Trojaner-Board - BKA Trojaner und jashla.exe....

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - BKA Trojaner und jashla.exe.... (https://www.trojaner-board.de/102299-bka-trojaner-jashla-exe.html)

BKA Trojaner und jashla.exe....

Hallo,
ich habe auch den BKA Trojaner und habe die "jashla.exe" Datei umbenannt, jetzt fährt das System nicht mals mehr zu der BKA Seite hoch, Windows bricht vorher mit blauen sceen ab...
Ich habe mit OTLPE die scans gemacht und angehängt.
Ich hätte noch eine Frage: wenn ich Daten mit der OTLPE CD auf eine externe Festplatte rüberschiebe, ist dann die Festplatte auch infiziert?

Vielen Dank für die Hilfe

Ingo

Mach einen OTL-Fix über OTLPE, starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!)

Hinweis: Falls Du Deinen Benutzernamen unkenntlich gemacht hast, musst Du das Ausgesternte in Deinen richtigen Benutzernamen wieder verwandeln, sonst funktioniert das Script nicht!!

Code:

:OTL

O32 - HKLM CDRom: AutoRun - 1

O32 - AutoRun File - [2004/08/13 08:54:56 | 000,000,000 | ---- | M] () - C:\AUTOEXEC.BAT -- [ NTFS ]

O32 - AutoRun File - [2009/08/02 11:38:30 | 000,000,100 | ---- | M] () - D:\AUTORUN.INF -- [ NTFS ]

O20 - HKLM Winlogon: Shell - (C:\Dokumente und Einstellungen\Messmaschine Thome\Anwendungsdaten\jashla.exe) -  File not found

[2010/06/09 08:56:41 | 000,057,344 | ---- | C] () -- C:\WINDOWS\System32\Autocal_Creator.exe

[2010/06/09 07:14:59 | 000,000,150 | ---- | C] () -- C:\WINDOWS\ygaiuotc64.bin

:Commands

[purity]

[resethosts]

Klick dann oben links auf den Button Fix!
Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet.

Die mit diesem Script gefixten Einträge, Dateien und Ordner werden zur Sicherheit nicht vollständig gelöscht, es wird eine Sicherheitskopie auf der Systempartition im Ordner "_OTL" erstellt.

Danach sollte Windows wieder normal starten - stell uns bitte den Quarantäneordner von OTL zur Verfügung. Dabei bitte so vorgehen:

1.) GANZ WICHTIG!! Virenscanner deaktivieren, der darf das Packen nicht beeinträchtigen!
2.) Ordner movedfiles in C:\_OTL in eine Datei zippen
3.) Die erstellte ZIP-Datei hier hochladen => http://www.trojaner-board.de/54791-a...ner-board.html
4.) Wenns erfolgreich war Bescheid sagen
5.) Erst dann wieder den Virenscanner einschalten

Hallo, danke für die Hilfe! Ich komme jetzt kurzzeitig rein, dann stürtzt das System ab mit den Fehlercodes: stop 0x0000008E (0xC000005, 0x80637F4D, 0xB922196C, 0x00000000), ich konnte aber im abgesicherten Modus booten, und hier habe ich das zip-file erstellt. Im abgesicherten Modus müsste ja der Virenscanner inaktiv gewesen sein, ich konnte ihn auf jeden Fall nicht ausschalten... Die zwei Dateien (log und zip) habe ich angefügt.

Ingo

Musstest du für OTLPE von AHCI auf IDE/Compatible umändern?

nein musste ich nicht! Das Phenomen des blue sceens ist auch erst aufgetreten, nachdem ich die jashla.exe Datei umbenannt hatte (noch vor dem OTLPE-scan) davor war der übliche Bundeskriminalamtbildschirm zu sehen... bevor die Kiste jetzt abschmiert komme ich auch noch für ca. 30 Sekunden in die Hauptumgebung rein... vielleicht spinnt ja der Virenscanner oder durch die viele Abschalterei hat die Grafikkarte nen Schuß bekommen..

Hallo, jetzt habe ich wahrscheinlich "Mist" gebaut, denn nach der Anmeldung kam gleich der bluescreen, daraufhin habe ich die "letzte funktionierende Windows Version" im Bootmenü angewählt, jetzt komme ich nicht mehr im abgesicherten Modus rein => Fehler: lsass.exe wird nicht gefunden!
Ich habe einen neuen OTLPE scan gemacht und angehängt!

Ingo

Code:

:OTL

O2 - BHO: (SSVHelper Class) - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll (Sun Microsystems, Inc.)

O2 - BHO: (CBrowserHelperObject Object) - {CA6319C0-31B7-401E-A518-A07C3DB8F777} - C:\Programme\Dell\BAE\BAE.dll (Dell Inc.)

O3 - HKLM\..\Toolbar: (no name) -  - No CLSID value found.

O3 - HKU\Messmaschine_Thome_ON_C\..\Toolbar\WebBrowser: (no name) - {2318C2B1-4965-11D4-9B18-009027A5CD4F} - No CLSID value found.

O3 - HKU\Messmaschine_Thome_ON_C\..\Toolbar\WebBrowser: (no name) - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - No CLSID value found.

O4 - HKLM..\Run: [KernelFaultCheck]  File not found

O4 - HKLM..\Run: [ME532]  File not found

O4 - HKLM..\Run: [PMX Daemon] C:\WINDOWS\System32\ico.exe (Primax Electronics Ltd.)

:Commands

[purity]

[resethosts]

Hallo Arne, danke für die Hilfe, aber es klappt immer noch nicht! Daher werde ich wohl aber übel Neuinstallieren... ist extrem ärgerlich da es sich um einen Steuerungsrechner handelt...

lg Ingo

Wieso macht man von solchen wichtigen Rechnern nicht für den Fall der Fälle vorher ein Image? Sowas wie Acronis TrueImage gibts doch schon lange