Trojaner TR/Crypt.XPACK.Gen
 

Hallo liebe Forumsmitglieder,

ich bin neu hier, weil ich seit einigen Tagen ständig die Fehlermeldung durch den Avira-Scanner: "In der Datei D:\Users\Markus\AppData\Roaming\Ioaupdt.jpg wurde ein Virus oder unerwünschtes Programm TR/Crypt.XPACK.Gen gefunden. Nach einigem Lesen hier im Internet bin ich auf dieses Forum gestoßen und habe den PC mit Malware vollständig gescannt.
Das Log sieht wie folgt aus:

Malwarebytes Anti-Malware (Test) 1.62.0.1300
www.malwarebytes.org

Datenbank Version: v2012.07.20.07

Windows 7 Service Pack 1 x86 NTFS
Internet Explorer 9.0.8112.16421
Markus :: MARKUS-PC [Administrator]

Schutz: Aktiviert

20.07.2012 20:11:28
mbam-log-2012-07-20 (20-11-28).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|E:\|F:\|G:\|H:\|Q:\|Z:\|)
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 648820
Laufzeit: 3 Stunde(n), 49 Minute(n), 40 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 1
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|Userinit (Backdoor.Agent) -> Daten: D:\Users\Markus\AppData\Roaming\appconf32.exe -> Erfolgreich gelöscht und in Quarantäne gestellt.

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 5
C:\Users\Melanie\Downloads\SoftonicDownloader_for_free-studio-manager.exe (PUP.OfferBundler.ST) -> Erfolgreich gelöscht und in Quarantäne gestellt.
D:\Program Files\EA GAMES\MOHAA\Ereg MOHAAB\go_ez.exe (Trojan.FakeAlert) -> Erfolgreich gelöscht und in Quarantäne gestellt.
D:\Users\Markus\AppData\Roaming\loaupdt.jpg (Extension.Mismatch) -> Erfolgreich gelöscht und in Quarantäne gestellt.
D:\Users\Markus\Downloads\SoftonicDownloader_fuer_clonedvd.exe (PUP.ToolbarDownloader) -> Erfolgreich gelöscht und in Quarantäne gestellt.
D:\Users\Markus\AppData\Roaming\appconf32.exe (Backdoor.Agent) -> Löschen bei Neustart.

(Ende)

Ich habe wie in der Anleitung beschrieben auf den Entfernen-Button gedrückt und jetzt muss ich den PC neu starten, was ich gleich machen werde. Sollte ich danach etwas besonderes bemerken, schreibe ich es hier rein, ansonsten warte ich auf weitere Anweisungen von den erfahrenen Forumsmitgliedern.

Gute Nacht
Don Camillo

Was genau soll die Datei go_ez.exe sein? Und aus welcher Quelle?

Hallo cosinus,

Das ist ein PC-Spiel, ein Shooter. Die Datei ist vermutlich von der CD durch die Installation oder durch eine Mod-Datei raufgespielt worden, weiß es aber nicht genau. Sorry...
Die Fehlermeldungen sind seit dem Scan und dem Entfernen der angezeigten Problem-Dateien verschwunden. Sonstige Probleme hab ich im Moment auch nicht bemerkt. Ich hoffe, damit bin ich die Sorgen los...

lg
Markus

Malwarebytes erstellt bei jedem Scanvorgang genau ein Log. Hast du in der Vergangenheit schonmal mit Malwarebytes gescannt?
Wenn ja dann stehen auch alle Logs zu jedem Scanvorgang im Reiter Logdateien. Bitte alle posten, die dort sichtbar sind.

Hab grad nachgesehen, das ist die einzige Log Datei, die ich habe. Mehr gibts leider nicht...

lg
Don Camillo

Führ bitte auch ESET aus, danach sehen wir weiter.

Hinweis: ESET zeigt durchaus öfter ein paar Fehlalarme. Deswegen soll auch von ESET immer nur erst das Log gepostet und nichts entfernt werden.

