PWS:WIn32/ZBOT.gen!aj unter Windows 7 / MSE lässt sich nicht entfernen!
 

Hallo User,

ich habe mir offentsichtlich folgender Virus eingefangen:

PWS:WIn32/ZBOT.gen!aj (Zeus?)

Ich verwende MSE. Die Malware wurde entdeckt und entfernt. Nach dem Neustart entdeckt MSE den Virus aber erneut und fordert einen Neustart an. Diese Schleife habe ich schon ohne Erfolg mehrmals durchlaufen.

Ich habe im Forum schon ähnliche Fälle entdeckt, aber offentsichtlich ist jeder Fall individuell zu lösen....

Ich würde mich daher sehr über eure Unterstützung freuen!

Viele Dank und grüße aus dem hohen Norden...

Stefan

Hallo Stefan und :hallo:

Mein Name ist Leo und ich werde dich durch die Bereinigung deines Rechners begleiten.

Eine Bereinigung beinhaltet nebst dem Entfernen von Malware auch das Schliessen von Sicherheitslücken und sollte gründlich durchgeführt werden. Sie erfolgt deshalb in mehreren Schritten und bedeutet einigen Aufwand für dich.
Beachte: Das Verschwinden der offensichtlichen Symptome bedeutet nicht, dass das System schon sauber ist.
Arbeite daher in deinem eigenen Interesse solange mit, bis du das OK bekommst, dass alles erledigt ist.



Ja, Zbot=Zeus.

Schauen wir mal:


Schritt 1

Downloade dir bitte defogger (von jpshortstuff) auf deinen Desktop.

• Starte das Tool mit Doppelklick.
• Klicke nun auf den Disable Button.
• Bestätige diese Sicherheitsabfrage mit Ja.
• Wenn der Scan beendet wurde (Finished), klicke auf OK.
• Falls Defogger zu einem Neustart auffordert, bestätige dies mit OK.
• Defogger erstellt auf dem Desktop eine Logdatei mit dem Namen defogger_disable.txt.
• Nur falls Probleme aufgetreten sind, poste deren Inhalt mit deiner nächsten Antwort.

Klicke den Re-enable Button nicht ohne Anweisung!



Schritt 2

Lade dir Gmer herunter (auf den Button Download EXE drücken) und speichere das Programm auf den Desktop.

• Deaktiviere alle Antivirenprogramme und Malware/Spyware Scanner.
• Trenne alle bestehenden Verbindungen zu einem Netzwerk/Internet (WLAN nicht vergessen).
• Schliesse bitte alle anderen Programme.
• Starte gmer.exe (die Datei hat einen zufälligen Dateinamen).
  Vista und Win7 User mit Rechtsklick "als Administrator starten".
• Sollte sich ein Fenster mit folgender Warnung öffnen

  WARNING !!!
  GMER has found system modification, which might have been caused by ROOTKIT activity.
  Do you want to fully scan your system ?

  dann klicke unbedingt auf No.
• Entferne rechts den Haken bei:
  • IAT/EAT
  • Show all
• Setze rechts den Haken bei deiner Systempartition (normalerweise C:\).
• Starte den Scan mit einem Klick auf Scan.
• Mache gar nichts am Computer, während der Scan läuft!
• Wenn der Scan fertig ist, klicke auf Save und speichere das Logfile unter Gmer.txt auf deinen Desktop.
• Schliesse dann GMER und führe unmittelbar einen Neustart des Computers durch.
• Füge bitte den Inhalt des Logfiles hier in deine Thread ein.

Antiviren-Programm und sonstige Scanner wieder einschalten, bevor du ins Netz gehst.



Schritt 3

Lade dir bitte OTL (von Oldtimer) herunter und speichere es auf deinen Desktop.

• Doppelklick auf die OTL.exe.
• Unter Extra Registry, wähle bitte Use SafeList.
• Setze den Haken bei Scan all Users.
• Klicke nun auf Run Scan.
• Wenn der Scan beendet ist, werden 2 Logfiles (OTL.txt und Extras.txt) erstellt.
• Poste den Inhalt dieser Logfiles hier in den Thread.

Bitte poste in deiner nächsten Antwort:

• Log von Gmer
• Logs von OTL

Hallo Leo!

erstmal vielen Dank für die schnelle Antwort.

Ich habe die Schritte wie beschrieben durchgeführt.

