Nabend liebes Board,

seit ca zwei Wochen läuft mein Rechner so richtig langsam und ich dachte mir vorher nix dabei bis heute Nacht
Eigendlich ist mein Name Thomas H. und so hieß mein Benuzerkonto in Windows XP auch aber als ich Heute Abend meinem Rechner statete hieß er OPF4 (Opfer)
[offtopic] Deswegen auch mein Benuzername hier im Board[/offtopic]
Dann wurde mir erst richtig bewusst das ich hier unrechtmäßig gewoned (heißt das so) worden bin
Jedenfalls lag dann auf meinem Desktop ein Dokument namens 0wn3d.txt in der mir der Tod gedroht wird wenn ich dem Täter (er nennt sich hier m0rph) nicht auf sein Paypal-Konto bis zum 28.03 1250€ überwiesen habe.
Ich bin der Meinung das er dies ernst meint und ich habe Angst das der Täter aus meiner Umgebung kommt wenn nicht mich vielleicht auch sogar Persönlich kennt.
In der Panik das ich infiziert bin hab ich mir schnell Abhilfe geschafft (dachte ich).
Ich habe mir soviele Antivirensoftware herruntergeladen wie ich nur konnte und alles gescannt... im nachhinein stellte sich jedoch herraus das dies Betrügersoftware ist und nun meinen Rechner zuflooden und mich zur kostenpflichtigen Regristrierung zwingen.
Alles war also eher kontraproduktiv.
Auf der Suche nach weiterer Hilfe bin ich dann zu euch gestoßen in der Hoffnung das ihr mir helfen könnt.
Ich habe es noch schnell (aber mit viel mühe) geschafft ein HijackThis Logfile zu machen.
Das Arbeiten auf dem Rechner ist zurzeit fast unmöglich.

