Virus über Facebook FlashPlayer.exe - Notebook schaltet sich aus
 

Hallo!

Habe im facebook-chat von einer freundin einen tinyurl.com link bekommen der zu einer IP Adresse beginnend mit 91.xx (kann mich nicht genau erinnern) führt.
Dort war quasi ein "gefakter" youtube player, der verlangt dass man seinen flashplayer updatet. Ich hab mir nichts dabei gedacht, aber gleich als ich die datei am notebook hatte wusste ich dass da was nicht stimmt - sie ließ sich nicht mehr löschen. Hat sich von selber geöffnet - ich hab zwar den FlashPlayer.exe im Taskmanager beenden können aber das brachte nicht viel. hab den laptop dann einfach vom strom genommen und den akku raus!

Dann hab ich ihn neu gestartet, da lief erstmal CHKDSK und dann kam ich in den abgesicherten Modus rein. Hab aber jetzt wieder abgeschalten da ich nicht will dass mir da der Virus jetzt im abgesicherten Modus irgendwas macht...hab auch vorsichtshalber von einem anderen PC aus meine passwörter überall geändert ;)

Wie soll ich jetzt weiter vorgehen? Gibts schon ähnliche fälle irgendwo? Hab leider nicht wirklich was gefunden im bei google...

EDIT:
- Virenscanner hat nix gefunden, hab aber nur Avira Antivir (free)

das zeugs das hier steht -> http://www.trojaner-board.de/69886-a...-beachten.html
mach ich grade. poste das dann!

hi,
1. informiere deine freundin mal, dass sie nen trojaner auf dem pc hatt, sie hat die links bestimmt nicht mit absicht gesendet.
2. schau mal in facebook nach und sende mir den link als private nachicht.
3. aus der anleitung defogger und otl ausführen, logs posten.

Hallo,

sorry also hier mal die logs ;)

Hab mal pastebin verwendet, hoffe das geht klar!

OTL.txt hxxp://pastebin.com/F1nGfFp4
Extras.txt hxxp://pastebin.com/115qr712


defogger_disable.log

defogger_disable by jpshortstuff (23.02.10.1)
Log created at 20:27 on 30/10/2011 (Vaio)

Checking for autostart values...
HKCU\~\Run values retrieved.
HKLM\~\Run values retrieved.

Checking for services/drivers...
SPTD -> Already disabled


-=E.O.F=-


Hab das Ganze im abgesicherten Modus laufen lassen.

hi, du kannst die logs ruhig anhängen hier, mit zip zb packen und hochladen.
danke übrigens für den link.
combofix:

Combofix darf ausschließlich ausgeführt werden, wenn dies von einem Team Mitglied angewiesen wurde!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich
ziehen und eine Bereinigung der Infektion noch erschweren.

Bitte downloade dir Combofix.exe und speichere es unbedingt auf deinem Desktop.

• Besuche folgende Seite für Downloadlinks und Anweisungen für dieses
  Tool
  
  Ein Leitfaden und Tutorium zur Nutzung von ComboFix
  
• Hinweis:
  Gehe sicher das all deine Anti Virus und Anti Malware Programme abgeschalten sind, damit diese Combofix nicht bei der Arbeit stören.
  
• Poste bitte die C:\Combofix.txt in deiner nächsten Antwort.

Hallo,

er sagt mir ich soll Avira Desktop abschalten, jedoch ist es nciht aktiv. Was nun? Einfach laufen lassen?

EDIT: Ein Freund von mir der sich gut mit PCs auskennt hat mir empfohlen eine Systemwiederherstelluing auszuführen - hat geklappt, läuft wieder weitgehend normal. Was für Tools soll ich drüberlaufen lassen damit ich sicher bin dass da wirklich auch nichts mehr ist? Avira hab ich neu installiert (hat der Virus mir gelöscht) und Spybot hat c.a. 40 Einträge gelöscht. Irgendwas, was ich noch laufen lassen sollte?

du sollst einfach die gegebenen anweisungen ausführen, wie soll man ne richtige analyse machen wenn du irgendwelche nicht gewollten schritte ausführst, entweder du willst hier hilfe und machst das was geschrieben wird oder du musst selbst arbeiten, beides geht nicht.
und so was wie "ein programm hat irgendwas gefunden" was soll ich mit so ner aussage anfangen können?

LOL naja, lies mal genau. Ich hab die Anweisungen so weit wie möglich ausgeführt, aber da steht ich soll dieses programm nicht laufen lassen wenn noch irgendwelche antivirenprogramme laufen und es lief halt eben noch, konnte es aber nicht abschalten da der virus den Avira irgendwie komplett zerstört hat (der Prozess lief nicht, aber der Dienst war noch aktiv, irgendwie sehr komisch...)

Wenn da dann steht dass am PC Schäden auftreten können wenn ichs trotzdem laufen lass, ist es wohl klar dass ich hier nachfrage, aber naja. "ein programm hatt irgendwas gefunden" hab ich nie gesagt, hast du im falschen Thread gepostet? :stirn:

Also, nachdem ich ja das Programm von deinem Link nicht ausführen sollte (wegen Avira, und das konnte ich ja nicht abschalten), gehts ja so wie du gesagt hast nicht. Also hab ichs halt anders gemacht^^ Ist doch wurscht jetzt, mein notebook läuft auf jeden Fall wieder...

man sieht sich!