1. Defogger: Keine Probleme

2. Gmer: Als ich den PC heute gestartet habe, hat MSE "grünes Licht" gegeben. Es war mir aber nicht möglich auf MSE zuzugreifen. Ich habe dann LAN und WLAN deaktiviert und den Scan durchgeführt. Nach dem Neustart startet / erscheint MSE nicht mehr...:confused:

3. OTL: Keine Probleme

Ich habe die Files gezippt und angehängt. Ich hoffe das war in deinem Sinne....

Gruß Stefan

Hallo Stefan,

Die Logfiles bitte nicht anhängen (das erschwert mir das Auswerten massiv), sondern deren Inhalt direkt innerhalb von Codetags einfügen: [code]Inhalt Logfile[/code].
Wenn sie zu gross sind, dann bitte in eine zip-Datei (nicht *.7z) packen und anhängen.

Alles klar! Dann hier innerhalb von Codetags:

GMER

Hier noch die OTL Extras

Defogger zur Info

Hallo Stefan,

hoppla, ZeroAccess ist ja auch noch drauf..





Schritt 1

Downloade dir bitte AdwCleaner und speichere es auf deinen Desktop.

• Schliesse alle offenen Programme und Browser.
• Starte die adwcleaner.exe mit einem Doppelklick.
• Klicke auf Löschen.
• Bestätige jeweils mit Ok.
• Dein Rechner wird neu gestartet, je nach Schwere der Infektion auch mehrmals - das ist normal. Nach dem Neustart öffnet sich eine Textdatei.
• Poste mir den Inhalt mit deiner nächsten Antwort.
• Die Logdatei findest du auch unter C:\AdwCleaner[S1].txt.

Schritt 2

Warnung für Mitleser:
Combofix sollte nur dann ausgeführt werden, wenn dies explizit von einem Teammitglied angewiesen wurde!

Downloade dir bitte Combofix.

• WICHTIG: Speichere Combofix auf deinen Desktop.
• Deaktiviere bitte alle deine Antivirensoftware sowie Malware/Spyware Scanner. Diese können Combofix bei der Arbeit stören.
• Starte die Combofix.exe und folge den Anweisungen auf dem Bildschirm.
• Während Combofix läuft, bitte gar nichts am Computer arbeiten, auch nicht die Maus bewegen!
• Wenn Combofix fertig ist, wird es ein Logfile erstellen (C:\Combofix.txt).
• Bitte poste den Inhalt dieses Logfiles in deiner nächsten Antwort.

Hinweis: Solltest du nach dem Neustart folgende Fehlermeldung erhalten
starte den Rechner einfach neu. Dies sollte das Problem beheben.



Schritt 3

Starte bitte die OTL.exe.

• Setze den Haken bei Scan all Users.
• Drücke auf den Quick Scan Button.
• Poste den Inhalt von OTL.txt hier in den Thread.

Bitte poste in deiner nächsten Antwort:

• Log von AdwCleaner
• Log von Combofix
• Log von OTL

So die Schritte wurden ausgeführt. Soweit keine Probleme!

Aktuelle Trojaner Meldung von MSE:

PWS:Win32/ZBOT.gen!aj
TrojanDropper:Win32/Sirefef.gen!A
Trojan:Win32/Sirefef!cfg
Trojan:Win64/Sirefef.AE



Hier die geforderten Logs:

Hallo,

die Meldungen von MSE zeigen das, was ich auch im Log sehe.
Combofix hat das Ding nicht richtig erwischt. Dann helfen wir etwas nach:
(Den Echtzeitschutz von MSE während des Combofixscans bitte ausschalten.)


Schritt 1

Hinweis für Mitleser:
Folgendes ComboFix Skript ist ausschliesslich für diesen User in dieser Situtation erstellt worden.
Auf keinen Fall auf anderen Rechnern anwenden, das kann andere Systeme nachhaltig schädigen!

• Lösche die vorhandene Combofix.exe von deinem Desktop und lade das Programm von folgenden Download-Spiegel neu herunter: Link.
• Speichere es erneut auf den Desktop (wichtig!).
• Drücke die {Windows} + R Taste, schreibe notepad in das Ausführen Fenster und drücke OK.
• Kopiere nun den Text aus der folgenden Codebox komplett in das leere Textdokument.
  
