Trojaner-Board - Habe den BKA- Virus. schaffe es nicht die cd mit OTLPE zu booten. es öffnet sich reatogo x pe

Seite 1 von 2

100 Beiträge dieses Themas auf einer Seite anzeigen

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Habe den BKA- Virus. schaffe es nicht die cd mit OTLPE zu booten. es öffnet sich reatogo x pe (https://www.trojaner-board.de/101684-habe-bka-virus-schaffe-cd-otlpe-booten-oeffnet-reatogo-x-pe.html)

niclas

25.07.2011 12:52

Habe den BKA- Virus. schaffe es nicht die cd mit OTLPE zu booten. es öffnet sich reatogo x pe

Guten Tag,

ich habe gestern den BKA- Virus auf meine Laptop (IBM ThinkPad, Lenovo T60) bekommen.
Habe mir OTLPE gedownloaded und auf CD gebrannt.
Wollte darauf diese booten. Es erschien allerdings kein Hinweisdarauf, dass ich F6 oder DEL drücken kann. Es erschien lediglich der Hinweis, dass ich Reatogo X PE starten könne. Nachdem ich dies, mit Hilfe einer auf meinem Laptop vorhandenen Tast namems "ThinkVintage", getan hatte öffnete sich dieses Programm auch.
Auch nach Lesen mehrer Artikel über dieses programm habe ich ehrlich gesagt nicht verstanden was dieses kann.
Ich wollte daher den Laptop erneut starten um nochmals nach Hinweisen zum booten zu suchen. Wenn ich nun aber den Laptop starte öffnet sich jedes mal Reatogo X PE.

ich würde mich freuen wenn mir jemand sagt wie ich die CD jetzt booten kann und wie ich weiter vorgehen soll.

MfG

Niclas

cosinus

25.07.2011 15:03

Boote von der Reatogo (OTLPE-CD)

Hinweis: Wie boote ich von CD

Dein System sollte nach einigen Minuten den REATOGO-X-PE Desktop anzeigen.
Mache einen Doppelklick auf das OTLPE Icon.
Wenn Du gefragt wirst "Do you wish to load the remote registry", dann wähle Yes.
Wenn Du gefragt wirst "Do you wish to load remote user profile(s) for scanning", dann wähle Yes.
Vergewissere Dich, dass die Box "Automatically Load All Remaining Users" gewählt ist und drücke OK.
OTLpe sollte nun starten.
Drücke Run Scan, um den Scan zu starten.
Wenn der Scan fertig ist, werden die Dateien C:\OTL.Txt und C:\Extras.Txt erstellt
Kopiere diese Datei auf Deinen USB-Stick, wenn Du keine Internetverbindung auf diesem System hast.
Bitte poste den Inhalt von C:\OTL.Txt und Extras.Txt.

niclas

25.07.2011 15:46

Danke schonmal.
Ich hab jetzt also den Scan durchgeführt im Anhang befindet sich die OTL.txt datei.
Eine Datei namen Extra.txt wurde allerdings nicht erstellt.
muss ich irgendwelche einstellungen ändern damit diese erscheint oder was soll ich am besten tun?

Mfg

Niclas

cosinus

25.07.2011 15:58

Mach einen OTL-Fix über OTLPE, starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!)

Code:

:OTL

O20 - HKLM Winlogon: Shell - (C:\DOKUME~1\IBM\LOKALE~1\Temp\0.011467536592271066.exe) - C:\Dokumente und Einstellungen\IBM\Lokale Einstellungen\Temp\0.011467536592271066.exe (Slaw Creole)

O32 - HKLM CDRom: AutoRun - 1

O32 - AutoRun File - [2011/02/28 10:59:22 | 000,000,000 | -H-- | M] () - C:\AUTOEXEC.BAT -- [ NTFS ]

:Files

C:\Dokumente und Einstellungen\IBM\Lokale Einstellungen\Temp\0.011467536592271066.exe

:Commands

[purity]

[resethosts]

Klick dann oben links auf den Button Fix!
Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet.

Die mit diesem Script gefixten Einträge, Dateien und Ordner werden zur Sicherheit nicht vollständig gelöscht, es wird eine Sicherheitskopie auf der Systempartition im Ordner "_OTL" erstellt.

Danach sollte Windows wieder normal starten - stell uns bitte den Quarantäneordner von OTL zur Verfügung. Dabei bitte so vorgehen:

1.) GANZ WICHTIG!! Virenscanner deaktivieren, der darf das Packen nicht beeinträchtigen!
2.) Ordner movedfiles in C:\_OTL in eine Datei zippen
3.) Die erstellte ZIP-Datei hier hochladen => http://www.trojaner-board.de/54791-a...ner-board.html
4.) Wenns erfolgreich war Bescheid sagen
5.) Erst dann wieder den Virenscanner einschalten

niclas

25.07.2011 16:07

Ok werde ich machen, hab nur noch eine (vllt. dämliche frage):
Wie kann ich diesen Text kopieren und bei Custom Scans/Fixes einfügen? Ich habe auf dem anderen rechner kein Schreibprogramm, mit welches den Text darstellen könnte.

oder muss ich den Abtippen?

mfg

niclas

25.07.2011 16:30

So ich habe es geschafft die Fix-Datei zu erstellen. Sie ist im Anhang zu finden.

Jetzt muss ich den Laptop nur noch neu starten?

