|
"System Care AV" Trojaner Hallo zusammen(<- das SOS in AV-boards), ich schreib dies von meinem Zweitrechner, weil ich auf meinen Haupt-PC grad keinen richtigen Zugriff mehr habe, Grund ist ein angebliches AV-Programm, das plötzlich aufgetaucht ist, ich erwarte nämlich Päckchen und habe von DHL in englisch eine email bekommen in der ich die Sendungsverfolgung einleiten konnte. Die email hieß: "postal notification service", ich denke das von dieser email ausgehend sich dieser Trojaner "system care" (wenns einer ist) installiert hat. In der email sind 2 links, einer ist "get shipment info", der andere ist "tracking page" und man wird dann weitergeleitet und soll was runterladen, wie man es immer tut, wenn man adobe-acrobat mäßig was ansehen will..und ich denke da ist das passiert. Jedenfalls startet dieses System Care jetzt dauernd Suchläufe, ich hab keinen Zugriff mehr auf gar nichts, kommt immer "datei/programm infected, cannot start .exe" und das passiert mit dem browser, sowie mit dem task manager, sowie mit allen anderen Programmen. Habe versucht das Programm zu beenden, es wegzuklicken, nichts geht. Das problem ist also zuerst, wie bekomme ich Zugriff auf den Rechner, damit ich Bereinigungsmaßnahmen einleiten kann. (OTL habe ich auf den Rechner übertragen können mittels Speicher-stick, aber auch das wollte er nicht starten, siehe Fehlermeldung oben) Bis dahin kann ich leider auch keine richtigen Daten über mein System anbieten, weiß nur das es windows 7 32-bit ist. Per google habe schon einen Thread von hier gefunden, aber derjenige hatte noch Zugriff auf sein System. |
:hallo: Mit einem sauberen 2. Rechner eine OTLPE-CD erstellen und den infizierten Rechner dann von dieser CD booten: Falls Du kein Brennprogramm installiert hast, lade dir bitte ISOBurner herunter. Das Programm wird Dir erlauben, OTLPE auf eine CD zu brennen und sie bootfähig zu machen. Du brauchst das Tool nur zu installieren, der Rest läuft automatisch => Wie brenne ich eine ISO Datei auf CD/DVD. Lade  OTLPENet.exe von OldTimer herunter und speichere sie auf Deinem Desktop. Anmerkung: Die Datei ist ca. 120 MB groß und es wird bei langsamer Internet-Verbindung ein wenig dauern, bis Du sie runtergeladen hast.
Bebilderte Anleitung: OTLpe-Scan
|
Vielen Dank für das Post, habe getan wie geheißen und soweit hat auch alles geklappt, bis auf daß nur eine OTL.txt ausgegeben worden ist. Leider keine extras.txt, aber hier mal die otl.txt:OTL Logfile: Code: OTL logfile created on: 5/27/2013 12:04:25 PM - Run |
Die Bereinigung besteht aus mehreren Schritten, die ausgefuehrt werden muessen. Diese Nacheinander abarbeiten und die 3 Logs, die dabei erstellt werden bitte in deine naechste Antwort einfuegen. Sollte der OTL-FIX nicht richig durchgelaufen sein. Fahre nicht fort, sondern melde dies bitte. 1. Schritt Fixen mit OTLpe
Code: :OTL
Dann normal starten, 2. Schritt Downloade Dir bitte  Malwarebytes Anti-Malware
danach: 3. Schritt Downloade Dir bitte  AdwCleaner auf deinen Desktop.
