CIBS POL Bundesamt für Polizei - Eidgenossen-Trojaner auf Windows-XP
 

Hallo zusammen

Bin scheinbar einer der vielen, welche sich den CIBS POL, GEMA, BKA, Ukash-Virus eingefangen haben.
Scheint ein ähnliches Problem wie bei markaba zu sein.

Habe mich auf dem Forum schon ein bisschen eingelesen - Wahnsinns Arbeit die ihr hier leistet!!!

Bin (leider) auch auf euch angewiesen...

Mein Rechner:
Windows7, 64bit

Mein Problem:
Bildschirm gesperrt mit Meldung von der CIBS POL Bundesamt für Polizei man soll Geld einzahlen...

Was bisher geschah:
Abgesicherter Modus geht nicht.
Abgesicherter Modus mit Eingabeaufforderung geht.

Habe 'Explorer.exe' eingegeben --> Windowsoberfläche startet.
habe nach verdächtigen *.exe gesucht welche in letzter Zeit auf C installiert wurden - nichts gefunden...

Habe HitmanPro runtergeladen und vom Stick gebootet - kein Erfolg.

Habe Malwarebytes installiert - kann aber mangels Internetverbindung keine Aktualisierung durchführen --> abgebrochen.

Habe jetzt OTL.exe auf den Stick geladen und gestartet. Anbei die beiden Dateien.

Besten Dank für eure Unterstützung im Voraus.

seifrei

:hallo:

Die Bereinigung besteht aus mehreren Schritten, die ausgefuehrt werden muessen.
Diese Nacheinander abarbeiten und die 3 Logs, die dabei erstellt werden bitte in deine naechste Antwort einfuegen.

Sollte der OTL-FIX nicht richig durchgelaufen sein. Fahre nicht fort, sondern melde dies bitte.

1. Schritt
Erstelle zuerst auf einem Zweitrechner das Fixskript:

• Drücke dazu bitte die http://larusso.trojaner-board.de/Images/windows.jpg + R Taste, schreibe "notepad" in das Ausführen Fenster und drücke OK.
• Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument:
  (Wichtig: Falls du deinen Benutzernamen im Log unkenntlich gemacht hast (z.B. durch ***), dann mach das hier wieder rückgängig.)
  
  Code:

  ---

  
:OTL

O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: ConsentPromptBehaviorAdmin = 0
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: EnableLUA = 0
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: PromptOnSecureDesktop = 0
O20 - HKU\S-1-5-21-1727864708-1446298617-3645437704-1001 Winlogon: Shell - (C:\Users\freisie\AppData\Roaming\skype.dat) - C:\Users\freisie\AppData\Roaming\skype.dat ()
[2013.05.12 00:21:38 | 000,000,004 | ---- | M] () -- C:\Users\freisie\AppData\Roaming\skype.ini
[2012.01.11 13:55:34 | 000,081,920 | ---- | C] () -- C:\Users\freisie\AppData\Roaming\skype.dat

:Files
C:\ProgramData\*.exe
C:\ProgramData\*.dll
C:\ProgramData\*.tmp
C:\ProgramData\TEMP
C:\Users\freisie\*.tmp
C:\Users\freisie\AppData\*.dll
C:\Users\freisie\AppData\*.exe
C:\Users\freisie\AppData\Local\Temp\*.exe
C:\Users\freisie\AppData\LocalLow\Sun\Java\Deployment\cache
ipconfig /flushdns /c
:Commands
[emptytemp]

  ---

• Speichere dann die Datei als fix.txt auf den USB-Stick, wo die OTL.exe liegt.

Danach führe folgendermassen den Fix aus:

• Schliesse den USB-Stick wieder an den infizierten Rechner an und starte diesen in den abgesicherten Modus mit Eingabeaufforderung.
• Gib nun bitte folgenden Befehl in die Kommandozeile ein und drücke Enter:

  e:\OTL.exe

  Hinweis: e steht für den Laufwerksbuchstaben deines USB Sticks. Wenn es bei dir ein anderer Buchstabe ist, dann passe den Befehl entsprechend an.
  Es sollte sich nun das Fenster von OTL öffnen.
• Klicke auf den Fix Button.
• Drücke dann OK, um den Fix von einem File zu laden.
• Wähle die erstellte fix.txt auf dem USB-Stick aus. Ihr Inhalt wird in die Textbox eingefügt.
• Klicke nun erneut auf den Fix Button.
• OTL kann gegebenfalls einen Neustart verlangen. Diesen bitte zulassen.
• Nach einem Neustart versuche wieder in den normalen Modus zu booten.
• Auf deinem USB-Stick sollte im Ordner _OTL ein Log-File (\_OTL\MovedFiles\<time_date>.txt) erstellt worden sein.
• Kopiere nun dessen Inhalt hier in deinen Thread.

