Trojaner-Board - Antivirus Meldung - Komische einträge im Autostart

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - Antivirus Meldung - Komische einträge im Autostart (https://www.trojaner-board.de/123670-antivirus-meldung-komische-eintraege-autostart.html)

Antivirus Meldung - Komische einträge im Autostart

Hallo,

ich war gerade gemütlich in Facebook und plötzlich sprang mein AntiVirus an. (Ich habe keine unseriösen Links angeklickt etc.).
Ich schaute dann im Autostart und habe folgende merkwürdige Einträge gefunden:

Zitat:

Ozhio - C:\Users\***\AppData\Roaming\Akofra\mysib.exe
Gypywisiil - C:\Users\***\AppData\Roaming\Lupa\ytme.exe
Yzzexaegup - C:\Users\***\AppData\Roaming\Waoz\ymnaf.exe

Außerdem habe ich noch im AppData\Roaming andere komische Ordner gefunden, die allerdings auch unbekannte Dateiendungen haben.

Mein Betriebssystem ist Windows 7 64 Bit.

Zudem muss ich sagen das ich vor 4 Wochen sowas ähnliches hatte,
habe dann im abgesicherten Modus alles mit Malwarebytes Anti Malware löschen können.

Ich währe sehr dankbar wenn sich jemand Zeit für mich nimmt.

Mit freundlichen Grüßen
limose

hi
ne, du hast nicht alles löschen können, denn kein programm hat ne 100 %ige erkennung, deswegen sind automatische scans niemals zuverlässig, und eine manuelle analyse immernötig

ersetze *** im script durch nutzernamen

dieses script sowie evtl. folgende scripts sind nur für den jeweiligen user.
wenn ihr probleme habt, eröffnet eigene topics und wartet auf, für euch angepasste scripts.

• Starte bitte die OTL.exe
• Kopiere nun das Folgende in die Textbox.

Code:

:OTL

F3 - HKU\S-1-5-21-3620383671-203363365-66138905-1001 WinNT: Load - (C:\Users\***\LOCALS~1\Temp\msffzl.cmd) - C:\Users\***\LOCALS~1\Temp\msffzl.cmd ()

F3:64bit: - HKU\S-1-5-21-3620383671-203363365-66138905-1001 WinNT: Load - (C:\Users\***\LOCALS~1\Temp\msffzl.cmd) - C:\Users\***\LOCALS~1\Temp\msffzl.cmd ()

O4 - HKU\S-1-5-21-3620383671-203363365-66138905-1001..\Run: [Yzzexaegup] C:\Users\***\AppData\Roaming\Waoz\ymnaf.exe ()

O4 - HKU\S-1-5-21-3620383671-203363365-66138905-1001..\Run: [Ozhio] C:\Users\***\AppData\Roaming\Akofra\mysib.exe ()

O4 - HKU\S-1-5-21-3620383671-203363365-66138905-1001..\Run: [Gypywisiil] C:\Users\***\AppData\Roaming\Lupa\ytme.exe ()

O4 - HKU\S-1-5-21-3620383671-203363365-66138905-1001..\Run: [ATI] C:\Users\***\AppData\Roaming\276FDC.exe ()

[2012.09.07 15:08:00 | 000,000,000 | ---D | C] -- C:\Windows\SysNative\6878286

[2012.09.07 15:03:29 | 000,000,000 | ---D | C] -- C:\Users\***\AppData\Roaming\Xykiev

[2012.09.07 15:03:29 | 000,000,000 | ---D | C] -- C:\Users\***\AppData\Roaming\Ubelp

[2012.09.07 15:03:29 | 000,000,000 | ---D | C] -- C:\Users\***\AppData\Roaming\Hyly

[2012.09.07 15:02:42 | 000,000,000 | ---D | C] -- C:\Users\***\AppData\Roaming\Xeilk

[2012.09.07 15:02:42 | 000,000,000 | ---D | C] -- C:\Users\***\AppData\Roaming\Wyisol

[2012.09.07 15:02:42 | 000,000,000 | ---D | C] -- C:\Users\***\AppData\Roaming\Lovuso

[2012.09.07 09:02:44 | 000,000,000 | ---D | C] -- C:\Users\***\AppData\Roaming\Weowu

[2012.09.07 09:02:44 | 000,000,000 | ---D | C] -- C:\Users\***\AppData\Roaming\Lupa

[2012.09.07 09:02:44 | 000,000,000 | ---D | C] -- C:\Users\***\AppData\Roaming\Itosiw

[2012.09.07 09:02:13 | 000,000,000 | ---D | C] -- C:\Users\***\AppData\Roaming\Ywagob

[2012.09.07 09:02:13 | 000,000,000 | ---D | C] -- C:\Users\***\AppData\Roaming\Gyiran