|
Leider weiß ich nicht, was die "benutzerdefinierte Textbox" ist. In der letzten Stunde habe ich versucht, das in der Codebox gepostete Feld irgendwo in dem REATOGO-X-PE-desktop einzugeben, was mir leider nicht gelungen ist. Ich habe ein Eingabefenster gefunden, das aussieht wie das RUN-Fensterchen, das man auch von der normalen Oberfläche kennt, in der REATOGO-X-PE-Obefläche hieß das "MBRFix" und durch Zufall konnte ich den Text (durch Rechtsklick) dort posten, was aber nur einen Strom Fehlermeldungen ergab. Ich bitte um eine genaue Erklärung wo ich den Inhalt der Codebox nun eingeben soll, ich kenne mich leider mit REATOGO-X-PE-Desktop nicht aus, wie ich auch ansonsten kein Computerexperte bin. |
Den Fix unten in die weisse Flaeche posten. Anleitung: http://www.trojaner-board.de/90074-otlpe.html http://img.trojaner-board.de/OTLpe/settings.jpg |
Ok danke erstmal, da ich Nachtschichter bin und tagsüber schlafe, habe ich nur relativ kleine Zeitfenster um an der Bereinigung was zu machen, sorry wenns länger dauert mit Antworten deshalb. Jedenfalls weiß ich erstmal was ich zu tun hab wenn ich morgen früh heimkomm:glaskugel: So, hier also zuerstmal der Bericht vom OTLpe: ========== OTL ========== 64bit-Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\boincmgr deleted successfully. 64bit-Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\boinctray deleted successfully. Registry key HKEY_USERS\Markus_ON_H\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\RunOnce not found. File H:\ProgramData\D6913FE8FE3590D50000D690695E96D7\D6913FE8FE3590D50000D690695E96D7.exe not found. Registry key HKEY_USERS\Markus_ON_H\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run not found. File H:\Users\Markus\AppData\Local\saamobpo.exe not found. Folder H:\ProgramData\D6913FE8FE3590D50000D690695E96D7\ not found. File H:\Users\Markus\AppData\Local\saamobpo.exe not found. File H:\Windows\king-uninstall.exe not found. File H:\Users\Markus\AppData\Local\vdxspnon not found. Folder H:\Users\Markus\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\System Care Antivirus\ not found. File H:\Users\Markus\Desktop\System Care Antivirus.lnk not found. ========== FILES ========== < ipconfig /flushdns /c > Windows IP Configuration I:\cmd.bat deleted successfully. I:\cmd.txt deleted successfully. ========== COMMANDS ========== [EMPTYTEMP] Empty user temp failed. Cannot find local settings folders. Empty user temp failed. Cannot find local settings folders. Empty user temp failed. Cannot find local settings folders. Empty user temp failed. Cannot find local settings folders. Empty user temp failed. Cannot find local settings folders. Empty user temp failed. Cannot find local settings folders. Empty user temp failed. Cannot find local settings folders. %systemdrive% .tmp files removed: 0 bytes %systemroot% .tmp files removed: 0 bytes %systemroot%\System32 .tmp files removed: 1618992 bytes %systemroot%\System32 (64bit) .tmp files removed: 0 bytes %systemroot%\System32\drivers .tmp files removed: 0 bytes Windows Temp folder emptied: 408290196 bytes %systemroot%\sysnative\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files folder emptied: 50434 bytes Total Files Cleaned = 391.00 mb OTLPE by OldTimer - Version 3.1.48.0 log created on 05282013_121821 Nachtrag: Habe den befallen PC jetzt hochgefahren, um Malware AV runterzuladen, aber er hat immer noch unverändert den System-Care drauf, als wär gar nichts gewesen. Habe wohl was falsch gemacht. Nicht das mein Thread jetzt auf dem Abstellgleis landet, ist ja schon auf Seite 2 |
Durch den Neustart haben sich die Laufwerksbuchstaben geaendert, deshalb wirkte der Fix nicht. Erstelle neue OTLPe Logs. |