2. Schritt
Downloade Dir bitte Malwarebytes Anti-Malware

• Installiere das Programm in den vorgegebenen Pfad. (Bebilderte Anleitung zu MBAM)
• Starte Malwarebytes' Anti-Malware (MBAM).
• Klicke im Anschluss auf Scannen, wähle den Bedrohungssuchlauf aus und klicke auf Suchlauf starten.
• Lass am Ende des Suchlaufs alle Funde (falls vorhanden) in die Quarantäne verschieben. Klicke dazu auf Auswahl entfernen.
• Lass deinen Rechner ggf. neu starten, um die Bereinigung abzuschließen.
• Starte MBAM, klicke auf Verlauf und dann auf Anwendungsprotokolle.
• Wähle das neueste Scan-Protokoll aus und klicke auf Export. Wähle Textdatei (.txt) aus und speichere die Datei als mbam.txt auf dem Desktop ab. Das Logfile von MBAM findest du hier.
• Füge den Inhalt der mbam.txt mit deiner nächsten Antwort hinzu.

danach:

3. Schritt
Downloade Dir bitte AdwCleaner auf deinen Desktop.

• Schließe alle offenen Programme und Browser. Bebilderte Anleitung zu AdwCleaner.
• Starte die AdwCleaner.exe mit einem Doppelklick.
• Stimme den Nutzungsbedingungen zu.
• Klicke auf Optionen und vergewissere dich, dass die folgenden Punkte ausgewählt sind:
  • "Tracing" Schlüssel löschen
  • Winsock Einstellungen zurücksetzen
  • Proxy Einstellungen zurücksetzen
  • Internet Explorer Richtlinien zurücksetzen
  • Chrome Richtlinien zurücksetzen
  • Stelle sicher, dass alle 5 Optionen wie hier dargestellt, ausgewählt sind
• Klicke auf Suchlauf und warte bis dieser abgeschlossen ist.
• Klicke nun auf Löschen und bestätige auftretende Hinweise mit Ok.
• Dein Rechner wird automatisch neu gestartet. Nach dem Neustart öffnet sich eine Textdatei. Poste mir deren Inhalt mit deiner nächsten Antwort.
• Die Logdatei findest du auch unter C:\AdwCleaner\AdwCleaner[Cx].txt. (x = fortlaufende Nummer).

Hallo t'john

Vielen Dank für die prompte Antwort!

Schritt 1 hat wunderbar funktioniert.
Bildschirm ist entsperrt.:applaus:
Anbei das Log-File.

Schritt 2 hat nicht funktioniert.
Hat das vielleicht damit zu tun, dass sich schon mal versucht habe Malwarebytes zu intstallieren?
Deinstallation/Installation hat gleichen Fehlermeldung gebracht:
Laufzeitfehler 372
Das Steuerelement 'vbalGrid' konnte nicht aus vbalsgrid6.ocx geladen werden. Ihre Version von vbalsgrid6.ocx ist möglicherweise veraltet.
Stellen Sie sicher, dass Sie die Version des Steuerelementes verwenden, die mit Ihrer Anwendung geliefert wurde.

habe noch nicht versucht:
Deinstallation - neustart- Installation (will nichts falsch machen)

Ich warte auf weitere Anweisungen...

LG seifrei

Versuche stattdessen:
Downloade dir bitte Malwarebytes Anti-Rootkit und speichere es auf deinem Desktop.

• Starte bitte die mbar.exe.
• Folge den Anweisungen auf deinem Bildschirm gemäß Anleitung zu Malwarebytes Anti-Rootkit
• Aktualisiere unbedingt die Datenbank und erlaube dem Tool, dein System zu scannen.
• Klicke auf den CleanUp Button und erlaube den Neustart.
• Während dem Neustart wird MBAR die gefundenen Objekte entfernen, also bleib geduldig.
• Nach dem Neustart starte die mbar.exe erneut.
• Sollte nochmal was gefunden werden, wiederhole den CleanUp Prozess.

Das Tool wird im erstellten Ordner eine Logfile ( mbar-log-<Jahr-Monat-Tag>.txt ) erzeugen. Bitte poste diese hier.

Starte keine andere Datei in diesem Ordner ohne Anweisung eines Helfers

Hallo t'john

habe in der Zwischenzeit mbam-clean ausgeführt um sicher zu gehen, dass malwarebytes sauber entfernt ist.

Neuinstallation von Malwarebytes ergibt jedoch wieder das gleiche Problem (Fehler 372)

...brauch deine Unterstützung...

LG seifrei

Bitte befolgen!

