Hallo,

Ich schreibe weil ich leider wenig über Trojaner und andere Bedrohungen aus dem Internet weiß.
Ich habe tatsächlich gedacht, dass Avir ausreicht.

Das Problem ist, dass ich gestern eine trojaner befallene Datei einfach mit der entf Taste "behandelt" habe anstatt mit einem Anti Malware Programm.
Im Folgenden möchte ich kurz weiter im Detail erläutern, wie es dazu kam.

Avira hat einen Trojaner in der Datei Leftfordead.exe gefunden.
Daraufhin habe ich zunächst diese Datei gelöscht.
Der PC schien danach noch einwandfrei zu funktionieren.

Anschließend habe ich den gesamten Spieleordner löschen wollen und erhielt eine Fehlermeldung, dass eine Datei nicht gelöscht werden konnte (da eventuell noch darauf zugegriffen wird).
Also habe ich weiter sukzessive einzelne Dateien im Ordner in den Papierkorb verschoben, bis ich bei der Dateien war, die nicht gelöscht werden konnte.
Es handelte sich um mehrere Dateien, die sich in E:\Program Files\Left 4 Dead\platform\vgui\fonts befanden und es handelte sich (glaube ich) allesamt um Schriftarten.
Also habe ich dort weiter die Dateien (auch ttf) gelöscht, bei denen es ging, bis die bekannte Fehlermeldung auftauchte.
Leider war diesmal das Fenster mit der Fehlermeldung sehr viel größer als sonst (ich musste es ziehen um zum Menüpunkt OK zu klicken).
Außerdem war die Ansicht im Ordnerfenster des Windowsexplorer anders (die Dateinamen waren nur bis zum 2 Buchstaben aufgeführt danach folgte...
(vergleichbar mit der Darstellung, wenn man die Spalte zu klein wählt) obwohl die Spalten ausreichend groß waren.
Wenn man die entsprechende Spalte zur Darstellung vergrößerte, wurden mehr Buchstaben sichtbar; ein großer Teil der Spalte bestand dennoch aus leerem Platz.
Zudem ist die Systemschriftart verstellt.
Ich habe dann die Dateien aus dem Papierkorb hergestellt, die noch vorhanden waren.
Ich glaube, dass alle Dateien, im Ordner E:\Program Files\Left 4 Dead\platform\vgui\fonts) hergestellt werden konnten.

Jetzt funktioniert die Ordneransicht, allerdings ist die Systemschriftart verstellt.
Ob der PC langsamer geworden ist, kann ich nicht genau sagen.
Ich habe doch etwas den Eindruck.

Ein weiterer Scan mit Avira hat zunächst das Trojanische Pferd TR/Drop.70144 als Fund gemeldet.
Dieses wurde im Ordner Local Settings\Temp\vty-0229.rar auf C (also einer anderen Partition als der Spieleordner) gefunden.
Ist es möglich, dass die beiden Trojaner zusammenhängen oder kann es sich dabei um Malware handeln, die bei verschiedenen Gelegenheiten auf den PC kam?
Wie dem auch sei, Ich habe die Datei in die Quarantäne verschoben und anschließend mit Avir gelöscht.
Danach habe ich den Scanvorgang abgebrochen um zu schlafen (der Lüfter vom PC stört mich sonst).
Vorhin habe ich einen ausführlichen Scan mit Avir druchgeführt, der auf E 2 weitere Funde gemeldet hat.

Nachfolgend ein Auszug
Beginne mit der Suche in 'C:\'
C:\pagefile.sys
[WARNUNG] Die Datei konnte nicht geöffnet werden!
[HINWEIS] Bei dieser Datei handelt es sich um eine Windows Systemdatei.
[HINWEIS] Es ist in Ordnung, dass diese Datei für die Suche nicht geöffnet werden kann.
Beginne mit der Suche in 'E:\'
E:\Program Files\nico.zip
[0] Archivtyp: ZIP
--> nico/LaunchGTAIV.exe
[FUND] Ist das Trojanische Pferd TR/Spy.28160.B
E:\System Volume Information\_restore{50F35DD7-6F2F-49D7-82EF-FDF841A7A3D2}\RP249\A0022328.exe
[FUND] Ist das Trojanische Pferd TR/Agent.106526