  Code:

  ---

  http://www.trojaner-board.de/132662-pws-win32-zbot-gen-aj-windows-7-mse-laesst-entfernen.html#post1034270

Collect::
c:\users\Stefan Möller\AppData\Roaming\Acawy\ipazu.exe

Folder::
C:\Windows\Installer\{7ff75794-de0d-fbc5-6d19-b7f4c81cb5d4}
C:\Users\Stefan Möller\AppData\Local\{7ff75794-de0d-fbc5-6d19-b7f4c81cb5d4}
c:\users\Stefan Möller\AppData\Roaming\Acawy
c:\users\Stefan Möller\AppData\Roaming\Zeyc
c:\users\Stefan Möller\AppData\Roaming\Inyf

Registry::
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Ixakdoifl"=-

  ---

• Speichere dies als CFScript.txt auf deinen Desktop.
• Wichtig: Stelle deine Antiviren-Software temporär ab. Diese kann ComboFix bei der Arbeit behindern.
  Danach wieder anstellen nicht vergessen!
• Schliesse alle anderen laufenden Programme, damit ComboFix ungehindert arbeiten kann.
• Ziehe CFScript.txt in die ComboFix.exe wie in diesem Bild:
  http://i266.photobucket.com/albums/i.../CFScriptB.gif
• Mache nichts am Computer, bewege nicht die Maus über das ComboFix-Fenster oder klicke in dieses hinein. Dies kann dazu führen, dass ComboFix sich aufhängt.
• Zum Schluss wird Combofix Dateien zur Analyse einschicken. Folge den Anweisungen, um dies zuzulassen.
• Wenn ComboFix fertig ist, wird es ein Log erstellen (C:\ComboFix.txt).
• Bitte füge den Inhalt dieses Logs in deine Antwort ein.

Schritt 2

Starte bitte die OTL.exe.

• Setze den Haken bei Scan all Users.
• Drücke auf den Quick Scan Button.
• Poste den Inhalt von OTL.txt hier in den Thread.

Bitte poste in deiner nächsten Antwort:

• Log von Combofix
• Log von OTL

Hier die Logs:

OTL

ComboFix

Hallo,

das hat nicht geklappt, wie es sollte. Wir wiederholen den Schritt.
Vergwissere dich bitte, dass das folgende Skript auch wirklich in der CFScript.txt gespeichert ist, bevor du es in die combofix.exe ziehst.


Schritt 1

Hinweis für Mitleser:
Folgendes ComboFix Skript ist ausschliesslich für diesen User in dieser Situtation erstellt worden.
Auf keinen Fall auf anderen Rechnern anwenden, das kann andere Systeme nachhaltig schädigen!

• Lösche die vorhandene Combofix.exe von deinem Desktop und lade das Programm von folgenden Download-Spiegel neu herunter: Link.
• Speichere es erneut auf den Desktop (wichtig!).
• Drücke die {Windows} + R Taste, schreibe notepad in das Ausführen Fenster und drücke OK.
• Kopiere nun den Text aus der folgenden Codebox komplett in das leere Textdokument.
  
  Code:

  ---

  Folder::
C:\Windows\Installer\{7ff75794-de0d-fbc5-6d19-b7f4c81cb5d4}
C:\Users\Stefan Möller\AppData\Local\{7ff75794-de0d-fbc5-6d19-b7f4c81cb5d4}
c:\users\Stefan Möller\AppData\Roaming\Acawy
c:\users\Stefan Möller\AppData\Roaming\Zeyc
c:\users\Stefan Möller\AppData\Roaming\Inyf

Registry::
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Ixakdoifl"=-

  ---

• Speichere dies als CFScript.txt auf deinen Desktop.
• Wichtig: Stelle deine Antiviren-Software temporär ab. Diese kann ComboFix bei der Arbeit behindern.
  Danach wieder anstellen nicht vergessen!
• Schliesse alle anderen laufenden Programme, damit ComboFix ungehindert arbeiten kann.
• Ziehe CFScript.txt in die ComboFix.exe wie in diesem Bild:
  http://i266.photobucket.com/albums/i.../CFScriptB.gif
• Mache nichts am Computer, bewege nicht die Maus über das ComboFix-Fenster oder klicke in dieses hinein. Dies kann dazu führen, dass ComboFix sich aufhängt.
• Wenn ComboFix fertig ist, wird es ein Log erstellen (C:\ComboFix.txt).
• Bitte füge den Inhalt dieses Logs in deine Antwort ein.

Schritt 2

Starte bitte die OTL.exe.

• Setze den Haken bei Scan all Users.
• Drücke auf den Quick Scan Button.
• Poste den Inhalt von OTL.txt hier in den Thread.

Bitte poste in deiner nächsten Antwort:

• Log von Combofix
• Log von OTL

Zur Info:

Ich deaktiviere den Echtzeitschutz von MSE und beende dann MSE durch folgende eingaben:

Windows + R

net stop msmpsvc

und anschließend

sc config msmpsvc start= disabled

Ich hoffe hierdurch wird MSE tatsächlich temporär deaktiviert!

