Virusbefall (Trojan.Generic, Trojan.Sirefef, Win64.Sirefef, Win32.Atraps) bei windows installer & Co
 

Hallo,

ich habe folgendes Problem:

reproduzierender Virenbefall (das sagt GData):
1. Desktop.ini - Trojan.Generic-7570679 Engine A -

Pfad: C:\Windows\assembly\ GAC

2. 00000008.@ - Trojan.Sirefef.GA Engine A
3. 80000000.@ - Win64:Sirefef-A [Trj] Engine B
4. 80000032.@ - Win32:Atraps-PF [Trj] Engine B

Pfad 2-4: C:\Windows\Installer\{7165c145-0a78-40fd-b9a5-dfb0cac96184}\U

Was habe ich bisher gemacht:

Files versucht zu löschen allerdings waren sie nach paar Minuten wieder da.
Ich weiss nach einigen Eintragen, das es falsch war. :(
Ich habe ein Bootscan durchgeführt, der allerdings nur 2 Viren entdeckt hat und sie natürlich nicht gelöscht hat.

Was für Computerprobleme gibt es momentan:

Der Laptop ist langsam.
Wenn ich eine Seite nach einer Suche bei google öffnen möchte, öffnen sich andere Seiten. Nachdem das Virenprogramm nach einem Neustart alle Viren beseitigen wollte, kommt es bei dem Neustart zu einem blauem Bildschirm. Die Maus kann allerdings noch bewegt werden.

Meine Kenntnisse im Bereich PC:

Meine Kenntnisse sind eher mässig, deshalb bin ich hier und hoffe das ihr mir helfen könnt.

Für jede Hilfe bin ich dankbar! :)

Bitte erstmal routinemäßig einen Vollscan mit malwarebytes machen und Log posten. =>ALLE lokalen Datenträger (außer CD/DVD) überprüfen lassen!
Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss!

Die Funde mit Malwarebytes bitte alle entfernen, sodass sie in der Quarantäne von Malwarebytes aufgehoben werden! NICHTS voreilig aus der Quarantäne entfernen!

Falls Logs aus älteren Scans mit Malwarebytes vorhanden sind, bitte auch davon alle posten!



ESET Online Scanner

• Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
• Lade und starte Eset Online Scanner
• Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
• Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
• Klicke auf Starten.
• Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
• Klicke am Ende des Suchlaufs auf Fertig stellen.
• Schließe das Fenster von ESET.
• Explorer öffnen.
• C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
• Logfile hier posten.
• Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
• Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

Bitte alles nach Möglichkeit hier in CODE-Tags posten.

Wird so gemacht:

[code] hier steht das Log [/code]

Und das ganze sieht dann so aus:

Hallo,

erstmal danke für deine Hilfe! :)

Ich habe Malwarebyte einmal (Vollscan) durchscannen lassen.

Ergebnis: nichts gefunden

Stattdessen hat gdata ständig erwähnt, das versucht wird auf eine infizierte Datei zuzugreifen.

Bei Eset habe ich noch eine Frage:

Der Browser soll als Admistrator geöffnet werden, aber diese Möglichkeit habe ich nicht wenn ich den Rechtsklick mache. Bei mir kommt "im privaten Modus" .... ist es vielleicht diese Option???

Muss ich mir jetzt Gedanken machen weil Malwarebyte nichts gefunden hat???
Könnte gdata die Virensignaturen nur falsch zugeordnet haben? Ich meine Viren entdeckt haben, wo keine sind???

gruß
yvonne

GDATA bitte deaktivieren, dann den Vollscan wiederholen

Malwarebytes Anti-Malware 1.61.0.1400
www.malwarebytes.org

Datenbank Version: v2012.06.30.01

Windows 7 Service Pack 1 x86 NTFS
Internet Explorer 9.0.8112.16421
Kraft :: KRAFT-PC [Administrator]

02.07.2012 10:13:45
mbam-log-2012-07-02 (10-13-45).txt

Art des Suchlaufs: Vollständiger Suchlauf
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 354556
Laufzeit: 1 Stunde(n), 56 Minute(n), 3 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 1
HKCU\SOFTWARE\CLASSES\CLSID\{42AEDC87-2188-41FD-B9A3-0C966FEABEC1}\INPROCSERVER32 (Trojan.Zaccess) -> Erfolgreich gelöscht und in Quarantäne gestellt.

