Windows Verschlüsselungstrojaner - System startet nicht-
 

Guten Abend zusammen,

nun hat es mich auch erwischt. Ich habe eine Email erhalten mit einer Zahlungsaufforderung. Die Betreffzeile enthielt einen meiner Nicknames. Ich habe dann die in der Mail angegebene Seite aufgerufen und kurze Zeit später sah ich dasselbe "Erpressungsbild" wie hier auf Eurer Seite neben dem Text "Vorgehen beim Verschlüsselungstrojaner". (http://www.trojaner-board.de/115183-...te-umlauf.html) Der Laptop (Sony Vaio Modell PCG-4K1M Vista vorinstalliert auf Windows XP Home downgegradet) lässt sich normal starten udn zeigt nach dem kurzen aufblitzen des Desktops nur noch dieses leidige Bild. Über google kam ich dann auf diese Seite: hxxp://www.tutsi.de/sie-haben-sich-mit-einem-windows-verschluesselungs-trojaner-infiziert/2012/04/26/tutsi-blog-aktuell/ zunächst habe ich versucht die von Kaspersky angebotene Notfall CD zu brennen. Die gebrannte CD löst nur einen kleinen blinkenden Cursor auf einem ansonsten rein schwarzen Bildschirm aus. Sonst passiert nichts ich komme erst gar nicht bis zu den weiteren Schritten. Danach habe ich die weiteren Kommentare gelesen und fand die Aussage von "Markus" vom 12. Mai 2012 der mich an dieses Forum verwiesen hat. Dann habe ich hier etliche Beiträge gelesen und mir dann Euren Rat zu Herzen genommen nichts weiter zu probieren sondern das Problem zu posten.
Leider kann ich keine der gewünschten Dateiinformationen beifügen da ich bis auf dieses blöde Bild keinen Zugriff auf mein System habe. Ich sitze gerade an unserem Datev DB Rechner und trau mich nicht diese email zu bearbeiten. Hatte Sie nach dem lesen und downloaden der zip.datei (die ich dann aber nicht geöffnet habe) in den JunkMail Ordner verschoben und nun kann ich sie weder weiterleiten noch speichern... (Hotmail Account)
Die email kam von einer Stinknormalen Web.de Adresse und ich habe den Absendernamen vorher noch gegoogelt. Keine Infos über den Typen zu finden. (das war glaube ich magnus.thamsen@web.de)
Ich hoffe, ihr könnt mir helfen. Ist das Firmenlaptop. Die letzte Datensicherung ist gott sei dank nicht lang her aber ich kann nicht alle Daten reproduzieren.

Dabei war Freitag der 13. bisher immer mein Glückstag :-(

Liebe Grüße
sandra

Funktioniert noch der abgesicherte Modus mit Netzwerktreibern? Mit Internetverbindung?



Abgesicherter Modus zur Bereinigung

• Windows mit F8-Taste beim Start in den abgesicherten Modus bringen.
• Starte den Rechner in den abgesicherten Modus mit Netzwerktreibern:
  
  

Hallo Cosinus,

vielen lieben Dank für deine Antwort.. das funktioniert jedoch nicht. Habe ich schon probiert. Egal mit welchem abgesicherten Modus das einzige was passiert ist, dass das System neustartet. Ich komme dann direkt in das Auswahlfenster aber das wars...

Auch das herstellen der zuletzt funktionierenden Konfiguration geht nicht..

In meinem Emailaccount habe ich nun noch zwei weitere Mails die mir verdächtig nach diesem Virus aussehen... aber ich kriege sie da nicht raus. Also weder gespeichert noch weitergeleitet... (Hotmail-Account)

@all mache ich hier irgendwas verkehrt oder warum antwortet nur einer??

Ich habe jetzt eine externe Platte organisiert. Werde meinen DB Rechner Komplett sichern und dann die Platte aus dem Notebook ausbauen und in diesen Rechner hängen. Dann kann ich meine 3 wichtigen Dateien retten und mal gucken wie ich die dann entschlüsselt kriege.
Mache dann das Notebook komplett platt und installier die kiste neu..

Liebe Grüße
Sandra

okay klappt nicht mit dem Umbau der Platte... also warte ich jetzt doch nochmal etwas ab...

*Geduld ist gerade nicht meine Stärke*

Dann bist du in einem Forum definitiv falsch!

entschuldige bitte Cosinus

ich muss ganz ehrlich gestehen, ich war noch nie in einem solchem Forum und hatte bis vor einer halben Stunde auch keine Ahnung wie das hier so wirklich läuft.
jetzt habe ich hier diesen blöden Virus und weiß einfach nicht weiter. Bin gerade sehr ungeduldig und hatte keine Ahnung wie lange es dauert sowas zu lösen. Bzw. wie ich da am besten vorgehen soll.

Natürlich habe ich vorher hier einiges gelesen und auch diese Hinweis Seite... Aber verstanden habe ich es erst so richtig nach einem Telefonat mit meinem Chef und einer Freundin.

