Trojaner-Board - TR/kazy.mekml.1 - OTL durchgeführt, wie gehts weiter

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - TR/kazy.mekml.1 - OTL durchgeführt, wie gehts weiter (https://www.trojaner-board.de/98407-tr-kazy-mekml-1-otl-durchgefuehrt-gehts.html)

Mein CD-Rom-Laufwerk ist kaputt und eine Vista-DVD habe ich leider auch nicht.

Kannst du mir bitte mal kurz sagen, was mbr fixen überhaupt bedeutet?

Warum meinst du, dass das notwendig ist? Zeigen die logs, die ich dir geschickt habe irgendwelche gravierenden Fehlern an?

Schön Gruß
Johannes

Zitat:

Mein CD-Rom-Laufwerk ist kaputt und eine Vista-DVD habe ich leider auch nicht.

Dann musst du dir ein neues optisches Laufwerk besorgen.

Zitat:

Kannst du mir bitte mal kurz sagen, was mbr fixen überhaupt bedeutet?

Master Boot Record ? Wikipedia

Zitat:

Warum meinst du, dass das notwendig ist? Zeigen die logs, die ich dir geschickt habe irgendwelche gravierenden Fehlern an?

Ja, ein unbekannter MBR ist ein Hinweis auf eine Manipulation, gerade jetzt kursiert eine neue TDSS-Variante, den den MBR schadhaft manipuliert - ohne Fix des MBR bekommt man den nicht weg!

Hallo Arne,

Ich hab keine Ahnung, wie ich jetzt weiterkomme. Habe über deinen Link das vista-notfall-recovery-iso runtergeladen (hat das "x86" am Ende des Dateinamens irgendwas zu bedeuten?).

Nun sollte ich einfach diese datei mit imgburn brennen, ohne vorher was auszuführen o.Ä.?
Habe imgburn geöffnet, die iso geöffnet und einen rohling ins laufwerk gepackt. Und nun weiß ich nich wies weitergeht, werde aus dem Programm nicht schlau. Würde dir gerne auch ein screenshot von dem ausführenden Programm beifügen, nur weiß ich leider nicht, wie man sowas hier einfügt oder als jpg abspeichern kann.

Danke für deine Hilfe..

Klick mal auf dem 2. Link in meiner Signatur, Datensicherung mit Ubuntu, da wird auch ein Beispiel gezeigt wie man eine ISO-Datei (Abbild) auf CD brennt.

Kann ich in meinem Fall den Rechner nicht auch von nem USB-Stick booten? Wenn ja, dann mach ich das wie in deinem signatur-link beschrieben

Gruß, Johannes

Ich würde vom Gang mit dem USB-Stick abraten. Aber wenn man es unbedingt machen will:

Zitat:

Zitat von mmk

3.) Die iso-Datei kann alternativ auch auf einen USB-Stick gebracht werden, sodass darüber, z.B. bei Netbooks ohne optisches Laufwerk, ebensogut ein Booten möglich ist. Ihr könnt dies z.B. recht einfach mit dem Tool "Unetbootin" durchführen. Hier geht's zum Download:

-> UNetbootin - Homepage and Downloads
Geändert von mmk (22.11.2010 um 03:11 Uhr)

Frag mich aber nicht, wie man dieses unetbootin bedient, das Tool kenn ich nämlich nicht.
Und ob das Windows-ISO überhaupt von diesem Tool bearbeitet werden kann ist auch fraglich.

Warum rätst du denn davon ab? Welche Gefahren bestehen?
(Sorry, ich will jetzt keine Diskussion anfangen, aber ich hab keine wirklich Alternative, weil ich mir jetzt einfach kein cd-Rom-laufwerk leisten kann.)

Und noch eine Frage: Es ist ausdrücklich die Rede davon, dass man die iso nicht vom "verseuchten" PC brennen soll. Würdest du also mein PC als nicht-verseucht betrachten oder spielt das bei mir keine Rolle?

Grüße

Ich rate davon ab,weil es mit der CD unkomplizierter ist und sich diese Methode bewährt hat. Ich hab auch so keine pauschale Anleitung, das Rescue-Image von Windows auf einen Stick zu bringen, diesen bootfähig zu bekommen und dann den MBRfix damit zu machen...