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 02:02:22, on 24.03.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Gemeinsame Dateien\iS3\Anti-Spyware\SZServer.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Java\jre1.6.0_05\bin\jusched.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\HENCA.EXE
C:\PROGRA~1\GEMEIN~1\WINSPY~1\ugac.exe
C:\Programme\Gemeinsame Dateien\WinSpyControl\bm.exe
C:\Programme\AntiSpyKit 5.3\AntiSpyKit 5.3.exe
C:\Programme\PCPrivacyTool\GDC.exe
C:\Programme\Gemeinsame Dateien\PCPrivacyTool\stm.exe
C:\Programme\ProtectingTool\SysRep.exe
C:\Programme\ProtectingTool\ucookw.exe
C:\Programme\Gemeinsame Dateien\ProtectingTool\strpmon.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\PROGRA~1\ICQ6\ICQ.exe
C:\Program Files\AntiSpywareShield\AntiSpywareShield.exe
C:\Program Files\WinSpyKiller\WinSpyKiller.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\wpabaln.exe
C:\Programme\STOPzilla!\STOPzilla.exe
C:\Programme\PCPrivacyTool\updater.exe
C:\Dokumente und Einstellungen\Opf4\Desktop\HiJackThis202.exe
C:\Programme\PCPrivacyTool\data\GDCW.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = \blank.htm
R3 - URLSearchHook: SearchSettings Class - {E312764E-7706-43F1-8DAB-FCDD2B1E416D} - C:\Programme\Search Settings\kb126\SearchSettings.dll
O2 - BHO: SITEguard BHO - {1827766B-9F49-4854-8034-F6EE26FCB1EC} - C:\Programme\STOPzilla!\SZSG.dll
O2 - BHO: (no name) - {5C3F6257-3E00-45C2-88D5-CB0F3A17BF0E} - (no file)
O2 - BHO: (no name) - {6860A44B-5D3E-433D-A7B5-D517F810D0E7} - (no file)
O2 - BHO: DealioBHO Class - {6A87B991-A31F-4130-AE72-6D0C294BF082} - C:\Programme\Dealio\kb126\Dealio.dll
O2 - BHO: (no name) - {6F87F145-DC2D-4766-AF03-3A3B96FFAD98} - (no file)
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O2 - BHO: e404 helper - {DF47DD37-AC11-4A93-8E16-2B2364AF0897} - (no file)
O2 - BHO: SearchSettings Class - {E312764E-7706-43F1-8DAB-FCDD2B1E416D} - C:\Programme\Search Settings\kb126\SearchSettings.dll
O2 - BHO: STOPzilla Browser Helper Object - {E3215F20-3212-11D6-9F8B-00D0B743919D} - C:\Programme\STOPzilla!\SZIEBHO.dll
O3 - Toolbar: Dealio - {E67C74F4-A00A-4F2C-9FEC-FD9DC004A67F} - C:\Programme\Dealio\kb126\Dealio.dll
O3 - Toolbar: STOPzilla - {98828DED-A591-462F-83BA-D2F62A68B8B8} - C:\Programme\STOPzilla!\SZSG.dll
O4 - HKLM\..\Run: [au] C:\Programme\Dealio\DealioAU.exe
O4 - HKLM\..\Run: [SearchSettings] C:\Programme\Search Settings\SearchSettings.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_05\bin\jusched.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [dompu on dalnet] HENCA.EXE
O4 - HKLM\..\Run: [ugac] "C:\PROGRA~1\GEMEIN~1\WINSPY~1\ugac.exe" -start
O4 - HKLM\..\Run: [bm] "C:\Programme\Gemeinsame Dateien\WinSpyControl\bm.exe" dm=http://winspycontrol.com ad=http://winspycontrol.com sd=http://ykeeper.winspycontrol.com
O4 - HKLM\..\Run: [AntiSpyKit 5.3] "C:\Programme\AntiSpyKit 5.3\AntiSpyKit 5.3.exe" /h
O4 - HKLM\..\Run: [ptask] C:\Programme\WinSpyControl\ptask.exe
O4 - HKLM\..\Run: [PCPrivacyTool] C:\Programme\PCPrivacyTool\GDC.exe
O4 - HKLM\..\Run: [gdcw] C:\Programme\PCPrivacyTool\data\GDCW.exe
O4 - HKLM\..\Run: [Salestart] "C:\Programme\Gemeinsame Dateien\PCPrivacyTool\stm.exe" dm=http://pcprivacytool.com ad=http://pcprivacytool.com sd=http://ilp.pcprivacytool.com
O4 - HKLM\..\Run: [ProtectingTool] C:\Programme\ProtectingTool\SysRep.exe
O4 - HKLM\..\Run: [cwriter] C:\Programme\ProtectingTool\ucookw.exe
O4 - HKLM\..\Run: [Salestart(1)] "C:\Programme\Gemeinsame Dateien\ProtectingTool\strpmon.exe" dm=http://protectingtool.com ad=http://protectingtool.com sd=http://inspaid.protectingtool.com
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [ICQ] "C:\PROGRA~1\ICQ6\ICQ.exe" silent
O4 - HKCU\..\Run: [AntiSpywareShield] C:\Program Files\AntiSpywareShield\AntiSpywareShield.exe
O4 - HKCU\..\Run: [WinSpyKiller] C:\Program Files\WinSpyKiller\WinSpyKiller.exe
O4 - HKCU\..\Run: [SpyClean] C:\Programme\Netcom3 Cleaner\SpyClean.exe
O4 - HKCU\..\RunOnce: [dompu on dalnet] HENCA.EXE
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: Compare Prices with &Dealio - C:\Dokumente und Einstellungen\Opf4\Anwendungsdaten\Dealio\kb126\res\DealioSearch.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra button: (no name) - {9034A523-D068-4BE8-A284-9DF278BE776E} - http://www.iefixgate.com/redirect.php (file missing)
O9 - Extra 'Tools' menuitem: IE Anti-Spyware - {9034A523-D068-4BE8-A284-9DF278BE776E} - http://www.iefixgate.com/redirect.php (file missing)
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra button: Dealio - {E908B145-C847-4e85-B315-07E2E70DECF8} - C:\Programme\Dealio\kb126\Dealio.dll
O9 - Extra 'Tools' menuitem: Dealio - {E908B145-C847-4e85-B315-07E2E70DECF8} - C:\Programme\Dealio\kb126\Dealio.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O10 - Unknown file in Winsock LSP: c:\programme\gemeinsame dateien\is3\anti-spyware\is3lsp.dll
O10 - Unknown file in Winsock LSP: c:\programme\gemeinsame dateien\is3\anti-spyware\is3lsp.dll
O10 - Unknown file in Winsock LSP: c:\programme\gemeinsame dateien\is3\anti-spyware\is3lsp.dll
O10 - Unknown file in Winsock LSP: c:\programme\gemeinsame dateien\is3\anti-spyware\is3lsp.dll
O10 - Unknown file in Winsock LSP: c:\programme\gemeinsame dateien\is3\anti-spyware\is3lsp.dll
O10 - Unknown file in Winsock LSP: c:\programme\gemeinsame dateien\is3\anti-spyware\is3lsp.dll
O16 - DPF: {00FD7DA3-AAF2-FE63-01B9-99450C96296E} - http://download-av.com/virenstopper.com/VirenStopper/install_de.cab
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} (Java Runtime Environment 1.6.0) - http://javadl.sun.com/webapps/download/AutoDL?BundleId=19588
O16 - DPF: {DA2A1C66-3367-CF4D-7570-B4230FEBCECA} - http://download-av.com/virenstopper.com/VirenStopper/install_de.cab
O20 - Winlogon Notify: TPSvc - C:\WINDOWS\SYSTEM32\TPSvc.dll
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: NetCom3 Service (Netcom3) - Unknown owner - C:\Programme\Netcom3 Cleaner\PSCMonitor.exe
O23 - Service: STOPzilla Service (szserver) - iS3, Inc. - C:\Programme\Gemeinsame Dateien\iS3\Anti-Spyware\SZServer.exe

