Trojaner-Board - BKA Trojaner

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - BKA Trojaner (https://www.trojaner-board.de/120866-bka-trojaner.html)

Hallo zusammen ;)

Der BKA-Trojaner hat meinen Laptop leider erwischt und diesen gesperrt, sodass ich nicht mal in den Task-Manager konnte.

Die Idee eines Bekannten bestand darin, im abgesicherten Modus zu starten, unter "Ausführen - msconfig" eine verdächtige und unbekannte Datei im Systemstart zu deaktivieren. Ich sah eine Datei/Anwendung, die "EHeO58kG" hieß. Diese habe ich deaktiviert, und anschließend das System neu gestartet. Nun konnte ich wenigstens mein Betriebssystem überhaupt einigermaßen bedienen und der Aufruf dieser "BKA-Seite" ist nun auch weg! Anschließend habe ich diese EHeO58kG-Datei gelöscht.

Allerdings lädt er z.B. keine Desktopsymbole mehr und ein Internetzugriff ist auch nicht mehr möglich vom Laptop!

Meine Frage wäre nun nach der richtigen Vorgehensweise. Soll ich erstmal nach dieser Anleitung http://www.trojaner-board.de/69886-a...-beachten.html vorgehen, oder ein gutes Anti-Virenprogramm installieren. Allerdings könnte ich doch kein aktuelles Update des Programms haben, da ich keinen I-Net-Zugriff habe, oder?

Vielen Dank im Voraus für Eure Hilfe :daumenhoc

:hallo:

Von einem sauberen PC OTL.exe runterladen auf USB Stick.
Infizierten Rechner ohne Internet starten. OTL.exe auf Desktop kopieren und Log erstellen.

Systemscan mit OTL (bebilderte Anleitung)

Lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop ( falls noch nicht vorhanden)- Doppelklick auf die OTL.exe
- Vista User: Rechtsklick auf die OTL.exe und "als Administrator ausführen" wählen
- Oben findest Du ein Kästchen mit Output. Wähle bitte Minimal Output
- Unter Extra Registry, wähle bitte Use SafeList
- Klicke nun auf Run Scan links oben
- Wenn der Scan beendet wurde werden 2 Logfiles erstellt
- Poste die Logfiles hier in den Thread.

Danke für die Antwort.

Anbei die beiden LOG´s.

Fixen mit OTL

Lade (falls noch nicht vorhanden) OTL von Oldtimer herunter und speichere es auf Deinem Desktop (nicht woanders hin).

Deaktiviere etwaige Virenscanner wie Avira, Kaspersky etc.
Starte die OTL.exe.
Vista- und Windows 7-User starten mit Rechtsklick auf das Programm-Icon und wählen "Als Administrator ausführen".
Kopiere folgendes Skript in das Textfeld unterhalb von Benuterdefinierte Scans/Fixes:

Ersetze die *** Sternchen wieder in den Benutzernamen zurück!

Code:

:OTL

IE:64bit: - HKLM\..\SearchScopes,DefaultScope = {0633EE93-D776-472f-A0FF-E1416B8B2E3A} 

IE:64bit: - HKLM\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = http://www.bing.com/search?q={searchTerms}&form=AARTDF&pc=MAAR&src=IE-SearchBox 

IE - HKLM\..\SearchScopes,DefaultScope = {0633EE93-D776-472f-A0FF-E1416B8B2E3A} 

IE - HKLM\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = http://www.bing.com/search?q={searchTerms}&form=AARTDF&pc=MAAR&src=IE-SearchBox 

IE - HKU\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0 

IE - HKU\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0 

IE - HKU\S-1-5-21-4137164881-1950389200-4197689130-1001\..\SearchScopes,DefaultScope = {0633EE93-D776-472f-A0FF-E1416B8B2E3A} 

IE - HKU\S-1-5-21-4137164881-1950389200-4197689130-1001\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0 

FF - prefs.js..browser.search.selectedEngine: "Yahoo" 

FF - user.js - File not found 

FF:64bit: - HKLM\Software\MozillaPlugins\@adobe.com/FlashPlayer: C:\Windows\system32\Macromed\Flash\NPSWF64_11_3_300_268.dll File not found 

O3:64bit: - HKLM\..\Toolbar: (no name) - Locked - No CLSID value found. 

O3 - HKLM\..\Toolbar: (no name) - Locked - No CLSID value found. 