[2012.09.07 09:02:13 | 000,000,000 | ---D | C] -- C:\Users\***\AppData\Roaming\Akofra

[2012.09.07 09:02:04 | 000,000,000 | ---D | C] -- C:\Users\***\AppData\Roaming\Ylaqz

[2012.09.07 09:02:04 | 000,000,000 | ---D | C] -- C:\Users\***\AppData\Roaming\Waoz

[2012.09.07 09:02:04 | 000,000,000 | ---D | C] -- C:\Users\***\AppData\Roaming\Naycw

 :Files

C:\Users\***\LOCALS~1\Temp\msffzl.cmd

C:\Users\***\AppData\Roaming\Waoz

C:\Users\***\AppData\Roaming\Akofra

C:\Users\***\AppData\Roaming\Lupa

C:\Users\***\AppData\Roaming\276FDC.exe

:Commands

[purity]

[EMPTYFLASH] 

[emptytemp]

[Reboot]

• Schliesse bitte nun alle Programme.
• Klicke nun bitte auf den Fix Button.
• OTL kann gegebenfalls einen Neustart verlangen. Bitte dies zulassen.
• Nach dem Neustart findest Du ein Textdokument, dessen inhalt in deiner nächsten antwort hier reinkopieren.
starte in den normalen modus.

falls du keine symbole hast, dann rechtsklick, ansicht, desktop symbole einblenden

Hinweis: Die Datei bitte wie in der Anleitung zum UpChannel angegeben auch da hochladen. Bitte NICHT die ZIP-Datei hier als Anhang
in den Thread posten!

Drücke bitte die http://larusso.trojaner-board.de/Images/windows.jpg + E Taste.

Öffne dein Systemlaufwerk ( meistens C: )
Suche nun
folgenden Ordner: _OTL und öffne diesen.
Mache einen Rechtsklick auf den Ordner Movedfiles --> Senden an --> Zip-Komprimierter Ordner
Dies wird eine Movedfiles.zip Datei in _OTL erstellen
Lade diese bitte in unseren Uploadchannel
hoch. ( Durchsuchen --> C:\_OTL\Movedfiles.zip )

Teile mir mit ob der Upload problemlos geklappt hat. Danke im voraus :)

Hallo markusg,

vielen dank fürs helfen schonmal.
Gemacht, getahn.
MovedFiles.zip ist gerade am uploaden, allerdings ladet es endlos weswegen ich langsam bezweifel das die .zip Datei ankommt.

Edit: Erfolgreich angekommen, sprich upload ohne probleme.

hatt geklappt!

nutzt du den pc für onlinebanking, zum einkaufen, für sonstige zahlungsabwicklungen, oder ähnlich wichtiges, wie berufliches?

Zitat:

Zitat von markusg (Beitrag 910711)

hatt geklappt!

nutzt du den pc für onlinebanking, zum einkaufen, für sonstige zahlungsabwicklungen, oder ähnlich wichtiges, wie berufliches?

Hi,

nicht direkt Onlinebanking, allerdings hab ich einige "Amazon Gutscheine" im Paysavecard System gespeichert.
Bestimmt ratest du mir den PC neuaufzusetzen, richtig?
Währe nämlich schade weil das vor 5 oder 6 Wochen schon wegen einem File Injector der fall war, sehr zeit aufwändig.

24 Stunden sind vergangen und ich "pushe" den Thread mal,
damit er nicht untergeht.

Hoffe das ist nicht verboten, ich möchte auch nicht drängen.

hi
3 tage ist eig die normale zeit, zumal wir uns auch, so hoffe ich, nen wochenende verdient haben :-)
formatieren ist nötig.

der pc muss neu aufgesetzt und dann abgesichert werden
1. Datenrettung:

deaktiviere Autorun: http://www.trojaner-board.de/83238-a...sschalten.html
dann sichere Daten auf nen externen datenträger: http://www.trojaner-board.de/82533-d...ted-magic.html
Bilder, Dokumente, Musik Videos (persönliches) http://www.trojaner-board.de/71715-k...iendungen.html

2. Formatieren, Windows neu instalieren:

nutzt du eine Windows CD: http://www.trojaner-board.de/51262-a...sicherung.html
recovery cd oder recovery partition.
falls dies ein fertig pc ist, nenne hersteller + typ.
Keine Windows 7 DVD? http://www.trojaner-board.de/100776-...-download.html

3. PC absichern: http://www.trojaner-board.de/96344-a...-rechners.html
ich werde außerdem noch weitere punkte dazu posten.
4. alle Passwörter ändern!
5. nach PC Absicherung, die gesicherten Daten prüfen und falls sauber: zurückspielen.
6. werde ich dann noch was zum absichern von Onlinebanking mit Chip Card Reader + Star Money sagen.