Wir können den MBR-Fix aber auch erstmal sein lassen, ich seh das ganze ist hier schwierig.

Mach erstmal zur Kontrolle Vollscans mit Malwarebytes und SASW und poste die Logs.
Denk dran beide Tools zu updaten vor dem Scan!!

hey sorry hat wieder ein bisschen länger gedauert.

Malwarebyte

HTML-Code:

Malwarebytes' Anti-Malware 1.50.1.1100

www.malwarebytes.org
 

Datenbank Version: 6674
 

Windows 6.0.6002 Service Pack 2

Internet Explorer 7.0.6002.18005
 

25.05.2011 17:12:47

mbam-log-2011-05-25 (17-12-47).txt
 

Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|)

Durchsuchte Objekte: 270477

Laufzeit: 1 Stunde(n), 27 Minute(n), 36 Sekunde(n)
 

Infizierte Speicherprozesse: 0

Infizierte Speichermodule: 0

Infizierte Registrierungsschlüssel: 0

Infizierte Registrierungswerte: 0

Infizierte Dateiobjekte der Registrierung: 0

Infizierte Verzeichnisse: 0

Infizierte Dateien: 0
 

Infizierte Speicherprozesse:

(Keine bösartigen Objekte gefunden)
 

Infizierte Speichermodule:

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungsschlüssel:

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungswerte:

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateiobjekte der Registrierung:

(Keine bösartigen Objekte gefunden)
 

Infizierte Verzeichnisse:

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateien:

(Keine bösartigen Objekte gefunden)

SuperAntiSpyware

HTML-Code:

SUPERAntiSpyware Scan Log

hxxp://www.superantispyware.com
 

Generated 05/25/2011 at 06:43 PM
 

Application Version : 4.52.1000
 

Core Rules Database Version : 7138

Trace Rules Database Version: 4950
 

Scan type       : Complete Scan

Total Scan Time : 01:07:53
 

Memory items scanned      : 799

Memory threats detected   : 0

Registry items scanned    : 9282

Registry threats detected : 0

File items scanned        : 32492

File threats detected     : 25
 

Adware.Tracking Cookie

        C:\Users\Johannes\AppData\Roaming\Microsoft\Windows\Cookies\johannes@ad.adnet[2].txt

        C:\Users\Johannes\AppData\Roaming\Microsoft\Windows\Cookies\johannes@adnet[1].txt

        C:\Users\Johannes\AppData\Roaming\Microsoft\Windows\Cookies\johannes@tracking.mlsat02[1].txt

        C:\Users\Johannes\AppData\Roaming\Microsoft\Windows\Cookies\johannes@ad3.adfarm1.adition[2].txt

        C:\Users\Johannes\AppData\Roaming\Microsoft\Windows\Cookies\johannes@xiti[1].txt

        C:\Users\Johannes\AppData\Roaming\Microsoft\Windows\Cookies\johannes@www.etracker[2].txt

        C:\Users\Johannes\AppData\Roaming\Microsoft\Windows\Cookies\johannes@estat[1].txt

        C:\Users\Johannes\AppData\Roaming\Microsoft\Windows\Cookies\johannes@tracking.quisma[1].txt

        C:\Users\Johannes\AppData\Roaming\Microsoft\Windows\Cookies\johannes@ads.creative-serving[2].txt

        C:\Users\Johannes\AppData\Roaming\Microsoft\Windows\Cookies\johannes@ad.ad-srv[1].txt

        C:\Users\Johannes\AppData\Roaming\Microsoft\Windows\Cookies\johannes@mediaplex[1].txt

        C:\Users\Johannes\AppData\Roaming\Microsoft\Windows\Cookies\johannes@webmasterplan[2].txt

        C:\Users\Johannes\AppData\Roaming\Microsoft\Windows\Cookies\johannes@zanox[1].txt

        C:\Users\Johannes\AppData\Roaming\Microsoft\Windows\Cookies\johannes@traffictrack[1].txt

        C:\Users\Johannes\AppData\Roaming\Microsoft\Windows\Cookies\johannes@ad4.adfarm1.adition[2].txt

