BKA-Trojaner in explorer.exe ?!
 

Hallo Hoffnungsträger :)

Am 1.12 habe ich mir den BKA Trojaner auf meinem VAIO VPCEB1S1E eingefangen (Win7) und versuche seitdem mich durch zahlreiche Threats zu wurschteln und Lösungen zu finden.

Problem ist folgendes:
- Sobald Windows hochgefahren ist, erscheint der BKA Bildschirm und alle Anwendungen sind gesperrt
- auch Taskmanager & Avira Antivir reagieren nicht mehr

Ich arbeite derzeit mit einem Zweitcomputer, den ich auch für Downloads und zum Brennen benutzen kann.

Ich habe bereits:
- nachträglich Daten gesichert über ubuntu 10.10 wie hier hxxp://forum.chip.de/viren-trojaner-wuermer/notfall-live-system-datenrettung-webzugang-etc-1453431.html erklärt
- Windows im "abgesicherten Modus mit Eingabe" die registry geöffnet und...
... KEINE jashla.exe
... KEINE mahmut.exe
... in SHELL KEINEN Pfad gefunden. Da stand nur der Wert EXPLORER.EXE
(Das der Virus da stecken könnte hab ich ebenfalls aus anderen Foren, z.B. hier hxxp://www.redirect301.de/bundespolizei-trojaner-entfernen.html)

Wenn ich das richtig interpretiere bedeutet dass, dass man den Virus nicht mehr lokalisieren kann, weil der Pfad dorthin in shell nicht angegeben ist, richtig? Wie kann ich den Ursprung jetzt finden und entfernen?

Meine Verzweiflung steigt, denn ich möchte unbedingt auf das Neuinstallieren von Windows verzichten. Zum einen, weil ich kein Windows 7 besitze (es war auf meinem Laptop vorinstalliert) und zum anderen, weil so viele Programme, VPN Clients und Spielstände auf meinem Computer sind, die ich alle nicht verlieren möchte :(

Wie man sicher schon gemerkt hat, bin ich kein Experte in Sachen Computer, bin aber gewillt mich in alles einzuarbeiten. Was BIOS, iso.dateien und registry ist, weiß ich mittlerweile immerhin, aber ich bitte um Rücksicht und möglichst präzise Anweisungen ;)

Es wäre großartig, wenn mir jemand helfen könnte! Ich stecke mitten in meiner Bachelorarbeit, einen schlimmeren Zeitpunkt hätte sich der Trojaner nicht aussuchen können...

VIELEN DANK bereits im Voraus!

hi,
das schaffen wir schon.
auf dem sauberen pc combofix laden:
combofix:

Combofix darf ausschließlich ausgeführt werden, wenn dies von einem Team Mitglied angewiesen wurde!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich
ziehen und eine Bereinigung der Infektion noch erschweren.

Bitte downloade dir Combofix.exe und speichere es unbedingt auf deinem Desktop.

• Besuche folgende Seite für Downloadlinks und Anweisungen für dieses
  Tool
  
  Ein Leitfaden und Tutorium zur Nutzung von ComboFix
  
• Hinweis:
  Gehe sicher das all deine Anti Virus und Anti Malware Programme abgeschalten sind, damit diese Combofix nicht bei der Arbeit stören.
  
• Poste bitte die C:\Combofix.txt in deiner nächsten Antwort.

auf den stick kopieren, stick in den infizierten pc, pc in den abges. modus mit eingabeaufforderung.
tippe:
d:\combofix.exe
enter
falls das nicht klappt:
e:\combofix.exe
enter
usw, bis das richtige laufwerk gefunden ist.
falls cf nun über ein laufendes av meckert, ok klicken.
falls cf den pc nicht neustartet nach abschluss, erledige du dies.
falls keine desktop symbole eingeblendet werden, rechtsklick auf desktop, ansicht, desktop symbole einblenden.
dann log posten

Guten Morgen!
Ich denke, dass ich alles hinbekommen habe. Im Anhang der log...

Mal schauen, was du da rauslesen kannst, bin gespannt.

na ich sehe zu mindest das dein pc wieder normal starten sollte

:-)

malwarebytes:
Downloade Dir bitte Malwarebytes

• Installiere
  das Programm in den vorgegebenen Pfad.
  Vista und Win7 User mit Rechtsklick "als Administrator starten"
• Starte Malwarebytes, klicke auf Aktualisierung --> Suche
  nach Aktualisierung
• Wenn das Update beendet wurde, aktiviere vollständiger Scan durchführen und drücke auf Scannen.
• Wenn der Scan beendet
  ist, klicke auf Ergebnisse anzeigen.
• Versichere Dich, dass alle Funde markiert sind und drücke Entferne Auswahl.
• Poste
  das Logfile, welches sich in Notepad öffnet, hier in den Thread.
• Nachträglich kannst du den Bericht unter "Log Dateien" finden.

