dauern.
• Wenn das Tool fertig ist wird das Logfile (JRT.txt) auf dem Desktop gespeichert und automatisch geöffnet.
• Bitte poste den Inhalt der JRT.txt in Deiner nächsten Antwort.

Downloade Dir bitte Malwarebytes Anti-Malware

• Installiere das Programm in den vorgegebenen Pfad. (Bebilderte Anleitung zu MBAM)
• Starte Malwarebytes' Anti-Malware (MBAM).
• Klicke im Anschluss auf Scannen, wähle den Bedrohungssuchlauf aus und klicke auf Suchlauf starten.
• Lass am Ende des Suchlaufs alle Funde (falls vorhanden) in die Quarantäne verschieben. Klicke dazu auf Auswahl entfernen.
• Lass deinen Rechner ggf. neu starten, um die Bereinigung abzuschließen.
• Starte MBAM, klicke auf Verlauf und dann auf Anwendungsprotokolle.
• Wähle das neueste Scan-Protokoll aus und klicke auf Export. Wähle Textdatei (.txt) aus und speichere die Datei als mbam.txt auf dem Desktop ab. Das Logfile von MBAM findest du hier.
• Füge den Inhalt der mbam.txt mit deiner nächsten Antwort hinzu.

Starte noch einmal FRST.

• Ändere keine der Voreinstellungen und drücke auf Scan.
• Wenn der Scan abgeschlossen ist, werden ein neues Logfile FRST.txt erstellt und auf dem Desktop gespeichert.
• Poste den Inhalt dieses Logfiles bitte hier in deinen Thread.

Hallo Timo,
muss leider dringend weg (meine Kind ist krank). Kann erst morgen weitermachen . Tut mir leid.

Absolut kein Ding.

guten morgen timo,

hier die logdatei:AdwCleaner Logfile:

# AdwCleaner v4.101 - Bericht erstellt am 12/11/2014 um 13:10:31
# Aktualisiert 09/11/2014 von Xplode
# Database : 2014-11-07.1 [Local]
# Betriebssystem : Microsoft Windows XP Service Pack 3 (32 bits)
# Benutzername : gabi - PC003
# Gestartet von : D:\rasselfisch\a_pdf\AdwCleaner_4.101.exe
# Option : Löschen

***** [ Dienste ] *****


***** [ Dateien / Ordner ] *****

Datei Gelöscht : C:\Dokumente und Einstellungen\gabi\Anwendungsdaten\Mozilla\Firefox\Profiles\099mirur.default\user.js

***** [ Tasks ] *****


***** [ Verknüpfungen ] *****


***** [ Registrierungsdatenbank ] *****

Schlüssel Gelöscht : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Components\0FF2AEFF45EEA0A48A4B33C1973B6094
Schlüssel Gelöscht : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Components\305B09CE8C53A214DB58887F62F25536

***** [ Browser ] *****

-\\ Internet Explorer v8.0.6001.18702


-\\ Mozilla Firefox v33.1 (x86 de)


*************************

AdwCleaner[R0].txt - [1173 octets] - [12/11/2014 12:55:30]
AdwCleaner[R1].txt - [1233 octets] - [12/11/2014 13:05:04]
AdwCleaner[S0].txt - [1154 octets] - [12/11/2014 13:10:31]

########## EOF - C:\AdwCleaner\AdwCleaner[S0].txt - [1214 octets] ##########
         

--- --- ---

OK, die anderen Logs aber bitte auch - wenn es zeitlich nicht passt - kein Ding.

Gibt es kein Suchlauf Protokoll ?

Das was du postet ist das Schutz Protokoll.