Infizierte Registrierungswerte: 1
HKCU\SOFTWARE\CLASSES\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1}\InprocServer32| (Trojan.Zaccess) -> Daten: C:\Users\Kraft\AppData\Local\{7165c145-0a78-40fd-b9a5-dfb0cac96184}\n. -> Erfolgreich gelöscht und in Quarantäne gestellt.

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 3
C:\Windows\assembly\GAC\Desktop.ini (Trojan.0access) -> Löschen bei Neustart.
C:\Windows\Installer\{7165c145-0a78-40fd-b9a5-dfb0cac96184}\U\00000008.@ (Trojan.Dropper.BCMiner) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Windows\Installer\{7165c145-0a78-40fd-b9a5-dfb0cac96184}\U\80000000.@ (Trojan.Sirefef) -> Erfolgreich gelöscht und in Quarantäne gestellt.

(Ende)


Frage zu:
Eset: Anmerkung für Vista und Win7 User: Bitte den Browser unbedingt so öffnen: per Rechtsklick => als Administrator ausführen

Wenn ich den Browser öffne mit der rechten Maustaste erscheint leider nicht als Admistator öffen. Ich verwende Firefox (13.01). Ich kann nur wählen zwischen TAB öffnen und im privaten Modus öffnen.

Danke für deine Mühe!

Du sollst den Browser ja auch beenden und dann auf der Firefoxsymbol rechtsklicke und dann als Administrator ausführen!

Jetzt hat es geklappt. Ich hatte den Browser geschlossen, allerdings habe ich den Rechtklick an der Taskleiste nur gemacht......

Hier ist das Ergebnis von Eset:

ESETSmartInstaller@High as downloader log:
all ok
# version=7
# OnlineScannerApp.exe=1.0.0.1
# OnlineScanner.ocx=1.0.0.6583
# api_version=3.0.2
# EOSSerial=944c8281b0cfea4b9e9b7bd790941f25
# end=finished
# remove_checked=false
# archives_checked=true
# unwanted_checked=true
# unsafe_checked=false
# antistealth_checked=true
# utc_time=2012-07-03 11:38:16
# local_time=2012-07-03 01:38:16 (+0100, Mitteleuropäische Sommerzeit)
# country="Germany"
# lang=1033
# osver=6.1.7601 NT Service Pack 1
# compatibility_mode=4096 16777215 100 0 16756720 16756720 0 0
# compatibility_mode=5893 16776574 66 94 7453528 92939986 0 0
# compatibility_mode=8192 67108863 100 0 201 201 0 0
# scanned=158231
# found=9
# cleaned=0
# scan_time=6701
C:\Users\Kraft\AppData\Local\Microsoft\Windows\Temporary Internet Files\Low\Content.IE5\X07XWZD2\99[1].htm HTML/Iframe.B.Gen virus (unable to clean) 00000000000000000000000000000000 I
C:\Users\Kraft\AppData\Local\Temp\BandooV6.exe probably a variant of Win32/Adware.Bandoo.AA application (unable to clean) 00000000000000000000000000000000 I
C:\Users\Kraft\AppData\Local\Temp\nso58E.tmp.exe probably a variant of Win32/Adware.Bandoo.AA application (unable to clean) 00000000000000000000000000000000 I
C:\Users\Kraft\AppData\Local\Temp\SetupDataMngr_Searchqu.exe a variant of Win32/Toolbar.SearchSuite application (unable to clean) 00000000000000000000000000000000 I
C:\Users\Kraft\AppData\Local\Temp\BandooFiles\files.exe probably a variant of Win32/Adware.Bandoo.AA application (unable to clean) 00000000000000000000000000000000 I
C:\Users\Kraft\AppData\Local\Temp\BandooFiles\Bin\InstallerHelper.dll probably a variant of Win32/Adware.Bandoo.AA application (unable to clean) 00000000000000000000000000000000 I
C:\Windows\Installer\{7165c145-0a78-40fd-b9a5-dfb0cac96184}\U\80000000.@ a variant of Win32/Sirefef.FA trojan (unable to clean) 00000000000000000000000000000000 I
C:\Windows\System32\services.exe Win32/Sirefef.FC trojan (unable to clean) 00000000000000000000000000000000 I
${Memory} a variant of Win32/Sirefef.EZ trojan 00000000000000000000000000000000 I

Mach bitte ein neues OTL-Log. Bitte alles nach Möglichkeit hier in CODE-Tags posten.

