Trojaner-Board - Mitteilung des BUNDESKRIMINALAMTS

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Mitteilung des BUNDESKRIMINALAMTS (https://www.trojaner-board.de/97721-mitteilung-bundeskriminalamts.html)

Mitteilung des BUNDESKRIMINALAMTS

einen schönen guten Abend,

ich habe mir leider den hier schon bekannten Trojaner mit der Mitteilung des Bundeskriminalamtes eingefangen. Ich habe 2 User auf meinem Laptop bei dem Hauptuser erscheint die Nachricht und ich kann nichts darauf machen. Beim yweiten User erscheint das normale Hintergundbild, aber auch da kann ich nirgendwo zugreifen oder Programme starten.

Ich habe in den Threads der letzten Tage mitbekommen, dass man LOGs mit OTLPE erstellen soll, was ich getan habe.

Leider wurde bei mir scheinbar nur die Datei OTL.TXT (s.u.) erstellt, die Datei EXTRAS.TXT finde ich nicht. ICh habe den Scan mit allen defaultmässig eingestellten Optionen laufen lassen.

Leider bin ich computertechnisch nicht furchtbar versiert, hoffe, aber, dass Sie mir hier helfen können.

Herzliche Grüße und vielen Dank im Vorraus,
Julia

das "sie" kannst du ruhig weg lassen :-)
wir bekommen das schon hin.
auf deinem zweiten pc gehe auf start, programme zubehör editor, kopiere dort rein:

Code:

:OTL

O20 - HKLM Winlogon: Shell - (C:\Dokumente und Einstellungen\user\Desktop\test.exe) - C:\Dokumente und Einstellungen\user\Desktop\test.exe (Jjwblwxw Usxxiowb)
 

:Files

C:\Dokumente und Einstellungen\user\Desktop\test.exe

:Commands

[purity]

[EMPTYFLASH] 

[emptytemp]

[Reboot]

dieses speicherst du auf nem usb stick als fix.txt
nutze nun wieder OTLPENet.exe (starte also von der erstellten cd) und hake alles an, wie es bereits in meinem post zu OTLPENet.exe beschrieben ist.
• Klicke nun bitte auf den Fix Button.
es sollte nun eine meldung ähnlich dieser: "load fix from file" erscheinen, lade also die fix.txt von deinem stick.
wenn dies nicht funktioniert, bitte den fix manuell eintragen.
dann klicke erneut den fix buton. pc startet evtl. neu. wenn ja, nimm die cd aus dem laufwerk, windows sollte nun normal starten und die otl.txt öffnen,
log posten bitte.

öffne arbeitsplatz, öffne C: dann _OTL
dort rechtsklick auf moved files
wähle zu moved files.rar oder zip hinzufügen.
das archiv nach anleitung hochladen:
http://www.trojaner-board.de/54791-a...ner-board.html

> das "sie" kannst du ruhig weg lassen :-)
Also gut ;-)

> dieses speicherst du auf nem usb stick als fix.txt
verstanden

> nutze nun wieder OTLPENet.exe (starte also von der erstellten cd) und hake alles an,
> wie es bereits in meinem post zu OTLPENet.exe beschrieben ist.
muss ich den Rechner also nochmal ausmachen und hochfahren oder kann ich einfach so weitermachen ... welcher Post genau. ICh bin mir leider nicht sicher, was ich ankreuzen muss und was nicht :-(

Tut mir Leid, dass ich so dumm nachfrage, aber ich möchte nicht noch mehr "kaputt" machen ;-)

nö rechner kannst du anlassen.
sorry ich hab das als standard post, da ich vorher immer schreibe nutze otl, tu dies und das, da du otl schon am laufen hast, musst du einfach mit dem script weiter machen.