Yippie, das sind ja schonmal gute Neuigkeiten :)

Also mache ich es wie schon mit combofix.exe: auf dem sauberen pc runterladen, auf einen Stick ziehen - und wo dann installieren? Im abgesicherte Modus?

nö kannst du denn nicht in den normalen modus?
falls ja von dort downloaden instalieren, updaten

:o der bka-screen ist weg!! Hat combofix das gemacht? Ich bin begeistert! danke schonmal dafür!! - jetzt kommt malwarebytes dran :)

Hier ist die Log Datei von Malwarebytes. Ist er jetzt endgültig weg? Was vermutest du, wie er auf meinen PC kam?

so siehts aus.
lade den CCleaner standard:
CCleaner Download - CCleaner 3.13.1600
falls der CCleaner
bereits instaliert, überspringen.
instalieren, öffnen, extras, liste der instalierten programme, als txt speichern. öffnen.
hinter, jedes von dir benötigte programm, schreibe notwendig.
hinter, jedes, von dir nicht benötigte, unnötig.
hinter, dir unbekannte, unbekannt.
liste posten.

Anbei die Cleaner Liste.
Alle Programme, deren Funktion ich nicht zuordnen konnte, habe ich mit "Unbekannt" gekennzeichnet. Ist durchaus möglich, dass darunter einige PC-Lebensnotwendigen Programme zu finden sind :) Diesen ganzen vaio-kram benutze ich nie, vielleicht ist es aber eben wichtig...

Weißt du wie der Trojaner auf meinen PC kam? Immer wenn sich windows startet will "jucheck.exe" auf meine festplatte zugreifen. Ich sag immer "nein", letzte woche hab ich aber versehentlich mal "ja" gedrückt. kann es was damit zu tun haben? Was ist jucheck.exe eigentlich?

deinstaliere:
Adobe Flash Player beide.
update laden:
Adobe - Andere Version des Adobe Flash Player installieren
deinstaliere:
Adobe Reader
Adobe - Adobe Reader herunterladen - Alle Versionen
haken bei mcafee security scan raus nehmen

bitte auch mal den adobe reader wie folgt konfigurieren:
adobe reader öffnen, bearbeiten, voreinstellungen.
allgemein:
nur zertifizierte zusatz module verwenden, anhaken.
internet:
hier sollte alles deaktiviert werden, es ist sehr unsicher pdfs automatisch zu öffnen, zu downloaden etc.
es ist immer besser diese direkt abzuspeichern da man nur so die kontrolle hat was auf dem pc vor geht.
bei javascript den haken bei java script verwenden raus nehmen
bei updater, automatisch instalieren wählen.
übernehmen /ok

deinstalire
ArcSoft beide
Einstellungen für VAIO-Inhaltsüberwachung
Evernote
IrfanView
Java beide.
Download der kostenlosen Java-Software
downloade java jre
und instaliere es.
dann schau mal beim nächsten neustarten ob noch die meldung wegen der jucheck.exe kommt
deinstaliere:
Mozilla Firefox updaten:
Webbrowser Firefox auf Deutsch | Schneller, sicherer und anpassbar
deinstaliere:
MusicStation
pdfforge Toolbar
Shop for HP
Skype Toolbars
öffne skype, update es, version 5.x ist aktuell
deinstaliere:
VAIO Care
VAIO Content alle
VAIO Control Center
VAIO DVD
VAIO Energie Verwaltung
VAIO Entertainment
VAIO Event Service
VAIO Marketing
VAIO Media beide

VAIO Movie
VAIO Personalization
VAIO Premium
VAIO screensaver
VAIO Wallpaper
VAIO-Support
Windows Live falls du davon nichts nutzt, alle weg
bereinige mit dem ccleaner.

Er ist zurück gekehrt :( kann ich die gleiche Prozedur wie oben beschrieben noch einmal machen um meinen pc wieder zum laufen zu bringen und dann spiele ich win7 nochmal drauf? Hab ja scheinbar keine andere Wahl... danke!

Oh nein! Ich hab deinen Beitrag vom 5.12 erst jetzt entdeckt :( warum? Weil ich nicht gecheckt hab, dass es ne Seite 2 gibt. hab mich schon gewundert, warum du nicht mehr antwortest... sorry! Ich fange einfach nochmal von vorn an :( und mach das mit dem cleaner...

Er ist zurück gekehrt :( kann ich die gleiche Prozedur wie oben beschrieben noch einmal machen um meinen pc wieder zum laufen zu bringen und dann spiele ich win7 nochmal drauf? Hab ja scheinbar keine andere Wahl... danke!

soll das spam sein oder warum schreibst du einen post 2 mal?
poste halt noch mal otl logs...