![]() |
TR/ATRAPS.Gen2 in Windows 7 Guten Tag! Meine Frau erhält auf ihrem Laptop unter Windows 7 seit heute von Avira Antivir immer wieder folgende Meldung: "Der Zugriff auf die Datei 'C:\Program Files (x86)\Google\Desktop\...\80000032.@', die ein Virus oder unerwünschtes Programm 'TR/ATRAPS.Gen2' enthält, wurde verweigert." Man kann dann "Entfernen" klicken, und danach sieht erst einmal immer alles normal aus, aber nach ein paar Minuten kommt die Meldung wieder. Avira erkennt den Trojaner (es wird manchmal auch noch eine zweite Datei gemeldet), kann ihn aber anscheinend nicht entfernen. Ich hätte ja gern schon etwas Vorarbeit geleistet und hab mit dem Runterladen von Defogger angefangen, aber da kam dann die Meldung "Die heruntergeladene Datei enthielt ein Virus und wurde gelöscht". Mit FRST das gleiche, und die Datei ist danach auch tatsächlich nicht da. Die Meldung kommt schon beim Herunterladen - hier auf dem Laptop meiner Frau hab ich definitiv keine Chance, diese Dateien herunter zu laden. Deshalb hab ich erst einmal nichts weiter gemacht. Wäre schön, wenn mir hier jemand weiter helfen könnte. Danke! Grüße, Thomas |
Hallo Thomas, dass das mit dem Runterladen nicht klappt, liegt an der Infektion, die sich deine Frau da eingefangen hat. Lade die Tools deshalb an einem anderen Rechner herunter und transferiere sie z.B. per USB-Stick auf den infizierten Computer, um dort die "Vorarbeiten"-Scans (gemäss der Anleitung) zu machen. Poste die Logs dann hier. |
Hallo Leo! Danke für die schnelle Antwort! Die Scans hab ich gestern Abend noch gemacht, konnte sie dann aber nicht mehr hier rein setzen. Und tagsüber mußte ich ja heute arbeiten. Deshalb kann ich leider erst jetzt antworten. Die exportierten Ereignisse von Avira Antivir kopiere ich nur auszugsweise rein, weil sich da Passagen endlos wiederholen. Ich hoffe, das reicht so: Code: Exportierte Ereignisse: Code: defogger_disable by jpshortstuff (23.02.10.1) FRST Logfile: Code: Scan result of Farbar Recovery Scan Tool (FRST.txt) (x64) Version: 21-08-2013 02 Die Addition.txt von FRST und die GMER.txt muß ich leider gezippt anhängen - das Forum läßt es anders nicht zu. :( Ich hoffe, das reicht so. Grüße, Thomas |
Hallo Thomas, ja da läuft auch noch andere Malware.. Deshalb schon mal folgende Warnung: ![]() Aus deinen Logs ist ersichtlich, dass du Malware eingefangen hast, die es speziell auf deine sensitiven Daten (Benutzernamen, Passwörter, Onlinebankingzugangsdaten, etc.) abgesehen hat. Man kann nicht genau wissen, was alles mitgeloggt wurde, aber sicherheitshalber würd ich alle auf diesem Rechner eingegebenen Daten und Passwörter als bekannt voraussetzen. Ich würde dir daher raten, zum Schluss oder von einem sauberen Rechner aus sämtliche Zugangsdaten, welche an diesem Rechner verwendet wurden, zu ändern. Schritt 1 Scan mit Combofix
Bitte poste in deiner nächsten Antwort:
|
Hallo Leo! Ich hatte Probleme mit Avira Antivir. Hab erst einmal deaktiviert, was sich deaktivieren ließ. Dann stand alles auf AUS und ich bekam angezeigt, daß der PC nicht sicher wäre. Danach startete ich Combofix, aber das sagte, daß Antivir noch aktiv wäre. Ich hab nochmal reingesehen, aber da stand alles auf AUS. Ich hab auch nichts mehr gefunden, was ich noch hätte deaktivieren können. Um sicherzugehen, wollte ich es deinstallieren. Da war noch die Avira-Toolbar installiert - damit hab ich angefangen. Danach wollte ich Antivir selbst deinstallieren. Dann sagte mir Windows aber, daß das Program schon deinstalliert wäre und fragte, ob das Symbol gelöscht werden soll. Ich wunderte mich, klickte aber OK, und dann war das Symbol weg. Dann klickte ich bei Combofix OK, und der meldete wieder, daß Antivir noch aktiv wäre. Aber ich konnte anscheinend nicht mehr abbrechen, sondern nur OK klicken. Das hab ich gemacht, und Combofix lief an. Kurz darauf ploppte prompt das Antivir-Fenster mit der üblichen Meldung zu dem Trojaner hoch. :headbang: Ansonsten lief aber alles normal. Es hat insgesamt ca. 25 min gedauert, und der Laptop startete danach wieder ganz normal. Antivir beklagt sich auch nicht mehr. Hier ist die Log-Datei: [CODE] Combofix Logfile: Code: ComboFix 13-08-22.01 - Sylvie 23.08.2013 21:20:14.1.4 - x64 Muß ich das nochmal wiederholen, wegen dem Problem mit Antivir? Grüße, Thomas |
Hallo Thomas, das hat trotz der Probleme geklappt, Combofix scheint das Ding erwischt zu haben. Starte noch einmal FRST.
