Buchungsbestätigung per eMail von booking.com / Trojaner "TR/Injector.qmu" und weitere Malware
 

Hallo.

Ich habe am 24.04. zwei Buchungsbestätigungen mit Anhang als eMails von booking.com erhalten.

Leider habe ich dieses eine mal nicht nachgedacht (ich überlege schon die Geißelungsart), habe den .zip Anhang einer eMail geöffnet und die Datei ausgeführt. Auf dem Desktop erschien dann ein Icon auf das ich draufklickte. Das Icon verschwand danach sofort und war nicht mehr zu sehen.

Erste Schritte bei der Problembehandlung habe ich schon unternommen.

Leider bin ich absolut unerfahren in diesen Angelegenheiten und alleine nicht fähig mein Problem zu bearbeiten. Habe vor langer Zeit schon mal eine Anfrage gestellt wegen anderen Dingen, aber leider keine Antwort erhalten.
Daher habe ich mir diesmal hoffentlich alles gut durchgelesen und schreibe den Thread wie von Euch gefordert, bitte aber um Nachsicht, wenn trotzdem was falsch sein sollte. Mein Kopf qualmt und ich fühle mich absolut überfordert. Wenn sich jemand meiner annehmen würde wäre ich sehr dankbar! :knuddel:


Problembehandlung (eMail und reale Namen wurden in den Logs nicht gefunden oder unkenntlich gemacht (xxx), leider weis ich nicht wie man Spoiler hier einfügt):

1.)
Erster Scan mit Avira Free, Trojaner und Viren bzw. unerwünschte Programme werden gefunden und in Quarantäne verschoben. Namentlich erwähnt wird der Trojaner TR/Injector.qmu. Da der Scan sehr umfangreich war, passt leider nicht mal die 7 Zip Datei hierher (10,5 Mb). Wenn gewünscht, kann ich den Log aber per eMail oder sonstwie schicken. Hier erstmal das was mir selber aufgefallen ist:


2.)
Malewarebytes installiert, 14 Tage Testversion Pro, vollständige Systemprüfung, mehrere infizierte Dateien gefunden und bereinigt, Pc-Neustart:

Anhang: mbam-log-2012-04-29 (17-23-27)

3.)
defogger runtergeladen und ausgeführt. Bisher nicht auf Re-enabled geklickt, aber letzter Schritt wurde nicht mehr ausgeführt und Fenster ging auch nicht zu.

• Wenn der Scan beendet wurde ( Finished ), klicke auf OK. (ausgeführt)
• Defogger fordert gegebenfalls zum Neustart auf. Bestätige dies mit OK.

4.)
DDS runtergeladen und ausgeführt:

DDS.txt (soll ja direkt in den Thread)


5.)
Alle laufenden Programme und Scanner geschlossen. Da in Schritt 3 defogger-Fenster nicht zu ging, auch dieses Fenster mit Klick aufs rote Kreuz geschlossen.

Gmer ausgeführt, allerdings vergessen Häkchen bei IAT/EAT zu entfernen. Das Logfile ist als Anhang hier dabei.
PC neu gestartet und Gmer erneut mit richtigen Häkchen ausgeführt. Diesmal aber während des Scans abgestürzt mit Bluescreen. Pc hat selbständig neu gebootet. Habe Windows normal starten lassen, nicht abgesichert. Danach erschien folgende Windowsmeldung:



6.)
PC neugestartet und nochmal Avira ausgeführt, weil erster Bericht hier nicht herpasst. Also alle Einstellungen auf "Standart" gestellt. Gefunden wurde so aber nichts. Auch das Log befindet sich im Anhang.

Anhang: AVSCAN-20120429-205058-A87C9020 neuer


--------


Übrigens befinden sich die ursprünglichen eMails von booking.com noch immer in meinem eMailprogramm.

Geschafft, ich hoffe alles richtig gemacht zu haben und würde mich wirklich sehr freuen, wenn mir jemand hilft.

hi
sind das alle malwarebytes logs?

Hallo Markus.

Mehr habe ich nicht gefunden, oder gibt es mehrere logs separat?

Jetzt habe ich verstanden um was es geht, denke ich. Bitte aber auch um Verständnis. Als absoluter Laie kann selbst das nachschauen verschiedener Raiter eines Programmes zum Problem werden, wenn gleichzeitig lauter Dinge passieren, von denen man keine Ahnung hat.

Ich habe noch zwei weitere Logfiles gefunden. Aber wenn ich nicht blind bin, sind das die gleichen. Ich spare mir jetzt auch das xxx dort, Serkan´s gibts viele und das ist ohne der Name des Pc-Einrichters.

