Trojaner-Board - Habe Definitv Trojaner und weiß nicht weiter....

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Habe Definitv Trojaner und weiß nicht weiter.... (https://www.trojaner-board.de/100997-habe-definitv-trojaner-weiss.html)

mazzo83

03.07.2011 17:01

Habe Definitv Trojaner und weiß nicht weiter....

hallo,

bin seit tagen am verzweifeln. ich weiß nicht wie und was ich mir da genau eingefangen habe, aber folgende symptome zeigt mein pc:

mozilla firefox startet ständig von alleine
ein paar mal war eine audio datei zu hören, die ihc nicht auf dem pc habe
sonstige komische vorgänge.....

hab versucht die anleitung hier zu befolgen und hoffe ich hab nicht alles falscfh gemacht!!

danke
mazzo

cosinus

03.07.2011 17:49

Hallo und :hallo:

Bitte routinemäßig einen Vollscan mit malwarebytes machen und Log posten.
Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss!

Falls Logs aus älteren Scans mit Malwarebytes vorhanden sind, bitte auch davon alle posten!

mazzo83

03.07.2011 18:52

ok, siehe anhang.

danke schonmal!!

cosinus

03.07.2011 20:15

Zitat:

Art des Suchlaufs: Quick-Scan

Sry aber ich wollte einen Vollscan sehen...bitte nachholen und Log posten!
Denk dran vorher die Signaturen von Malwarebytes zu aktualisieren, da gibt es sehr häufig neue Updates!

mazzo83

04.07.2011 07:03

ok ein weiterer versuch :))

cosinus

04.07.2011 09:07

Zitat:

-> No action taken.

Die Funde müssen mit Malwarebytes entfernt waren! Bitte nachholen falls noch nicht getan!

mazzo83

04.07.2011 19:26

ok das hab ich gemacht...merk grad mit quickscan, werd dasselbe nochmal mit ddem vollscan machen (inkl. entfernen)......

was wäre dann der nächste schritt?
bin ja ein laie, wozu lässt man anfangs den defogger und otl durchlaufen?!

danke für die hilfe bisher!!

cosinus

04.07.2011 20:00

Zitat:

PRC - [2011.07.03 15:11:23 | 002,978,720 | ---- | M] (Emsi Software GmbH) -- C:\Programme\Emsisoft Anti-Malware\a2service.exe

PRC - [2011.04.21 07:53:10 | 000,076,968 | ---- | M] (Avira GmbH) -- C:\Programme\Avira\AntiVir Desktop\avshadow.exe

A-Squared mit AntiVir zusammen solltest du nicht nutzen!
Bitte beide deinstallieren, wenn wir hier durch sind, kannst du auf MSE oder Avast umsteigen.

mazzo83

04.07.2011 20:16

ok danke und sorry :/

mazzo83

04.07.2011 23:13

ok. weiter gehts.........

cosinus

05.07.2011 07:22

Mach bitte ein neues OTL-CustomLog:

CustomScan mit OTL

Falls noch nicht vorhanden, lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop

Starte bitte die OTL.exe.
Vista und Win7 User mit Rechtsklick "als Administrator starten"
Kopiere nun den Inhalt in die http://billy-oneal.com/Canned%20Spee.../customFix.png Textbox.

Code:

netsvcs

msconfig

safebootminimal

safebootnetwork

activex

drivers32

%ALLUSERSPROFILE%\Application Data\*.

%ALLUSERSPROFILE%\Application Data\*.exe /s

%APPDATA%\*.

%APPDATA%\*.exe /s

%SYSTEMDRIVE%\*.exe

/md5start

wininit.exe

userinit.exe

eventlog.dll

scecli.dll

netlogon.dll

cngaudit.dll

ws2ifsl.sys

sceclt.dll

ntelogon.dll

winlogon.exe

logevent.dll

user32.DLL

iaStor.sys

nvstor.sys

atapi.sys

IdeChnDr.sys

viasraid.sys

AGP440.sys

vaxscsi.sys

nvatabus.sys

viamraid.sys

nvata.sys

nvgts.sys

iastorv.sys

ViPrt.sys

eNetHook.dll

ahcix86.sys

KR10N.sys

nvstor32.sys

ahcix86s.sys

/md5stop

%systemroot%\system32\drivers\*.sys /lockedfiles

%systemroot%\System32\config\*.sav

%systemroot%\*. /mp /s

%systemroot%\system32\*.dll /lockedfiles

CREATERESTOREPOINT

Schliesse bitte nun alle Programme. (Wichtig)
Klicke nun bitte auf den Quick Scan Button.
Klick auf http://billy-oneal.com/Canned%20Spee.../OTL/btnOK.png.
Kopiere nun den Inhalt aus OTL.txt hier in Deinen Thread

mazzo83

05.07.2011 15:57

ok

habs angehängt :)

mazzo83

05.07.2011 15:58

hatte probleme beim hochladen, hoffe es hat jetzt endlich geklappt

cosinus

06.07.2011 08:32

Mach einen OTL-Fix, beende alle evtl. geöffneten Programme, auch Virenscanner deaktivieren (!), starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!)