Die gewünschten Logs:

ComboFix

OTL

Hallo,

der MSE-Echtzeitschutz war ausgeschaltet, das ist ok.
Aber das Skript wurde wieder nicht ausgeführt. Dieses Mal versuch ich es anders:


Schritt 1

Hinweis für Mitleser:
Folgendes ComboFix Skript ist ausschliesslich für diesen User in dieser Situtation erstellt worden.
Auf keinen Fall auf anderen Rechnern anwenden, das kann andere Systeme nachhaltig schädigen!

• Lösche die vorhandene Combofix.exe von deinem Desktop und lade das Programm von folgenden Download-Spiegel neu herunter: Link.
• Speichere es erneut auf den Desktop (wichtig!).
• Lade die hier unten am Post angehängte CFScript.txt herunter und speichere sie ebenfalls auf den Desktop.
• Wichtig: Stelle deine Antiviren-Software temporär ab. Diese kann ComboFix bei der Arbeit behindern.
  Danach wieder anstellen nicht vergessen!
• Schliesse alle anderen laufenden Programme, damit ComboFix ungehindert arbeiten kann.
• Ziehe CFScript.txt in die ComboFix.exe wie in diesem Bild:
  http://i266.photobucket.com/albums/i.../CFScriptB.gif
• Mache nichts am Computer, bewege nicht die Maus über das ComboFix-Fenster oder klicke in dieses hinein. Dies kann dazu führen, dass ComboFix sich aufhängt.
• Wenn ComboFix fertig ist, wird es ein Log erstellen (C:\ComboFix.txt).
• Bitte füge den Inhalt dieses Logs in deine Antwort ein.

Schritt 2

Starte bitte die OTL.exe.

• Setze den Haken bei Scan all Users.
• Drücke auf den Quick Scan Button.
• Poste den Inhalt von OTL.txt hier in den Thread.

Bitte poste in deiner nächsten Antwort:

• Log von Combofix
• Log von OTL

Ich hoffe jetzt hat es geklappt.....

Combofix

OTL

Wieder nicht..
Ich hab das Gefühl, der tut sich schwer mit dem Umlaut..

Lade nochmals das angehängte CFScript.txt herunter, aber speichere es dieses Mal direkt nach C:\.

Starte danach Combofix folgendermassen (und folge ansonsten derselben Anleitung wie zuvor):


Drücke die http://larusso.trojaner-board.de/Images/windows.jpg + R Taste, kopiere Folgendes in das Ausführen Fenster und drücke OK.

Beim Ausführen konnte Windows die Datei ComboFix.exe nicht finden.

Ich habe die ComboFix.exe ebenfalls unter C.\ gespeichert und dann den Vorgang wiederholt. Nun hat alles funktioniert. Der PC hat automatisch einen Neustart durchgeführt.

Die Logs

Combofix

OTL

Hi,

der mag eindeutig dein ö nicht. Aber immerhin schon mal ein Teilerfolg.
Geben wir OTL eine Chance, es besser zu machen:


Schritt 1

• Starte bitte die OTL.exe.
• Kopiere nun den folgenden Inhalt aus der Codebox in die http://larusso.trojaner-board.de/Images/otlfix.jpg Textbox.
  Wichtig: Falls du deinen Benutzernamen im Log unkenntlich gemacht hast (z.B. durch ***), dann mach das hier wieder rückgängig.

• Schliesse nun bitte alle anderen Programme.
• Klicke jetzt auf den Fix Button.
• OTL kann gegebenfalls einen Neustart verlangen. Diesen bitte zulassen.
• Nach dem Neustart findest du ein Textdokument auf deinem Desktop.
  (Auch zu finden unter C:\_OTL\MovedFiles\<date_time>.log)
• Kopiere nun dessen Inhalt hier in deinen Thread.

Schritt 2

Downloade dir bitte Malwarebytes Anti-Rootkit und speichere es auf deinen Desktop.

• Entpacke das Archiv auf deinem Desktop.
• Im neu erstellten Ordner starte bitte die mbar.exe.
• Wenn eine Warnung "Registry value AppInit_Dlls has been found, .." erscheint, drücke Nein.
• Folge dann den Anweisungen, führe das Update aus und drücke dann Scan.

Falls Funde angezeigt werden:

• Klicke auf den CleanUp Button und erlaube den Neustart.
• Während des Neustarts wird MBAR die gefundenen Objekte entfernen, also bleib geduldig.
• Nach dem Neustart starte die mbar.exe erneut und wiederhole den Scan.
• Sollte nochmals was gefunden werden, führe erneut den CleanUp-Prozess durch.