O4 - HKU\S-1-5-19..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe File not found 

O4 - HKU\S-1-5-20..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe File not found 

O4 - HKU\S-1-5-21-4137164881-1950389200-4197689130-1002..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe File not found 

O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoActiveDesktop = 1 

O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoActiveDesktopChanges = 1 

O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: ConsentPromptBehaviorAdmin = 5 

O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: ConsentPromptBehaviorUser = 3 

O20:64bit: - HKLM Winlogon: VMApplet - (/pagefile) - File not found 

O20 - HKLM Winlogon: VMApplet - (/pagefile) - File not found 

O21:64bit: - SSODL: WebCheck - {E6FB5E20-DE35-11CF-9C87-00AA005127ED} - No CLSID value found. 

O21 - SSODL: WebCheck - {E6FB5E20-DE35-11CF-9C87-00AA005127ED} - No CLSID value found. 

O32 - HKLM CDRom: AutoRun - 1 
 

@Alternate Data Stream - 150 bytes -> C:\ProgramData\Temp:5D7E5A8F 

@Alternate Data Stream - 149 bytes -> C:\ProgramData\Temp:CDFF58FE 

@Alternate Data Stream - 140 bytes -> C:\ProgramData\Temp:1A60DE96 

@Alternate Data Stream - 135 bytes -> C:\ProgramData\Temp:E36F5B57 

@Alternate Data Stream - 135 bytes -> C:\ProgramData\Temp:E1F04E8D 

@Alternate Data Stream - 125 bytes -> C:\ProgramData\Temp:4D066AD2 
 

[2012.07.04 14:01:52 | 000,000,000 | ---- | M] () -- C:\Windows\SysNative\0 
 

[2012.07.04 14:03:05 | 000,000,065 | ---- | M] () -- C:\Windows\0 
 

[2011.07.31 20:55:47 | 000,000,000 | ---D | M] -- C:\Users\***\AppData\Roaming\TP 

:Files
 

ipconfig /flushdns /c

:Commands

[purity]

[emptytemp]

[emptyflash]

Schließe alle Programme.
Klicke auf den Fix Button.
Wenn OTL einen Neustart verlangt, bitte zulassen.
Kopiere den Inhalt des Logfiles hier in Code-Tags in Deinen Thread.
Nachträglich kannst Du das Logfile hier einsehen => C:\_OTL\MovedFiles\<datum_nummer.log>

Hinweis für Mitleser: Obiges OTL-Script ist ausschließlich für diesen User in dieser Situtation erstellt worden.
Auf keinen Fall auf anderen Rechnern anwenden, das kann andere Systeme nachhaltig schädigen!

Code:

All processes killed

========== OTL ==========

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\\DefaultScope| /E : value set successfully!

64bit-Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}\ deleted successfully.

64bit-Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}\ not found.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\\DefaultScope| /E : value set successfully!

Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}\ deleted successfully.

Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}\ not found.

HKU\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\ProxyEnable|dword:0 /E : value set successfully!

HKU\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\ProxyEnable|dword:0 /E : value set successfully!

HKEY_USERS\S-1-5-21-4137164881-1950389200-4197689130-1001\Software\Microsoft\Internet Explorer\SearchScopes\\DefaultScope| /E : value set successfully!

HKU\S-1-5-21-4137164881-1950389200-4197689130-1001\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\ProxyEnable|dword:0 /E : value set successfully!

Prefs.js: "Yahoo" removed from browser.search.selectedEngine

64bit-Registry key HKEY_LOCAL_MACHINE\Software\MozillaPlugins\@adobe.com/FlashPlayer\ deleted successfully.

64bit-Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Toolbar\\Locked deleted successfully.

Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Toolbar\\Locked deleted successfully.

Registry value HKEY_USERS\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\RunOnce\\mctadmin deleted successfully.

Registry value HKEY_USERS\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\RunOnce\\mctadmin deleted successfully.

Registry value HKEY_USERS\S-1-5-21-4137164881-1950389200-4197689130-1002\Software\Microsoft\Windows\CurrentVersion\RunOnce\\mctadmin deleted successfully.

Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\\NoActiveDesktop deleted successfully.

Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\\NoActiveDesktopChanges deleted successfully.

Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System\\ConsentPromptBehaviorAdmin deleted successfully.

Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System\\ConsentPromptBehaviorUser deleted successfully.

64bit-Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\\VMApplet:/pagefile deleted successfully.

Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\\VMApplet:/pagefile deleted successfully.

64bit-Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad\\WebCheck deleted successfully.

64bit-Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{E6FB5E20-DE35-11CF-9C87-00AA005127ED}\ not found.

Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad\\WebCheck deleted successfully.

Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{E6FB5E20-DE35-11CF-9C87-00AA005127ED}\ not found.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Cdrom\\AutoRun|DWORD:1 /E : value set successfully!

ADS C:\ProgramData\Temp:5D7E5A8F deleted successfully.

ADS C:\ProgramData\Temp:CDFF58FE deleted successfully.

ADS C:\ProgramData\Temp:1A60DE96 deleted successfully.

ADS C:\ProgramData\Temp:E36F5B57 deleted successfully.

ADS C:\ProgramData\Temp:E1F04E8D deleted successfully.

ADS C:\ProgramData\Temp:4D066AD2 deleted successfully.

C:\Windows\SysNative\0 moved successfully.

C:\Windows\0 moved successfully.

Folder C:\Users\***\AppData\Roaming\TP\ not found.

========== FILES ==========
 < ipconfig /flushdns /c >

Windows-IP-Konfiguration

Der DNS-Aufl”sungscache wurde geleert.

C:\Users\Dalibor Pantic\Desktop\cmd.bat deleted successfully.

C:\Users\Dalibor Pantic\Desktop\cmd.txt deleted successfully.

========== COMMANDS ==========

 

[EMPTYTEMP]

 

User: All Users

 

User: Dalibor Pantic

->Temp folder emptied: 115810626 bytes

->Temporary Internet Files folder emptied: 11165930 bytes

->Java cache emptied: 1418544 bytes

->FireFox cache emptied: 209618264 bytes

->Flash cache emptied: 487 bytes

 

User: Default

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 0 bytes

 

User: Default User

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 0 bytes

 

User: Public

 

User: UpdatusUser

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 0 bytes

 

%systemdrive% .tmp files removed: 0 bytes

%systemroot% .tmp files removed: 0 bytes

%systemroot%\System32 .tmp files removed: 0 bytes

%systemroot%\System32 (64bit) .tmp files removed: 0 bytes

%systemroot%\System32\drivers .tmp files removed: 0 bytes

Windows Temp folder emptied: 59954739 bytes

%systemroot%\sysnative\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files folder emptied: 50568 bytes

RecycleBin emptied: 657999578 bytes

 

Total Files Cleaned = 1.007,00 mb

 

 

[EMPTYFLASH]

 

User: All Users

 

User: Dalibor Pantic

->Flash cache emptied: 0 bytes

 

User: Default

 

User: Default User

 

User: Public

 

User: UpdatusUser

 

Total Flash Files Cleaned = 0,00 mb

 

 

OTL by OldTimer - Version 3.2.55.0 log created on 08012012_100446
 

Files\Folders moved on Reboot...

File\Folder C:\Users\Dalibor Pantic\AppData\Local\Temp\OICE_83DF98C3-C59E-4264-9B40-C176D5D6E80D.0\F90A4E19. not found!

C:\Users\Dalibor Pantic\AppData\Local\Temp\FXSAPIDebugLogFile.txt moved successfully.

File move failed. C:\Windows\temp\dsiwmis.log scheduled to be moved on reboot.
 

PendingFileRenameOperations files...

File C:\Users\Dalibor Pantic\AppData\Local\Temp\OICE_83DF98C3-C59E-4264-9B40-C176D5D6E80D.0\F90A4E19. not found!

File C:\Users\Dalibor Pantic\AppData\Local\Temp\FXSAPIDebugLogFile.txt not found!

[2012.08.01 10:07:02 | 000,000,000 | ---- | M] () C:\Windows\temp\dsiwmis.log : Unable to obtain MD5
 

Registry entries deleted on Reboot...

Sehr gut! :daumenhoc

1. Schritt

Bitte einen Vollscan mit Malwarebytes Anti-Malware machen und Log posten.
Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss!

Malwarebytes Anti-Malware
- Anwendbar auf Windows 2000, XP, Vista und 7.
- Installiere das Programm in den vorgegebenen Pfad.
- Aktiviere "Komplett Scan durchführen" => Scan.
- Wähle alle verfügbaren Laufwerke (ausser CD/DVD) aus und starte den Scan.
- Funde bitte löschen lassen oder in Quarantäne.
- Wenn der Scan beendet ist, klicke auf "Zeige Resultate".

danach:

2. Schritt

Downloade Dir bitte AdwCleaner auf deinen Desktop.

Starte die adwcleaner.exe mit einem Doppelklick.
Klicke auf Search.
Nach Ende des Suchlaufs öffnet sich eine Textdatei.
Poste mir den Inhalt mit deiner nächsten Antwort.
Die Logdatei findest du auch unter C:\AdwCleaner[R1].txt.