Code:

:OTL

O32 - HKLM CDRom: AutoRun - 1

O32 - AutoRun File - [2006.09.18 23:43:36 | 000,000,024 | ---- | M] () - C:\autoexec.bat -- [ NTFS ]

O33 - MountPoints2\{7b146d04-005b-11df-98dd-0021708addad}\Shell\1\Command - "" = F:\.\recycled\info.exe

O33 - MountPoints2\{7b146d04-005b-11df-98dd-0021708addad}\Shell\AutoRun\command - "" = C:\Windows\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL F:\.\recycled\info.exe

[2011.04.10 16:10:25 | 000,000,121 | ---- | C] () -- C:\Users\Mecde\AppData\Local\Tempzgrkga3z.koc.bat

O34 - HKLM BootExecute: (C:\Windows\3961161.exe \??\C:\Windows\3961161.dat) -  File not found

:Commands

[purity]

[resethosts]

Klick dann oben links auf den Button Fix!
Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet.

Die mit diesem Script gefixten Einträge, Dateien und Ordner werden zur Sicherheit nicht vollständig gelöscht, es wird eine Sicherheitskopie auf der Systempartition im Ordner "_OTL" erstellt.

mazzo83

06.07.2011 13:41

ok hab das jetzt gemacht.....

cosinus

06.07.2011 14:31

Ich brauch den Quarantäneordner von OTL. Bitte folgendes machen:

1.) GANZ WICHTIG!! Virenscanner deaktivieren, der darf das Packen nicht beeinflussen!
2.) Ordner MovedFiles in C:\_OTL in eine Datei zippen
3.) Die erstellte ZIP-Datei hier hochladen => http://www.trojaner-board.de/54791-a...ner-board.html
4.) Wenns erfolgreich war Bescheid sagen
5.) Erst dann wieder den Virenscanner einschalten

mazzo83

06.07.2011 15:50

hallo cosinus,

habs hochgeladen, hoffe du kannst etwas damit anfangen!

vielen dank für die tollen erklärungen!!!

cosinus

06.07.2011 15:57

Bitte nun dieses Tool von Kaspersky ausführen und das Log posten => http://www.trojaner-board.de/82358-t...entfernen.html

Das Tool so einstellen wie unten im Bild angegeben - also beide Haken setzen, auf Start scan klicken und wenn es durch ist auf den Button Report klicken um das Log anzuzeigen. Dieses bitte komplett posten.

http://www.trojaner-board.de/attachm...rnen-start.png

Falls du durch die Infektion auf deine Dokumente/Eigenen Dateien nicht zugreifen kannst, Verknüpfungen auf dem Desktop oder im Startmenü unter "alle Programme" fehlen, bitte unhide ausführen:
Downloade dir bitte unhide.exe und speichere diese Datei auf deinem Desktop.
Starte das Tool und es sollten alle Dateien und Ordner wieder sichtbar sein. ( Könnte eine Weile dauern )
http://www.trojaner-board.de/images/icons/icon4.gif Windows-Vista und Windows-7-User müssen das Tool per Rechtsklick als Administrator ausführen! http://www.trojaner-board.de/images/icons/icon4.gif

mazzo83

06.07.2011 16:22

ok hier der bericht

cosinus

06.07.2011 20:25

Zitat:

Rootkit.Win32.BackBoot.gen(\Device\Harddisk0\DR0) - User select action: Skip

Das Teil entfernen und nicht skippen!! Bitte nachholen und ein neues Log zur Kontrolle erstellen!

mazzo83

06.07.2011 21:28

muss ich "copy to quarantine" oder "restore" wählen??

danke!

cosinus

07.07.2011 08:30

Nimm ersteres.

mazzo83

07.07.2011 11:16

hallo arne,

siehe anhang :)

cosinus

07.07.2011 11:51

Welcher Anhang?

mazzo83

07.07.2011 12:06

:stirn:

diesen hier, sorry!!

cosinus

07.07.2011 13:05

Dann starte Windows mal neu falls noch nicht getan und mach ein neues Log mit dem TDSS-Killer.

mazzo83

07.07.2011 22:55

hallo, anbei der neue scan...

cosinus

08.07.2011 08:02

Hm, immer noch Funde.
Dann bitte jetzt CF ausführen:

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

Lade dir ComboFix hier herunter auf deinen Desktop.

Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.

Starte cofi.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.

Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

mazzo83

08.07.2011 15:22

und weiter gehts.............

cosinus

08.07.2011 16:08

Combofix - Scripten

1. Starte das Notepad (Start / Ausführen / notepad[Enter])

2. Jetzt füge mit copy/paste den ganzen Inhalt der untenstehenden Codebox in das Notepad Fenster ein.

Hinweis: Falls Du Deinen Benutzernamen unkenntlich gemacht hast, musst Du das Ausgesternte in Deinen richtigen Benutzernamen wieder verwandeln, sonst funktioniert das Script nicht!!

Code:

KILLALL::
 

Folder::

C:\ce05c548965965cd6686bc260eb039

c:\programdata\mG28601OiCdE28601

c:\program files\win

c:\program files\bwntahsv
 

File::

c:\windows\DUMP5418.tmp

c:\windows\DUMP58b9.tmp

c:\windows\DUMP70db.tmp

c:\windows\System32\drivers\gmqnv.sys

c:\windows\System32\drivers\pjcfn.sys

c:\windows\System32\drivers\vevclwio.sys

c:\windows\system32\drivers\mgrmrkhi.sys

c:\windows\system32\drivers\okyjdbko.sys
 

Driver::

gsvqiqje

liigrco

pghjiu

mgrmrkhi

okyjdbko

3. Speichere im Notepad als CFScript.txt auf dem Desktop.

4. Deaktivere den Guard Deines Antivirenprogramms und eine eventuell vorhandene Software Firewall.
(Auch Guards von Ad-, Spyware Programmen und den Tea Timer (wenn vorhanden) !)

5. Dann ziehe die CFScript.txt auf die cofi.exe, so wie es im unteren Bild zu sehen ist. Damit wird Combofix neu gestartet.

http://users.pandora.be/bluepatchy/m...s/CFScript.gif

6. Nach dem Neustart (es wird gefragt ob Du neustarten willst), poste bitte die folgenden Log Dateien:
Combofix.txt

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann!

mazzo83

08.07.2011 18:49

:(

hier ist sie..........scheint ne schwierige geburt zu werden...

cosinus

10.07.2011 18:25

Ok. Bitte nun Logs mit GMER und OSAM erstellen und posten.
GMER stürzt häufiger ab, wenn das Tool auch beim 2. Mal nicht will, lass es einfach weg und führ nur OSAM aus - die Online-Abfrage durch OSAM bitte überspringen.
Bei OSAM bitte darauf auch achten, dass Du das Log auch als *.log und nicht *.html oder so abspeicherst.

Hinweis: Zum Entpacken von OSAM bitte WinRAR oder 7zip verwenden! Stell auch unbedingt den Virenscanner ab, besonders der Scanner von McAfee meldet oft einen Fehalarm in OSAM!

Downloade Dir danach bitte MBRCheck (by a_d_13) und speichere die Datei auf dem Desktop.

Doppelklick auf die MBRCheck.exe.
Vista und Win7 User mit Rechtsklick "als Administrator starten"
Das Tool braucht nur wenige Sekunden.
Danach solltest du eine MBRCheck_<Datum>_<Uhrzeit>.txt auf dem Desktop finden.

Poste mir bitte den Inhalt des .txt Dokumentes

mazzo83

10.07.2011 19:03

hi, brauchst du auch die osam.log datei??

cosinus

10.07.2011 19:09

Wenn möglich alle Logs, warum soll ich dir auch sonst drei Tools aufgeben? :wtf:

mazzo83

10.07.2011 19:30

ok, entschuldige bitte :heilig:

GMER hat nicht funktioniert, mehrfach abgestürzt, wie du schon prophezeit hattest... :)

cosinus

11.07.2011 08:17

Zitat:

"rwhhy" (rwhhy) - ? - C:\Windows\System32\drivers\rajcum.sys (File not found)
"xgoyo" (xgoyo) - ? - C:\Windows\System32\drivers\piaq.sys (File not found)

Bitte mit OSAM deaktivieren und löschen

Zitat:

298 GB \\.\PhysicalDrive0 Unknown MBR code

Wir sollten den MBR manuell fixen. Sichere für den Fall der Fälle alle wichtigen Daten.

