Backdoor:Win32/Cbot.B - Trojan:Win32/FakeSysdef

Basti7

Guten Abend,

mein Computer hat sich leider mit dem oben genannten Virus infiziert, welcher mit Microsoft Security Essentials erstmals bei mir gefunden wurde. Die Symtome waren kritische Fehlermeldungen der Festplatte, automatische Neustarts, fehlende Dateien u.ä.. Danach habe ich Kaspersky Internet Security 2011 installiert und einmal die Vollständige Untersuchung durchlaufen lassen. Log-datei folgt:

Gelöscht (31)
23.04.2011 18:40:43 Gelöscht trojanisches Programm Backdoor.Win32.Gbot.ahd c:\documents and settings\basti\appdata\local\microsoft\windows\temporary internet files\content.ie5\k3ev2445\readme[1].exe Hoch
23.04.2011 18:40:43 Gelöscht trojanisches Programm Backdoor.Win32.Gbot.ahd C:\Users\Basti\AppData\Local\Microsoft\Windows\TEMPORARY INTERNET FILES\Content.IE5\K3EV2445\README[1].EXE Hoch
23.04.2011 18:40:43 Gelöscht trojanisches Programm Trojan.Win32.Diple.mnw c:\documents and settings\basti\appdata\local\microsoft\windows\temporary internet files\content.ie5\wf8zvmaj\contacts[1].exe Hoch
23.04.2011 18:40:43 Gelöscht trojanisches Programm Trojan.Win32.Diple.mnw C:\Users\Basti\AppData\Local\Microsoft\Windows\TEMPORARY INTERNET FILES\Content.IE5\WF8ZVMAJ\CONTACTS[1].EXE Hoch
23.04.2011 16:14:42 Gelöscht trojanisches Programm Exploit.JS.Pdfka.dnv c:\documents and settings\basti\appdata\local\mozilla\firefox\profiles\la5trnmw.default\cache\0\a4\d5aa2d01 Hoch
23.04.2011 16:14:42 Gelöscht trojanisches Programm Exploit.JS.Pdfka.dnv c:\documents and settings\basti\appdata\local\mozilla\firefox\profiles\la5trnmw.default\cache\0\a4\d5aa2d01//data0003 Hoch
23.04.2011 14:53:12 Gelöscht trojanisches Programm Backdoor.Win32.Gbot.ahd C:\ProgramData\Microsoft\MICROSOFT ANTIMALWARE\LocalCopy\{845239EA-D759-43AF-71A3-2880CF516600}-readme[1].exe Hoch
23.04.2011 14:53:12 Gelöscht trojanisches Programm Backdoor.Win32.Gbot.ahd C:\ProgramData\Microsoft\MICROSOFT ANTIMALWARE\LocalCopy\{845239EA-D759-43AF-71A3-2880CF516600}-readme[1].exe//PE-Crypt.XorPE Hoch
23.04.2011 15:01:16 Gelöscht trojanisches Programm Backdoor.Win32.Gbot.ahd C:\ProgramData\Microsoft\MICROSOFT ANTIMALWARE\LocalCopy\{3CEEC6D0-5C04-542E-8197-7F0BB063B074}-readme[1].exe Hoch
23.04.2011 15:01:16 Gelöscht trojanisches Programm Backdoor.Win32.Gbot.ahd C:\ProgramData\Microsoft\MICROSOFT ANTIMALWARE\LocalCopy\{3CEEC6D0-5C04-542E-8197-7F0BB063B074}-readme[1].exe//PE-Crypt.XorPE Hoch
23.04.2011 15:12:19 Gelöscht trojanisches Programm Backdoor.Win32.Gbot.ahd C:\ProgramData\Microsoft\MICROSOFT ANTIMALWARE\LocalCopy\{AA81FB8F-53DB-F38A-D7C1-656D7393F22A}-readme[1].exe Hoch
23.04.2011 15:12:19 Gelöscht trojanisches Programm Backdoor.Win32.Gbot.ahd C:\ProgramData\Microsoft\MICROSOFT ANTIMALWARE\LocalCopy\{AA81FB8F-53DB-F38A-D7C1-656D7393F22A}-readme[1].exe//PE-Crypt.XorPE Hoch
23.04.2011 15:21:49 Gelöscht trojanisches Programm Backdoor.Win32.Gbot.ahd C:\ProgramData\Microsoft\MICROSOFT ANTIMALWARE\LocalCopy\{F706058F-0220-F4AD-4F36-A3863340334B}-readme[1].exe Hoch
23.04.2011 15:21:49 Gelöscht trojanisches Programm Backdoor.Win32.Gbot.ahd C:\ProgramData\Microsoft\MICROSOFT ANTIMALWARE\LocalCopy\{F706058F-0220-F4AD-4F36-A3863340334B}-readme[1].exe//PE-Crypt.XorPE Hoch
