Trojaner-Board - Benutzeranmeldung nach Trojaner Bekämpfung zeigt nur noch Cmd-Box "Windows\system 32"

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Benutzeranmeldung nach Trojaner Bekämpfung zeigt nur noch Cmd-Box "Windows\system 32" (https://www.trojaner-board.de/138391-benutzeranmeldung-trojaner-bekaempfung-zeigt-nur-noch-cmd-box-windows-system-32-a.html)

Sieht ok aus. Wir sollten fast durch sein. Mach bitte zur Kontrolle einen Vollscan mit Malwarebytes Anti-Malware (MBAM) (falls du vor kurzem erst einen Vollscan gemacht hast, reicht auch ein Quickscan (spart Zeit), das dann mir bitte auch mitteilen)

Hinweis: Denk bitte vorher daran, Malwarebytes Anti-Malware über den Updatebutton zu aktualisieren!

Anschließend über den OnlineScanner von ESET eine zusätzliche Meinung zu holen ist auch nicht verkehrt:

ESET Online Scanner

Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
Lade und starte Eset Online Scanner
Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
Klicke auf Starten.
Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
Klicke am Ende des Suchlaufs auf Fertig stellen.
Schließe das Fenster von ESET.
Explorer öffnen.
C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
Logfile hier posten.
Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

Hallo cosinus,

malware hat nichts gefunden.

Code:

Name:: ACER_ASPIRE [Administrator]
 

24.07.2013 06:23:56

mbam-log-2013-07-24 (06-23-56).txt
 

Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|)

Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM

Deaktivierte Suchlaufeinstellungen: P2P

Durchsuchte Objekte: 752751

Laufzeit: 2 Stunde(n), 50 Minute(n), 55 Sekunde(n)
 

Infizierte Speicherprozesse: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Speichermodule: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungsschlüssel: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungswerte: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateiobjekte der Registrierung: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Verzeichnisse: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateien: 0

(Keine bösartigen Objekte gefunden)
 

(Ende)

Leider ESET aber wohl doch:

Code:

ESETSmartInstaller@High as downloader log:

all ok

ESETSmartInstaller@High as downloader log:

all ok

# version=8

# OnlineScannerApp.exe=1.0.0.1

# OnlineScanner.ocx=1.0.0.6920

# api_version=3.0.2

# EOSSerial=c553f9658d67ec41aaf2206c19ee9ac2

# engine=14406

# end=finished

# remove_checked=false

# archives_checked=true

# unwanted_checked=false

# unsafe_checked=false

# antistealth_checked=true

# utc_time=2013-07-16 12:05:40

# local_time=2013-07-16 02:05:40 (+0100, Mitteleuropäische Sommerzeit)

# country="Germany"

# lang=1033

# osver=6.2.9200 NT 

# compatibility_mode=3591 16777213 100 93 394549 136529725 0 0

# compatibility_mode=5893 16776574 100 94 30641045 33439245 0 0

# scanned=439595

# found=3

# cleaned=0

# scan_time=18900

sh=9FB57EBAFA945195A240ADF2A29F20A27C710A80 ft=0 fh=0000000000000000 vn="multiple threats" ac=I fn="C:\Users\1234 5678 (Wrk)\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\21\25157095-579b9590"

sh=EED236DF1BD5C63D19FC06E6FD79CBA9F374D209 ft=0 fh=0000000000000000 vn="a variant of Java/Exploit.CVE-2013-2423.DZ trojan" ac=I fn="C:\Users\1234 5678 (Wrk)\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\44\6fa8416c-65529526"

sh=9D05E837B7CE0DB018B53F1317DD91111262B692 ft=1 fh=208c1d4f7c89add8 vn="multiple threats" ac=I fn="D:\RECYCLER\S-1-5-21-1595740801-3020530305-2062872945-1006\Dc73.exe"

