Trojaner-Board - Trojaner : Win32/Bublik.I

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Trojaner : Win32/Bublik.I (https://www.trojaner-board.de/135212-trojaner-win32-bublik-i.html)

Trojaner : Win32/Bublik.I

Hallo Zusammen,
habe seit einigen Tagen einen Trojaner auf meinem Laptop und bekomm es nicht weg !!! aufgefallen ist es mir beim Online Banking und dann über mein virenscan!!!!
Habe das was ich weis und das ist nicht viel :crazy: Unternommen aber ohne erfolg mein virenscan schlägt immer noch aus bei dem Trojaner Win32/Bublik.I.
benötige dringend hilfe da ich mit dem Laptop nichts mehr machen möchte aus angst vor diesem Trojaner.
Ich DANKE JETZT SCHON AN ALLE DIE MIR BEI DISEM PROBLEM WEITER HELFEN WERDEN:knuddel:

:hallo:

Die Bereinigung besteht aus mehreren Schritten, die ausgefuehrt werden muessen.
Diese Nacheinander abarbeiten und die 3 Logs, die dabei erstellt werden bitte in deine naechste Antwort einfuegen.

Sollte der OTL-FIX nicht richig durchgelaufen sein. Fahre nicht fort, sondern melde dies bitte.

1. Schritt

Fixen mit OTL

Lade (falls noch nicht vorhanden) OTL von Oldtimer herunter und speichere es auf Deinem Desktop (nicht woanders hin).

Deaktiviere etwaige Virenscanner wie Avira, Kaspersky etc.
Starte die OTL.exe.
Vista- und Windows 7-User starten mit Rechtsklick auf das Programm-Icon und wählen "Als Administrator ausführen".
Kopiere folgendes Skript in das Textfeld unterhalb von Benuterdefinierte Scans/Fixes:
Der Fix fängt mit :OTL an. Vergewissere dich, dass du ihn richtig kopiert hast.

Code:

:OTL
 

DRV - (ASFWHide) -- C:\DOKUME~1\Crazydog\LOKALE~1\Temp\ASFWHide File not found 

O4 - HKCU..\Run: [Gyeqemat] C:\Dokumente und Einstellungen\Crazydog\Anwendungsdaten\Isyx\tioz.exe (Daniel Pistelli) 

[2013.05.16 00:07:19 | 000,000,312 | ---- | M] () -- C:\WINDOWS\tasks\GlaryInitialize.job 
 

:Files 

C:\ProgramData\*.exe

C:\ProgramData\*.dll

C:\ProgramData\*.tmp

C:\ProgramData\TEMP

C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\*.exe

C:\Dokumente und Einstellungen\Crazydog\Anwendungsdaten\*.exe

C:\Dokumente und Einstellungen\Crazydog\Lokale Einstellungen\Anwendungsdaten\*.exe

C:\Dokumente und Einstellungen\Crazydog\Lokale Einstellungen\Anwendungsdaten\*.tmp

C:\Dokumente und Einstellungen\Crazydog\Lokale Einstellungen\Temp\*.exe

C:\Dokumente und Einstellungen\Crazydog\*.exe

C:\Dokumente und Einstellungen\Crazydog\Startmenü\Programme\Autostart\ctfmon.lnk

C:\Dokumente und Einstellungen\Crazydog\Lokale Einstellungen\Anwendungsdaten\Sun\Java\Deployment\cache\

ipconfig /flushdns /c

:Commands

[emptytemp]

Schließe alle Programme.
Klicke auf den Fix Button.
Wenn OTL einen Neustart verlangt, bitte zulassen.
Kopiere den Inhalt des Logfiles hier in Code-Tags in Deinen Thread.
Nachträglich kannst Du das Logfile hier einsehen => C:\_OTL\MovedFiles\<datum_nummer.log>

Hinweis für Mitleser: Obiges OTL-Script ist ausschließlich für diesen User in dieser Situtation erstellt worden.
Auf keinen Fall auf anderen Rechnern anwenden, das kann andere Systeme nachhaltig schädigen!

2. Schritt
Downloade Dir bitte

Malwarebytes Anti-Malware

Installiere das Programm in den vorgegebenen Pfad. (Bebilderte Anleitung zu MBAM)
Starte Malwarebytes' Anti-Malware (MBAM).
Klicke im Anschluss auf Scannen, wähle den Bedrohungssuchlauf aus und klicke auf Suchlauf starten.
Lass am Ende des Suchlaufs alle Funde (falls vorhanden) in die Quarantäne verschieben. Klicke dazu auf Auswahl entfernen.
Lass deinen Rechner ggf. neu starten, um die Bereinigung abzuschließen.
Starte MBAM, klicke auf Verlauf und dann auf Anwendungsprotokolle.
Wähle das neueste Scan-Protokoll aus und klicke auf Export. Wähle Textdatei (.txt) aus und speichere die Datei als mbam.txt auf dem Desktop ab. Das Logfile von MBAM findest du hier.
Füge den Inhalt der mbam.txt mit deiner nächsten Antwort hinzu.

danach:

3. Schritt
Downloade Dir bitte

AdwCleaner auf deinen Desktop.