Ich habe bei OTLPE auf RUN FIX gedrückt und die Fix.txt ausgewählt.
Der Inhalt steht nun unten in dem Custom Scans/Fixes feld ... aber nun tut sich nichts mehr? MAche ich etwas falsch?

kannst du noch auf fix klicken? versuch das mal.
evtl. musst du den fix auch händisch eingeben.

nee passiert nicht.
ICh kann klicken wo ich will ... keine Reaktion

sollte ich OTLPE schliessen und nochmal neu starten?

also, ich habe OTLPE geschlossen und neu aufgerufen .... den Fix habe ich manuell eingegeben und gestartet .... nun "Tut" sich zumindest was.

Der Rechner ist nun normal hochgefahren.
Muss ich nun OTLPE neu laufen lassen um die PTL:TXT zu erstellen oder wurde die ursprüngliche datei verändert?

tut mir Leid, dass ich solche Umstände mache, aber ich verstehe grad absulot nichts von dem was ich hier tu. :-(

nein, bitte mach jetzt den upload wie er unter dem otl script wie beschrieben steht.

Ich fürchte ich verstehe nicht was ich tun muss :-(

na wo hängt es, ich denke doch das du auf das symbol vomarbeitsplatz klicken kannst bzw auf computer...

ja kann ich, und ich finde auch den Ordner _OTL ... Darin liegt der Ordner MovedFiles.
Alles bestens bis dahin, aber wenn ich einen rechtsklick darauf mache sehe ich nirgends

"zu moved files.rar oder zip hinzufügen"

:-(

na also, nächstes mal bitte gleich so genau, und wir hätten uns 5 minuten gesparrt da ich das schon hätte erklären können :-)
du benötigst ein programm, um dateien zu komprimieren "zu packen"
und zwar nutzen wir das kostenlose 7zip:
http://filepony.de/download-7-zip/
wenn du das programm instaliert hast. dann gehst wieder zu moved files.
dann rechtsklick, dort siehst du ein menü 7zip.
dieses aufklappen.
dort wähle "zu movedfiles.7zip" hinzufügen.
dieses hochladen bitte.

Entschuldigung ... da hatte mich der Frust etwas übermannt ;-)
ZIP kommt über den Upload channel

Muss ich noch was machen?

Mein Rechner sieht momentan "normal" aus!! Ich Danke Dir tausendmal :-)
Spende kommt natürlich auch!

ja, weiter gehts.
danke ist übrigens angekommen.
download malwarebytes:
Malwarebytes
instalieren, öffnen, registerkarte aktualisierung, programm updaten.
schalte alle laufenden programme ab, trenne die internetverbindung.
registerkarte scanner, komplett scan, funde entfernen, log posten.

so ich habe das Programm runtergeladen und installiert und dann auch laufen lassen. Insgesamt wurden aber nur 2 Files gefunden.
Soll ich die nun entfernen? und wie .. einfach hergehen und in den Papierkorb?
LOG dazu
Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org

Datenbank Version: 6406

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

20.04.2011 18:45:27
mbam-log-2011-04-20 (18-45-18).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|)
Durchsuchte Objekte: 242913
Laufzeit: 4 Stunde(n), 5 Minute(n), 37 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 2

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
c:\dokumente und einstellungen\user\Desktop\EIB\ets3\ets3prosetup.exe (Heuristics.Shuriken) -> No action taken.
c:\_OTL\movedfiles\04192011_215958\c_dokumente und einstellungen\user\Desktop\test.exe (Spyware.Passwords.XGen) -> No action taken.

ach so ... bei den zwei files kam ein popup des Virenscanners, dass ich aber dummerweise weggeklickt hab :-/ .... (Standartoption des Virenscanner ist "Zugriff verweigern")

kennst du die datei?
c:\dokumente und einstellungen\user\Desktop\EIB\ets3\ets3prosetup.exe
falls unnötig hau sie weg
die andere löschen wir später
die andere ist bereits in der otl quarantäne und richtet keinen schaden an dort

ja kenne ich. "unnötig" ist relativ. Ich verwende sie nicht, aber es ist ein backup von einem anderen Rechner.