Die haben mir beide erklärt dass dies hier genau der richtige Platz ist und vorallem meiner Freundin wurde hier schon sehr sehr gut weitergeholfen und das ich doch bitte schön mal etwas Geduld haben soll weil ihr hier alle Eure Freizeit investiert und das "mal so eben nebenbei" macht.

Es tut mir sehr leid wenn ich hier mit meiner Ungeduld falsch reagiert habe. Ich bin ja froh das sich hier die Möglichkeit ergibt und bin sehr dankbar dass du dir mein Problem angeschaut hast und bereit warst mir zu helfen.

Mein Beitrag sollte nicht undankbar erscheinen... bin eher ziemlich verzweifelt gerade.. und hoffe das du trotz allem noch bereit bist mir weiterzuhelfen...

Ich werde keine weiteren Schritte in Eigenregie unternehmen (ich bin mit meinem Latein auch sowieso bereits am Ende)

Wo genau soll ich denn jetzt noch weiterhelfen? Du willst die Kiste eh plattmachen
Sry wenn man dir helfen soll, dann musst du auch deine Fragen und Wünsche konkretisieren wir sind nämlich keine :glaskugel:
Hättest du im ersten Posting schon auf den abgesicherten Modus hingewiesen dass der nicht geht, hätte ich das ebenfalls nicht erst nachfragen müssen :pfeiff:

Wenn es irgendwie möglich ist würde ich gern diesen Trojaner entfernen und meinen Laptop nutzen ohne dass ich ihn neu aufsetzen muss. Das war nur die letzte Möglichkeit die mir noch eingefallen ist. Eine Frust-Notlösung quasi. :confused:

Sachstand wie im ersten Beitrag:

Rechner startet "normal" wobei der Start nach der automatischen Anmeldung ( ich habe kein Login Passwort) mit dem Bild des Trojaners endet. Danach keine weitere "Aktion" mehr möglich. Abgesicherter Modus funktioniert nicht. Zuletzt bekannte Konfiguration auch nicht. Eingefangen habe ich mir den Blödsinn durch eine Zip Datei in einer Mail die ich dumme Nuss heruntergeladen habe :headbang:
habe noch zwei weitere emails kann sie weder weiterleiten noch speichern da Hotmail Account.
Welche Informationen benötigst du?

Das ist doch mal was! :daumenhoc

Mit einem sauberen 2. Rechner eine OTLPE-CD erstellen und den infizierten Rechner dann von dieser CD booten:

Falls Du kein Brennprogramm installiert hast, lade dir bitte ISOBurner herunter. Das Programm wird Dir erlauben, OTLPE auf eine CD zu brennen und sie bootfähig zu machen. Du brauchst das Tool nur zu installieren, der Rest läuft automatisch => Wie brenne ich eine ISO Datei auf CD/DVD.

• Lade OTLPENet.exe von OldTimer herunter und speichere sie auf Deinem Desktop. Anmerkung: Die Datei ist ca. 120 MB groß und es wird bei langsamer Internet-Verbindung ein wenig dauern, bis Du sie runtergeladen hast.
• Wenn der Download fertig ist, mache einen Doppelklick auf die Datei und beantworte die Frage "Do you want to burn the CD?" mit Yes.
• Lege eine leere CD in Deinen Brenner.
• ImgBurn (oder Dein Brennprogramm) wird das Archiv extrahieren und OTLPE Network auf die CD brennen.
• Wenn der Brenn-Vorgang abgeschlossen ist, wirst Du eine Dialogbox sehen => "Operation successfully completed".
• Du kannst nun die Fenster des Brennprogramms schließen.

Nun boote von der OTLPE CD. Hinweis: Wie boote ich von CD

• Dein System sollte nach einigen Minuten den REATOGO-X-PE Desktop anzeigen.
• Mache einen Doppelklick auf das OTLPE Icon.
• Hinweis: Damit OTLPE auch das richtige installierte Windows scant, musst du den Windows-Ordner des auf der Platte installierten Windows auswählen, einfach nur C: auswählen gibt einen Fehler!
• Wenn Du gefragt wirst "Do you wish to load the remote registry", dann wähle Yes.
• Wenn Du gefragt wirst "Do you wish to load remote user profile(s) for scanning", dann wähle Yes.
• Vergewissere Dich, dass die Box "Automatically Load All Remaining Users" gewählt ist und drücke OK.
• OTLpe sollte nun starten.
• Drücke Run Scan, um den Scan zu starten.
• Wenn der Scan fertig ist, werden die Dateien C:\OTL.Txt und C:\Extras.Txt erstellt
• Kopiere diese Datei auf Deinen USB-Stick, wenn Du keine Internetverbindung auf diesem System hast.
• Bitte poste den Inhalt von C:\OTL.Txt und Extras.Txt.

das hat schonmal geklappt... super ...
aber ich habe nur die OTL.txt die Extras.txt ist nicht da...

hier der Inhalt der OTL.txtOTL Logfile:
--- --- ---



soweit bisher...