ESETSmartInstaller@High as downloader log:

all ok

esets_scanner_update returned -1 esets_gle=1

# version=8

# OnlineScannerApp.exe=1.0.0.1

# OnlineScanner.ocx=1.0.0.6920

# api_version=3.0.2

# EOSSerial=c553f9658d67ec41aaf2206c19ee9ac2

# engine=14521

# end=finished

# remove_checked=false

# archives_checked=true

# unwanted_checked=false

# unsafe_checked=false

# antistealth_checked=true

# utc_time=2013-07-25 01:25:55

# local_time=2013-07-25 03:25:55 (+0100, Mitteleuropäische Sommerzeit)

# country="Germany"

# lang=1033

# osver=6.2.9200 NT 

# compatibility_mode=3591 16777213 100 93 798764 137312140 0 0

# compatibility_mode=5893 16776574 100 94 31423460 34221660 0 0

# scanned=657692

# found=3

# cleaned=0

# scan_time=20680

sh=314140635AC0335E658204DDE393522584F9135A ft=0 fh=0000000000000000 vn="Java/Exploit.Agent.OVY trojan" ac=I fn="C:\Users\1234 5678 (Wrk)\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\21\25157095-579b9590"

sh=EED236DF1BD5C63D19FC06E6FD79CBA9F374D209 ft=0 fh=0000000000000000 vn="a variant of Java/Exploit.CVE-2013-2423.DZ trojan" ac=I fn="C:\Users\1234 5678 (Wrk)\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\44\6fa8416c-65529526"

sh=9D05E837B7CE0DB018B53F1317DD91111262B692 ft=1 fh=208c1d4f7c89add8 vn="multiple threats" ac=I fn="D:\RECYCLER\S-1-5-21-1595740801-3020530305-2062872945-1006\Dc73.exe"

Ich habe den scanner noch nicht deinstalliert. Wie werden die files nun deinstalliert?

Gruß wh56

Nur Reste in Temp. Bitte TFC ausführen:

TFC - Temp File Cleaner

Downloade Dir bitte TFC ( von Oldtimer ) und speichere die Datei auf dem Desktop.
Schließe nun alle offenen Programme und trenne Dich von dem Internet.
Doppelklick auf die TFC.exe und drücke auf Start.
Sollte TFC nicht alle Dateien löschen können wird es einen Neustart verlangen. Dies bitte zulassen.

Hallo cosinus,

danke für die schnelle Antwort. Tool ist einwandrei durchgelaufen und hat einiges freigegeben.

Ich wünsche Dir einen schönen Tag

MfG wh56

Sieht soweit ok aus :daumenhoc

Wegen Cookies und anderer Dinge im Web: Um die Pest von vornherein zu blocken (also TrackingCookies, Werbebanner etc.) müsstest du dir mal sowas wie MVPS Hosts File anschauen => Blocking Unwanted Parasites with a Hosts File - sinnvollerweise solltest du alle 4 Wochen mal bei MVPS nachsehen, ob er eine neue Hosts Datei herausgebracht hat.

Info: Cookies sind keine Schädlinge direkt, aber es besteht die Gefahr der missbräuchlichen Verwendung (eindeutige Wiedererkennung zB für gezielte Werbung o.ä. => HTTP-Cookie )

Ansonsten gibt es noch gute Cookiemanager, Erweiterungen für den Firefox zB wäre da CookieCuller
Wenn du aber damit leben kannst, dich bei jeder Browsersession überall neu einzuloggen (zB Facebook, Ebay, GMX, oder auch Trojaner-Board) dann stell den Browser einfach so ein, dass einfach alles beim Beenden des Browser inkl. Cookies gelöscht wird.

Ist dein System nun wieder in Ordnung oder gibt's noch andere Funde oder Probleme?

Hallo Cosinus,

sieht alles wieder ok aus. Ich wollte noch die Benutzernamen ändern. Aber da ändert sich nur der Anmeldename des Kontos. Unter users\Name bleiben die ursprünglichen "Real names" erhalten. Wie kann ich das noch ändern um mein System sicherer zu machen.
Auch ein altes Dual-boot System mit Windows xp muss ich noch löschen. Mal schauen ob ich irgendwo finde wie das geht.

