Trojaner TR/Crypt.XPACK.Gen3 und TR/Agent.aym.2 in svchost.exe und shell.exe

H4rz

Hallo,

seit gestern habe ich einen oder mehrere Trojaner auf meinem Rechner.

Folgende Symptome konnte ich bisher feststellen:
- mein Browser zeigt mir andere Seiten an, als die, die ich aufrufe (unter Anderem zum Beispiel eine Suche nach "Trend Antivirus" auf "ask.com")
- Meine Firewall fragte mich neuerdings ob "Windows Host Process" und "Shell.exe" aufs Internet zugreifen dürfen, was davor nie der Fall war, bzw. was ich schon längst erlaubt und gespeichert hatte. Die musste ich zulassen, da ich sonst auf keine Seiten im Netz mehr zugreifen konnte.

Malwarebytes`zeigte mir 10 Dateien rot an. Nachdem ich sie entfernt hatte konnte ich nach einem Neustart keine Webseiten mehr angezeigt bekommen. Deshalb musste ich sie nun vorübergehend aus dem Quarantäneordner wiederherstellen.

Avira Free Antivirus zeigte mir 2 Meldungen an:

In der Datei 'C:\Users\XXX\AppData\Roaming\Microsoft\Windows\shell.exe'
wurde ein Virus oder unerwünschtes Programm 'TR/Crypt.XPACK.Gen3' [trojan] gefunden.
Ausgeführte Aktion: Datei in Quarantäne verschieben

und

In der Datei 'C:\Users\XXX\AppData\Local\Temp\0.9330516326032002.exe'
wurde ein Virus oder unerwünschtes Programm 'TR/Agent.aym.2' [trojan] gefunden.
Ausgeführte Aktion: Datei in Quarantäne verschieben

Die Probleme treten trotzdem noch auf.

Ich überlege, die infizierten Dateien mit malwarebytes' zu entfernen und dann eine Windows Reparatur-Installation drüberlaufen zu lassen.

Falls es irgendwie geht, würde ich einer kompletten Neuinstallation gerne aus dem Weg gehen.

Hier das aktuelle logfile von malwarebytes`

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Datenbank Version: 4869

Windows 6.1.7600
Internet Explorer 8.0.7600.16385

18.10.2010 13:51:56
mbam-log-2010-10-18 (13-51-56).txt

Art des Suchlaufs: Quick-Scan
Durchsuchte Objekte: 152035
Laufzeit: 4 Minute(n), 3 Sekunde(n)

Infizierte Speicherprozesse: 2
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 2
Infizierte Dateiobjekte der Registrierung: 1
Infizierte Verzeichnisse: 0
Infizierte Dateien: 5

Infizierte Speicherprozesse:
C:\Users\XXX\AppData\Roaming\Microsoft\svchost.exe (Trojan.Agent) -> No action taken.
C:\Users\XXX\AppData\Roaming\Microsoft\Windows\shell.exe (Trojan.Shell) -> No action taken.

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\svchost (Trojan.Agent) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\load (Trojan.Agent) -> No action taken.

Infizierte Dateiobjekte der Registrierung:
HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell (Hijack.Shell) -> Bad: (explorer.exe,C:\Users\XXX\AppData\Roaming\Microsoft\Windows\shell.exe) Good: (Explorer.exe) -> No action taken.

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\Users\XXX\AppData\Roaming\Microsoft\svchost.exe (Trojan.Agent) -> No action taken.
C:\Windows\System32\ufyw.gho (Trojan.Dropper.Gen) -> No action taken.
C:\Users\XXX\AppData\Local\Temp\0.9103432777020439.exe (Trojan.Agent) -> No action taken.
C:\Users\XXX\AppData\Roaming\asdsada.bat (Malware.Trace) -> No action taken.
C:\Users\XXX\AppData\Roaming\Microsoft\Windows\shell.exe (Trojan.Shell) -> No action taken.