Windows 7: Vermuteter Befall durch TR.Crypt.XPACK.Gen und HTML/ExpKit.Gen3

JohnnyK · 02.02.2018, 11:13

Hallo!

Ich bin derzeit etwas verwirrt, da ich nicht "falsch" posten möchte.

Meine Situation gestaltet sich wie folgt: seit dem 29.01.18 findet Avira durch den Echtzeitscanner immer den Trojaner "TR/Crypt.XPACK.Gen", der auch nach dem Verschieben in Quarantäne nach erneutem Hochfahren wieder auftaucht.

Gestern habe ich im abgesicherten Modus einen Suchdurchlauf durchgeführt, bei dem außerdem der Fund von "HTML/ExpKit.Gen3" berichtet wurde.

Daraufhin habe ich die Forenrichtlinien durchgelesen und versucht, Logfiles mit FRST zu erstellen. Dazu kam ich aber gar nicht, da ich nur "Sichere die Registry, dies kann ein paar Sekunden dauern" sehe, diese Meldung aber auch nach 30 Minuten noch vorhanden ist, ohne dass ein Suchlauf gestartet wird. Auf meinem Laptop, wo ich FRST auch runtergeladen habe, hat das Programm hingegen nach 5 Sekunden angefangen zu arbeiten und FRST.txt und Addition.txt erstellt.

Nach Anlesen von Halbwissen habe ich keine Ahnung, wie ich am besten vorgehen soll und suche vorzugsweise eine Lösung, bei der sich das Neuaufsetzen von Windows nach Möglichkeit vermeiden lässt. Aus Vorsicht habe ich außer dem Verschieben des Trojaners in Quarantäne und dem Versuch, FRST laufen zu lassen noch nichts unternommen.

Ich hänge hier mal die Logfiles von Avira an:

Code:

ATTFilter

Exportierte Ereignisse:

02.02.2018 09:52 [System-Scanner] Malware gefunden
      Die Datei 'C:\Users\Jonas\AppData\Local\Google\Chrome\User 
      Data\SwReporter\25.139.200\software_reporter_tool.exe'
      enthielt einen Virus oder unerwünschtes Programm 'TR/Crypt.XPACK.Gen' [trojan].
      Durchgeführte Aktion(en):
      Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '5c8e8971.qua' 
      verschoben!

02.02.2018 09:51 [Echtzeit-Scanner] Malware gefunden
      In der Datei 'C:\Users\Jonas\AppData\Local\Google\Chrome\User 
      Data\SwReporter\25.139.200\software_reporter_tool.exe'
      wurde ein Virus oder unerwünschtes Programm 'TR/Crypt.XPACK.Gen' [trojan] 
      gefunden.
      Ausgeführte Aktion: Zugriff verweigern

01.02.2018 20:26 [System-Scanner] Malware gefunden
      Die Datei 'C:\Users\Jonas\AppData\Local\Google\Chrome\User 
      Data\SwReporter\25.139.200\software_reporter_tool.exe'
      enthielt einen Virus oder unerwünschtes Programm 'TR/Crypt.XPACK.Gen' [trojan].
      Durchgeführte Aktion(en):
      Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '5250fa2c.qua' 
      verschoben!

01.02.2018 20:24 [Echtzeit-Scanner] Malware gefunden
      In der Datei 'C:\Users\Jonas\AppData\Local\Google\Chrome\User 
      Data\SwReporter\25.139.200\software_reporter_tool.exe'
      wurde ein Virus oder unerwünschtes Programm 'TR/Crypt.XPACK.Gen' [trojan] 
      gefunden.
      Ausgeführte Aktion: Zugriff verweigern

01.02.2018 14:27 [Echtzeit-Scanner] Malware gefunden
      In der Datei 'C:\Users\Jonas\AppData\Local\Google\Chrome\User 
      Data\SwReporter\25.139.200\software_reporter_tool.exe'
      wurde ein Virus oder unerwünschtes Programm 'TR/Crypt.XPACK.Gen' [trojan] 
      gefunden.
      Ausgeführte Aktion: Zugriff verweigern

01.02.2018 13:55 [System-Scanner] Malware gefunden
      Die Datei 'C:\Users\Systemverwalter\AppData\Local\Google\Chrome\User 
      Data\Default\Cache\f_000479'
      enthielt einen Virus oder unerwünschtes Programm 'HTML/ExpKit.Gen3' [virus].
      Durchgeführte Aktion(en):
      Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49a98819.qua' 
      verschoben!