|
Hallo Leo! Ja, nachdem Combofix fertig war, war Antivir deaktiv und ich mußte es wieder aktivieren. Anscheinend hat Combofix es deaktiviert. Wie auch immer: Ich hab jetzt nochmal den Scan mit FRST gemacht. FRST hat dabei übrigens ein Programm-Update empfohlen, und das hab ich dann auch vor dem Scan gemacht. Ich hoffe, das war okay. FRST Logfile: FRST Logfile: Code: Scan result of Farbar Recovery Scan Tool (FRST.txt) (x64) Version: 25-08-2013 --- --- --- Grüße, Thomas |
Hallo Thomas, das sieht schon besser aus. :) Wie läuft der Rechner jetzt? Schritt 1 Drücke bitte die Windowstaste + R Taste und schreibe notepad in das Ausführen Fenster. Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument Code: 2013-08-21 13:07 - 2013-08-21 23:01 - 00000000 ____D C:\Users\Sylvie\AppData\Roaming\Ezha Speichere diese bitte als Fixlist.txt auf deinem Desktop (oder dem Verzeichnis in dem sich FRST befindet).
Schritt 2 Downloade Dir bitte ![]()
Schritt 3 ESET Online Scanner
Bitte poste in deiner nächsten Antwort:
|
Hallo Leo! Theoretisch läuft der Laptop gut. Antivir beklagt sich jedenfalls nicht mehr. Nur von der Windows-Firewall kam heute eine Meldung - da hat ein Programm in einem dieser "Roaming"-Verzeichnisse anscheinend versucht, sich mit dem Internet zu verbinden. So eine Meldung kam vorher noch nie, sagte meine Frau. FRST ist normal durchgelaufen: Code: Fix result of Farbar Recovery Tool (FRST written by Farbar) (x64) Version: 26-08-2013 Code: Malwarebytes Anti-Malware (Test) 1.75.0.1300 Ja, und dann lief ESET, und der hat noch einiges gefunden: Code: ESETSmartInstaller@High as downloader log: Grüße, Thomas |
Hallo Thomas, Zitat:
Zitat:
Starte bitte den Rechner neu und mach dann nochmals einen FRST-Scan: Starte noch einmal FRST.
|
Hallo Leo! Heute kam ein Schreiben von der Telekom. Sie schreiben, daß ein externer Sicherheitsexperte festgestellt hat, daß von unserem Anschluß aus unerwünschte Zugriffe auf fremde Rechner erfolgt sind und empfehlen, den Computer auf Schadsoftware zu überprüfen. Und jetzt meldet Anti-Malware sich auch alle paar Minuten mit folgender Meldung: "Zugang zu einer potenziell gefährlichen Webseite erfolgreich gestoppt: 91.217.90.64 Art: ausgehend Port: 49350, Prozess: svchost.exe" Den Scan mit FRST hab ich gerade gemacht: FRST Logfile: FRST Logfile: Code: Scan result of Farbar Recovery Scan Tool (FRST.txt) (x64) Version: 27-08-2013 03 --- --- --- Grüße, Thomas |
Hallo Thomas, ja, weshalb dieses Schreiben der Telekom kommt, ist klar. Diese Malware haben wir ja bereits gesehen.. Der Rechner hat sich aber in der Zwischenzeit (heute Mittag um 11:24) noch einmal frisch infiziert mit einer neuen Malware, die vorhin noch nicht drauf war! Bitte mit diesem Computer nicht wild im Internet surfen, bis wir hier ganz durch sind und ihn abgesichert haben. Schritt 1 Scan mit Combofix
Schritt 2 Downloade dir bitte ![]()
Starte keine andere Datei in diesem Ordner ohne Anweisung eines Helfers Bitte poste in deiner nächsten Antwort:
|
Hallo Leo! Ja, keine Ahnung, wie meine Frau sich das nun wieder eingefangen hat. Combofix hat noch etwas gelöscht (ich hatte übrigens wieder die üblichen Probleme mit Avira Antivir), war dabei aber deutlich schneller als neulich: Code: ComboFix 13-08-27.02 - Sylvie 27.08.2013 21:12:46.2.4 - x64 Code: Malwarebytes Anti-Rootkit BETA 1.07.0.1005 Thomas |
Hallo Thomas, ja der Rechner ist aktuell noch verwundbar, deshalb aufs Surfen verzichten im Moment. Starte noch einmal FRST.
|
Hallo Leo! Den Scan mit FRST hab ich gerade gemacht: FRST Logfile: FRST Logfile: Code: Scan result of Farbar Recovery Scan Tool (FRST.txt) (x64) Version: 28-08-2013 --- --- --- Grüße, Thomas |
Alle Zeitangaben in WEZ +1. Es ist jetzt 00:25 Uhr. |
Copyright ©2000-2025, Trojaner-Board