Trojaner-Board - yhsrppjqqh.exe führt sich automatisch aus und legt dann den PC lahm

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - yhsrppjqqh.exe führt sich automatisch aus und legt dann den PC lahm (https://www.trojaner-board.de/77678-yhsrppjqqh-exe-fuehrt-automatisch-legt-dann-pc-lahm.html)

Zitat:

Zitat von cosinus (Beitrag 469049)

Hast Du das genau so mit dem CFScript auch gemacht? Die Einträge, die ich so löschen wollte, sind nämlich immer noch da.

Ja, habe ich gemacht. Zuerst hatte ich die *.txt-Datei falsch benannt; dann habe ich sie umbenannt und den Vorgang nochmal gestartet. Daraufhin hat das Programm irgendwas gesagt von wegen Fertigstellungsvorgang 1, 2, 3, 4, 5, 6, 6A usw. und irgendwann hat er dann neu gesatartet und mir das Logfile ausgegeben.

Nur bei den XXX hatte ich keine Ahnung, wovon du redest, aber ich gehe mal davon aus, dass der Beitrag vorgefertigt war und mich das deshalb nicht betrifft... oder?

Ja, das mit den XXX ist da absichtlich drin, weil hin und wieder was aus dem Suerporfil gelöscht werden muss. Und ich tippe solche riesigen Anleitungen ja nicht immer neu ab :D

Probieren wir das Löschen der gleichen Objekte noch mal mit dem Avenger statt Combofix:

Bitte mal den Avenger anwenden

Vorbereitungen:
a) Deaktiviere den Hintergrundwächter vom Virenscanner.
b) Stöpsele alle externen Datenträger vom Rechner ab.

Danach:

1.) Lade Dir von hier Avenger als gehweg.exe => File-Upload.net - gehweg.exe auf den Desktop

2.) Doppelklick die Datei "gehweg.exe" aus (unter Vista per Rechtsklick => als Administrator ausführen). Die Haken unten wie abgebildet setzen:

http://mitglied.lycos.de/efunction/tb123/avenger.png

3.) Kopiere Dir exakt die Zeilen aus dem folgenden Code-Feld:

Code:

Registry values to delete:

HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List | 6993:TCP

HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile | EnableFirewall
 

files to delete:

c:\windows\system32\gknegnm.dll
 

drivers to delete:

itqfkn

zfqwucpro

4.) Geh in "The Avenger" nun oben auf "Load Script", dort auf "Paste from Clipboard".

5.) Der Code-Text hier aus meinem Beitrag müsste nun unter "Input Script here" in "The Avenger" zu sehen sein.

6.) Falls dem so ist, klick unten rechts auf "Execute". Bestätige die nächste Abfrage mit "Ja", die Frage zu "Reboot now" (Neustart des Systems) ebenso.

7.) Nach dem Neustart erhältst Du ein LogFile von Avenger eingeblendet. Kopiere dessen Inhalt und poste ihn hier.

Code:

Logfile of The Avenger Version 2.0, (c) by Swandog46

http://swandog46.geekstogo.com
 

Platform:  Windows XP
 

*******************
 

Script file opened successfully.

Script file read successfully.
 

Backups directory opened successfully at C:\Avenger
 

*******************
 

Beginning to process script file:
 

Rootkit scan active.

No rootkits found!
 

Registry value "HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List|6993:TCP" deleted successfully.

Registry value "HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile|EnableFirewall" deleted successfully.
 

Error:  file "c:\windows\system32\gknegnm.dll" not found!

Deletion of file "c:\windows\system32\gknegnm.dll" failed!

Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)

  --> the object does not exist
 

Driver "itqfkn" deleted successfully.

Driver "zfqwucpro" deleted successfully.
 

Completed script processing.
 

*******************
 

Finished!  Terminate.

coooooosiiiiinuuuuuuuus...... !?

Ja hier bin ich :)
Manchmal übersehe ich einige Threads :( das möge man mir verzeihen :o
Mach mal bitte ein frisches RSIT-Logfile

Zitat:

Zitat von cosinus (Beitrag 469970)

Ja hier bin ich :)
Manchmal übersehe ich einige Threads :( das möge man mir verzeihen :o
Mach mal bitte ein frisches RSIT-Logfile

Kein Problem.. Habe mich nur gewundert, weil du sonst immer nach einem Tag geantwortet hast und ich dich ab und zu online gesehen habe ;)

<KLICK 4 RSIT-Log>

Das Logfile sieht okay aus. Gibts noch Probleme?
Wenn nicht, bitte mal die Updates prüfen:

Windows-/Internet Explorer Update
Besuch mit dem IE die MS-Updateseite und lass Dir alle wichtigen Updates installieren.
Es geht v.a. um den IE8, auch wenn Du ihn nicht nutzt.

Adobe Acrobat Reader aktualisieren
Dein Adobe Reader ist nicht aktuell, was ein großes Sicherheitsrisiko darstellt. Wir empfehlen daher, die alte Version über Systemsteuerung => Software zu deinstallieren, indem Du dort auf "Adobe Reader x.0" klickst und das Programm entfernst. Starte den Rechner neu und downloade den aktuellen Acrobat-Reader herunter und installiere ihn.

Falls Dir der Adobe Acrobat Reader nicht gefällt, kannst Du alternativ auch Foxit PDF Reader installieren. Er ist "schlanker" und benutzt weniger Resourcen.

Java-Update
Deine derzeitig installierte Version von Java ist veraltet, was ebenfalls ein großes Sicherheitsrisiko darstellt. Wir empfehlen daher, die alten Versionen zu löschen und auf die neuste zu aktualisieren. Beende dazu alle Programme (v.a. die Browser), klick danach auf Start, Systemsteuerung, Software und deinstalliere darüber alle aufgelisteten Java-Versionen. Lad Dir danach von hier das aktuelle Java SE Runtime Environment (JRE) herunter und installiere es.

Zitat:

Zitat von cosinus (Beitrag 470289)

Alles klar. Die Updates werde ich vornehmen.
Ansonsten gibt es keine Probleme.

An dieser Stelle noch mal vielen Dank an dich -cosinus-, echt ein super "Service" hier. Werde mich auf jeden Fall wieder melden, falls es wieder Probleme geben sollte.

Gruß,
Timosy