Mach einen OTL-Fix über OTLPE, starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!)

Klick dann oben links auf den Button Fix!
Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet.

Die mit diesem Script gefixten Einträge, Dateien und Ordner werden zur Sicherheit nicht vollständig gelöscht, es wird eine Sicherheitskopie auf der Systempartition im Ordner "_OTL" erstellt.

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann!

Danach sollte Windows wieder normal starten - stell uns bitte den Quarantäneordner von OTL zur Verfügung. Dabei bitte so vorgehen:

1.) GANZ WICHTIG!! Virenscanner deaktivieren, der darf das Packen nicht beeinträchtigen!
2.) Ordner movedfiles in C:\_OTL in eine Datei zippen
3.) Die erstellte ZIP-Datei hier hochladen => http://www.trojaner-board.de/54791-a...ner-board.html

Hinweis: Die Datei bitte wie in der Anleitung zum UpChannel angegeben auch da hochladen. Bitte NICHT die ZIP-Datei hier als Anhang in den Thread posten!

4.) Wenns erfolgreich war Bescheid sagen
5.) Erst dann wieder den Virenscanner einschalten

okay den ersten Teil habe ich.

hier der Inhalt des gewünschten Logfiles :

========== OTL ==========
Registry value HKEY_USERS\Julian_ON_C\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\\{000E148C-F7A7-445A-9044-93BF6CE09ECB} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{000E148C-F7A7-445A-9044-93BF6CE09ECB}\ not found.
Registry value HKEY_USERS\Julian_ON_C\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\\{759D9886-0C6F-4498-BAB6-4A5F47C6C72F} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{759D9886-0C6F-4498-BAB6-4A5F47C6C72F}\ not found.
Registry value HKEY_USERS\Julian_ON_C\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\\{EE2AC4E5-B0B0-4EC6-88A9-BCA1A32AB107} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{EE2AC4E5-B0B0-4EC6-88A9-BCA1A32AB107}\ deleted successfully.
Registry value HKEY_USERS\Julian_ON_C\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\\{EEE6C35B-6118-11DC-9C72-001320C79847} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{EEE6C35B-6118-11DC-9C72-001320C79847}\ deleted successfully.
C:\Programme\SweetIM\Toolbars\Internet Explorer\mgToolbarIE.dll moved successfully.
Registry value HKEY_USERS\Julian_ON_C\Software\Microsoft\Windows\CurrentVersion\Run\\A8E33AE8 deleted successfully.
C:\Dokumente und Einstellungen\Julian\Anwendungsdaten\Uolxrqa\pybukzwyn.exe moved successfully.
Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\\HonorAutoRunSetting deleted successfully.
Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System\\DisableTaskMgr deleted successfully.
Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System\\DisableRegedit deleted successfully.
Registry value HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\\NoDriveTypeAutoRun deleted successfully.
Registry value HKEY_USERS\Administrator_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\\NoDriveTypeAutoRun deleted successfully.
Registry value HKEY_USERS\Julian_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\\NoDriveTypeAutoRun deleted successfully.
Registry value HKEY_USERS\Julian_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System\\DisableRegistryTools deleted successfully.
Registry value HKEY_USERS\Julian_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System\\DisableRegedit deleted successfully.
Registry value HKEY_USERS\Julian_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System\\DisableTaskMgr deleted successfully.
Registry value HKEY_USERS\LocalService_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\\NoDriveTypeAutoRun deleted successfully.
Registry value HKEY_USERS\NetworkService_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\\NoDriveTypeAutoRun deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Extensions\{FB5F1910-F110-11d2-BB9E-00C04F795683}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{FB5F1910-F110-11d2-BB9E-00C04F795683}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Extensions\{FB5F1910-F110-11d2-BB9E-00C04F795683}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{FB5F1910-F110-11d2-BB9E-00C04F795683}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\msconfig.exe\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedit.exe\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\taskmgr.exe\ deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\Cdrom\\AutoRun|DWORD:1 /E : value set successfully!
C:\AUTOEXEC.BAT moved successfully.
ADS C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:090FB735 deleted successfully.
ADS C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:8B4B9596 deleted successfully.
ADS C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:526B3022 deleted successfully.
ADS C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:DC0B1070 deleted successfully.
ADS C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:7E082023 deleted successfully.
ADS C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:A6D6E537 deleted successfully.
ADS C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:59465B40 deleted successfully.
ADS C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:E14FA16F deleted successfully.
ADS C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:512E1728 deleted successfully.
ADS C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:FDDD8917 deleted successfully.
ADS C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:5080697C deleted successfully.
ADS C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:9BFB769D deleted successfully.
ADS C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:405D842B deleted successfully.
ADS C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:2C678471 deleted successfully.
ADS C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:206470A5 deleted successfully.
ADS C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:C72A744C deleted successfully.
ADS C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:3086B95F deleted successfully.
ADS C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:A56D6987 deleted successfully.
ADS C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:5D351BC6 deleted successfully.
ADS C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:E2CFA9CD deleted successfully.
ADS C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:A1D3FEF0 deleted successfully.
ADS C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:33B04540 deleted successfully.
ADS C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:C30487EE deleted successfully.
ADS C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:52C24010 deleted successfully.
ADS C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:57176330 deleted successfully.
ADS C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:225CD7D5 deleted successfully.
ADS C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:A7DA2BCD deleted successfully.
ADS C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:5BC73C48 deleted successfully.
========== FILES ==========
C:\Dokumente und Einstellungen\Julian\Anwendungsdaten\Uolxrqa folder moved successfully.
========== COMMANDS ==========
C:\WINDOWS\System32\drivers\etc\Hosts moved successfully.
HOSTS file reset successfully