01.02.2018 13:55 [System-Scanner] Malware gefunden
      Die Datei 'D:\JONASBOX\Backup Set 2016-01-18 182936\Backup Files 2016-04-04 
      002645\Backup files 2.zip'
      enthielt einen Virus oder unerwünschtes Programm 'HTML/ExpKit.Gen3' [virus].
      Durchgeführte Aktion(en):
      Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '36c7ba70.qua' 
      verschoben!

01.02.2018 13:55 [System-Scanner] Malware gefunden
      Die Datei 'D:\JONASBOX\Backup Set 2016-05-29 190004\Backup Files 2016-05-29 
      190004\Backup files 10.zip'
      enthielt einen Virus oder unerwünschtes Programm 'HTML/ExpKit.Gen3' [virus].
      Durchgeführte Aktion(en):
      Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '73439771.qua' 
      verschoben!

01.02.2018 13:55 [System-Scanner] Malware gefunden
      Die Datei 'D:\JONASBOX\Backup Set 2016-05-29 190004\Backup Files 2016-05-29 
      190004\Backup files 7.zip'
      enthielt einen Virus oder unerwünschtes Programm 'HTML/ExpKit.Gen3' [virus].
      Durchgeführte Aktion(en):
      Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '1574d8b9.qua' 
      verschoben!

01.02.2018 13:55 [System-Scanner] Malware gefunden
      Die Datei 'D:\JONASBOX\Backup Set 2016-05-29 190004\Backup Files 2016-06-13 
      005034\Backup files 1.zip'
      enthielt einen Virus oder unerwünschtes Programm 'HTML/ExpKit.Gen3' [virus].
      Durchgeführte Aktion(en):
      Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '472b824f.qua' 
      verschoben!

01.02.2018 13:55 [System-Scanner] Malware gefunden
      Die Datei 'D:\JONASBOX\Backup Set 2016-05-29 190004\Backup Files 2016-06-13 
      005034\Backup files 2.zip'
      enthielt einen Virus oder unerwünschtes Programm 'HTML/ExpKit.Gen3' [virus].
      Durchgeführte Aktion(en):
      Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '5fbcade9.qua' 
      verschoben!

31.01.2018 21:03 [System-Scanner] Malware gefunden
      Die Datei 'C:\Users\Jonas\AppData\Local\Google\Chrome\User 
      Data\SwReporter\25.139.200\software_reporter_tool.exe'
      enthielt einen Virus oder unerwünschtes Programm 'TR/Crypt.XPACK.Gen' [trojan].
      Durchgeführte Aktion(en):
      Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '5f19803e.qua' 
      verschoben!

31.01.2018 20:45 [Echtzeit-Scanner] Malware gefunden
      In der Datei 'C:\Users\Jonas\AppData\Local\Google\Chrome\User 
      Data\SwReporter\25.139.200\software_reporter_tool.exe'
      wurde ein Virus oder unerwünschtes Programm 'TR/Crypt.XPACK.Gen' [trojan] 
      gefunden.
      Ausgeführte Aktion: Zugriff verweigern

31.01.2018 14:35 [System-Scanner] Malware gefunden
      Die Datei 'C:\Users\Jonas\AppData\Local\Google\Chrome\User 
      Data\SwReporter\25.139.200\software_reporter_tool.exe'
      enthielt einen Virus oder unerwünschtes Programm 'TR/Crypt.XPACK.Gen' [trojan].
      Durchgeführte Aktion(en):
      Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '5f2b69d3.qua' 
      verschoben!

31.01.2018 14:34 [Echtzeit-Scanner] Malware gefunden
      In der Datei 'C:\Users\Jonas\AppData\Local\Google\Chrome\User 
      Data\SwReporter\25.139.200\software_reporter_tool.exe'
      wurde ein Virus oder unerwünschtes Programm 'TR/Crypt.XPACK.Gen' [trojan] 
      gefunden.
      Ausgeführte Aktion: Zugriff verweigern

31.01.2018 08:54 [System-Scanner] Malware gefunden
      Die Datei 'C:\Users\Jonas\AppData\Local\Google\Chrome\User 
      Data\SwReporter\25.139.200\software_reporter_tool.exe'
      enthielt einen Virus oder unerwünschtes Programm 'TR/Crypt.XPACK.Gen' [trojan].
      Durchgeführte Aktion(en):
      Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '5cabd879.qua' 
      verschoben!

