|
Worm.KoobFace in C:\Windows Hallo, ich habe hier den PC einer Bekannten vor mir weil AntiVir eine Infizierung mit Worm/KoobFace meldete. Als Betriebssystem lief XP Pro SP2, welches ich nun erstmal auf SP3 upgedatet habe. Ich habe nun CCleaner, Malwarebytes-Anti-Malware und RSIT laufen lassen. Der PC läuft nun fehlerfrei und ohne Meldungen. Kann bitte trotzdem jemand folgende bzw. angehängte Logfiles ansehen ob der PC nun tatsächlich sauber ist!? AntiVir meldete folgende Infizierungen: TR/REG.Koobface.89 in C:\3.reg WORM/Koobface.cci in C:\WINDOWS\rdr_1258667803.exe TR/Dldr.Small.anlx in C:\WINDOWS\rdr_1258667863.exe TR/Dldr.Ag.41472.AA in C:\WINDOWS\ld15.exe TR/Dldr.Ag.41472.AA in C:\System Volume Information\...\A0037346.exe TR/VTool-Obfuscator.HL in C:\WINDOWS\tag14.exe Logfile Malwarebytes: Malwarebytes' Anti-Malware 1.41 Datenbank Version: 3198 Windows 5.1.2600 Service Pack 3 20.11.2009 11:42:40 mbam-log-2009-11-20 (11-42-40).txt Scan-Methode: Vollständiger Scan (C:\|D:\|) Durchsuchte Objekte: 321417 Laufzeit: 1 hour(s), 50 minute(s), 2 second(s) Infizierte Speicherprozesse: 1 Infizierte Speichermodule: 0 Infizierte Registrierungsschlüssel: 0 Infizierte Registrierungswerte: 2 Infizierte Dateiobjekte der Registrierung: 0 Infizierte Verzeichnisse: 0 Infizierte Dateien: 15 Infizierte Speicherprozesse: C:\WINDOWS\mstre23.exe (Worm.KoobFace) -> Unloaded process successfully. Infizierte Speichermodule: (Keine bösartigen Objekte gefunden) Infizierte Registrierungsschlüssel: (Keine bösartigen Objekte gefunden) Infizierte Registrierungswerte: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\sysmstray (Worm.KoobFace) -> Quarantined and deleted successfully. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\sysldtray (Backdoor.Bot) -> Quarantined and deleted successfully. Infizierte Dateiobjekte der Registrierung: (Keine bösartigen Objekte gefunden) Infizierte Verzeichnisse: (Keine bösartigen Objekte gefunden) Infizierte Dateien: C:\WINDOWS\mstre23.exe (Worm.KoobFace) -> Quarantined and deleted successfully. C:\WINDOWS\tag14.exe (Trojan.Agent) -> Quarantined and deleted successfully. C:\WINDOWS\rdr_1258617268.exe (Worm.KoobFace) -> Quarantined and deleted successfully. C:\WINDOWS\rdr_1258617517.exe (Worm.KoobFace) -> Quarantined and deleted successfully. C:\WINDOWS\rdr_1258656703.exe (Worm.KoobFace) -> Quarantined and deleted successfully. C:\WINDOWS\010112010146116101.xxe (KoobFace.Trace) -> Quarantined and deleted successfully. C:\WINDOWS\0101120101465150.xxe (KoobFace.Trace) -> Quarantined and deleted successfully. C:\WINDOWS\0101120101465249.xxe (KoobFace.Trace) -> Quarantined and deleted successfully. C:\WINDOWS\0101120101465250.xxe (KoobFace.Trace) -> Quarantined and deleted successfully. C:\WINDOWS\0101120101465349.xxe (KoobFace.Trace) -> Quarantined and deleted successfully. C:\WINDOWS\0101120101465355.xxe (KoobFace.Trace) -> Quarantined and deleted successfully. C:\WINDOWS\0101120101465548.xxe (KoobFace.Trace) -> Quarantined and deleted successfully. C:\WINDOWS\0101120101465649.xxe (KoobFace.Trace) -> Quarantined and deleted successfully. C:\WINDOWS\tgm2.dat (KoobFace.Trace) -> Quarantined and deleted successfully. C:\WINDOWS\010112010146101105.rx (Malware.Trace) -> Quarantined and deleted successfully. RIST log.txt und info.txt im Anhang Vielen Dank im voraus! yihaa |
Hallo und Herzlich Willkommen! :) Zitat:
auf jeden Fall: Ändere deine Passworte und Zugangsdaten überall! - am besten von einem anderen, nicht-infizierten Rechner aus! - Die Anweisungen bitte gründlich lesen und immer streng einhalten, da ich die Reihenfolge nach bestimmten Kriterien vorbereitet habe: 1. ich brauche mehr `Übersicht` bzw Daten über einen längeren Zeitraum - dazu bitte Versteckte - und Systemdateien sichtbar machen:: → Klicke unter Start auf Arbeitsplatz. → Klicke im Menü Extras auf Ordneroptionen. → Dateien und Ordner/Erweiterungen bei bekannten Dateitypen ausblenden → Haken entfernen → Geschützte und Systemdateien ausblenden → Haken entfernen → Versteckte Dateien und Ordner/Alle Dateien und Ordner anzeigen → Haken setzen. → Bei "Geschützte Systemdateien ausblenden" darf kein Häkchen sein und "Alle Dateien und Ordner anzeigen" muss aktiviert sein. 2. Für XP und Win2000 (ansonsten auslassen) → lade Dir das filelist.zip auf deinen Desktop herunter → entpacke die Zip-Datei auf deinen Desktop → starte nun mit einem Doppelklick auf die Datei "filelist.bat" - Dein Editor (Textverarbeitungsprogramm) wird sich öffnen → kopiere aus die erzeugten Logfile alle 7 Verzeichnisse ("C\...") usw - aber nur die Einträge der letzten 6 Monate - hier in deinem Thread ** vor jedem Eintrag steht ein Datum, also Einträge, die älter als 6 Monate sind bitte herauslöschen! 3. Ich würde gerne noch all deine installierten Programme sehen: Ccleaner starten→ dann klick auf "Extra (um die installierten Programme auch anzuzeigen)→ weiter auf "Als Textdatei speichern..." wird eine Textdatei (*.txt) erstellt, kopiere dazu den Inhalt und füge ihn da ein 4. Um einen tieferen Einblick in dein System, um eine mögliche Infektion mit einem Rootkit/Info v.wikipedia.org) aufzuspüren, werden wir ein Tool - Gmer - einsetzen :
** keine Verbindung zu einem Netzwerk und Internet - WLAN nicht vergessen Wenn der Scan beendet ist, bitte alle Programme und Tools wieder aktivieren! Zitat:
** Möglichst nicht ins internet gehen, kein Online-Banking, File-sharing, Chatprogramme usw gruß Coverflow |
Hallo Coverflow, vielen Dank, dass du dich meines Problems annimmst! 1. Stimmt, die Neuinstallation wäre bestimmt der sicherste und einfachste Weg. Da meine Bekannte allerdings (noch) keinerlei Backups ihrer Daten hat und einige Matheprogramme installiert hat, möchte ich den PC nicht neu aufsetzen. 2. Passwörter wurden geändert 3. Hier das filelist-log mit den Einträgen ab Juni 09: 4. Folgend die installierten Programme: Code: Ad-Aware 2007Code: GMER 1.0.15.15252 - http://www.gmer.netGruß yihaa |
hi 1. Bevor wir beginnen: Da jederzeit etwas passieren kann, wenn du wichtige Daten hast die Du sichern möchtest, empfehle ich Dir es jetzt machen (wie Bilder, Musik usw) Unabhängig von einem Befall (weil ja kann eine Festplatte auch kaputt gehen, oder es gibt andere technische Probleme ), sollte man regelmäßig Sicherung machen und an einem sicheren Ort bewahren, wie CD und DVD, aber besser auf externe Festplatten oder/und USB-Sticks Mache das jetzt bitte! 2.
3. Bitte unbedingt alle vorhandenen externen Laufwerke inkl. evtl. vorhandener USB-Sticks an den Rechner anschließen, aber dabei die Shift-Taste gedrückt halten, damit die Autorun-Funktion nicht ausgeführt wird. Den kompletten Rechner (also das ganze System) zu überprüfen (Systemprüfung ohne Säuberung) mit Kaspersky Online Scanner - wähle hier "My computer" aus und das Logergebnis speichern "Save as" dann posten Vor dem Scan Einstellungen im Internet Explorer: - "Extras→ Internetoptionen→ Sicherheit": - alles auf Standardstufe stellen - Active X erlauben |
Hallo, 1. Eine externe FP wurde schon gekauft und bin dabei die Daten zu sichern. 2. Hier das Log von SUPERAntiSpyware: Code: SUPERAntiSpyware Scan LogCode: --------------------------------------------------------------------------------Gruß yihaa |
hi 1. ** Rechten Maustaste auf den "Arbeitsplatz"→ auf "Eigenschaften"→ Registerkarte "Systemwiederherstellung"→ "Systemwiederherstellung deaktivieren"→ auf "OK"→ alles schließen→ Rechner neu starten→die Standardeinstellung wiederherzustellen(SWH wieder"aktivieren") 2. Kannst du die Programme die wir verwendet haben und nicht brauchst entfernen, bis auf: Code: HijackThis/Trend Micro3. alle Anwendungen schließen → Ordner für temporäre Dateien bitte leeren **Lösche nur den Inhalt der Ordner, nicht die Ordner selbst! - Dateien, die noch in Benutzung sind,nicht löschbar.