OTLPE by OldTimer - Version 3.1.48.0 log created on 07162012_202630


jetzt kümmere ich mich um den Quarantäneordner ...

Was ist mit dem Upload?

Edit: Achso du kümmerst du schon drum ok :)

so Datei müsste bei dir angekommen sein.

ich kann meinen eigenen Desktop sehen *freu*

Bitte jetzt routinemäßig einen Vollscan mit malwarebytes machen und Log posten. =>ALLE lokalen Datenträger (außer CD/DVD) überprüfen lassen!
Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss!

Die Funde mit Malwarebytes bitte alle entfernen, sodass sie in der Quarantäne von Malwarebytes aufgehoben werden! NICHTS voreilig aus der Quarantäne entfernen!

Falls Logs aus älteren Scans mit Malwarebytes vorhanden sind, bitte auch davon alle posten!



ESET Online Scanner

• Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
• Lade und starte Eset Online Scanner
• Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
• Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
• Klicke auf Starten.
• Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
• Klicke am Ende des Suchlaufs auf Fertig stellen.
• Schließe das Fenster von ESET.
• Explorer öffnen.
• C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
• Logfile hier posten.
• Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
• Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

Bitte alles nach Möglichkeit hier in CODE-Tags posten.

Wird so gemacht:

[code] hier steht das Log [/code]

Und das ganze sieht dann so aus:

so hier das Ergebnis vom Scan:
Eset mache ich jetzt direkt.

Und das Ergebnis von ESET:

adwCleaner - Toolbars und ungewollte Start-/Suchseiten aufspüren

Downloade Dir bitte AdwCleaner auf deinen Desktop.

• Starte die adwcleaner.exe mit einem Doppelklick.
• Klicke auf Search.
• Nach Ende des Suchlaufs öffnet sich eine Textdatei.
• Poste mir den Inhalt mit deiner nächsten Antwort.
• Die Logdatei findest du auch unter C:\AdwCleaner[R1].txt.

okay das ging jetzt wirklich schnell:

ich bin dir so dankbar für deine Hilfe... stelle jede Minute mehr fest wie dringend ich die dateien brauche die hier drauf sind...
Werde auch von wöchentliche auf tägliche Backups umsteigen *versprochen*

adwCleaner - Toolbars und ungewollte Start-/Suchseiten entfernen

• Schließe alle offenen Programme und Browser.
• Starte die adwcleaner.exe mit einem Doppelklick.
• Klicke auf Delete.
• Bestätige jeweils mit Ok.
• Dein Rechner wird neu gestartet. Nach dem Neustart öffnet sich eine Textdatei.
• Poste mir den Inhalt mit deiner nächsten Antwort.
• Die Logdatei findest du auch unter C:\AdwCleaner[S1].txt.

Hallo Arne,

seit kurzem habe ich auf dem eigentlich funktionierenden Rechner irgendwelche Toolbars und meine Freundin meinte gerade die Datei die ich ihr geschickt habe hätte Kaspersky als infiziert abgelehnt... Soll ich das in einem weiteren Thema detailliert posten oder kannst du da im Anschluss an diese Geschichte mal drüber gucken??

ich weiß nicht was hier los ist ich hatte in 10 Jahren nie auch nur einen Virus den AV nicht erkannt und beseitigt hätte.

Hätte da mal zwei Fragen bevor es weiter geht

1.) Geht der normale Modus von Windows (wieder) uneingeschränkt?
2.) Vermisst du irgendwas im Startmenü? Sind da leere Ordner unter alle Programme oder ist alles vorhanden?

alles soweit okay habe den Eindruck er ist langsamer als sonst.
Bis auf die komischen Dateien auf dem Desktop die mal Excel, Word, oder PDF´s waren ist alles wieder beim alten

Axo äm nicht das ich wieder etwas als selbstverständlich annehme (nur weil ich das seit Tagen sehe)

alle Dateien die auf dem Desktop/ in meinen Ordnern/ Eigene Dateien werden alle als "unbekannte Objekte" dargestellt und haben irgendwelche Buchstabenkombinationen. Ich habe bisher nicht versucht sie zu öffnen.. Die Ordner werden ganz normal dargestellt.