31.01.2018 08:53 [Echtzeit-Scanner] Malware gefunden
      In der Datei 'C:\Users\Jonas\AppData\Local\Google\Chrome\User 
      Data\SwReporter\25.139.200\software_reporter_tool.exe'
      wurde ein Virus oder unerwünschtes Programm 'TR/Crypt.XPACK.Gen' [trojan] 
      gefunden.
      Ausgeführte Aktion: Zugriff verweigern

30.01.2018 20:24 [System-Scanner] Malware gefunden
      Die Datei 'C:\Users\Jonas\AppData\Local\Google\Chrome\User 
      Data\SwReporter\25.139.200\software_reporter_tool.exe'
      enthielt einen Virus oder unerwünschtes Programm 'TR/Crypt.XPACK.Gen' [trojan].
      Durchgeführte Aktion(en):
      Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '5f816b4e.qua' 
      verschoben!

30.01.2018 20:12 [Echtzeit-Scanner] Malware gefunden
      In der Datei 'C:\Users\Jonas\AppData\Local\Google\Chrome\User 
      Data\SwReporter\25.139.200\software_reporter_tool.exe'
      wurde ein Virus oder unerwünschtes Programm 'TR/Crypt.XPACK.Gen' [trojan] 
      gefunden.
      Ausgeführte Aktion: Zugriff verweigern

30.01.2018 20:12 [Echtzeit-Scanner] Malware gefunden
      In der Datei 'C:\Users\Jonas\AppData\Local\Google\Chrome\User 
      Data\SwReporter\25.139.200\software_reporter_tool.exe'
      wurde ein Virus oder unerwünschtes Programm 'TR/Crypt.XPACK.Gen' [trojan] 
      gefunden.
      Ausgeführte Aktion: Zugriff verweigern

30.01.2018 18:17 [System-Scanner] Malware gefunden
      Die Datei 'C:\Users\Jonas\AppData\Local\Google\Chrome\User 
      Data\SwReporter\25.139.200\software_reporter_tool.exe'
      enthielt einen Virus oder unerwünschtes Programm 'TR/Crypt.XPACK.Gen' [trojan].
      Durchgeführte Aktion(en):
      Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '5f7e3d6e.qua' 
      verschoben!

30.01.2018 18:16 [Echtzeit-Scanner] Malware gefunden
      In der Datei 'C:\Users\Jonas\AppData\Local\Google\Chrome\User 
      Data\SwReporter\25.139.200\software_reporter_tool.exe'
      wurde ein Virus oder unerwünschtes Programm 'TR/Crypt.XPACK.Gen' [trojan] 
      gefunden.
      Ausgeführte Aktion: Zugriff verweigern

30.01.2018 16:20 [System-Scanner] Malware gefunden
      Die Datei 'C:\Users\Jonas\AppData\Local\Google\Chrome\User 
      Data\SwReporter\25.139.200\software_reporter_tool.exe'
      enthielt einen Virus oder unerwünschtes Programm 'TR/Crypt.XPACK.Gen' [trojan].
      Durchgeführte Aktion(en):
      Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '5c5d1c21.qua' 
      verschoben!

30.01.2018 16:19 [Echtzeit-Scanner] Malware gefunden
      In der Datei 'C:\Users\Jonas\AppData\Local\Google\Chrome\User 
      Data\SwReporter\25.139.200\software_reporter_tool.exe'
      wurde ein Virus oder unerwünschtes Programm 'TR/Crypt.XPACK.Gen' [trojan] 
      gefunden.
      Ausgeführte Aktion: Zugriff verweigern

30.01.2018 14:55 [System-Scanner] Malware gefunden
      Die Datei 'C:\Users\Jonas\AppData\Local\Google\Chrome\User 
      Data\SwReporter\25.139.200\software_reporter_tool.exe'
      enthielt einen Virus oder unerwünschtes Programm 'TR/Crypt.XPACK.Gen' [trojan].
      Durchgeführte Aktion(en):
      Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '5f86ea4e.qua' 
      verschoben!