23.04.2011 15:32:35 Gelöscht trojanisches Programm Backdoor.Win32.Gbot.ahd C:\ProgramData\Microsoft\MICROSOFT ANTIMALWARE\LocalCopy\{C731EB9A-CF4C-9C08-78E5-892A56BD1A57}-readme[1].exe Hoch
23.04.2011 15:32:35 Gelöscht trojanisches Programm Backdoor.Win32.Gbot.ahd C:\ProgramData\Microsoft\MICROSOFT ANTIMALWARE\LocalCopy\{C731EB9A-CF4C-9C08-78E5-892A56BD1A57}-readme[1].exe//PE-Crypt.XorPE Hoch
23.04.2011 15:42:57 Gelöscht trojanisches Programm Backdoor.Win32.Gbot.ahd C:\ProgramData\Microsoft\MICROSOFT ANTIMALWARE\LocalCopy\{6D69A830-27A2-AF02-BF4A-EEF3925A8ABD}-readme[1].exe Hoch
23.04.2011 15:42:57 Gelöscht trojanisches Programm Backdoor.Win32.Gbot.ahd C:\ProgramData\Microsoft\MICROSOFT ANTIMALWARE\LocalCopy\{6D69A830-27A2-AF02-BF4A-EEF3925A8ABD}-readme[1].exe//PE-Crypt.XorPE Hoch
23.04.2011 15:54:21 Gelöscht trojanisches Programm Backdoor.Win32.Gbot.ahd C:\ProgramData\Microsoft\MICROSOFT ANTIMALWARE\LocalCopy\{A357CB58-3805-713D-DCD3-F65A261B2E63}-readme[1].exe Hoch
23.04.2011 15:54:21 Gelöscht trojanisches Programm Backdoor.Win32.Gbot.ahd C:\ProgramData\Microsoft\MICROSOFT ANTIMALWARE\LocalCopy\{A357CB58-3805-713D-DCD3-F65A261B2E63}-readme[1].exe//PE-Crypt.XorPE Hoch
23.04.2011 16:05:26 Gelöscht trojanisches Programm Backdoor.Win32.Gbot.ahd C:\ProgramData\Microsoft\MICROSOFT ANTIMALWARE\LocalCopy\{551660B8-E5B6-73C0-C48F-D03DDC7D48BB}-readme[1].exe Hoch
23.04.2011 16:05:26 Gelöscht trojanisches Programm Backdoor.Win32.Gbot.ahd C:\ProgramData\Microsoft\MICROSOFT ANTIMALWARE\LocalCopy\{551660B8-E5B6-73C0-C48F-D03DDC7D48BB}-readme[1].exe//PE-Crypt.XorPE Hoch
23.04.2011 18:40:43 Gelöscht trojanisches Programm Backdoor.Win32.Gbot.ahd C:\ProgramData\Kaspersky Lab\AVP11\Temp\crypt\00D092C1_crypt_copy.tmp Hoch
23.04.2011 16:14:41 Gelöscht trojanisches Programm Backdoor.Win32.Gbot.ahd C:\ProgramData\Microsoft\MICROSOFT ANTIMALWARE\LocalCopy\{9FF91A4A-4152-522E-F825-CCE5C03BA3BD}-readme[1].exe Hoch
23.04.2011 16:14:41 Gelöscht trojanisches Programm Backdoor.Win32.Gbot.ahd C:\ProgramData\Microsoft\MICROSOFT ANTIMALWARE\LocalCopy\{9FF91A4A-4152-522E-F825-CCE5C03BA3BD}-readme[1].exe//PE-Crypt.XorPE Hoch
24.04.2011 04:57:42 Gelöscht trojanisches Programm Backdoor.Win32.Gbot.ahd C:\ProgramData\Kaspersky Lab\AVP11\Temp\crypt\00DC7DEA_CRYPT_COPY.TMP Hoch
24.04.2011 04:57:42 Gelöscht trojanisches Programm Backdoor.Win32.Gbot.ahd c:\documents and settings\all users\kaspersky lab\avp11\temp\crypt\00dc7dea_crypt_copy.tmp Hoch
24.04.2011 04:48:01 Gelöscht trojanisches Programm Backdoor.Win32.Gbot.ahd C:\Documents and Settings\All Users\Microsoft\Microsoft Antimalware\LocalCopy\{CD25C2EB-5D1D-8811-07A9-4AAAC8D2A477}-00D092C1_crypt_copy.tmp Hoch
24.04.2011 04:48:01 Gelöscht trojanisches Programm Backdoor.Win32.Gbot.ahd C:\Documents and Settings\All Users\Microsoft\Microsoft Antimalware\LocalCopy\{CD25C2EB-5D1D-8811-07A9-4AAAC8D2A477}-00D092C1_crypt_copy.tmp//PE-Crypt.XorPE Hoch
24.04.2011 05:52:33 Gelöscht trojanisches Programm Backdoor.Win32.Gbot.ahd c:\documents and settings\all users\microsoft\microsoft antimalware\localcopy\{e2aaa517-3f58-0f1c-f5c7-7c18fdba2d8b}-00dc7dea_crypt_copy.tmp Hoch
24.04.2011 05:52:33 Gelöscht trojanisches Programm Backdoor.Win32.Gbot.ahd c:\documents and settings\all users\microsoft\microsoft antimalware\localcopy\{e2aaa517-3f58-0f1c-f5c7-7c18fdba2d8b}-00dc7dea_crypt_copy.tmp//PE-Crypt.XorPE Hoch