Das Problem war das ich immer Tastatur und Maus zwischen den Rechnern umstecken musste und irgendwie lief da was mit den Steuerprotokollen derselben(oder wie man sowas nennt) schief, ich musste immer den Rechner neustarten, ansonsten hing die Maus(beim infizierten ) und F8 drücken beim Neustart konnte ich auch nicht. Hab jetzt eine Ersatzmaus ausgebuddelt und versuche, den infizierten anzulassen damit sich die Laufwerksnummer nicht mehr ändert. Habe zum Übertragen des logs vom infizierten nach hier aber auch einen Speicherstick benutzt, vielleicht verändert der ja jedesmal die Laufwerksnummer. Hab jetzt nochmal einen Scan mit dem OTLpe gemacht und dann den von dir geposteten Fix angewendet. Im Log des OTLpe hatte übrigens klar H: als Systemdrive gestanden, eigentlich müsste der Fix von dir auch gewirkt haben, hier jedenfalls das log: ========== OTL ========== 64bit-Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\boincmgr deleted successfully. 64bit-Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\boinctray deleted successfully. Registry key HKEY_USERS\Markus_ON_H\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\RunOnce not found. H:\ProgramData\D6913FE8FE3590D50000D690695E96D7\D6913FE8FE3590D50000D690695E96D7.exe moved successfully. Registry key HKEY_USERS\Markus_ON_H\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run not found. H:\Users\Markus\AppData\Local\saamobpo.exe moved successfully. Folder H:\ProgramData\D6913FE8FE3590D50000D690695E96D7\ not found. File H:\Users\Markus\AppData\Local\saamobpo.exe not found. H:\Windows\king-uninstall.exe moved successfully. H:\Users\Markus\AppData\Local\vdxspnon moved successfully. H:\Users\Markus\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\System Care Antivirus folder moved successfully. H:\Users\Markus\Desktop\System Care Antivirus.lnk moved successfully. ========== FILES ========== < ipconfig /flushdns /c > Windows IP Configuration H:\cmd.bat deleted successfully. H:\cmd.txt deleted successfully. ========== COMMANDS ========== [EMPTYTEMP] Empty user temp failed. Cannot find local settings folders. Empty user temp failed. Cannot find local settings folders. Empty user temp failed. Cannot find local settings folders. Empty user temp failed. Cannot find local settings folders. Empty user temp failed. Cannot find local settings folders. Empty user temp failed. Cannot find local settings folders. Empty user temp failed. Cannot find local settings folders. %systemdrive% .tmp files removed: 0 bytes %systemroot% .tmp files removed: 0 bytes %systemroot%\System32 .tmp files removed: 0 bytes %systemroot%\System32 (64bit) .tmp files removed: 0 bytes %systemroot%\System32\drivers .tmp files removed: 0 bytes Windows Temp folder emptied: 0 bytes %systemroot%\sysnative\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files folder emptied: 0 bytes Total Files Cleaned = 0.00 mb OTLPE by OldTimer - Version 3.1.48.0 log created on 05282013_233742 |
Jetzt hat er gewirkt! Neustarten und mit Schritt 2 weitermachen! http://www.trojaner-board.de/135603-...ml#post1071079 |
Malwarebytes Anti-Malware 1.75.0.1300 www.malwarebytes.org Datenbank Version: v2013.05.28.05 Windows 7 Service Pack 1 x64 NTFS Internet Explorer 8.0.7601.17514 Markus :: MARKUS-PC [Administrator] 28/05/2013 18:31:30 MBAM-log-2013-05-28 (23-32-28).txt Art des Suchlaufs: Vollständiger Suchlauf (C:\|E:\|G:\|H:\|I:\|J:\|K:\|) Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM Deaktivierte Suchlaufeinstellungen: P2P Durchsuchte Objekte: 407162 Laufzeit: 35 Minute(n), 7 Sekunde(n) Infizierte Speicherprozesse: 0 (Keine bösartigen Objekte gefunden) Infizierte Speichermodule: 0 (Keine bösartigen Objekte gefunden) Infizierte Registrierungsschlüssel: 0 (Keine bösartigen Objekte gefunden) Infizierte Registrierungswerte: 0 (Keine bösartigen Objekte gefunden) Infizierte Dateiobjekte der Registrierung: 0 (Keine bösartigen Objekte gefunden) Infizierte Verzeichnisse: 0 (Keine bösartigen Objekte gefunden) Infizierte Dateien: 4 C:\Users\Markus\AppData\Local\Temp\Delivery_Information_ID-004588020234-Z31-1.zip (Trojan.Krypt) -> Keine Aktion durchgeführt. C:\Users\Markus\AppData\Local\Temp\Delivery_Information_ID-004588020234-Z31.zip (Trojan.Krypt) -> Keine Aktion durchgeführt. C:\_OTL\MovedFiles\05282013_233742\H_ProgramData\D6913FE8FE3590D50000D690695E96D7\D6913FE8FE3590D50000D690695E96D7.exe (Trojan.FakeAlert.ED) -> Keine Aktion durchgeführt. C:\_OTL\MovedFiles\05282013_233742\H_Users\Markus\AppData\Local\saamobpo.exe (Trojan.Krypt) -> Keine Aktion durchgeführt. (Ende) ===================================================================================================== Und hier das Log vom AdwCleaner:AdwCleaner Logfile: Code: # AdwCleaner v2.301 - Datei am 28/05/2013 um 23:39:46 erstellt |
Sehr gut! :daumenhoc Downloade dir bitte  aswMBR.exe und speichere die Datei auf deinem Desktop.