30.01.2018 14:54 [Echtzeit-Scanner] Malware gefunden
      In der Datei 'C:\Users\Jonas\AppData\Local\Google\Chrome\User 
      Data\SwReporter\25.139.200\software_reporter_tool.exe'
      wurde ein Virus oder unerwünschtes Programm 'TR/Crypt.XPACK.Gen' [trojan] 
      gefunden.
      Ausgeführte Aktion: Zugriff verweigern

30.01.2018 14:53 [Echtzeit-Scanner] Malware gefunden
      In der Datei 'C:\Users\Jonas\AppData\Local\Google\Chrome\User 
      Data\SwReporter\25.139.200\software_reporter_tool.exe'
      wurde ein Virus oder unerwünschtes Programm 'TR/Crypt.XPACK.Gen' [trojan] 
      gefunden.
      Ausgeführte Aktion: Zugriff verweigern

29.01.2018 22:11 [System-Scanner] Malware gefunden
      Die Datei 'C:\Users\Jonas\AppData\Local\Google\Chrome\User 
      Data\SwReporter\25.139.200\software_reporter_tool.exe'
      enthielt einen Virus oder unerwünschtes Programm 'TR/Crypt.XPACK.Gen' [trojan].
      Durchgeführte Aktion(en):
      Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '5f281ab0.qua' 
      verschoben!

29.01.2018 22:09 [Echtzeit-Scanner] Malware gefunden
      In der Datei 'C:\Users\Jonas\AppData\Local\Google\Chrome\User 
      Data\SwReporter\25.139.200\software_reporter_tool.exe'
      wurde ein Virus oder unerwünschtes Programm 'TR/Crypt.XPACK.Gen' [trojan] 
      gefunden.
      Ausgeführte Aktion: Zugriff verweigern

cosinus · 02.02.2018, 11:44

Scan mit Farbar's Recovery Scan Tool (FRST)

Bitte lade dir die passende Version von Farbar's Recovery Scan Tool auf deinen Desktop:

FRST 32-Bit | FRST 64-Bit
(Wenn du nicht sicher bist: Lade beide Versionen oder unter Start > Computer (Rechtsklick) > Eigenschaften nachschauen)

Starte jetzt FRST.
Ändere ungefragt keine der Checkboxen und klicke auf Untersuchen.
Die Logdateien werden nun erstellt und befinden sich danach auf deinem Desktop.
Poste mir die FRST.txt und nach dem ersten Scan auch die Addition.txt in deinem Thread (#-Symbol im Eingabefenster der Webseite anklicken)

Lesestoff:
Posten in CODE-Tags
Die Logfiles anzuhängen oder sogar vorher in ein ZIP, RAR oder 7Z-Archiv zu packen erschwert mir massiv die Arbeit.
Auch wenn die Logs für einen Beitrag zu groß sein sollten, bitte ich dich die Logs direkt und notfalls über mehrere Beiträge verteilt zu posten.
Um die Logfiles in eine CODE-Box zu stellen gehe so vor:

Markiere das gesamte Logfile (geht meist mit STRG+A) und kopiere es in die Zwischenablage mit STRG+C.
Klicke im Editor auf das #-Symbol. Es erscheinen zwei Klammerausdrücke [CODE] [/CODE].
Setze den Curser zwischen die CODE-Tags und drücke STRG+V.
Klicke auf Erweitert/Vorschau, um so prüfen, ob du es richtig gemacht hast. Wenn alles stimmt ... auf Antworten.

JohnnyK · 02.02.2018, 12:08

Ich habe die Logs nochmal ins CODE-Format editiert, hoffe das ist ok so.

Mein Problem mit FRST ist aber, dass es gar nicht anläuft..

Ich kann zwar Haken entfernen, aber die Untersuchung startet nicht. Wie bekomme ich das zum Laufen (auf dem Laptop hat es ja wie gesagt geklappt)?

Windows 7: Vermuteter Befall durch TR.Crypt.XPACK.Gen und HTML/ExpKit.Gen3

Plagegeister aller Art und deren Bekämpfung: Windows 7: Vermuteter Befall durch TR.Crypt.XPACK.Gen und HTML/ExpKit.Gen3