Hast Du noch andere Betriebssysteme außer Vista installiert?
Wenn nicht: Schau mal hier => Vista Notfall/Recovery-CD 32-Bit - Dr. Windows

Lad das iso runter, brenn es zB mit ImgBurn per Imagebrennfunktion auf eine CD und starte damit den Rechner (von dieser CD booten)

Falls Du eine normale Vista-Installations-DVD hast, brauchst Du das o.g. Image nicht sondern kannst einfach von der Vista-DVD booten.

Klick auf Computerreparaturoptionen, weiter, Eingabeaufforderung - die Konsole öffnet sich. Da bitte bootrec.exe /fixboot eintippen (mit enter bestätigen), dann bootrec.exe /fixmbr eintippen (mit enter bestätigen) - Rechner neustarten, CD vorher rausnehmen. Erstell danach wieder neue Logs mit MBRCheck und wenn es geht GMER.

mazzo83

14.07.2011 21:45

das mit dem löschen hab ich hin bekommen.

hab so ne vista dvd, das problem ist, wenn ich die laufen lasse, kommt nicht das menü für die rep.optionen, sondern nur "vista installieren".

:heulen:

cosinus

15.07.2011 10:22

http://saved.im/mtgymzazzhc1/newvm-v...2_10-06-47.png
http://saved.im/mtgymza0awi3/newvm-v...2_10-16-45.png

mazzo83

15.07.2011 13:21

hallo arne,

habs versucht...

cosinus

15.07.2011 14:46

Zitat:

298 GB \\.\PhysicalDrive0 Unknown MBR code
SHA1: 5774FB2291412CDE33C6B18D4D77BB6BC9F1673E

hast du die Befehle wie oben genannt eingetippt und ausgeführt?

mazzo83

15.07.2011 14:54

ja, es kann aber sein dass was schief gelaufen ist?!

cosinus

15.07.2011 15:04

Kam eine Meldung, dass der MBR erfolgreich neu geschrieben wurde?

mazzo83

15.07.2011 15:09

ich bin mir nicht sicher, ich hab nach dem boot mit der dvd mbr einfach neu durchlaufen lassen und das log gepostet.
was soll ich jetzt machen??

cosinus

15.07.2011 15:10

Wiederhol den Schritt mit bootrec.exe /fixmbr und /fixboot.
Notier dir die Ausgaben

mazzo83

16.07.2011 00:41

ok arne, da stand drin "successfully done" oder so etwas in der art. hab dir nochmal die neuen log dateien gepostet.

danke dir für den langen atem!!

cosinus

16.07.2011 00:55

Funktioniert bei deinem Rechner anscheinend nicht, geht mal so vor => How to use the Bootrec.exe tool in the Windows Recovery Environment to troubleshoot and repair startup issues in Windows

Also diese Befehle ausführen:

bcdedit /export C:\BCD_Backup
c:
cd boot
attrib bcd -s -h -r
ren c:\boot\bcd bcd.old
bootrec /RebuildBcd

mazzo83

16.07.2011 23:20

hallo arne,

hab nochmals versucht zu machen, was du mir geschrieben hast.

sollte es wieder nicht das sein, was wir suchen, dann soll mir diesen schritt jm machen, der sich nicht so doof anstellt.

was sollte denn in den logs stehen bzw. nicht stehen?

vg
mazzo

cosinus

17.07.2011 17:54

Downloade dir bitte aswMBR.exe und speichere die Datei auf deinem Desktop.

Starte die aswMBR.exe - (aswMBR.exe Anleitung) Vista und Win7 User mit Rechtsklick "als Admininstartor starten"
Das Tool wird dich fragen, ob Du mit der aktuellen Virendefinition von AVAST! dein System scannen willst. Beantworte diese Frage bitte mit Ja. (Sollte deine Firewall fragen, bitte den Zugriff auf das Internet zulassen) Der Download der Definitionen kann je nach Verbindung eine Weile dauern.
Klicke auf Scan.
Warte bitte bis Scan finished successfully im DOS Fenster steht.
Drücke auf Save Log und speichere diese auf dem Desktop.