Vorab kurz noch: Erst jetzt wird mir eigentlich klar, was für ein Segen Eure Seite ist, also wenn mal wieder ein Problem vorhanden ist... Ein solches Angebot ist nicht als selbstverständlich zu erwarten, um so dankbarer bin ich auch für Hilfe. :)

hi,
danke
wenn noch dateien zu entrschlüsseln sind:

mache ein backup deiner wichtigen dateien die verschlüsselt sind
auf ein externes laufwerk
dann entschlüsseln:
http://www.trojaner-board.de/114224-...-unlocker.html
teile mir mit obs geklappt hatt

Hi Markus,
ich danke dir!!!

Also ich habe nie solche Mails mit solchem Inhalt bekommen, wie sie da in dem Thread abgebildet sind, wenn ich nicht irre.

Den Thread und alle Infos die ich finden konnte zum Thema Verschlüsselung habe ich durch, aber ich finde einfach keine Hinweise darauf, was die Verschlüsselung überhaupt ist, wie sie aussieht und wie ich herausfinde ob bei mir was verschlüsselt ist. Den ersten Beitrag aus dem Thread verstehe ich überhaupt nicht leider. Finde immer auch nur das Programm zum entschlüsseln.

Ich habe nach .wnys, .wxyz, Rechnung.exe und Realtecdriver.exe über die Windowssuche erweitert untersucht, also auch indizierte, versteckte und Systemdateien aber keine davon gefunden.

Avira hat ja in seinem umfangreichen Bericht nicht näher beschrieben von 301 Warnungen, 413 Hinweisen und von 81 nicht durchsuchungsfähige Dateien berichtet. Hat das was damit zu tun?

Dürfte ich demzufolge zb. über Ocsterbackup meinen gratis Freespace dort nutzen und online dort die Daten sichern? (Falls was verschlüsselt ist)

naja, ich würde niemals daten online sichern, wenn sie nicht mit passwort versehen sind, was ist zb wenn jemand die server hackt?

schließe mal alles an, nutze die windows suche und suche nach *.locked

du hast eine solche mail bekommen, die buchungsbestätigung nämlich, es gibt verschiedene variannten. in denen aber immer ein zip oder rar archiv anhängt.

Okey, das leuchtet ein.

Also ich habe das hier als xml Dateien gefunden:
Die Suche hatte die maximal einstellbaren Vorgaben, mit versteckten, indizierten und Systemdateien, komprimierte und Systenverzeichnisse.

Ich weis nicht, wie ich diese Dateien öffne um sie zu prüfen bzw. wie ich feststelle ob sie befallen sind.

als du nach
*.locked
gesucht hast, hast du xml dateien gefunden?

Also ich habe das mit * und .locked so eingegeben und diese drei Dateien wurden angezeigt. Ich habe alle Einstellungen so tief wie möglich gewählt, wenn ich das richtig gemacht habe. Die Suche hat mehr als 30-40 Minuten pro Durchgang gedauert. Darum habe ich beim ersten Durchgang abgebrochen, weil ich dachte das sie sich aufgehängt hat. In der Suche wurde von Windows angezeigt, dass die Ergebnisse nicht alle ins Suchfenster passen, habe versucht die Suche zu speichern, aber ich glaube da war die Suche halt noch nicht abgeschlossen und so schloss ich diesen ersten Durchgang und habe das abgespeicherte wieder gelöscht.

Dort wurden mir aber direkt im Suchfenster schon die drei Dateien angezeigt, die beim zweiten Durchgang auch dabei waren.

na und brauchst du die oder nicht?

Ich dachte das du mir das vielleicht sagen könntest.

Sind die drei Dateien jetzt befallen, so dass ich davon ein Backup machen muss und dann diese drei mit dem Avira Ransom File Unlocker bearbeiten?

wie heißen die dateien

Mehr als die genannten drei Microsoftnamen habe ich nicht.

ne die brauchst du nicht.
kannst du löschen.

Einfach so löschen? Sind das keine Systemdateien bzw. wichtige Dateien für Directx? Ich habe leider zu lange kein englisch mehr gesprochen, als das mir Google in dem Fall eine Hilfe sein könnte.

In dem Thread steht doch man soll sie dann bearbeiten, das hattest du vorher ja auch geschrieben. Von löschen erfahre ich erst jetzt.

Und wenn ich lösche ist das Problem doch nicht behoben?

Was ist denn mit den Dateien die von Malewarebytes in Quarantäne verschoben sind? Die wurden ja bei der *locked Suche auch nicht angezeigt. Weis aber auch nicht ob die mit dem Trojaner zu tun haben.

Ich habe jetzt die Suche noch mal gemacht, aber ohne intensive Suche. Jetzt sind da scheinbar mehr Dateien. Merkwürdig das er so mehr findet. Die xml Dateien waren auch nicht mehr mit dabei.