|
Avira gestoppt, Rootkit Hallo zusammen, habe hier den Laptop meiner Tante, der wohl Besuch von diversen unerwünschten Viechern hat. Habe, dem Leitfaden entsprechend, nur die Programme durchlaufen lassen, aber nix gelöscht. Die Logs finden sich im Anhang. Das gmer Log will sich nicht anhängen lassen, deswegen hier: Code: GMER 1.0.15.15641 - hxxp://www.gmer.net |
Hi, sofort von einem sauberen Rechner aus alle Passwörter ändern, keinerlei diesbezüglich Aktivitäten von diesem Rechner aus! Da läuft ein Banker, d.h. wir müssen eigentlich den Rechner platt machen, das hier ist nur eine notdürftige Reinigung. Alle Funde von MAM bereinigen lassen (falls noch nicht passiert)! Download von ComboFix auf den Desktop, aber nicht aufrufen (s. u.) OTL Fix ausführen, offline gehen und CF im abgesicherten Modus (F8 beim Booten) laufen lassen, alle Logs posten.. Fix für OTL:
Code:
Combofix Lade Combo Fix von http://download.bleepingcomputer.com/sUBs/ComboFix.exe und speichert es auf den Desktop. Achtung: In einigen wenigen Fällen kann es vorkommen, das der Rechner nicht mehr booten kann und Neuaufgesetzt werden muß! Alle Fenster schliessen und combofix.exe starten und bestätige die folgende Abfrage mit 1 und drücke Enter. Der Scan mit Combofix kann einige Zeit in Anspruch nehmen, also habe etwas Geduld. Während des Scans bitte nichts am Rechner unternehmen Es kann möglich sein, dass der Rechner zwischendurch neu gestartet wird. Nach Scanende wird ein Report (ComboFix.txt) angezeigt, den bitte kopieren und in deinem Thread einfuegen. Das Log solltest Du unter C:\ComboFix.txt finden... chris |
So, anbei die beiden Logs. Combofix hat sich nach dem Neustart beim Erstellen des Logs aufgehangen, weiß daher nicht, ob das Log vollständig ist. Avira läuft jedenfalls wieder und die automatische Updatefunktion ist auch wieder aktiviert. |
Hi, das CF-Log ist nicht vollständig, bitte entweder neu posten oder CF noch mal im abgesicherten Modus laufen lassen... Poste auch ein neues GMER- und OTL-Log... chris Ps.: Bin ab morgen 2 Tage unterwegs u. daher schlecht/nicht zu erreichen... |
Hi, hier noch das gmer und otl Log. CF wird heute abend nachgereicht, darf jetzt nochmal arbeiten gehen :kaffee:. Wenn alles wieder ok ist, was kann man machen, um den PC für Nutzer mit sehr beschränkten PC Kenntnissen sicherer zu machen? Was mir als Standardnutzer in den Sinn kommt: - Nutzerkonto mit eingeschränkten Rechten - Statt IE Firefox mit Adblock und WOT (und NoScript?) - ...? |
Hi, komme max. morgen Abend (spät) dazu... Rechner absichern: Zusätzlich zu Avira und der Windows-Firewall noch Threadfire-free Herunterladen Kostenlos). Zum Surfen Firefox mit den PlugIns "WOT" (http://filepony.de/?q=WOT) und "NoScript" (http://filepony.de/download-noscript//)) verwenden, einen "Guest"-Account (keine Adminrechte! XP: (Schritt 6: Eingeschränkte Rechte für Viren - Schritt für Schritt: Windows XP absichern - CHIP Online, Vista/Win7: Windows-7-Anleitung: Benutzerkonten anlegen und verwalten - NETZWELT) anlegen. chris |
Kein Problem, bin froh, dass überhaupt jemand hilft :daumenhoc Vorhin vergessen, die Logs auch tatsächlich anzuhängen... Code: GMER 1.0.15.15641 - hxxp://www.gmer.net |
Hi, ist wieder da...
Code: :OTL
Versuche dann mal ComboFix im normalen Modus zu starten... Hitman Lade Dir die passende Version von Hitman runter (32/64Bit), laufen lassen und Log posten. ACHTUNG: Firewall muss für Hitman geöffnet sein (Zugriff unbedingt erlauben!) Downloads - SurfRight Für die Beseitigung kann eine temp. Lizenz (30 Tage) georderter werden (gibt dazu einen Reiter ;o)... Wenn das nicht hilft, dann werden wir von aussen vorgehen... chris |
Hi, Combofix läuft auch im normalen Modus nicht. OTL hatte noch einen Fund. Dabei ist mir aufgefallen, dass ich beim ersten Lauf die *** nicht durch den Benutzernamen ersetzt hatte. Hier das Log: Code: All processes killedUnd noch ein MBAM Log. Weiß nicht, ob beide aus der OTL Quarantäne sind: Code: Malwarebytes Anti-Malware (Test) 1.61.0.1400 |
Hi, sieht soweit gut aus... Wir müssen die Systemwiederherstellung plätten (der zweite Fund)... Systemwiederherstellung löschen Vista etc.: Computer->rechts anklicken->Eingenschaften->Computerschutz->Alle Häkchen an den Festplatten entfernen->Übernehmen->Ok & neue Booten; Dann das gleiche nur diesmal für das Laufwerk auf dem Windows liegt anhaken->Übernehmen->Erstellen und den Anweisungen folgen BSI-Faltblattt (https://www.bsi.bund.de/cln_134/ContentBSI/Publikationen/Faltblaetter/F24VirenundCo.html) und dort unter Viren entfernen Wenn der Rechner einwandfrei läuft abschließend alle Systemwiederherstellungspunkte löschen lassen(das sind die: C:\System Volume Information\_restore - Dateien die gefunden wurden, d.h. der Trojaner wurde mit gesichert und wenn Du auf einen Restorepunkt zurück gehen solltest, dann ist er wieder da) wie folgt: Arbeitsplatz ->rechte Maus -> Eigenschaften -> Systemwiederherstellung -> anhaken: "Systemwiederherstellung auf allen Laufwerken deaktivieren" -> Übernehmen -> Sicherheitsabfrage OK -> Fenster mit OK schliessen -> neu Booten; Dann das gleiche nochmal nur das Häkchen entfernen (dann läuft sie wieder). Einen ersten Restorepunkt setzten: Start->Programme->Zubehör->Systemprogramme->Systemwiederherstellung->einen Wiederherstellungspunkt erstellen->weiter, Beschreibung ausdenken->Erstellen Wie verhält sich der Rechner? chris |
Hi! War mir eigentlich sicher, gepostet zu haben, dass der Link zum BSI-Faltblatt nicht funktioniert. Hatte nach der Löschung des Systemwiederherstellungspunktes noch ein Windows Update gemacht, woraufhin der Antivir-Schirm wieder geschlossen war. Das hat sich nach einem Neustart aber wieder auf Normalzustand geändert. Hab MBAM und OTL nochmal laufen lassen - ohne Befund. Ansonsten scheint auch alles ok zu sein. |
Hi, Ok, ändere das mal... Dann wären wir soweit durch... chris |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 08:48 Uhr. |
Copyright ©2000-2025, Trojaner-Board