ESET Online Scanner

Bitte während der Online-Scans evtl. vorhandene externe Festplatten einschalten! Bitte während der Scans alle Hintergrundwächter (Anti-Virus-Programm, Firewall, Skriptblocking und ähnliches) abstellen und nicht vergessen, alles hinterher wieder einzuschalten.

• Anmerkung für Vista und Win7 User: Bitte den Browser unbedingt so öffnen: per Rechtsklick => als Administrator ausführen
• Dein Anti-Virus-Programm während des Scans deaktivieren.
  
  Button http://img695.imageshack.us/img695/1599/eset1l.jpg (<< klick) drücken.
  • Firefox-User:
    Bitte esetsmartinstaller_enu.exe downloaden.Das Firefox-Addon auf dem Desktop speichern und dann installieren.
  • IE-User:
    müssen das Installieren eines ActiveX Elements erlauben.
• Setze den einen Haken bei Yes, i accept the Terms of Use.
• Drücke den http://img707.imageshack.us/img707/687/starteg.jpg Button.
• Warte bis die Komponenten herunter geladen wurden.
• Setze einen Haken bei "Scan archives".
• Gehe sicher das bei Remove Found Threats kein Hacken gesetzt ist.
• http://img707.imageshack.us/img707/687/starteg.jpg drücken.
• Die Signaturen werden herunter geladen.Der Scan beginnt automatisch.

Wenn der Scan beendet wurde

• Klicke Finish.
• Browser schließen.

Drücke bitte die http://larusso.trojaner-board.de/Images/windows.jpg + R Taste und kopiere folgenden Text in das Ausführen Fenster.
Hinweis: Falls du ein 64-Bit-Windows einsetzt, lautet der Pfad so:

Poste nun den Inhalt der log.txt.

Hab alles gemacht wie von Dir beschrieben. Die Log-Datei sieht wie folgt aus:

ESETSmartInstaller@High as CAB hook log:
OnlineScanner.ocx - registred OK

Kommt mir zwar nicht sehr aussagekräftig vor, aber mehr ist in dem Fenster nicht erschienen, nachdem ich am Ende des Scans (er hat 11 Fehler gezeigt) den Browser geschlossen habe und im Ausführ-Fenster die Textzeile reinkopiert habe...

Was mir noch aufgefallen ist: seit ein paar Tagen friert der Mauszeiger einfach ein. Und zwar dann, wenn ich den Internet Explorer starte. Und gestern spät abends gab es während des Internet-Surfens plötzlich einen totalen Bildausfall, sprich man konnte am Bildschirm nichts mehr erkennen außer viele verschiedene Farben, aber keine Bilder oder Schrift war mehr zu erkennen. Musste daraufhin den PC reseten. Ich hoffe, das hilft weiter bei der Analyse...

lg
Don Camillo

ESET hast du wahrscheinlich falsch gemacht, da gab es extra einen dicken Hinweis zu

Anmerkung für Vista und Win7 User: Bitte den Browser unbedingt so öffnen: per Rechtsklick => als Administrator ausführen

So, 2. Versuch. Diesmal sollte das Log-File aussagekräftiger sein:

ESETSmartInstaller@High as CAB hook log:
OnlineScanner.ocx - registred OK
# version=7
# iexplore.exe=9.00.8112.16421 (WIN7_IE9_RTM.110308-0330)
# OnlineScanner.ocx=1.0.0.6583
# api_version=3.0.2
# EOSSerial=383487293f01344395a39573b04345e5
# end=finished
# remove_checked=false
# archives_checked=true
# unwanted_checked=true
# unsafe_checked=false
# antistealth_checked=true
# utc_time=2012-07-25 02:35:33
# local_time=2012-07-25 04:35:33 (+0100, Mitteleuropäische Sommerzeit)
# country="Austria"
# lang=1033
# osver=6.1.7601 NT Service Pack 1
# compatibility_mode=1792 16777215 100 0 17334406 17334406 0 0
# compatibility_mode=5893 16776574 100 94 86247 94848439 0 0
# compatibility_mode=8192 67108863 100 0 21009 21009 0 0
# scanned=420319
# found=11
# cleaned=0
# scan_time=9685
C:\Users\Markus\AppData\Local\Temp\miaBCB0.tmp\data\OFFLINE\D85A543A\8B1B19B\Launcher.exe Win32/RegistryBooster application (unable to clean) 00000000000000000000000000000000 I
C:\Users\Markus\AppData\Local\Temp\miaBCB0.tmp\data\OFFLINE\D85A543A\8B1B19B\rbmonitor.exe Win32/RegistryBooster application (unable to clean) 00000000000000000000000000000000 I
C:\Users\Markus\AppData\Local\Temp\miaBCB0.tmp\data\OFFLINE\D85A543A\8B1B19B\rbnotifier.exe Win32/RegistryBooster application (unable to clean) 00000000000000000000000000000000 I
C:\Users\Markus\AppData\Local\Temp\miaBCB0.tmp\data\OFFLINE\D85A543A\8B1B19B\rb_move_serial.exe Win32/RegistryBooster application (unable to clean) 00000000000000000000000000000000 I
C:\Users\Markus\AppData\Local\Temp\miaBCB0.tmp\data\OFFLINE\D85A543A\8B1B19B\rb_ubm.exe Win32/RegistryBooster application (unable to clean) 00000000000000000000000000000000 I
C:\Users\Markus\AppData\Local\Temp\miaBCB0.tmp\data\OFFLINE\D85A543A\8B1B19B\registrybooster.exe Win32/RegistryBooster application (unable to clean) 00000000000000000000000000000000 I
D:\Users\Markus\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\53\34839e35-7676d317 Java/Exploit.CVE-2012-0507.CU trojan (unable to clean) 00000000000000000000000000000000 I
D:\Users\Markus\AppData\Roaming\AcroIEHelpe172.dll a variant of Win32/Spy.Banker.YAT trojan (unable to clean) 00000000000000000000000000000000 I
D:\Users\Markus\AppData\Roaming\09001.064\components\AcroFF064.dll a variant of Win32/Spy.Banker.YCR trojan (unable to clean) 00000000000000000000000000000000 I
D:\Users\Markus\AppData\Roaming\09001.065\components\AcroFF065.dll a variant of Win32/Spy.Banker.YCR trojan (unable to clean) 00000000000000000000000000000000 I
E:\Dokumente\Virus-Software\Spydig_Setup.exe multiple threats (unable to clean) 00000000000000000000000000000000 I

lg
Don Camillo

Finger weg von Registry-Cleanern!!

Die Registry ist das Hirn des Systems. Funktioniert das Hirn nicht, funktioniert der Rest nicht mehr wirklich.
Wir lesen oft genug von Hilfesuchenden, dass deren System nach der Nutzung von Registry Cleanern nicht mehr startet.

• Wie soll der Cleaner zu 100% wissen ob der Eintrag benötigt wird oder nicht ?
• Es ist vollkommen egal ob ein paar verwaiste Registry Einträge am System sind oder nicht.
• Auch die dauernd angepriesene Beschleunigung des Systems ist nur bedingt wahr. Du würdest es nicht merken.

Ein sogenanntes False Positive von einem Cleaner kann auch dein System unbootbar machen.
Zerstörst Du die Registry, zerstörst Du Windows.



adwCleaner - Toolbars und ungewollte Start-/Suchseiten aufspüren

Downloade Dir bitte AdwCleaner auf deinen Desktop.

• Starte die adwcleaner.exe mit einem Doppelklick.
• Klicke auf Search.
• Nach Ende des Suchlaufs öffnet sich eine Textdatei.
• Poste mir den Inhalt mit deiner nächsten Antwort.
• Die Logdatei findest du auch unter C:\AdwCleaner[R1].txt.