Was muss ich jetzt machen?

lade den ccleaner slim:
Piriform - Builds
falls der ccleaner bereits instaliert, überspringen.
instalieren, öffnen, extras, liste der instalierten programme, als txt speichern. öffnen.
hinter, jedes von dir benötigte programm, schreibe notwendig.
hinter, jedes, von dir nicht benötigte, unnötig.
hinter, dir unbekannte, unbekannt.
liste posten.

Auwei .... ich habe einen Fehler gemacht!
ICh habe die CCLEANER Anleitung geöffnet. CCLeaner installiert und nach der Anleitung erst Die Analyse und dann den Cleaner gestartet!!

und jetzt sehe ich, ich hätte erst die Liste bearbeiten und dann posten sollen ..... zuspät *schäääääm*

naja damit kann ich leben :-)

na dann ist gut ;-)
und wie geht es weiter?

na wie wäre es mit der liste? wo ist sie?

ach so ... sorry, wusste nicht dass sie noch relevant ist ...da ja weg.
hmm ... wenn ich versuche den Text auszuwählen geht das nicht?
Wie speichere ich es als TXT?

habs gefunden .... das ding ist aber ganz schön lang? soll ich es hier reinkopieren? Alles??

Das ist mal der odere Teil

Details der gelöschten Dateien
------------------------------------------------------------------------------------------
Internet Explorer - Temporäre Internet-Dateien 68.883KB 5.473 Dateien
Internet Explorer - Verlauf 1.159KB 8 Dateien
Internet Explorer - Cookies 580KB 214 Dateien
Windows Explorer - Aufgerufene Dokumente 101KB 186 Dateien
System - Papierkorb leeren 355.439KB 115 Dateien
System - Windows-Logdateien 14.860KB 234 Dateien
Anwendungen - Adobe Acrobat 8.0 77KB 2 Dateien
Anwendungen - Adobe Acrobat 9.0 9.471KB 34 Dateien
Anwendungen - Office 2003 21KB 50 Dateien
Internet - Windows Live Messenger 6KB 20 Dateien
Multimedia - Adobe Flash Player 1KB 7 Dateien
Multimedia - Real Player SP 137KB 9 Dateien
Multimedia - Windows Media Player 1KB 1 Dateien

du sollst die liste der instalierten programme nach angabe bearbeiten und diese reinkopieren :-)

ohje ... und das heisst genau? Wie komm ich die Liste ran?

sorry, ich glaub ich bin wohl wirklich schwer von Begriff :-(

na steht ja da, ccleaner öffnen, extras liste der instalierten programme die exportieren, als txt
dann kannst sie bearbeiten.

edit, falsches thema

wie "Edit, falsches Thema"??