PS habe gerade per Pn hier eine Anleitung zum entschlüsseln bekommen von c4enigma soll ich das machen?? oder machst du hier weiter? bin gerade etwas verunsichert..

Erstmal müssen alle noch etwaig vorhandenen Schädlinge runter! Dann kannst du versuchen die Daten wiederherzustellen.

Mach bitte ein neues OTL-Log. Bitte alles nach Möglichkeit hier in CODE-Tags posten.

Wird so gemacht:

[code] hier steht das Log [/code]

Und das ganze sieht dann so aus:

CustomScan mit OTL

Lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop. Falls schon vorhanden, bitte die ältere vorhandene Datei durch die neu heruntergeladene Datei ersetzen, damit du auch wirklich mit einer aktuellen Version von OTL arbeitest.

• Starte bitte die OTL.exe.
  Vista und Win7 User mit Rechtsklick "als Administrator starten"
• Setze oben mittig den Haken bei Scanne alle Benutzer
• Kopiere nun den kompletten Inhalt aus der untenstehenden Codebox in die http://billy-oneal.com/Canned%20Spee.../customFix.png Textbox von OTL - wenn OTL auf deutsch ist wird sie mit http://larusso.trojaner-board.de/Images/otlfix.jpg beschriftet

• Schliesse bitte nun alle Programme. (Wichtig)
• Klicke nun bitte auf den Quick Scan Button.
• Klick auf http://billy-oneal.com/Canned%20Spee.../OTL/btnOK.png.
• Kopiere nun den Inhalt aus OTL.txt hier in Deinen Thread

OTL Logfile:
--- --- ---


Gruß, Sandra

Das gibt es nicht, da sind wieder oder immer noch so viele Toolbars!

adwCleaner - Toolbars und ungewollte Start-/Suchseiten aufspüren

Downloade Dir bitte AdwCleaner auf deinen Desktop. ( falls vorhanden: alte adwCleaner löschen und neu runterladen!)

• Starte die adwcleaner.exe mit einem Doppelklick. Wenn du Vista oder Win7 hast bitte per Rechtsklick => Als Administrator ausführen!
• Klicke auf Search.
• Nach Ende des Suchlaufs öffnet sich eine Textdatei.
• Poste mir den Inhalt mit deiner nächsten Antwort.

Hallo Arne,

und ich habe seit dem der Rechner nicht mehr hochgefahren ist nur deine Programme hier geladen und nutze erst seit zwei tagen das Internet um hier zu posten und deine Programme zu laden. Keine weiteren online Geschichten.
Google, dann direkt Trojanerboard. das wars.. Aber der zweite Rechner den ich bis vorgestern genutzt habe um deine Programme runterzuladen hat jetzt auch diese Toolbars... :-(

anbei das log.

Gruß, Sandra

Mach einen OTL-Fix, beende alle evtl. geöffneten Programme, auch Virenscanner deaktivieren (!), starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!)

Klick dann oben links auf den Button Fix!
Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet.

Die mit diesem Script gefixten Einträge, Dateien und Ordner werden zur Sicherheit nicht vollständig gelöscht, es wird eine Sicherheitskopie auf der Systempartition im Ordner "_OTL" erstellt.

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann!

Hallo Arne,

der Fix funktioniert glaube ich nicht. Habe jetzt schon zweimal Probiert. OTL startet ich kopiere den Text füge ihn wie gehabt ein und klicke auf Fix. Dann erscheint darunter direkt der Text: Killing process. Do not Interrupt... und im Balken bewegt sich nix und es passiert auch seit über einer Stunde rein gar nichts... beim ersten Mal habe ich nach ca. 30 Minuten abgebrochen. Ich kann die Maus bewegen muss aber das Notebook abschalten. Ein runterfahren, programm beenden ist nicht möglich...
Und nu?
Liebe Grüße
Sandra

Starte Windows neu im abgesicherten Modus (mit Netzwerktreibern nach Möglichkeit), manchmal hakt das Fixen mit OTL im normalen Modus aber sehr oft funktioniert der Fix im abgesicherte Modus.

der starte gar nicht im abgesicherten Modus :confused:
egal welche der drei Optionen ich aussuche er rattert kurz die weißeb zeilen durch dann kommt für den Bruchteil einer Sekunde ein blauer Bildschirm und zack startet er neu...