Das Tool wird im erstellten Ordner Logfiles (mbar-log-<Jahr-Monat-Tag>.txt) erzeugen. Bitte poste deren Inhalt hier.

Starte keine andere Datei in diesem Ordner ohne Anweisung eines Helfers.



Schritt 3

Starte bitte die OTL.exe.

• Setze den Haken bei Scan all Users.
• Drücke auf den Quick Scan Button.
• Poste den Inhalt von OTL.txt hier in den Thread.

Bitte poste in deiner nächsten Antwort:

• Fixlog von OTL
• Log von MBAR
• Log von OTL

Mbar ist beim ersten Scan fündig geworden. Beim zweiten Durchlauf keine weiteren Funde! Alles ohne Probleme durchgelaufen

Die neuen Logs:

OTL Fixlog:

MBAR Log 1

MBAR Log 2

OTL Log

Prima, dann nähern wir uns doch noch langsam dem Ende..


Schritt 1

• Starte bitte die OTL.exe.
• Kopiere nun den folgenden Inhalt aus der Codebox in die http://larusso.trojaner-board.de/Images/otlfix.jpg Textbox.
  Wichtig: Falls du deinen Benutzernamen im Log unkenntlich gemacht hast (z.B. durch ***), dann mach das hier wieder rückgängig.

• Schliesse nun bitte alle anderen Programme.
• Klicke jetzt auf den Fix Button.

Schritt 2

• Öffne das Programm Malwarebytes Anti-Malware.
  Vista und Win7 User mit Rechtsklick "als Administrator starten".
• Klicke auf Aktualisierung --> Suche nach Aktualisierung.
• Wenn das Update beendet wurde, aktiviere im Reiter Suchlauf die Option Quick-Scan durchführen und drücke auf Scannen.
• Wenn der Scan fertig ist, klicke auf Ergebnisse anzeigen.
• Versichere dich, dass alle Funde markiert sind und drücke Entferne Auswahl.
• Poste das Logfile, welches sich in Notepad öffnet, hier in den Thread.
• Nachträglich kannst du den Bericht unter dem Reiter Logdateien finden.

Schritt 3

Lade das Setup des ESET Online Scanners herunter und speichere es auf den Desktop.

• Schliesse evtl. vorhandene externe Festplatten und USB-Sticks an den Rechner an.
• Deaktiviere jetzt temporär für diesen Scan dein Antivirenprogramm und die Firewall.
  (Danach nicht vergessen, sie wieder einzuschalten.)
• Starte nun die heruntergeladene esetsmartinstaller_enu.exe.
• Setze den Haken bei Yes, I accept the Terms of Use und drücke Start.
• Warte bis die Komponenten heruntergeladen sind.
• Setze den Haken bei Scan archives.
• Gehe sicher, dass bei Remove found Threats kein Haken gesetzt ist.
• Drücke dann auf Start.
• Die Signaturen werden heruntergeladen und der Scan startet automatisch.
  Hinweis: Dieser Scan kann unter Umständen ziemlich lange dauern!
• Falls nach Beendigung des Scans Funde angezeigt werden, dann:
  • Drücke auf List of found threats.
  • Klicke dann auf Export to text file... und speichere die Textdatei als ESET.txt auf den Desktop.
  • Drücke danach auf << Back.
• Schliesse nun den Scanner mit einem Klick auf Finish.

Poste bitte den Inhalt der ESET.txt oder teile mir mit, wenn es keine Funde gegeben hat.



Schritt 4

Starte bitte die OTL.exe.

• Setze den Haken bei Scan all Users.
• Drücke auf den Quick Scan Button.
• Poste den Inhalt von OTL.txt hier in den Thread.

Schritt 5

Downloade dir bitte SecurityCheck (Link 1, Link 2).

• Speichere es auf dem Desktop.
• Starte SecurityCheck.exe und folge den Anweisungen in der DOS-Box.
  Vista und Win7 User mit Rechtsklick "als Administrator starten"
• Wenn der Scan beendet wurde, sollte sich ein Textdokument (checkup.txt) öffnen.

Poste den Inhalt bitte hier.



Bitte poste in deiner nächsten Antwort:

• Log von MBAM
• Log von ESET
• Log von OTL
• Log von SecurityCheck

Es gibt also Hoffnung ..... schön zu hören ;-)

Schritt 1 erledigt

Schritt 2 keine Funde

Schritt 3 keine Funde

Schritt 4 OTL

Schritt 5 SecurityCheck