4. reinige dein System mit Ccleaner:
5. Zum Schluss, scanne dein Sytem mit mindestens 3 Onlinescanner (Externe Sachen bitte anschliessen) : - Vor dem Scan Einstellungen im Internet Explorer: Extras → Internetoptionen → Sicherheit → Stufe anpassen: alles auf Standardstufe stellen - Active X erlauben - Nicht gleichzeitig scannen! Nach jedem Scanvorgang starte dein System neu auf - speichere und poste das Logfile des Scans - die Ergebnisse als*.txt Datei speichern |
Hallo Coverflow, habe deine Punkte nun abgearbeitet und auch drei Online-Scanner laufen lassen. Hier die Logfiles: bitdefender: Code: *BitDefender Online Scanner*F-Secure: Code: Scanning ReportVielen Dank für deine Hilfe! Gruß yihaa |
hi Alte Java-Versionen entfernen: - Lade Dir JavaRa von prm753 herunter - auf dem Desktop entpacken - die JavaRa.exe per Doppelklick starten - wähle "Remove Older Versions" und klicke auf "Yes - wird ein Log erstellt, kannst Du speichern (posten nicht nötig) - Installiere dann die Offline-Version von Java Java Runtime Environment (JRE) 6 Update aktuelle Version ) von http://www.trojaner-board.de/105213-java-update-einstellungen.html]SUN[/url] - Kannst du die Programme die wir verwendet haben und nicht brauchst entfernen, bis auf: Code: HijackThis/Trend MicroEmpfehlungen/Vorschläge: 1. Wie lange dauert die Startvorgang? - Beim Hochfahren von Windows werden einige Programme mit gestartet, die sich (mit oder ohne Zustimmung des Users) im Autostart eingetragen haben - Je mehr Programme hier aufgeführt sind, umso langsamer startet Windows. Deshalb kann es sinnvoll sein, Software die man nicht unbedingt immer benötigt, aus dem Autostart zu entfernen. "Start-> ausführen-> "msconfig" (reinschreiben ohne ""-> OK" it-academy.cc pqtuning.de Laden von Programmen beim Start von Windows Vista verhindern - Bei allem Häkchen weg was nicht starten soll, aber immer nur einen deaktivieren (Haken weg), also Schrittweise -> Neustart... - Wird noch nach dem nächsten Neustart ein Hinweisfenster erscheinen, da ist ein Haken setzen : `Meldung nicht mehr anzeigen und dieses Programm beim Windows-Star nicht mehr starten` (Du kannst es jederzeit Rückgängig machen wenn du den Haken wieder reinmachst.) - Falls Du mal brauchst, kannst manuell auch starten - Autostart-Einträge die Du nicht findest, kannst mit HJT fixen - Unter 04_Sektion - (*HijackThis Tutorial in German*): Alle Programme, Browser etc schließen→ HijackTis starten→ "Do a system scan only" anklicken→ Eintrag auswählen→ "Fix checked"klicken→ PC neu aufstarten HijackThis erstellt ein Backup, Falls bei "Fixen" etwas schief geht, kann man unter "View the list of backups"- die Objekte wiederherstellen Code: Du solltest nicht deaktivieren :Gleich ein paar Vorschläge: Code: O4 - HKLM\..\Run: [NeroFilterCheck] C:\Programme\Gemeinsame Dateien\Ahead\Lib\NeroCheck.exemit HJT fixen: alle Programme, Browser etc schließen→ HijackTis starten→ "Do a system scan only" anklicken→ Eintrag auswählen→ "Fix checked"klicken→ PC neu aufstarten HijackThis erstellt ein Backup, Falls bei "Fixen" etwas schief geht, kann man unter "View the list of backups"- die Objekte wiederherstellen Code: 08-09-18 Einträge - alle- Überflüssige Dienste belasten nur den Prozessor und Arbeitsspeicher, daher solltest Du abschalten: Code: O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - C:\Programme\Lavasoft\Ad-Aware 2007\aawservice.exemit der rechten Maustaste auf den Dienstnamen klicken→ wähle `Eigenschaften`→ `Starttyp`→ Manuell, damit wird der Dienst ruhiggestellt. Den Dienst erst dann nur starten, wenn ein Programm ihn benötigt. - auf keinen Fall Grafiktreibers, Firewall und Anti-Viren-Programmen abschalten!! Lesestoff:
Zitat:
|
| Alle Zeitangaben in WEZ +1. Es ist jetzt 04:18 Uhr. |
Copyright ©2000-2025, Trojaner-Board