Danach hatte ich allerdings immernoch kein Zugriff auf meine Dateien auf der Festplatte. Sie zeigt an 2,2 Gb Speicherplatz frei von 250 Gb, aber die Dateiordner sind leer.

Also hab ich noch den CCleaner laufen lassen , mit wenig Erfolg, und heute abend noch Malewarebytes`Anti-Malware ( Quickscan). Logdatei folgt:


Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org

Datenbank Version: 6475

Windows 6.0.6001 Service Pack 1
Internet Explorer 7.0.6001.18000

29.04.2011 23:09:20
mbam-log-2011-04-29 (23-09-20).txt

Art des Suchlaufs: Quick-Scan
Durchsuchte Objekte: 152188
Laufzeit: 9 Minute(n), 7 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 1
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 1
Infizierte Dateien: 3

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell (Hijack.Shell.Gen) -> Value: Shell -> Quarantined and deleted successfully.

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
c:\Users\Basti\AppData\Roaming\microsoft\Windows\start menu\Programs\windows recovery (Trojan.FakeAV) -> Quarantined and deleted successfully.

Infizierte Dateien:
c:\Users\Basti\Desktop\windows recovery.lnk (Trojan.FakeAV) -> Quarantined and deleted successfully.
c:\Users\Basti\AppData\Roaming\microsoft\Windows\start menu\Programs\windows recovery\uninstall windows recovery.lnk (Trojan.FakeAV) -> Quarantined and deleted successfully.
c:\Users\Basti\AppData\Roaming\microsoft\Windows\start menu\Programs\windows recovery\windows recovery.lnk (Trojan.FakeAV) -> Quarantined and deleted successfully.



Nun weiß ich nicht weiter, denn nach dem Neustart, habe ich noch immer kein Zugriff mehr auf Dateien auf der Festplatte. Ich wäre sehr dankbar für Hilfe.