Schließe alle offenen Programme und Browser. Bebilderte Anleitung zu AdwCleaner.
Starte die AdwCleaner.exe mit einem Doppelklick.
Stimme den Nutzungsbedingungen zu.
Klicke auf Optionen und vergewissere dich, dass die folgenden Punkte ausgewählt sind:
- "Tracing" Schlüssel löschen
- Winsock Einstellungen zurücksetzen
- Proxy Einstellungen zurücksetzen
- Internet Explorer Richtlinien zurücksetzen
- Chrome Richtlinien zurücksetzen
- Stelle sicher, dass alle 5 Optionen wie hier dargestellt, ausgewählt sind
Klicke auf Suchlauf und warte bis dieser abgeschlossen ist.
Klicke nun auf Löschen und bestätige auftretende Hinweise mit Ok.
Dein Rechner wird automatisch neu gestartet. Nach dem Neustart öffnet sich eine Textdatei. Poste mir deren Inhalt mit deiner nächsten Antwort.
Die Logdatei findest du auch unter C:\AdwCleaner\AdwCleaner[Cx].txt. (x = fortlaufende Nummer).

Hallo t´John,
habe den 1.Schritt gemacht und lade das logfile hoch

gruß SUMA

Hallo t´john ,
Schritt 2 ist jetzt erst fertig geworden der Scan lief seit gestern ab ca.22 Uhr und jetzt Neustart und hier die txt Datei jetzt werde ich den 3 ´ten Schritt starten.

PS. Laptop läuft extrem Langsam ist das aktuell normal?

Mfg SUMA

Code:

Malwarebytes Anti-Malware (Test) 1.75.0.1300

www.malwarebytes.org
 

Datenbank Version: v2013.05.19.10
 

Windows XP Service Pack 3 x86 NTFS

Internet Explorer 8.0.6001.18702

Crazydog :: FAMILIESEVGI [Administrator]
 

Schutz: Aktiviert
 

20.05.2013 00:44:29

mbam-log-2013-05-20 (00-44-29).txt
 

Art des Suchlaufs: Vollständiger Suchlauf (C:\|)

Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM

Deaktivierte Suchlaufeinstellungen: P2P

Durchsuchte Objekte: 301195

Laufzeit: 5 Stunde(n), 1 Minute(n), 49 Sekunde(n)
 

Infizierte Speicherprozesse: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Speichermodule: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungsschlüssel: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungswerte: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateiobjekte der Registrierung: 4

HKCU\SOFTWARE\Microsoft\Security Center|FirewallDisableNotify (PUM.Disabled.SecurityCenter) -> Bösartig: (1) Gut: (0) -> Erfolgreich ersetzt und in Quarantäne gestellt.

HKLM\SOFTWARE\Microsoft\Security Center|AntiVirusDisableNotify (PUM.Disabled.SecurityCenter) -> Bösartig: (1) Gut: (0) -> Erfolgreich ersetzt und in Quarantäne gestellt.

HKLM\SOFTWARE\Microsoft\Security Center|UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Bösartig: (1) Gut: (0) -> Erfolgreich ersetzt und in Quarantäne gestellt.

HKLM\SOFTWARE\Microsoft\Security Center|FirewallDisableNotify (PUM.Disabled.SecurityCenter) -> Bösartig: (1) Gut: (0) -> Erfolgreich ersetzt und in Quarantäne gestellt.
 

Infizierte Verzeichnisse: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateien: 2

C:\System Volume Information\_restore{08A5F15B-D5F0-4D17-893D-8B358608DCF6}\RP1404\A0215344.exe (Trojan.Zbot.RVgen) -> Erfolgreich gelöscht und in Quarantäne gestellt.

C:\_OTL\MovedFiles\05192013_235129\C_Dokumente und Einstellungen\Crazydog\Anwendungsdaten\Isyx\tioz.exe (Trojan.Zbot.DPE) -> Erfolgreich gelöscht und in Quarantäne gestellt.
 

(Ende)

Hallo t´John

also Schritt 3 ist auch erledigt.
was kommt jetzt ?
Danke dir sehr das du dich um mein Problem so kümmerst.