--
End of file - 8870 bytes
         

EINE EINSCHRÄNKUNG:
Ich darf den Rechner nicht formatieren da ich ein Kleinunternehmen betreibe und auf dem Rechner wichtige Unterlagen von Kunden liegen (diese dürfen auf keinen fall verloren gehen).

BITTE BITTE:
Trojaner-Board ihr müsst mir helfen aus dieser sche*sse raus zu kommen.
Das hier ist wirklich kein Spaß sondern Ernst

In aller trauer: Thomas

So also dein HijackThis log war sehr interessant, also das bekommst du im leben nie mehr sauber, mind. die hälfte von den einträgen ist schädlich.

EINE EINSCHRÄNKUNG:
Ich darf den Rechner nicht formatieren da ich ein Kleinunternehmen betreibe und auf dem Rechner wichtige Unterlagen von Kunden liegen (diese dürfen auf keinen fall verloren gehen).

Gerade deswegen solltest du deinen Rechner neu formatieren, vorher natürlich die Daten sichern.
Durch den Trojaner oder was ich eher glaube Hack angriff sind alle Daten für den jenigen einsehbar. Und wie gesagt dein System bekommst du nicht mehr sauber.


Lad deinen HijackThis log einfach mal bei http://www.hijackthis.de hoch und in binnen von Sekunden siehst du das die hälfte davon verseucht ist.

Also neu Aufsätzen!

mfg.

@Lizzaran

Ich weiß nicht ob du dir die Vorgeschichte durchgelesen hast oder sofort angefangen hast dien hjt-log auszuwerten. Ich will es nocheinmal sagen.
ICH WERDE VON EINEM UNBEKANNTEN BEDROHT UND ERPRESST!
Könnte diese Handlung ihn nicht dazu bringen deine Drohungen wahr zu machen ?
Tut mir leid mit den Daten auf meinem rechner habe es vergessen dazu zu schreiben... die dateien sind in einem truecrypt containerfile verschlüsselt und für richtige verschlüsselung und password habe ich gesorgt das problem ist das ich durch diese ständig aufschiesenden Popups die Hände gebunden sind (ein glück das der hjt-log noch ging).
Der ganze Schund muss also irgendwie beseitigt werden (oder wenigstens vermindert werden).