Ich habe beide Funde in Quaranäne verschoben
Beginne mit der Desinfektion:
E:\Program Files\Ra Fold\Thief\nico.zip
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4afef0e8.qua' verschoben!
E:\System Volume Information\_restore{50F35DD7-6F2F-49D7-82EF-FDF841A7A3D2}\RP249\A0022328.exe
[FUND] Ist das Trojanische Pferd TR/Agent.106526
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4acbf0af.qua' verschoben!

Falls erwünscht kann ich also beide zur Verfügung stellen.

Allerdings weiß ich nicht genau wie zuverlässig Avir ist und ob nicht bereits ein Backdoor vorhanden ist.
Ich habe bei meiner Recherche gelesen, dass man, sobald dies vorhanden ist nicht mehr genau wissen kann, ob man einen sicheren PC hat, da diese in der Regel nicht gefunden werden können.

Ich muss dazu sagen, dass ich die befallene Datei LaunchGTAIV.exe und auch die Leftfordead.exe vor dem Fund schon häufig ausgeführt habe.
Bevor ein falscher Eindruck entsteht sei gesagt, dass ich nocd exe häufig benutze, da sich damit Ladezeiten verkürzen, lästige Geräusche des Laufwerks ausbleiben und viele Kopierschutzfunktionen Falschmeldungen liefern.
Bei GTA 4 hat der Kopierschutz z.B. die Performance merklich eingeschränkt.

Um es kurz zusammenzufassen;

Ich habe einen Trojaner, der nicht in Quarantäne war gelöscht.
Dazu habe ich lediglich den Papierkorb verwendet.
Kann dabei ein Schaden entstanden sein?

Anschließend habe ich weitere Dateien im Ordner gelöscht (es war kein Systemordnr sondern ein Spieleordner).
Es handelte sich teilweise um Tru Type Fonts; ARIALN.TTF und weitere.
Danach traten Fehler in der Ordneransicht auf und die Systemschriftart wurde umgestellt.

Ich frage mich natürlich, wie hier weiter vorzugehen ist.
Internetbanking (ich kann von meinem Konto aus ohnehin nur auf eigene Konten überweisen) könnte ich von meinem Laptop (statt PC) aus durchführen.
Wichtige Passwörter weiß ich auswendig und benutze keine Erinnerungsfunktion von Firefox o.ä.
Jedoch benutze ich auch Outlook und möchte natürlich nicht, dass jemand meine E mails liest.
Zudem lassen sich persönliche Daten aus Dokumenten extrahieren und ich möchte auch nicht, dass mein PC zur Verbreitung von Malware benutzt wrden kann.

Der Trojaner befand sich auf einer anderen Partition als das OS, allerdings auf einer wichtigen.
Dort befinden sich viele Programme, Spiele und Daten vom Studium.
Kann er überhaupt Schaden auf C verursacht haben?
Muss ich Partitionen Formatieren?
Falls ja welche?
Reicht es möglicherweise Windows neu aufzuspielen?
Wie kriege ich die Systemschriftart hin?
Reicht es einfach ein paar Antimalwareprogramme laufen zu lassen und jegliche Malware damit zu löschen?

Vielen Dank an alle, die sich mit dem Problem beschäftigen und Grüße

Ken St.Mich

Hallo und

Wo genau hast Du die Datei Leftfordead.exe her? Die ersten Ergebnisse in Google weisen alle auf Crackz hin
Wenn Du *.ttf in dem Programmverzeichnis gelöscht hast: Das dürfte nicht Deine Systemschriftarten löschen, denn Die Befinden sich alle im Windowsordner unter fonts.

Bitte diese Liste beachten und abarbeiten.