        C:\Users\Johannes\AppData\Roaming\Microsoft\Windows\Cookies\johannes@ad2.adfarm1.adition[1].txt

        C:\Users\Johannes\AppData\Roaming\Microsoft\Windows\Cookies\johannes@tradedoubler[2].txt

        C:\Users\Johannes\AppData\Roaming\Microsoft\Windows\Cookies\johannes@adfarm1.adition[2].txt

        C:\Users\Johannes\AppData\Roaming\Microsoft\Windows\Cookies\johannes@ad.zanox[2].txt

        C:\Users\Johannes\AppData\Roaming\Microsoft\Windows\Cookies\johannes@serving-sys[1].txt

        C:\Users\Johannes\AppData\Roaming\Microsoft\Windows\Cookies\johannes@atdmt[2].txt

        C:\Users\Johannes\AppData\Roaming\Microsoft\Windows\Cookies\johannes@revsci[2].txt

        C:\Users\Johannes\AppData\Roaming\Microsoft\Windows\Cookies\johannes@doubleclick[1].txt

        C:\Users\Johannes\AppData\Roaming\Microsoft\Windows\Cookies\johannes@apmebf[2].txt

        C:\Users\Johannes\AppData\Roaming\Microsoft\Windows\Cookies\johannes@zbox.zanox[2].txt

Nur Cookies, harmlos.

Über den OnlineScanner von ESET eine zusätzliche Meinung zu holen ist auch nicht verkehrt:

ESET Online Scanner

Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
Lade und starte Eset Online Scanner
Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
Klicke auf Starten.
Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
Klicke am Ende des Suchlaufs auf Fertig stellen.
Schließe das Fenster von ESET.
Explorer öffnen.
C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
Logfile hier posten.
Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

Hat ganz schön lange gedauert, der scan.

HTML-Code:

ESETSmartInstaller@High as CAB hook log:

OnlineScanner.ocx - registred OK

# version=7

# iexplore.exe=7.00.6000.16386 (vista_rtm.061101-2205)

# OnlineScanner.ocx=1.0.0.6522

# api_version=3.0.2

# EOSSerial=4a96e529110f9a4bbee8adc0d1f20d10

# end=finished

# remove_checked=false

# archives_checked=true

# unwanted_checked=true

# unsafe_checked=false

# antistealth_checked=true

# utc_time=2011-05-30 08:56:21

# local_time=2011-05-30 10:56:21 (+0100, Mitteleuropäische Sommerzeit)

# country="Germany"

# lang=1033

# osver=6.0.6002 NT Service Pack 2

# compatibility_mode=1792 16777215 100 0 80022576 80022576 0 0

# compatibility_mode=5892 16776573 100 100 4010 144305401 0 0

# compatibility_mode=8192 67108863 100 0 148 148 0 0

# scanned=133140

# found=1

# cleaned=0

# scan_time=16307

C:\Users\Johannes\Desktop\Programme\Nero-9.2.6.0_trial.exe        Win32/Toolbar.AskSBar application (unable to clean)        00000000000000000000000000000000        I

Zitat:

C:\Users\Johannes\Desktop\Programme\Nero-9.2.6.0_trial.exe Win32/Toolbar.AskSBar application

Ist harmlos, dieses Setup der Nero-Trialversion wird ur angemeckert, weil das Setup eine AsToolbar mitinstallieren kann, wenn man es nicht abwählt.

Rechner wieder im Lot oder noch Probleme/andere Funde?

Der PC funktioniert, aber

Das antivira-Programm zeigt jetzt immer eine Fehlermeldung an
(„Dieses Programm vergügt über bekannte Kompatibilitätsprobleme.[…]Avira AntiVir ist mit der Windows-Version inkompatibel.“),
lässt sich dennoch ausführen.

Das windows-Startfenster ist leer/weiß (ist nicht schlimm, aber auch nicht normal)

Ich vermisse windows-paint, habe es nicht deinstalliert, kann jedoch auch nicht eindeutig bezeugen, dass es erst seit dem trojaner fehlt.