also ich merke ich habe KEINE AHNung .... da steht sehr oft unbekannt

nötig 7-Zip 9.20
unbekannt ABB Logic Time 254 EA ABB 1.0.0497
unbekannt Acer eDataSecurity Management 2.0.4088 Acer 2.0.4088
unbekannt Acer eLock Management Acer Inc. 2.1.4003
unbekannt Acer Empowering Technology Acer 2.03.4001
unbekannt Acer ePower Management Acer Inc 2.00.4002
unbekannt Acer ePresentation Management Acer Inc. 2.00.4000
unbekannt Acer eSettings Management Acer 2.03.4005
unbekannt Acer GridVista 2.65.402
unbekannt Acer ScreenSaver Acer Incorporated 3.11.0606
unbekannt Acer WLAN 11g USB Adapter Acer WLAN 11g USB Adapter 1.00.4323
nötig Adobe Flash Player 10 ActiveX Adobe Systems Incorporated 10.2.153.1
nötig Adobe Reader 9.4.1 - Deutsch Adobe Systems Incorporated 9.4.1
nötig Atheros Client Installation Program Atheros
nötig Atheros Wireless LAN Client Adapter QMI 1.0.1.0330
nötig Avira AntiVir Personal - Free Antivirus Avira GmbH
nötig Broadcom Gigabit Integrated Controller Broadcom Corporation 11.11.03
nötig?? CCleaner Piriform 3.05
nötig D-Link AirPlus Xtreme G Adapter
nötig Designer 2.0 fotobuch.de AG 7.7.7
unbekannt ELKA CP210x USB Device 0145 (Driver Removal)
backup ETS3 - Infodisplay Gira 3.03 GIRA Giersiepen GmbH & Co.KG 3.03
backup ETS3 - InfoTerminal Touch Gira 1v02 GIRA Giersiepen GmbH & Co. KG 1v02
backup ETS3 - Tastsensor 2 plus Gira 2v10 GIRA Giersiepen GmbH & Co. KG 2v10
backup ETS3 - Wetterstation 2v06 Gira GIRA Giersiepen GmbH & Co. KG 2v06
backup ETS3 Professional KNX Association 3.0.00990.0
unnötig framily Gestaltungs-Software 4.60 framily Gestaltungs-Software
nötig Garmin Communicator Plugin Garmin Ltd or its subsidiaries 2.9.3
nötig Garmin USB Drivers Garmin Ltd or its subsidiaries 2.3.0.0
unbekannt HDAUDIO Soft Data Fax Modem with SmartCP
unbekannt High Definition Audio Driver Package - KB888111 Microsoft Corporation 20040219.000000
unbekannt Intel(R) Graphics Media Accelerator Driver Intel Corporation
unbekannt InterVideo DVD Check
unbekannt Java(TM) 6 Update 20 Sun Microsystems, Inc. 6.0.200
nötig Joe Wirth New Media Sarl 3.05.0100
unbekannt Launch Manager
nötig Malwarebytes' Anti-Malware Malwarebytes Corporation
nötig? McAfee Security Scan Plus McAfee, Inc. 2.0.181.2
unbekannt Microsoft .NET Framework 1.1
unbekannt Microsoft .NET Framework 1.1 German Language Pack Microsoft 1.1.4322
unbekannt Microsoft .NET Framework 2.0 Service Pack 1 Language Pack - DEU Microsoft Corporation 2.1.21022
unbekannt Microsoft .NET Framework 2.0 Service Pack 2 Microsoft Corporation 2.2.30729
unbekannt Microsoft .NET Framework 3.0 Service Pack 1 Language Pack - DEU Microsoft Corporation 3.1.21022
unbekannt Microsoft .NET Framework 3.0 Service Pack 2 Microsoft Corporation 3.2.30729
unbekannt Microsoft .NET Framework 3.5 Language Pack - DEU Microsoft Corporation
unbekannt Microsoft .NET Framework 3.5 SP1 Microsoft Corporation
unbekannt Microsoft .NET Framework 4 Client Profile Microsoft Corporation 4.0.30319
unbekannt Microsoft .NET Framework 4 Client Profile DEU Language Pack Microsoft Corporation 4.0.30319
unbekannt Microsoft LifeCam Microsoft 1.40.164.0
unbekannt Microsoft Office Enterprise 2007 Microsoft Corporation 12.0.6425.1000
unbekannt Microsoft Silverlight Microsoft Corporation 4.0.60129.0
unbekannt Microsoft Visual C++ 2005 ATL Update kb973923 - x86 8.0.50727.4053 Microsoft Corporation 8.0.50727.4053
unbekannt Microsoft Visual C++ 2005 Redistributable - KB2467175 Microsoft Corporation 8.0.51011
unbekannt Microsoft Visual C++ 2008 ATL Update kb973924 - x86 9.0.30729.4148 Microsoft Corporation 9.0.30729.4148
unbekannt Microsoft Visual C++ 2008 Express Edition - DEU Microsoft Corporation
unbekannt Microsoft Visual C++ 2008 Redistributable - KB2467174 - x86 9.0.30729.5570 Microsoft Corporation 9.0.30729.5570
unbekannt Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.17 Microsoft Corporation 9.0.30729
unbekannt Microsoft Windows SDK for Visual Studio 2008 Express Tools for .NET Framework Microsoft 3.5.21022
unbekannt Microsoft Windows SDK for Visual Studio 2008 Express Tools for Win32 Microsoft Corporation 6.1.5288.17011
unbekannt Microsoft Windows SDK for Visual Studio 2008 Headers and Libraries Microsoft Corporation 6.1.5288.17011
unbekannt MSXML 4.0 SP2 (KB954430) Microsoft Corporation 4.20.9870.0
unbekannt MSXML 4.0 SP2 (KB973688) Microsoft Corporation 4.20.9876.0
nötig Nero 8 Essentials Nero AG 8.3.157
unbekannt O2Micro Flash Memory Card Reader Driver (x86) O2Micro 3.24.1
unnötig OpenOffice.org 3.0 OpenOffice.org 3.0.9358
nötig PDFCreator Frank Heindörfer, Philip Chinery 0.9.8
unbekannt pdfforge Toolbar v4.3 Spigot, Inc. 4.3
nötig RealPlayer RealNetworks
nötig Realtek High Definition Audio Driver Realtek Semiconductor Corp. 5.10.0.5628
nötig ;-) Ritter Rost - Die Eiserne Burg
nötig Skype Toolbars Skype Technologies S.A. 1.0.4051
nötig Skype™ 4.2 Skype Technologies S.A. 4.2.155
nötig SX Virtual Link silex technology, Inc. 3.4.0
unbekannt Synaptics Pointing Device Driver Synaptics 11.0.2.0
nötig Ulead PhotoImpact XL SE Ulead System 8.5
unbekannt Vista Drive Icon 1.4 artArmin 1.4
unbekannt Visual Studio 2005 Tools for Office Second Edition Runtime Microsoft Corporation
unbekannt Windows Driver Package - Garmin (grmnusb) GARMIN Devices (06/03/2009 2.3.0.0) Garmin 06/03/2009 2.3.0.0
unbekannt Windows Internet Explorer 8 Microsoft Corporation 20090308.140743
unbekannt Windows Live Anmelde-Assistent Microsoft Corporation 5.000.818.5
unbekannt Windows Live Essentials Microsoft Corporation 14.0.8089.0726
unbekannt Windows Live-Uploadtool Microsoft Corporation 14.0.8014.1029
unbekannt Windows Media Format 11 runtime
unbekannt Windows Media Player 11
unbekannt Windows Messenger 5.1 Microsoft Corporation 5.1.0715
unbekannt Windows XP Service Pack 3 Microsoft Corporation 20080414.031514
unbekannt XP Codec Pack