Mit grüßen Thomas

Ok, ich werd mal nicht weiter versuchen dich Umzustimmen:
http://www.hijackthis.de
da postest du mal deinen Log.
Dann fixt du mal alle Einträge mit einem roten X
Die anderen mit einen gelben X oder ? überprüfst
du via www.virustotal.com und löschen falls sie
infiziert sind.
Damit du alle Daten überprüfen kannst musst du versteckte Ordner und Dateien einblenden:
Öffne den Explorer:
Oben rechts in der Menüleiste:
Extras/Ordneroptionen.../Ansicht/
Geschützte Systemdateien ausblenden - Das Häckchen entfernen
Dann etwas weiter unten
Versteckte Dateien und Ordner:
Alle Dateien und Ordner anzeigen auswählen
dann ok

So dannach
1) Deaktiviere die Systemwiederherstellung auf allen Laufwerken.
http://www.systemwiederherstellung-deaktivieren.de

2) Folge dieser Anleitung.
http://siri.geekstogo.com/SmitfraudFix_De.php

3) Run Combofix.
http://download.bleepingcomputer.com/sUBs/ComboFix.exe

4) Update dein AV-Prog (ich empfehle kaspersky) und Spyware Cleaner (z.B. Spybot) und wechsel in den abgesicherten Modus. Dort führe einen Vollscan mit höchsten Scan-optionen durch.
http://www.trojaner-board.de/63335-windows-abgesicherten-modus-starten.html

5) Räume mit CCleaner auf ( die Registry musst du mehrmals durchsuchen und bereinigen lassen).
http://www.ccleaner.com/

6) So lade dir mal eScan und Poste hier bitte den Bericht.

7) So nun nochmal zum schluß einen HijackThis Bericht.


So das wars mal.
Aja ne gute Firewall installieren (z.b. ZoneAlarm)

Nun zu deiner "erpressung".
Da sitzt nen Kiddie, hackt dich und macht halt ne .txt datei auf dem Desktop und schreibt das es will 1250€...
Hmm vll sollte ich auch anfangen mich auf nen Proxy Server einklinken und dann nen paar Leute zu hacken, da es ja offensichtlich welche gibt die dafür zahlen würde, vll nicht 1250 aber 500€ wären schon drin...

Und wieso du nicht neu Installieren willst versteh ich immer noch nicht...
Speicherst die Daten halt auf eine externe Festplatte oder brennst die auf ne CD. Dann hast immer noch die Daten, und außerdem sollte man sowieso als Unternehmer die wichtigen Daten wöchentlich bzw. monatlich sichern.

mfg

1) Ruhe bewahren

2) Die Drohung kannst du vergessen - der Trojaner-/Viren-Autor spielt mit deinen Ängsten und will dich veranlassen, dass du in Panik eben ihm Geld bezahlst (und wenn du wirklich meinst, dass das ernst ist (vergiss es, wirklich), dann geh zur Polizei und erstatte Anzeige)

3) die einzige Chance, das System wirklich viren-/trojanerfrei zu bekommen ist eine komplette Neuinstallation - alles andere lässt dich nur weiter in Unsicherheit leben - und gerade wenn es sich um Firmendaten handelt, dann setzt du dich Schadensersatzansprüchen deiner Kunden aus, wenn du wissentlich mit einem viren-/trojanerverseuchten System weiterarbeitest.

4) sichere deine Daten / Firmendaten auf einer externen Festplatte (nur die erforderlichen! Ggf. Festplatte ausbauen, in externes Gehäuse und an einem anderen Rechner per USB anschließen, dann die Daten auf den anderen Rechner rüberziehen und bei der verseuchten HDD dann die Partitionen löschen und formatieren)

5) danach Betriebssystem neu installieren.


PS: Und wenn du schon wichtige Kundendaten hast, die auf keinen Fall verloren gehen dürfen, dann MUSST du grds. eine Sicherungskopie von allen Daten haben!