Hallo cosinus,

hier ist die Textdatei nach dem Scan:

# AdwCleaner v1.703 - Logfile created 07/26/2012 at 12:54:33
# Updated 20/07/2012 by Xplode
# Operating system : Windows 7 Home Premium Service Pack 1 (32 bits)
# User : Markus - MARKUS-PC
# Running from : D:\Users\Markus\Desktop\adwcleaner.exe
# Option [Search]


***** [Services] *****


***** [Files / Folders] *****


***** [Registry] *****

Key Found : HKCU\Software\Softonic
Key Found : HKLM\SOFTWARE\Wise Solutions

***** [Registre - GUID] *****


***** [Internet Browsers] *****

-\\ Internet Explorer v9.0.8112.16421

[OK] Registry is clean.

-\\ Mozilla Firefox v9.0.1 (de)

Profile name : default
File : D:\Users\Markus\AppData\Roaming\Mozilla\Firefox\Profiles\qe4no83y.default\prefs.js

[OK] File is clean.

-\\ Google Chrome v20.0.1132.57

File : D:\Users\Markus\AppData\Local\Google\Chrome\User Data\Default\Preferences

[OK] File is clean.

*************************

AdwCleaner[R1].txt - [927 octets] - [26/07/2012 12:54:33]

########## EOF - D:\AdwCleaner[R1].txt - [1054 octets] ##########

lg
Don Camillo

adwCleaner - Toolbars und ungewollte Start-/Suchseiten entfernen

• Schließe alle offenen Programme und Browser.
• Starte die adwcleaner.exe mit einem Doppelklick.
• Klicke auf Delete.
• Bestätige jeweils mit Ok.
• Dein Rechner wird neu gestartet. Nach dem Neustart öffnet sich eine Textdatei.
• Poste mir den Inhalt mit deiner nächsten Antwort.
• Die Logdatei findest du auch unter C:\AdwCleaner[S1].txt.

Hier ist die gewünschte Textdatei:

# AdwCleaner v1.703 - Logfile created 07/26/2012 at 23:32:44
# Updated 20/07/2012 by Xplode
# Operating system : Windows 7 Home Premium Service Pack 1 (32 bits)
# User : Markus - MARKUS-PC
# Running from : D:\Users\Markus\Desktop\adwcleaner.exe
# Option [Delete]


***** [Services] *****


***** [Files / Folders] *****


***** [Registry] *****

Key Deleted : HKCU\Software\Softonic
Key Deleted : HKLM\SOFTWARE\Wise Solutions

***** [Registre - GUID] *****


***** [Internet Browsers] *****

-\\ Internet Explorer v9.0.8112.16421

[OK] Registry is clean.

-\\ Mozilla Firefox v9.0.1 (de)

Profile name : default
File : D:\Users\Markus\AppData\Roaming\Mozilla\Firefox\Profiles\qe4no83y.default\prefs.js

[OK] File is clean.

-\\ Google Chrome v20.0.1132.57

File : D:\Users\Markus\AppData\Local\Google\Chrome\User Data\Default\Preferences

[OK] File is clean.

*************************

AdwCleaner[R1].txt - [1055 octets] - [26/07/2012 12:54:33]
AdwCleaner[S1].txt - [991 octets] - [26/07/2012 23:32:44]

########## EOF - D:\AdwCleaner[S1].txt - [1118 octets] ##########

lg
Don Camillo

Hätte da mal zwei Fragen bevor es weiter geht

1.) Geht der normale Modus von Windows (wieder) uneingeschränkt?
2.) Vermisst du irgendwas im Startmenü? Sind da leere Ordner unter alle Programme oder ist alles vorhanden?

Im Moment geht der normale Windows-Modus uneingeschränkt. Und auch bei den Programmen vermisse ich nichts. Sollte soweit alles passen...

lg
Don Camillo