Das ist ein Anderes Programm!
http://www.trojaner-board.de/134829-...ml#post1060751

Hi t'john

Geht leider nicht.

Update Meldet o.k. - Version jedoch immer noch v00.00.00.00.
Scan-Versuch bringt Fehlermeldung: Can't get a System Folder path.

Anbei zwei Screenshots

LG seifrei

OK:

Scan mit Combofix

WARNUNG an die MITLESER:
Combofix sollte ausschließlich ausgeführt werden, wenn dies von einem Teammitglied angewiesen wurde!

Downloade dir bitte Combofix vom folgenden Downloadspiegel: Link

• WICHTIG: Speichere Combofix auf deinem Desktop.
• Deaktiviere bitte alle deine Antivirensoftware sowie Malware/Spyware Scanner. Diese können Combofix bei der Arbeit stören. Combofix meckert auch manchmal trotzdem noch, das kannst du dann ignorieren, mir aber bitte mitteilen.
• Starte die Combofix.exe und folge den Anweisungen auf dem Bildschirm.
• Während Combofix läuft bitte nicht am Computer arbeiten, die Maus bewegen oder ins Combofixfenster klicken!
• Wenn Combofix fertig ist, wird es ein Logfile erstellen.
• Bitte poste die C:\Combofix.txt in deiner nächsten Antwort (möglichst in CODE-Tags).

Hinweis: Solltest du nach dem Neustart folgende Fehlermeldung erhalten

Es wurde versucht, einen Registrierungsschlüssel einem ungültigen Vorgang zu unterziehen, der zum Löschen markiert wurde.

starte den Rechner einfach neu. Dies sollte das Problem beheben.

Hi t'john

Anbei das File von Combofix.
Beim Hochfahren hatter ich eine Warnmeldung (siehe Screenshot) - ist aber nach dem Bestätigen gestartet.

LG seifrei

Nochmal probieren: http://www.trojaner-board.de/134829-...ml#post1060751

Hi t'john

funktioniert immer noch nicht :heulen:

LG seifrei

bitte mal abarbeiten: http://www.trojaner-board.de/126216-...epair-aio.html

...geht leider nicht
Meldung "Ungültiges Bild"
Siehe aus *.jpg

Downloade dir bitte Farbar Service Scanner

• Starte das Tool mit Doppelklick auf die FSS.exe
• Gehe sicher, dass folgende Optionen angehakt sind.
  • Internet Services
  • Windows Firewall
  • System Restore
  • Security Center/Action Center
  • Windows Update
  • Windows Defender
  • Other Services
• Klicke auf Scan.
• Wenn das Tool fertig ist, wird es eine FSS.txt in dem Verzeichnis erstellen, wo das Tool gelaufen ist.

Poste bitte den Inhalt hier.

Systemscan mit OTL (bebilderte Anleitung)

Lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop ( falls noch nicht vorhanden)- Doppelklick auf die OTL.exe

• Vista und Win7 User: Rechtsklick auf die OTL.exe und "als Administrator ausführen" wählen
• Wähle Scanne Alle Benuzer
• Oben findest Du ein Kästchen mit Ausgabe. Wähle bitte Minimale Ausgabe
• Unter Extra Registrierung, wähle bitte Benutze SafeList
• Klicke nun auf Scan links oben
• Wenn der Scan beendet wurde werden 2 Logfiles erstellt
• Poste die Logfiles hier in den Thread.

Hi t'john

Anbei die Ergebnisse.

Weitere Infos (weiss nicht ob von Wichtigkeit):

• Jedesmal wenn mein Rechner Online war, werden beim runterfaren ca.5-6 Upload von Windows gefahren.

• Microsoft Office Anwendungen können nicht gestartet werden (ist schon seit dem Bildschirmentsperren so)

LG seifrei

Bitte mal ausfuehren:
http://www.trojaner-board.de/72874-s...eparieren.html

Danach:
- neustarten
- berichten

Hi t'john

...keine Integritätsverletzungen gefunden.

MfG seifrei

Warum schreibst du im Titel eigentlich von Windows XP?

Installiere mal den Service Pack: Service Pack Center - Microsoft Windows

Hi t'john

...dachte eigentlich ich hätte 7 und nicht xp geschrieben und sei 'ne Änderung von euch.
...aber wahrscheinlich stand ich einfach ein bisschen neben mir...sorry.
Wenn du den Thread richtig umbenennen kannst - von mir aus gerne...

Installation von SP meldet: "bereits installiert" - Neustart - alles beim alten.

Was meinst du - gibt es wirklich noch Hoffnung - bin langsam der Meinung ich sollte das Ding neu aufsetzten...

MfG seifrei

Ich wuerde dir auch eine Neuinstallation empfehlen.

Es ist schon zuviel vermurkst....