Die Logfiles kannst Du zB alle in eine Datei zippen und auf File-Upload.net hochladen und hier verlinken, denn 1. sind manche Logfiles fürs Board nämlich zu groß und 2. kann ich mit einem Klick mir gleich alle auf einmal runterladen.

Hallo Arne,

Danke für die prompte Antwort. Freut mich wirklich sehr.

Ich führe die einzelnen Schritte aus und verlinke die Dateien.

Ich habe gerade versucht, mit CCleaner die Registry zu säubern.
Es haben sich sehr viele Fehler gefunden und selbst jetzt, nach mehreren Durchgängen bleibt ein Fehler konstant.

Unused File Extension {80b8c23c-16e0-4cd8-bbc3-cecec9a78b79} HKCR\{80b8c23c-16e0-4cd8-bbc3-cecec9a78b79}

Wenn ich diesen Eintrag lösche, ist der Fehler beim nächsten Durchlauf weiter vorhanden.


Ich habe gerade eine interessante Kundenmeinung zu dem Spiel bei Amazon gefunden. Scheinbar tritt der Fehler immer auf.

Wenn man dann enttäuscht fertig ist mit Zocken, dann der nächste Tiefschlag. Das Spiel deinstalliere bei mir 8-10 Standardschriften und machte die Windows Bedienung damit unerträglich für die Augen. Ein Freund musste mir erst seinen Font Ordner kopieren bevor ich wieder Normalzustand hatte.

Da fragt man sich schon welche Flachpfeifen den Installer programmiert haben, sowas darf absolut nicht vorkommen. Mit welchem Recht entfernt ein Spiel Standardschriften aus dem Systemordner ? Arial, Tahoma etc.

Auch dies fließt in die Wertung mit ein und zwar ordentlich. Das Spiel alleine hätte 3 Sterne bekommen, aber 1.5 Stunden Aufwand um mein System wieder zum laufen zu bringen aufgrund von einer beknackten Installationsroutine geben auch 2 Sterne Abzug.

Registry-Fehler waren bisher auf JEDER Windowskiste, die mir unter die Hände gekommen ist. halte Dich jetzt bitte nicht an Kleinkram auf, ignoriere diesen kleinen Fehler und mach dann lieber mit Malwarebytes und RSIT weiter.

Anbei sende ich schonmal den Malwarebytes Report.

Ich muss gleich zur Arbeit. Deshalb erledige ich den Rest später.

Der Report scheint aber Grund zur Erleichterung zu geben.
Vielleicht ist beim Löschen der Leftfordead.exe doch nichts geschehen und das Problem mit den Schriftarten ist auf die fehlerhafte Programmierung des Spiels zurückzuführen.
Eine Suche dazu lässt das vermuten
google.de/search?q=left+4+dead+deinstalliert+schrift&ie=utf-8&oe=utf-8&aq=t&rls=org.mozilla:defficial&client=firefox-a

Zudem ist der Text nun richtig dargestellt. Warum weiß ich auch nicht.

Vielleicht reicht es ja die restlichen Dateien einfach zu behalten. Malware wurde nun keine mehr entdeckt.
Kann ich mich darauf verlassen, dass Avir und Malwarebytes tatsächlich alles gefunden hätten?


Malwarebytes' Anti-Malware 1.40
Database version: 2723
Windows 5.1.2600 Service Pack 3

31.08.2009 23:08:53
mbam-log-2009-08-31 (23-08-53).txt

Scan type: Full Scan (C:\|E:\|)
Objects scanned: 176619
Time elapsed: 35 minute(s), 54 second(s)

Memory Processes Infected: 0
Memory Modules Infected: 0
Registry Keys Infected: 0
Registry Values Infected: 0
Registry Data Items Infected: 2
Folders Infected: 0
Files Infected: 0

Memory Processes Infected:
(No malicious items detected)

Memory Modules Infected:
(No malicious items detected)

Registry Keys Infected:
(No malicious items detected)

Registry Values Infected:
(No malicious items detected)

Registry Data Items Infected:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

Folders Infected:
(No malicious items detected)

Files Infected:
(No malicious items detected)

Ok, was ist mit RSIT?