Poste mir die aswMBR.txt in deiner nächsten Antwort. Wichtig: Drücke keinesfalls einen der Fix Buttons ohne Anweisung Hinweis: Sollte der Scan Button ausgeblendet sein, schließe das Tool und starte es erneut. Sollte es erneut nicht klappen teile mir das bitte mit.

mazzo83

17.07.2011 19:00

ok habs durch laufen lassen........

danke

cosinus

17.07.2011 19:21

Bitte mal den Avenger anwenden:

1.) Lade Dir von hier Avenger:
Swandog46's Public Anti-Malware Tools (Download, linksseitig)

2.) Entpack das zip-Archiv, führe die Datei "avenger.exe" aus (unter Vista per Rechtsklick => als Administrator ausführen). Die Haken unten wie abgebildet setzen:

http://mitglied.lycos.de/efunction/tb123/avenger.png

3.) Kopiere Dir exakt die Zeilen aus dem folgenden Code-Feld:

Code:

Files to delete:

C:\Windows\Explorermgr.exe

4.) Geh in "The Avenger" nun oben auf "Load Script", dort auf "Paste from Clipboard".

5.) Der Code-Text hier aus meinem Beitrag müsste nun unter "Input Script here" in "The Avenger" zu sehen sein.

6.) Falls dem so ist, klick unten rechts auf "Execute". Bestätige die nächste Abfrage mit "Ja", die Frage zu "Reboot now" (Neustart des Systems) ebenso.

7.) Nach dem Neustart erhältst Du ein LogFile von Avenger eingeblendet. Kopiere dessen Inhalt und poste ihn hier.

8.) Die Datei c:\avenger\backup.zip bei File-Upload.net - Ihr kostenloser File Hoster! hochladen und hier verlinken

mazzo83

17.07.2011 20:00

hallo arne,

hat geklappt, pc hat auch neu gestartet, nur find ich die logg datei nicht, da erschien nichts?!

muss ich an einem bestimmten ort suchen oder einfach nochmal durch führen?

cosinus

17.07.2011 20:24

Beachte Punkt 8!

mazzo83

17.07.2011 21:41

ich hab punkt acht gelesen aber ich finde diese zip datei nicht, die ich hoch laden soll....das einzige das jetzt auf dem desktop da ist ist folgende....:

cosinus

17.07.2011 21:52

Kann eigentlich alles nicht sein. Der MBR müsste längst i.O. sein :balla:

Mach bitte erstmal zur Kontrolle Vollscans mit Malwarebytes und SASW und poste die Logs.
Denk dran beide Tools zu updaten vor dem Scan!!

Anschließend über den OnlineScanner von ESET eine zusätzliche Meinung zu holen ist auch nicht verkehrt:

ESET Online Scanner

Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
Lade und starte Eset Online Scanner
Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
Klicke auf Starten.
Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
Klicke am Ende des Suchlaufs auf Fertig stellen.
Schließe das Fenster von ESET.
Explorer öffnen.
C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
Logfile hier posten.
Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

mazzo83

18.07.2011 18:09

ok hat alles hin gehauen, nur kann es sein, dass du mir g leich den kopf abreisst :glaskugel2: ....bin mir nicht 100% sicher ob ich bei eset das häckchen raus gemacht hatte.

viele grüße

mazzo

cosinus

18.07.2011 19:00

Ah ok, jetzt wo ich die Ergebnisse von ESET seh :o
Du hast einen Fileinfector an Board. Das erklärt die Hartnäckigkeit, hätte ich das mal eher gesehen :headbang:

Folge dem Artikel zur Datensicherung über Ubuntu in meiner Signatur (2. Link) dann dem zur Neuinstallation von Windows. Bereinigen macht hier keinen Sinn mehr.

mazzo83

18.07.2011 19:47

dann bin ich ja beruhigt....

eine frage bevor ich loslege....hatte meine daten usw neulich schon gesichert auf den stick.......muss ich trotzdem den schritt mit ubuntu machen oder gleich windows neu installieren....
interntzugang hätt ich über n anderen pc...

vg
mazzo

cosinus

18.07.2011 20:21

Wenn die Daten gesichert sind, kannst du gleich Windows neu installieren.
Nach Möglichkeit die interne Platte komplett plattmachen, also alle Partitionen löschen und neu erstellen lassen.

mazzo83

18.07.2011 22:08

was ist mit windows old, das erstellt wird, enthält es nicht verseuchte dateien?

cosinus

19.07.2011 09:30

Kannst du solche kleinen Themen nicht mal selbst recherchieren? :wtf:

Google sollte jeder bedienen können.
Entfernen des Windows.old-Ordners, der generiert wird, wenn Sie eine benutzerdefinierte Installation von Windows Vista so durchführen

Alle Zeitangaben in WEZ +1. Es ist jetzt 12:32 Uhr.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19