Wird so gemacht:

[code] hier steht das Log [/code]

Und das ganze sieht dann so aus:

CustomScan mit OTL

Lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop. Falls schon vorhanden, bitte die ältere vorhandene Datei durch die neu heruntergeladene Datei ersetzen, damit du auch wirklich mit einer aktuellen Version von OTL arbeitest.

• Starte bitte die OTL.exe.
  Vista und Win7 User mit Rechtsklick "als Administrator starten"
• Setze oben mittig den Haken bei Scanne alle Benutzer
• Kopiere nun den kompletten Inhalt aus der untenstehenden Codebox in die http://billy-oneal.com/Canned%20Spee.../customFix.png Textbox von OTL - wenn OTL auf deutsch ist wird sie mit http://larusso.trojaner-board.de/Images/otlfix.jpg beschriftet

• Schliesse bitte nun alle Programme. (Wichtig)
• Klicke nun bitte auf den Quick Scan Button.
• Klick auf http://billy-oneal.com/Canned%20Spee.../OTL/btnOK.png.
• Kopiere nun den Inhalt aus OTL.txt hier in Deinen Thread

Ich habe ein Gesamtüberblick gemacht, jetzt habe ich es endlich herausgefunden wie man die Tags macht. Bin ich dämlich.


OTL Logfile:
--- --- ---

--- --- ---
[\code]


Malware-Ergebnis:



Eset- Ergebnis:

Mach einen OTL-Fix, beende alle evtl. geöffneten Programme, auch Virenscanner deaktivieren (!), starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!)

Klick dann oben links auf den Button Fix!
Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet.

Die mit diesem Script gefixten Einträge, Dateien und Ordner werden zur Sicherheit nicht vollständig gelöscht, es wird eine Sicherheitskopie auf der Systempartition im Ordner "_OTL" erstellt.

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann!

OTL Fix durchgeführt, jedoch habe ich keinen Bericht erhalten. Seitdem OTL Fix komme ich nicht mehr ins Internet. Alle Versuche den Router zu finden oder neu zu konfigurieren schlagen fehl.
Wenn ich auf Problem beheben gehe, kommt: Proxyeinstellungen können nicht ausgeführt werden.

Das Symbol für das Internet inst mit einem dicken roten X versehen.
Nachdem OTL Fix, wo das Internetbereits nicht mehr erreichbar war, habe ich GData ausgeführt. 6 Viren wurden diagnostiziert. 4 konnte ich erfolgreich löschen. Nur Deskop.ini nicht!

Vielleicht eine Idee wie ich wieder online komme?

Danke für Deine Hilfestellung!

Wie genau gehst du ins Netz? WLAN, Kabel?
Einen Router hast du ja schonmal als Info gegeben

Habe beides probiert, normalerweise wlan, habe aber den Laptop ans Kabel angeschlossen, aber nichts tut sich.

Ich weiß woran es liegt :)

winsock-reset mit netsh (Vista & W7)

• Klick mit rechts auf einen freien Bereich auf dem Desktop und sag "Neu, Verknüpfung erstellen"
  
  
• Tipp als Ziel cmd.exe ein und bestätige mit OK, eine neue Verknüpfung zur Konsole auf dem Desktop müsste sich nun befinden
  
  
• Falls dem so ist, diese neue Verknüpfung rechtsklicken => Als Administrator ausführen => Sicherheitsabfrage der Benutzerkontensteuerung ggf. bestätigen => schwarze Eingabeaufforderung öffnet sich
  
  
• Tipp dort ein:
  Code:

  ---

  netsh winsock reset catalog

  ---

  und bestätige mit enter.

Schau mal ob das Zurücksetzen hilft, wenn es nicht sofort hilft, starte Windows bitte vorher neu und schau dann nochmal ob du eine Verbindung hast

bin bis auf die schwarze Eingabeaufforderung gekommen und habe dort die Eingabe gemacht.

Daufhin bekam ich nur eine Fehlermeldung: Die folgende Hilfsprogramm - DLL konnte nicht geladen werden: WSHELPER.DLL. Die Intialisierungsfunktion InitHelperDll in NSHHTTP.DLL konnte nicht gestartet werden. Fehlercode 10107. Der folgende Befehl wurde nicht gefunden: winsock reset catalog