Wo finde ich den Quarantäne- Ordner von OTL?
ist der bei windows oder bei reatogo?

VIELEN DANK!

niclas

niclas

25.07.2011 16:49

Windows läuft wieder! Vielen vielen Dank!!!
unglaublich das so funktioniert hat!!!
hätte ich NIEMALS hinbekommen.

Habe die Datei dort hochgeladen.
Wie kann ich mich denn in Zukunft schützen?

Nochmal vielen Dank

niclas

cosinus

25.07.2011 18:33

Zitat:

Wie kann ich mich denn in Zukunft schützen?

Wir sind noch nicht durch!! Die Frage kommt zum Schluss, da ich jetzt nicht von der Bereinigung ablenken will.

Bitte routinemäßig einen Vollscan mit malwarebytes machen und Log posten.
Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss!

Falls Logs aus älteren Scans mit Malwarebytes vorhanden sind, bitte auch davon alle posten!

Danach OTL-Custom:

CustomScan mit OTL

Falls noch nicht vorhanden, lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop

Starte bitte die OTL.exe.
Vista und Win7 User mit Rechtsklick "als Administrator starten"
Kopiere nun den Inhalt in die http://billy-oneal.com/Canned%20Spee.../customFix.png Textbox.

Code:

netsvcs

msconfig

safebootminimal

safebootnetwork

activex

drivers32

%ALLUSERSPROFILE%\Application Data\*.

%ALLUSERSPROFILE%\Application Data\*.exe /s

%APPDATA%\*.

%APPDATA%\*.exe /s

%SYSTEMDRIVE%\*.exe

/md5start

wininit.exe

userinit.exe

eventlog.dll

scecli.dll

netlogon.dll

cngaudit.dll

ws2ifsl.sys

sceclt.dll

ntelogon.dll

winlogon.exe

logevent.dll

user32.DLL

iaStor.sys

nvstor.sys

atapi.sys

IdeChnDr.sys

viasraid.sys

AGP440.sys

vaxscsi.sys

nvatabus.sys

viamraid.sys

nvata.sys

nvgts.sys

iastorv.sys

ViPrt.sys

eNetHook.dll

ahcix86.sys

KR10N.sys

nvstor32.sys

ahcix86s.sys

/md5stop

%systemroot%\system32\drivers\*.sys /lockedfiles

%systemroot%\System32\config\*.sav

%systemroot%\*. /mp /s

%systemroot%\system32\*.dll /lockedfiles

CREATERESTOREPOINT

Schliesse bitte nun alle Programme. (Wichtig)
Klicke nun bitte auf den Quick Scan Button.
Klick auf http://billy-oneal.com/Canned%20Spee.../OTL/btnOK.png.
Kopiere nun den Inhalt aus OTL.txt hier in Deinen Thread

niclas

25.07.2011 21:19

ok also da scheint noch nicht alles weg zu sein...

hier also die beiden logs...
vielen dank schon im voraus...

mfg
niclas

cosinus

26.07.2011 08:27

Du hast erneut das OTLPE-Log gepostet, ich wollte den CustomScan aus dem von Festplatte installierten Windows sehen.

niclas

26.07.2011 12:23

alos ich habe diesen quick scan jetzt nochmal durchgeführt, während in dem feld darunter das stand was du mir geschickt hattest.
muss ich da sonst noch irgendwas umstellen oder ist das jetzt die richtige otl.txt datei?

lg

cosinus

26.07.2011 12:29

Mach einen OTL-Fix, beende alle evtl. geöffneten Programme, auch Virenscanner deaktivieren (!), starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!)

Code:

:OTL

[2011.07.05 14:24:20 | 000,000,000 | ---D | M] ("ICQ Toolbar") -- C:\Dokumente und Einstellungen\IBM\Anwendungsdaten\Mozilla\Firefox\Profiles\qqcxkmi6.default\extensions\{800b5000-a755-47e1-992b-48a1c1357f07}

[2011.03.15 23:30:35 | 000,000,000 | ---D | M] ("DVDVideoSoft Menu") -- C:\Dokumente und Einstellungen\IBM\Anwendungsdaten\Mozilla\Firefox\Profiles\qqcxkmi6.default\extensions\{ACAA314B-EEBA-48e4-AD47-84E31C44796C}

[2011.07.21 14:44:30 | 000,001,056 | ---- | M] () -- C:\Dokumente und Einstellungen\IBM\Anwendungsdaten\Mozilla\Firefox\Profiles\qqcxkmi6.default\searchplugins\icqplugin.xml

O32 - HKLM CDRom: AutoRun - 1

O3 - HKLM\..\Toolbar: (ICQToolBar) - {855F3B16-6D32-4FE6-8A56-BBB695989046} - C:\Programme\ICQ6Toolbar\ICQToolBar.dll (ICQ)

:Commands

[purity]

[resethosts]

niclas

26.07.2011 12:30

ich habe den quick scan jetzt nochmal durchgeführt, während der text den du mir geschickt hattest in dem feld darunter stand.
ist das jetzt die richtige datei?

lg

niclas

26.07.2011 12:32

sry ich dachte eben der hätte meine nachricht nicht gepostet....

cosinus

26.07.2011 12:40

Schon ok :D
Mach einfach den von mir genannten Fix

Alle Zeitangaben in WEZ +1. Es ist jetzt 15:33 Uhr.

Seite 1 von 2

100 Beiträge dieses Themas auf einer Seite anzeigen

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131