Mfg SUMA

OK:
Downloade dir bitte

Malwarebytes Anti-Rootkit und speichere es auf deinem Desktop.

Starte bitte die mbar.exe.
Folge den Anweisungen auf deinem Bildschirm gemäß Anleitung zu Malwarebytes Anti-Rootkit
Aktualisiere unbedingt die Datenbank und erlaube dem Tool, dein System zu scannen.
Klicke auf den CleanUp Button und erlaube den Neustart.
Während dem Neustart wird MBAR die gefundenen Objekte entfernen, also bleib geduldig.
Nach dem Neustart starte die mbar.exe erneut.
Sollte nochmal was gefunden werden, wiederhole den CleanUp Prozess.

Das Tool wird im erstellten Ordner eine Logfile ( mbar-log-<Jahr-Monat-Tag>.txt ) erzeugen. Bitte poste diese hier.

Starte keine andere Datei in diesem Ordner ohne Anweisung eines Helfers

Hallo t´john
anbei die Rückmeldung zum 4 schritt mit der Malwarebytes und die Mbar-log.

was kommt als nächstes? Mensch sind das viele Schritte und wie lange es dauert.
Danke
Mfg. Suma

Zitat:

PS. Laptop läuft extrem Langsam ist das aktuell normal?

seit wann laeuft er so langsam?

Starte bitte die OTL.exe.
Kopiere nun den Inhalt aus der Codebox in die http://larusso.trojaner-board.de/Images/otlfix.jpg Textbox.

Code:

reg query "HKLM\HARDWARE\DEVICEMAP\Scsi\Scsi Port 0" /c 

reg query "HKLM\SYSTEM\CurrentControlSet\Control\Class\{4D36E96A-E325-11CE-BFC1-08002BE10318}" /s /c

Schliesse bitte alle anderen Programme.
Klicke nun auf None (deutsch "None") und danach auf den Scan Button.
Kopiere danach den Inhalt der OTL.txt hier in deinen Thread.

Hallo t-john
laptop lief seit paar Wochen sehr langsam. Nach den Schritten 2 und 3 noch langsamer. Jetzt nach dem 4. Schritt läuft er sehr sehr schnell, wie schon lange nicht mehr.
P.S. OTL.exe gestartet, aber NONE nicht gefunden.
Wo kann ich es bitte genau finden.
MfG SUMA

Hallo t´john,
ist wie verhext heute nach der Arbeit wollte ich den Laptop anmachen und es hat 1 Stunde gedauert bis es an war.
Jedenfalls habe ich jetzt den Scan durchgeführt und sende dir das Ergebnis.

Danke Gruß SUMA

Fixen mit OTL

Starte bitte die OTL.exe.
Kopiere nun den Inhalt aus der Codebox in die Textbox.

Code:

:reg

[HKEY_LOCAL_MACHINE\SYSTEM\CURRENTCONTROLSET\CONTROL\CLASS\{4D36E96A-E325-11CE-BFC1-08002BE10318}\0004]

"MasterDeviceTimingMode"=dword:ffffffff

"MasterDeviceTimingModeAllowed"=dword:ffffffff

"MasterIdDataCheckSum"=-
 

[HKEY_LOCAL_MACHINE\SYSTEM\CURRENTCONTROLSET\CONTROL\CLASS\{4D36E96A-E325-11CE-BFC1-08002BE10318}\0005]

"MasterDeviceTimingMode"=dword:ffffffff

"MasterDeviceTimingModeAllowed"=dword:ffffffff

"MasterIdDataCheckSum"=-
 

:commands

[reboot]

Solltest du deinen Benutzernamen z. B. durch "*****" unkenntlich gemacht haben, so füge an entsprechender Stelle deinen richtigen Benutzernamen ein. Andernfalls wird der Fix nicht funktionieren.
Schließe bitte nun alle Programme.
Klicke nun bitte auf den Fix Button.
OTL kann gegebenfalls einen Neustart verlangen. Bitte dies zulassen.
Nach dem Neustart findest Du ein Textdokument auf deinem Desktop.
( Auch zu finden unter C:\_OTL\MovedFiles\<Uhrzeit_Datum>.txt)
Kopiere nun den Inhalt hier in Deinen Thread

Hallo t'John
Habe es so gemacht jetzt ist es so daß Laptop machtkein mucks ist hochgefahren abersteht die ganze Zeit auf der sanduhr. Was soll ich machen hart runter fahren?
Gruß suma

Hallo t´john,
es hat geklappt.
anbei die Txt Datei

Mfg SUMA