Geht kein abgesicherter Modus?

nein leider nicht. Weder der "normale" noch der mit Netzwerktreibern oder der mit den Einzelschritten.. keiner!

der Rechner startet aber ganz normal und ich habe jetzt auch keine Probleme gehabt deine Anweisungen auszuführen und hier im Forum zu posten.
mehr habe ich ja noch nicht gemacht..
also Internet geht. die Programme /schritte ausführen ging (bis auf den letzten Fix)
Das einzige was anders ist also vor dem Trojaner sind die verschlüsselten Dateien und die Uhrzeit ist seitdem falsch (keine Ahnung ob das relevant ist)

Probier mal dieses Script aus:

hmm selbes Spiel wie gestern... es funktioniert nicht. Es passiert rein gar nichts..

Dann müssen wir das überspringen :(

Bitte nun (im normalen Windows-Modus) dieses Tool von Kaspersky (TDSS-Killer) ausführen und das Log posten Anleitung und Downloadlink hier => http://www.trojaner-board.de/82358-t...entfernen.html

Hinweis: Bitte den Virenscanner abstellen bevor du den TDSS-Killer ausführst, denn v.a. Avira meldet im TDSS-Tool oft einen Fehalalrm!

Das Tool so einstellen wie unten im Bild angegeben - klick auf change parameters und setze die Haken wie im folgenden Screenshot abgebildet,
Dann auf Start Scan klicken und wenn es durch ist auf den Button Report klicken um das Log anzuzeigen. Dieses bitte komplett posten.
Wenn du das Log nicht findest oder den Inhalt kopieren und in dein Posting übertragen kannst, dann schau bitte direkt auf deiner Windows-Systempartition (meistens Laufwerk C:) nach, da speichert der TDSS-Killer seine Logs.

Hinweis: Bitte nichts voreilig mit dem TDSS-Killer löschen! Falls Objekte vom TDSS-Killer bemängelt werden, alle mit der Aktion "skip" behandeln und hier nur das Log posten!

http://saved.im/mtkwmtcxexhp/setting...8_16-25-18.jpg

das ging :Boogie:

anbei das Ergebnis...

Dann bitte jetzt CF ausführen:

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

• Lade dir ComboFix hier herunter auf deinen Desktop.

• Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.

• Starte combofix.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
  Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.

• Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!

Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Solltest du nach der Ausführung von Combofix Probleme beim Starten von Anwendungen haben und Meldungen erhalten wie

startest du Windows dann manuell neu und die Fehlermeldungen sollten nicht mehr auftauchen.

Hallo Arne,

hmm Combofix sagt mir das Antivir Desktop noch läuft. Ich weiß nicht wie oder wo?? Ich habe es weder in der Leiste unten rechts wo die aktiven Programme/Dienste angezeigt werden noch bei "Start" "Programme" geschweige denn in der Systemsteuerung unter Software... Im Windows Sicherheitscenter wird mir angezeigt: Firewall inaktiv / Virenschutz nicht aktuell... auch da also kein Hinweis auf Antivir...
Ich hatte mal Antivir auf dem Rechner aber meines Wissens nach schon lange nicht mehr... soll ich den Warnhinweis von Comobfix einfach ignorieren oder doch besser vorher noch irgendwas anderes tun um diese Software loszuwerden??

Liebe Grüße
sandra

Wenn das Regenschirm- bzw. AntiVirsymbol einen deaktivierten Scanner signalisiert kannst du diese Meldung von Combofix einfach ignorieren

okay habe weder das schirmchen noch sonst irgendwas von Antivir daher hier das Log:

Combofix Logfile:
--- --- ---

Bitte nun Logs mit GMER und OSAM erstellen und posten.
GMER stürzt häufiger ab, wenn das Tool auch beim 2. Mal nicht will, lass es einfach weg und führ nur OSAM aus - die Online-Abfrage durch OSAM bitte überspringen.
Bei OSAM bitte darauf auch achten, dass Du das Log auch als *.log und nicht *.html oder so abspeicherst.

Hinweis: Zum Entpacken von OSAM bitte WinRAR oder 7zip verwenden! Stell auch unbedingt den Virenscanner ab, besonders der Scanner von McAfee meldet oft einen Fehalarm in OSAM!

Downloade dir bitte aswMBR.exe und speichere die Datei auf deinem Desktop.

• Starte die aswMBR.exe - (aswMBR.exe Anleitung)
  Ab Windows Vista (oder höher) bitte mit Rechtsklick "als Administrator ausführen" starten".
• Das Tool wird dich fragen, ob Du mit der aktuellen Virendefinition von AVAST! dein System scannen willst. Beantworte diese Frage bitte mit Ja. (Sollte deine Firewall fragen, bitte den Zugriff auf das Internet zulassen )
  Der Download der Definitionen kann je nach Verbindung eine Weile dauern.
  
• Klicke auf Scan.
• Warte bitte bis Scan finished successfully im DOS-Fenster steht.
• Drücke auf Save Log und speichere diese auf dem Desktop.

Poste mir die aswMBR.txt in deiner nächsten Antwort.

Wichtig: Drücke keinesfalls einen der Fix Buttons ohne Anweisung

Hinweis: Sollte der Scan Button ausgeblendet sein, schließe das Tool und starte es erneut. Sollte der Scan abbrechen und das Programm abstürzen, dann teile mir das mit und wähle unter AV Scan die Einstellung (none).