hasts doch hinbekommen.
deinstaliere:
Acer Empowering Technology
Acer ePower Management
Acer ePresentation Management
Acer GridVista
Acer ScreenSaver

Adobe Reader 9.4.1
updaten:
Adobe - Adobe Reader herunterladen - Alle Versionen
haken bei mcafee security scan raus
öffne den adobe reader, bearbeiten, voreinstellungen, javascript, dort den haken raus, internet, ebenfalls alle haken raus.
so werden keine pdfs mehr automatisch geladen und es kann dir kein schadcode mehr auf diese weise untergeschoben werden.
unter allgemein, nur zertifizierte zusatzmodule verwenden anhaken.
unter update, auf instalieren stellen.
klicke übernehmen /ok
deinstaliere.
framily
HDAUDIO Soft Data Fax Modem
InterVideo DVD Check
Launch Manager
McAfee Security Scan
Microsoft LifeCam
Microsoft Office Enterprise 2007 ist schreib und kalkulations software, falls unnötig, weg.
Microsoft Silverlight
OpenOffice.org 3.0 könnte man behalten, oder schreibst du nie einen text? falls nein kanns natürlich auch weg.
pdfforge Toolbar
Skype Toolbars toolbars sind ein zusätzliches risiko, deinstaliere sie.
Skype™ 4.2 öffnen, updaten, skype 5 ist draußen
Windows Live alle.
Windows Messenger
XP Codec Pack
bereinige mit dem ccleaner.