Wichtig: Drücke keinesfalls einen der Fix Buttons ohne Anweisung Hinweis: Sollte der Scan Button ausgeblendet sein, schließe das Tool und starte es erneut. Sollte der Scan abbrechen und das Programm abstürzen, dann teile mir das mit und wähle unter AV Scan die Einstellung (none). danach: ESET Online Scanner
danach: Downloade Dir bitte  SecurityCheck und:
|
aswMBR version 0.9.9.1771 Copyright(c) 2011 AVAST Software Run date: 2013-05-30 06:22:04 ----------------------------- 06:22:04.399 OS Version: Windows x64 6.1.7601 Service Pack 1 06:22:04.399 Number of processors: 4 586 0x2A07 06:22:04.399 ComputerName: MARKUS-PC UserName: Markus 06:22:05.460 Initialize success 06:22:44.637 AVAST engine defs: 13052901 06:23:21.657 Disk 0 (boot) \Device\Harddisk0\DR0 -> \Device\Ide\IdeDeviceP0T0L0-0 06:23:21.661 Disk 0 Vendor: ST31000524AS JC4B Size: 953869MB BusType: 3 06:23:21.743 Disk 0 MBR read successfully 06:23:21.745 Disk 0 MBR scan 06:23:21.752 Disk 0 Windows 7 default MBR code 06:23:21.757 Disk 0 Partition 1 80 (A) 07 HPFS/NTFS NTFS 100 MB offset 2048 06:23:21.764 Disk 0 Partition 2 00 07 HPFS/NTFS NTFS 168087 MB offset 206848 06:23:21.787 Disk 0 Partition 3 00 07 HPFS/NTFS NTFS 480000 MB offset 344459144 06:23:21.812 Disk 0 Partition 4 00 07 HPFS/NTFS NTFS 305666 MB offset 1327515208 06:23:21.845 Disk 0 scanning C:\Windows\system32\drivers 06:23:33.824 Service scanning 06:24:00.129 Modules scanning 06:24:00.133 Disk 0 trace - called modules: 06:24:00.466 ntoskrnl.exe CLASSPNP.SYS disk.sys ACPI.sys ataport.SYS pciide.sys 06:24:00.469 1 nt!IofCallDriver -> \Device\Harddisk0\DR0[0xfffffa80077b5060] 06:24:00.472 3 CLASSPNP.SYS[fffff8800196943f] -> nt!IofCallDriver -> [0xfffffa800718b580] 06:24:00.474 5 ACPI.sys[fffff88000f287a1] -> nt!IofCallDriver -> \Device\Ide\IdeDeviceP0T0L0-0[0xfffffa800718d060] 06:24:01.109 AVAST engine scan C:\Windows 06:24:03.188 AVAST engine scan C:\Windows\system32 06:27:11.295 AVAST engine scan C:\Windows\system32\drivers 06:27:25.350 AVAST engine scan C:\Users\Markus 06:30:01.264 AVAST engine scan C:\ProgramData 06:31:16.900 Scan finished successfully 06:31:39.396 Disk 0 MBR has been saved successfully to "C:\Users\Markus\Desktop\MBR.dat" 06:31:39.396 The log file has been saved successfully to "C:\Users\Markus\Desktop\aswMBR.txt" ESETSmartInstaller@High as downloader log: all ok ESETSmartInstaller@High as downloader log: all ok # version=8 # OnlineScannerApp.exe=1.0.0.1 # OnlineScanner.ocx=1.0.0.6920 # api_version=3.0.2 # EOSSerial=4819478fc882394ea38c34f96e77e773 # engine=13949 # end=finished # remove_checked=false # archives_checked=true # unwanted_checked=false # unsafe_checked=false # antistealth_checked=true # utc_time=2013-05-30 06:17:04 # local_time=2013-05-30 08:17:04 (+0100, Mitteleuropäische Sommerzeit) # country="Germany" # lang=1033 # osver=6.1.7601 NT Service Pack 1 # compatibility_mode=1799 16775165 100 96 6693 235314314 0 0 # compatibility_mode=5893 16776573 100 94 51442 121524474 0 0 # scanned=169958 # found=0 # cleaned=0 # scan_time=5828 Results of screen317's Security Check version 0.99.63 Windows 7 Service Pack 1 x64 (UAC is enabled) Internet Explorer 8 Out of date! ``````````````Antivirus/Firewall Check:`````````````` Avira Desktop Antivirus up to date! (On Access scanning disabled!) `````````Anti-malware/Other Utilities Check:````````` Malwarebytes Anti-Malware Version 1.75.0.1300 Java(TM) 6 Update 22 Java 7 Update 21 Adobe Flash Player 11.7.700.202 Adobe Reader 10.1.7 Adobe Reader out of Date! Mozilla Firefox (21.0) ````````Process Check: objlist.exe by Laurent```````` Avira Antivir avgnt.exe Avira Antivir avguard.exe `````````````````System Health check````````````````` Total Fragmentation on Drive C: ````````````````````End of Log`````````````````````` |
Alles Windows Updates einspielen, inkl. Internet Explorer! http://windowsupdate.microsoft.com Aktualisiere:
Java aktualisieren Dein Java ist nicht mehr aktuell. Älter Versionen enthalten Sicherheitslücken, die von Malware missbraucht werden können.
Dann so einstellen: http://www.trojaner-board.de/105213-...tellungen.html Danach poste (kopieren und einfuegen) mir, was du hier angezeigt bekommst: PluginCheck Java deaktivieren Aufgrund derezeitigen Sicherheitsluecke: http://www.trojaner-board.de/122961-...ktivieren.html Danach poste mir (kopieren und einfuegen), was du hier angezeigt bekommst: PluginCheck |
PluginCheck Der PluginCheck hilft die größten Sicherheitslücken beim Surfen im Internet zu schliessen. Überprüft wird: Browser, Flash, Java und Adobe Reader Version. Firefox 21.0 ist aktuell Flash (11,7,700,202) ist aktuell. Java (1,7,0,21) ist aktuell. Adobe Reader 11,0,3,37 ist aktuell. |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 17:59 Uhr. |
Copyright ©2000-2025, Trojaner-Board
Textbox.