Noch ein Hinweis: Sollte aswMBR abstürzen und es kommt eine Meldung wie "aswMBR.exe funktioniert nicht mehr, dann mach Folgendes:
Starte aswMBR neu, wähle unten links im Drop-Down-Menü (unten links im Fenster von aswMBR) bei "AV scan" (none) aus und klick nochmal auf den Scan-Button.

GMER:
log ist leer. Es wurde nichts gefunden.

OSAM:
OSAM Logfile:
--- --- ---
If You have questions or want to get some help, You can visit hxxp://forum.online-solutions.ru [/code]

Rest folgt...

Was ist mit aswMBR?

und der letzte...

sorry alte Frau ist kein D-Zug :-)

Sieht ok aus. Wir sollten fast durch sein. Mach bitte zur Kontrolle Vollscans mit Malwarebytes und SASW und poste die Logs.
Denk dran beide Tools zu updaten vor dem Scan!!

Der andere folgt noch!!!

Sieht ok aus, da wurden nur Cookies gefunden, so wie ein Fehlalarm bei WinRAR und ein Überrest in der Systemwiederherstellung.
Cookies sind keine Schädlinge direkt, aber es besteht die Gefahr der missbräuchlichen Verwendung (eindeutige Wiedererkennung zB für gezielte Werbung o.ä. => HTTP-Cookie )


Wegen Cookies und anderer Dinge im Web: Um die Pest von vornherein zu blocken (also TrackingCookies, Werbebanner etc.) müsstest du dir mal sowas wie MVPS Hosts File anschauen => Blocking Unwanted Parasites with a Hosts File - sinnvollerweise solltest du alle 4 Wochen mal bei MVPS nachsehen, ob er eine neue Hosts Datei herausgebracht hat.

Ansonsten gibt es noch gute Cookiemanager, Erweiterungen für den Firefox zB wäre da CookieCuller http://filepony.de/download-cookie_culler/
Wenn du aber damit leben kannst, dich bei jeder Browsersession überall neu einzuloggen (zB Facebook, Ebay, GMX, oder auch Trojaner-Board) dann stell den Browser einfach so ein, dass einfach alles beim Beenden des Browser inkl. Cookies gelöscht wird.

Ich halte es so, dass ich zum "wilden Surfen" den Opera-Browser oder Chromium unter meinem Linux verwende. Mein Hauptbrowser (Firefox) speichert nur die Cookies von den Sites die ich auch will, alles andere lehne ich manuell ab (der FF fragt mich immer) - die anderen Browser nehmen alles an Cookies zwar an, aber spätestens beim nächsten Start von Opera oder Chromium sind keine Cookies mehr da.

Ist dein System nun wieder in Ordnung oder gibt's noch andere Funde oder Probleme?

Hallo Arne,

okay vielen lieben Dank für die Infos.

Soweit sieht alles gut aus. Der abgesicherte Modus geht auch wieder :-)

1) Kann ich jetzt mit dem entschlüsseln anfangen. Die Anleitung die ich da per PN bekommen habe?? Oder wie ist die weitere Vorgehensweise?

2) um dem ganzen vorzubeugen, wollte ich jetzt McAffee installieren. Taugt der was?
und ich werde definititv nichts mehr aus einer unbekannten Mail runterladen!!!!

Liebe Grüße
Sandra

Steht doch oben alles!

Eine Entschlüsselung ist unwahrscheinlich bis unmöglich!


Es ist im Prinzip völlig egal welchen Virenscanner du verwendest!

Die Frage - welcher Virenscanner oder ob der installierte reicht - taucht ständig auf.
Der Virenscanner - egal welcher - kann und wird niemals 100% Schutz bieten können. Neue/unbekannte Schädlinge können immer durch die Lappen gehen. Geld ausgeben muss man nicht für einen Scanner, sowas wie Avast oder Microsoft Security Essentials sind für die privaten Gebrauch völlig ausreichend.
Abgesehen davon nutzen verschiedene Virenscanner unterschiedliche Signaturen und Techniken, das führt dazu, dass zB Scanner1 Schädling X entdeckt, aber Schädling Y übersieht. Scanner2 erkennt Schädling Y, dafür aber Schädling X nicht...
Wichtiger ist, dass du dich an Regeln hälst. Der beste Virenscanner bringt nichts, wenn du dich falsch verhälst und fahrlässig/unvorsichtig bist. Airbag und Sicherheitsgurt im Auto sind ja auch keine Gründe dafür auf die Verkehrsregeln zu pfeifen.