Meine Fragen außerdem:

Ist es sinnvoll diese vielen Programme, die ich im Lauf der Zeit für diverse scans brauchte auf dem PC zu halten?

Welche Standart Schutzprogramme sind wichtig, um soetwas wie diesen trojaner eher zu vermeiden (reicht avira und windows firewall?)

Vielen Dank und Viele Grüße
Johannes

Zitat:

Das antivira-Programm zeigt jetzt immer eine Fehlermeldung an
(„Dieses Programm vergügt über bekannte Kompatibilitätsprobleme.[…]Avira AntiVir ist mit der Windows-Version inkompatibel.“),

Neu installieren oder anderen Virenscanner nutzen

Zitat:

Das windows-Startfenster ist leer/weiß (ist nicht schlimm, aber auch nicht normal)

Du meinst die Verknüpfungen in Startmenü, alle Programme?

Zitat:

Ich vermisse windows-paint, habe es nicht deinstalliert, kann jedoch auch nicht eindeutig bezeugen, dass es erst seit dem trojaner fehlt.

Start, Ausführen => mspaint eintippen und ausführen - was passiert?

Zitat:

Meine Fragen außerdem:
Ist es sinnvoll diese vielen Programme, die ich im Lauf der Zeit für diverse scans brauchte auf dem PC zu halten?

Die Programme können alle wieder runter.

Zitat:

Welche Standart Schutzprogramme sind wichtig, um soetwas wie diesen trojaner eher zu vermeiden (reicht avira und windows firewall?

Ja reicht. Die Frage - welcher Virenscanner oder ob der installierte reicht - taucht ständig auf.
Der Virenscanner - egal welcher - kann und wird niemals 100% Schutz bieten können. Neue/unbekannte Schädlinge können immer durch die Lappen gehen. Bleib bei dem Scanner oder nimm Microsoft Security Essentials.
Abgesehen davon nutzen verschiedene Virenscanner unterschiedliche Signaturen und Techniken, das führt dazu, dass zB Scanner1 Schädling X entdeckt, aber Schädling Y übersieht. Scanner2 erkennt Schädling Y, dafür aber Schädling X nicht...
Wichtiger ist, dass du dich an Regeln hälst. Der beste Virenscanner bringt nichts, wenn du dich falsch verhälst und fahrlässig/unvorsichtig bist. Airbag und Sicherheitsgurt im Auto sind ja auch keine Gründe dafür auf die Verkehrsregeln zu pfeifen.

Halte Dich am besten grob an diese Regeln:

1) Sei misstrauisch im Internet und v.a. bei unbekannten E-Mails, sei vorsichtig bei der Herausgabe persönlicher Daten!!
2) Halte Windows und alle verwendeten Programme immer aktuell
3) Führe regelmäßig Backups auf externe Medien durch
4) Arbeite mit eingeschränkten Rechten
5) Nutze sichere Programme wie zB Opera oder Firefox zum Surfen statt den IE, zum Mailen Thunderbird statt Outlook Express - E-Mails nur als reinen text anzeigen lassen
6) automatische Wiedergabe von allen Laufwerken komplett deaktivieren, denn das ist ein unnötiges Sicherheitsrisiko

Alles noch genauer erklärt steht hier => Kompromittierung unvermeidbar?

Zitat:

Zitat:
Das windows-Startfenster ist leer/weiß (ist nicht schlimm, aber auch nicht normal)

Du meinst die Verknüpfungen in Startmenü, alle Programme?

Nein, ich meine das linke Fenster, was direkt kommt, wann man auf start drückt (über dem "alle programme"-button) ist und bleibt leer.

Zitat:

Start, Ausführen => mspaint eintippen und ausführen - was passiert?

Es wird geöffnet:), Es ist komischerweise im Ordner: C:\Windows\System32. Soll ich das da rauskopieren?

Zitat:

6) automatische Wiedergabe von allen Laufwerken komplett deaktivieren, denn das ist ein unnötiges Sicherheitsrisiko

Wie macht man das?

Also ich möchte dir nochmal in aller Deutlichkeit ein dickes Dankeschön entgegenbringen:). Woher nimmst du dir die ganze Zeit, wenn du das mit zig Leuten auch noch machst?
Grüße