Ich möchte Dir herzlich für Deine gute Hilfe danken und wünsche einen schönen Abend

Gruß wh56

Zitat:

Aber da ändert sich nur der Anmeldename des Kontos. Unter users\Name bleiben die ursprünglichen "Real names" erhalten

Das weiß ich jetzt so aus dem Stehgreif nicht. AFAIR bekommt man bei Win7/8 massivere Probleme, wenn man einfach so das Benutzerprofil umbenennt.

Zitat:

Wie kann ich das noch ändern um mein System sicherer zu machen.

Wieso soll das System sicherer werden wenn du einen Ordner umbenennst?

Behandel diese beiden Fragen am besten in einem neuen topic im Windows-Bereich hier

Dann wären wir durch! :daumenhoc

Falls du noch Lob oder Kritik loswerden möchtest => Lob, Kritik und Wünsche - Trojaner-Board

Die Programme, die hier zum Einsatz kamen, können alle wieder runter.

Combofix entfernen (nur relevant wenn es hier benutzt wurde!) : Start/Ausführen (Tastenkombination WIN+R), dort den Befehl combofix /uninstall eintippen und ausführen

Mit Hilfe von OTL kannst du auch viele andere Tools entfernen: Starte dazu einfach OTL und klicke auf Bereinigung.
Dies wird die meisten Tools entfernen, die wir zur Bereinigung benötigt haben. Sollte etwas bestehen bleiben, bitte mit Rechtsklick --> Löschen entfernen.

Malwarebytes zu behalten ist zu empfehlen. Kannst ja 1x im Monat damit einen Vollscan machen, aber immer vorher ans Update denken.

Bitte abschließend die Updates prüfen, unten mein Leitfaden dazu. Um in Zukunft die Aktualität der installierten Programme besser im Überblick zu halten, kannst du zB Secunia PSI verwenden.
Für noch mehr Sicherheit solltest Du nach der beseitigten Infektion auch möglichst alle Passwörter ändern.

Microsoftupdate
Windows XP:Besuch mit dem IE die MS-Updateseite und lass Dir alle wichtigen Updates installieren.
Windows Vista/7: Start, Systemsteuerung, Windows-Update

PDF-Reader aktualisieren
Ein veralteter AdobeReader stellt ein großes Sicherheitsrisiko dar. Du solltest daher besser alte Versionen vom AdobeReader über Systemsteuerung => Software bzw. Programme und Funktionen deinstallieren, indem Du dort auf "Adobe Reader x.0" klickst und das Programm entfernst. (falls du AdobeReader installiert hast)

Ich empfehle einen alternativen PDF-Reader wie PDF Xchange Viewer, SumatraPDF oder Foxit PDF Reader, die sind sehr viel schlanker und flotter als der AdobeReader.

Bitte überprüf bei der Gelegenheit auch die Aktualität des Flashplayers:
Prüfen => Adobe - Flash Player
Downloadlinks findest du hier => Browsers and Plugins - FilePony.de

Alle Plugins im Firefox-Browser kannst du auch ganz einfach hier auf Aktualität prüfen => https://www.mozilla.org/de/plugincheck

Natürlich auch darauf achten, dass andere installierte Browser wie zB Firefox, Opera oder Chrome aktuell sind.

Java-Update
Veraltete Java-Installationen sind ein großes Sicherheitsrisiko, daher solltest Du die alten Versionen deinstallieren. Beende dazu alle Programme (v.a. die Browser), klick danach auf Start, Systemsteuerung, Software (bzw. Programme und Funktionen) und deinstalliere darüber alle aufgelisteten Java-Versionen. Lad Dir danach von hier das aktuelle Java SE Runtime Environment (JRE) herunter und installiere es.

Hallo cosinus,

großes Lob !!!! für Dich und Dein Team.

Mein Rechner arbeitet wieder, ohne Neuinstallation oder Systemwiederherstellung. Das ist super!

Einige kleine Ungereimtheiten gibt es noch. Z.B. fragt mein Outlook nach den Passwörtern für alle Konten. Aber ich denke das kriege ich wieder hin.

Wünsche Dir einen schönen Abend.

MfG wh56