Halte Dich am besten grob an diese Regeln:

1. Sei misstrauisch im Internet und v.a. bei unbekannten E-Mails, sei vorsichtig bei der Herausgabe persönlicher Daten!!
2. Halte Windows und alle verwendeten Programme immer aktuell - unterstützen kann dich dabei Secunia PSI
3. Führe regelmäßig Backups auf externe Medien durch
4. Arbeite mit eingeschränkten Rechten
5. Nutze sicherere Programme wie zB Opera oder Firefox zum Surfen statt den IE, zum Mailen Thunderbird statt Outlook Express - E-Mails nur als reinen text anzeigen lassen
6. automatische Wiedergabe von allen Laufwerken komplett deaktivieren, denn das ist ein unnötiges Sicherheitsrisiko
7. Bei der Installation von Software möglichst darauf achten, dass die Setups aus offiziellen Quellen stammen und du bei der Installation nach Möglichkeit die benutzerdefinierte Methode wählst - dann hast du die Möglichkeit etwaigen Schrott (wie Toolbars oder sowas wie RegistryBooster) abzuwählen, welcher sonst einfach mitinstalliert wird.
8. Bösartige bzw. ungewollte Sites von vornherein blockieren lassen mit Hilfe der MVPS Hosts File => Blocking Unwanted Parasites with a Hosts File
9. Finger weg von: TuneUp, Registry-Cleanern aller Art, Softonic sowie illegalen Cracks/Keygens oder anderen "Tools" um ein kommerzielles Programm ohne Lizenz nutzen zu können
10. dubiose Seiten bzw. Kinofilm-Streaming-Portale ebenfalls sein lassen, erstens handelt man sich dort schnell Malware ein oder kann in Abofallen geraten und zweitens bewegen sich diese Seiten in einer rechtlichen Grauzone.

Alles noch genauer erklärt steht hier => Kompromittierung unvermeidbar?

Hallo Arne,

dann von mir an dieser Stelle ein ganz dickes Dankeschön!!!!!!!!!!!!!! :dankeschoen: Was ihr hier leistet ist wahnsinn
Ich kann den Rechner endlich wieder nutzen und bin dir sehr dankbar für deine Zeit, deine Bemühungen und vor allem deine Geduld mit mir :-)

Neben der "offiziellen Danke schön" Spende...

möchte dir noch ein weiteres Dankeschön anbieten: Wir veranstalten Seminare im Bereich "NLP" (Neuro-Linguistisches-Programmieren), Also wenn du mal Lust hast auf eine etwas andere Art der Programmierung... Melde dich ...Dann kann ich mich revanchieren..

Liebe Grüße
Sandra

Dann wären wir durch! :abklatsch:

Die Programme, die hier zum Einsatz kamen, können alle wieder runter. Mit Hilfe von OTL kannst du auch viele Tools entfernen:

Starte bitte OTL und klicke auf Bereinigung.
Dies wird die meisten Tools entfernen, die wir zur Bereinigung benötigt haben. Sollte etwas bestehen bleiben, bitte mit Rechtsklick --> Löschen entfernen.


Malwarebytes zu behalten ist zu empfehlen. Kannst ja 1x im Monat damit einen Vollscan machen, aber immer vorher ans Update denken.


Bitte abschließend die Updates prüfen, unten mein Leitfaden dazu. Um in Zukunft die Aktualität der installierten Programme besser im Überblick zu halten, kannst du zB Secunia PSI verwenden.
Für noch mehr Sicherheit solltest Du nach der beseitigten Infektion auch möglichst alle Passwörter ändern.


Microsoftupdate

Windows XP: Besuch mit dem IE die MS-Updateseite und lass Dir alle wichtigen Updates installieren.

Windows Vista/7: Anleitung Windows-Update


PDF-Reader aktualisieren
Ein veralteter AdobeReader stellt ein großes Sicherheitsrisiko dar. Du solltest daher besser alte Versionen vom AdobeReader über Systemsteuerung => Software bzw. Programme und Funktionen deinstallieren, indem Du dort auf "Adobe Reader x.0" klickst und das Programm entfernst. (falls du AdobeReader installiert hast)

Ich empfehle einen alternativen PDF-Reader wie PDF Xchange Viewer, SumatraPDF oder Foxit PDF Reader, die sind sehr viel schlanker und flotter als der AdobeReader.

Bitte überprüf bei der Gelegenheit auch die Aktualität des Flashplayers:
Prüfen => Adobe - Flash Player
Downloadlinks => http://www.adobe.com/products/flashp...ribution3.html

Natürlich auch darauf achten, dass andere installierte Browser wie zB Firefox, Opera oder Chrome aktuell sind.


Java-Update
Veraltete Java-Installationen sind ein Sicherheitsrisiko, daher solltest Du die alten Versionen löschen (falls vorhanden, am besten mit JavaRa) und auf die neuste aktualisieren. Beende dazu alle Programme (v.a. die Browser), klick danach auf Start, Systemsteuerung, Software und deinstalliere darüber alle aufgelisteten Java-Versionen. Lad Dir danach von hier das aktuelle Java SE Runtime Environment (JRE) herunter und installiere es.