Zitat:

Zitat von t'john (Beitrag 880385)

Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss!

Mal ne Frage dies bezüglich. Seitdem der Virus mein System befallen hat, habe ich leider keinen Internetzugriff mehr vom Laptop aus. Wie soll ich ein Update des Programms durchführen?

Wie sellst du deie Verbindung her?
WLAN? Kabel?

Per WLAN lief vorher alles einwandfrei. :confused:

Ich habe jetzt das Programm auf meinen PC installiert und dann die beiden Dateien rules.ref und database.conf kopiert und in den Installationsordner des Programmes auf dem Laptop eingefügt. Der zeigt jetzt auch die aktuelle Version an. Sollte kein Problem sein also oder?

Fixen mit OTL

Lade (falls noch nicht vorhanden) OTL von Oldtimer herunter und speichere es auf Deinem Desktop (nicht woanders hin).

Deaktiviere etwaige Virenscanner wie Avira, Kaspersky etc.
Starte die OTL.exe.
Vista- und Windows 7-User starten mit Rechtsklick auf das Programm-Icon und wählen "Als Administrator ausführen".
Kopiere folgendes Skript in das Textfeld unterhalb von Benuterdefinierte Scans/Fixes:

Code:

:OTL

:Services
 

:Reg
 

:Files

ipconfig /flushdns /c

netsh winsock reset /c

netsh int ipv4 reset reset.log /c

netsh int ipv6 reset reset.log /c

Schließe alle Programme.
Klicke auf den Fix Button.
Wenn OTL einen Neustart verlangt, bitte zulassen.
Kopiere den Inhalt des Logfiles hier in Code-Tags in Deinen Thread.
Nachträglich kannst Du das Logfile hier einsehen => C:\_OTL\MovedFiles\<datum_nummer.log>

Code:

========== OTL ==========

========== SERVICES/DRIVERS ==========

========== REGISTRY ==========

========== FILES ==========
 < ipconfig /flushdns /c >

Windows-IP-Konfiguration

Der DNS-Aufl”sungscache wurde geleert.

C:\Users\Dalibor Pantic\Desktop\cmd.bat deleted successfully.

C:\Users\Dalibor Pantic\Desktop\cmd.txt deleted successfully.
 < netsh winsock reset /c >

Der Winsock-Katalog wurde zurckgesetzt.

Sie mssen den Computer neu starten, um den Vorgang abzuschlieáen.

C:\Users\Dalibor Pantic\Desktop\cmd.bat deleted successfully.

C:\Users\Dalibor Pantic\Desktop\cmd.txt deleted successfully.
 < netsh int ipv4 reset reset.log /c >

Global wird zurckgesetzt, OK!

Schnittstelle wird zurckgesetzt, OK!

Starten Sie den Computer neu, um die Aktion abzuschlieáen.

C:\Users\Dalibor Pantic\Desktop\cmd.bat deleted successfully.

C:\Users\Dalibor Pantic\Desktop\cmd.txt deleted successfully.
 < netsh int ipv6 reset reset.log /c >

Schnittstelle wird zurckgesetzt, OK!

Starten Sie den Computer neu, um die Aktion abzuschlieáen.

C:\Users\Dalibor Pantic\Desktop\cmd.bat deleted successfully.

C:\Users\Dalibor Pantic\Desktop\cmd.txt deleted successfully.

 

OTL by OldTimer - Version 3.2.55.0 log created on 08032012_161055

Neugestartet?

Was macht die Verbindung?

Die Verbindung bleibt leider aus. Ich versuche mit unserem Router zu verbinden, dann sagt er nur "Es konnte keine Verbindung mit EasyBox...hergestellt werden".

Ich habe übrigens, wie gesagt, mal diese beiden Dateien kopiert in den Ordner von Malwarebytes. Der zeigt unter "Aktualisierung - Aktuelle Datenbank-Information: Datum: 03.08.2012 13:32:23" Also ziemlich aktuell das Programm.

Kompletten Suchlauf gestartet. Der konnte keine infizierten Daten finden.

Entferne die WLAN-Karte aus dem Geraete-Manager und starte mal neu.

Ich habe den Treiber der WLAN-Karte deinstalliert, neu gestartet, danach hat er den Treiber automatisch nochmal installiert.

Habe den Netzwerkschlüssel dann eingegeben, aber es hat sich nichts geändert.