TR/Vundo.FUL.9.A remove

Mitch84

hallo,

ich habe hier eine kleine anleitung erstellt wie man den trojaner TR/Vundo.FUL.9.A vom system entfernen kann.
verwendete programme: antivir, combofix und avenger

da viele das problem haben das sie ihn nicht angezeigt bekommen (sei es im system32-ordner oder auch in der registry) bringen auch die tipps mit z.b.: virustotal nichts. auch das einstellen der ordner-optionen um alle versteckten elemente sichtbar zu machen war bei mir total erfolglos.
da sich der trojaner auch vor highjackthis verstecken kann (auch tipps mit umbenennen von highjackthis in hjt.com brachte nichts) war auch hier nicht von erfolg zu sprechen.
auch die vundo-removals blieben bei mir ohne erfolg.

natülich gebe ich für meine tipps keine garantie oder gewährleistung ;-)
die tools sind mit absoluter vorsicht zu verwenden und sollten nur durchgeführt werden wenn man sich auch damit auskennt.
ICH BIN AUCH KEIN PROFI!

Achtung: da der trojaner anscheinend in unterschiedlichen pfaden zu finden ist sind die unten angegebenen pfade nur als beispiel zu sehen.

so, und jetzt los:

1. antivir meldet den fund.
den pfad am besten aufschreiben.
(bei mir war es z.b.: C:\WINDOWS\system32\.274f37b8f1e7d707\274f37b8f1e7d707.core.dll)
jetzt den antivir-guard deaktiviren damit erstmal ruhe ist und bei den bereits geöffneten meldefenstern den punkt auf ignore setzen.

2. das tool combofix laufen lassen.
im log von combofix erscheinen nun ganz unten folgende einträge:

Scanne versteckte Prozesse...

c:\windows\system32\.274f37b8f1e7d707\274f37b8f1e7d707.exe [1448] 0x89FEADA0

Scanne versteckte Autostarteinträge...

Scanne versteckte Dateien...


c:\windows\system32\.274f37b8f1e7d707

Scan erfolgreich abgeschlossen
versteckte Dateien: 1

**************************************************************************

[HKEY_LOCAL_MACHINE\system\ControlSet001\Services\274f37b8f1e7d707]
"ImagePath"="c:\windows\system32\.274f37b8f1e7d707\274f37b8f1e7d707.exe"

--> hier stellt man nun fest, das diese einträge mit dem pfad den wir uns aufgeschrieben haben ähnlich sind.


3.jetzt den pc mit F8 im abgesicherten modus starten und das tool "avenger" starten.

hier geben wir nun die 3 versteckten ein (siehe oben im log von combofix):

Files to Delete: <---das hier auch!

c:\windows\system32\.274f37b8f1e7d707\274f37b8f1e7d707.exe [1448] 0x89FEADA0
c:\windows\system32\.274f37b8f1e7d707
[HKEY_LOCAL_MACHINE\system\ControlSet001\Services\274f37b8f1e7d707]
"ImagePath"="c:\windows\system32\.274f37b8f1e7d707\274f37b8f1e7d707.exe"


und jetzt auf: Execute klicken!


damit sollte er dann eleminiert sein.