Avira Antivie meldet spoofing durch HTML/spoofing.gen Datei
 

Hallo zusammen.

Heute früh schlägt bei mir (WIN-XP SP3) Avira Antivir (ver.10.0) mit der Meldung Alarm das die Datei wbk20.tm von einem malware betroffen sei durch eine spoofing virus namens HTML/spoofing.GEN

Beim öffnen des outlooks steht da auch schon ein email bereits das angeblich vom paypal stammt. Eine Überprüfung bei Paypal ergab dass das nicht stimmt. War ja eigentlich klar.

Also erst einmal den netzwerk stecker abgezogen und ein HJT scan gemacht.


Ich bitte um Unterstützung um das lässtige und doch meines erachtens sehr gefährliche "Ding" von meinem rechner zu bekommen.

Schon mal Dank und Gruß.

-Lelon

Hier nun das HJT Log
HiJackthis Logfile:
--- --- ---

Immer die genauen Schädlingsnamen und Pfadangaben notieren und posten!

Aus den Regeln:

5. Beschreibe Dein Problem in einigen Sätzen und arbeite diese Anleitung ab Punkt 2. durch
Auch Funde von deiner Sicherheitssoftware bitte im Thema nennen: (z.B. c:\windows\virus.exe)
Fehlen diese Angaben, kann und wird dir hier niemand helfen.

Sorry.
Hier die direkte Meldung von AVIRA mit der Pfadangabe.

C:\Dokumente und Einstellungen\****\Lokale Einstellungen\Temporary Internet Files\Content.IE5\VS0BQD8O\wbkD.tmp

[FUND] Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Spoofing.Gen


Ich habe auch einmal wie in der Anleitung beschrieben den Malwarebytes über den Rechner laufen lassen.
Dieser endete mit der Aussage
"Der Suchlauf wurde Erfolgreich abgeschlossen. Es wurden keine infizierten Objekte gefunden!

Bedeutet dies dass der Rechner im besten Fall sauber ist?

Hier das mbam-Log
=============


Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Datenbank Version: 4880

Windows 5.1.2600 Service Pack 3
Internet Explorer 7.0.5730.11

19.10.2010 14:04:35
mbam-log-2010-10-19 (14-04-35).txt

Art des Suchlaufs: Quick-Scan
Durchsuchte Objekte: 159870
Laufzeit: 6 Minute(n), 33 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)

Ciao,
-Lelon

Gibt es noch weitere Logs von Malwarebytes? Wäre sehr sinnfrei, wenn Du das ohne Funde gepostet hättest!

Also folgendes scenario;
ich habe ein Email von "Paypal" erhalten in dem ich aufgefordert werde wegen einem Missbrauch einen bestimmten link zu folgen und da schlägt
AVIRA Antivir "Alarm" mit der Meldung

Guard: Malware gefunden
In der Datei
"C:\Dokumente und Einstellungen\****\Lokale Einstellungen\Temporary Internet Files\Content.IE5\VS0BQD8O\wbkD.tmp"
wurde ein Virus oder unerwünschtes Programm "HTML/spoofing.Gen" gefunden.
Der Zugriff auf diese Datei wurde verweigert.
Bitte wählen Sie eine Aktion aus.

Dann schiebe ich diese Datei in die Quarantäne.
Bei dem wiederholten öffnen des selben Emails wird natürlich wieder genau die besagte Meldung angzeigt, nur dass sich der Name der .tmp Datei ändert also inkrementiert z. Bsp. auf "wbk1A.tmp"

Wenn ich dann den Malware Scan laufen lasse findet der nichts, wie bereits im obigen Post angezeigt, auch ein Vollständiger Suchlauf findet nichts.

Bedeutet dies nun wenn ich letztendlich diese Email lösche bzw. nicht mehr öffne, alles gut sein sollte?

lg,
-Lelon.

Ich wollte eigentlich nur wissen, ob Du vor diesem Zeitpunkt => 19.10.2010 14:04:35
Schonmal mit Malwarebytes gescannt hast und wenn ja, wollte ich dass Du auch diese Logs postest.

Bitte routinemäßig einen Vollscan mit malwarebytes machen und Log posten.
Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss!

Danach OTL:

Systemscan mit OTL

Lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop

• Doppelklick auf die OTL.exe
• Vista User: Rechtsklick auf die OTL.exe und "als Administrator ausführen" wählen
• Oben findest Du ein Kästchen mit Output. Wähle bitte Minimal Output
• Unter Extra Registry, wähle bitte Use SafeList
• Klicke nun auf Run Scan links oben
• Wenn der Scan beendet wurde werden 2 Logfiles erstellt
• Poste die Logfiles hier in den Thread.

Moin Arne.
Ja, andere Malware logs sind vorhanden aber schon was älter (ende März 2010) wenn du daran Interesse hast, lasse es mich bitte wissen.

Im Anhang die beiden OTL logs.

LG,
-Lelon

Ja poste die Dinger mal.
Ich wollte auch vor den OTL-Logs einen Vollscan mit aktuellem Malwarebytes sehen.

Ciao Arne.

Im Anhang die gewünschten Logs

LG,
-Lelon.

Dann bitte jetzt CF ausführen:

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

• Lade dir ComboFix hier herunter auf deinen Desktop. Benenne es beim Runterladen um in cofi.exe.

http://saved.im/mtm0nzyzmzd5/cofi.jpg

• Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

• Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.

• Starte cofi.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
  Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.

• Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Hallo Arne.

Der CCleaner ist sauber durchgelaufen.
Anschließend den cofi gestartet und Anhängend das Log file.

Ciao,
-Lelon

Ok. Bitte nun Logs mit GMER und OSAM erstellen und posten.
GMER stürzt häufiger ab, wenn das Tool auch beim 2. Mal nicht will, lass es einfach weg und führ nur OSAM aus


Downloade Dir danach bitte MBRCheck (by a_d_13) und speichere die Datei auf dem Desktop.

• Doppelklick auf die MBRCheck.exe.
  Vista und Win7 User mit Rechtsklick "als Administrator starten"
• Das Tool braucht nur eine Sekunde.
• Danach solltest du eine MBRCheck_<Datum>_<Uhrzeit>.txt auf dem Desktop finden.

Poste mir bitte den Inhalt des .txt Dokumentes

OK werde ich machen, baer heute nicht mehr, da nun 14 Stunden an den Hacken langt!

Besteht denn auch die Möglichkeit das du mir in etwa mitteilst was da abgeht,
also was du siehst? :confused:

Garcias y buenas noches! :sleepy:

-Lelon

Haallo,

hier nun die logs, GMER,OSAM und MBR anhängend als ZIP file.

Dank und Gruß,
_lelon

Starte den Rechner neu und wähle im Bootmenü die Wiederherstellungskonsole aus.

Tipp dort den Befehl fixmbr ein (dann Enter, mit j bestätigen) danach den Befehl fixboot (dann Enter, mit j bestätigen)

Mit exit (dann enter drücken) wird der Rechner neu gestartet. Führe im normalen Windowsmodus den Bootkit Remover nochmals aus und poste das neue Log.