|
TR/ATRAPS.Gen2 in Windows 7 Guten Tag! Meine Frau erhält auf ihrem Laptop unter Windows 7 seit heute von Avira Antivir immer wieder folgende Meldung: "Der Zugriff auf die Datei 'C:\Program Files (x86)\Google\Desktop\...\80000032.@', die ein Virus oder unerwünschtes Programm 'TR/ATRAPS.Gen2' enthält, wurde verweigert." Man kann dann "Entfernen" klicken, und danach sieht erst einmal immer alles normal aus, aber nach ein paar Minuten kommt die Meldung wieder. Avira erkennt den Trojaner (es wird manchmal auch noch eine zweite Datei gemeldet), kann ihn aber anscheinend nicht entfernen. Ich hätte ja gern schon etwas Vorarbeit geleistet und hab mit dem Runterladen von Defogger angefangen, aber da kam dann die Meldung "Die heruntergeladene Datei enthielt ein Virus und wurde gelöscht". Mit FRST das gleiche, und die Datei ist danach auch tatsächlich nicht da. Die Meldung kommt schon beim Herunterladen - hier auf dem Laptop meiner Frau hab ich definitiv keine Chance, diese Dateien herunter zu laden. Deshalb hab ich erst einmal nichts weiter gemacht. Wäre schön, wenn mir hier jemand weiter helfen könnte. Danke! Grüße, Thomas |
Hallo Thomas, dass das mit dem Runterladen nicht klappt, liegt an der Infektion, die sich deine Frau da eingefangen hat. Lade die Tools deshalb an einem anderen Rechner herunter und transferiere sie z.B. per USB-Stick auf den infizierten Computer, um dort die "Vorarbeiten"-Scans (gemäss der Anleitung) zu machen. Poste die Logs dann hier. |
Hallo Leo! Danke für die schnelle Antwort! Die Scans hab ich gestern Abend noch gemacht, konnte sie dann aber nicht mehr hier rein setzen. Und tagsüber mußte ich ja heute arbeiten. Deshalb kann ich leider erst jetzt antworten. Die exportierten Ereignisse von Avira Antivir kopiere ich nur auszugsweise rein, weil sich da Passagen endlos wiederholen. Ich hoffe, das reicht so: Code: Exportierte Ereignisse:Code: defogger_disable by jpshortstuff (23.02.10.1)FRST Logfile: Code: Scan result of Farbar Recovery Scan Tool (FRST.txt) (x64) Version: 21-08-2013 02Die Addition.txt von FRST und die GMER.txt muß ich leider gezippt anhängen - das Forum läßt es anders nicht zu. :( Ich hoffe, das reicht so. Grüße, Thomas |
Hallo Thomas, ja da läuft auch noch andere Malware.. Deshalb schon mal folgende Warnung:  Warnung: InfostealerAus deinen Logs ist ersichtlich, dass du Malware eingefangen hast, die es speziell auf deine sensitiven Daten (Benutzernamen, Passwörter, Onlinebankingzugangsdaten, etc.) abgesehen hat. Man kann nicht genau wissen, was alles mitgeloggt wurde, aber sicherheitshalber würd ich alle auf diesem Rechner eingegebenen Daten und Passwörter als bekannt voraussetzen. Ich würde dir daher raten, zum Schluss oder von einem sauberen Rechner aus sämtliche Zugangsdaten, welche an diesem Rechner verwendet wurden, zu ändern. Schritt 1 Scan mit Combofix
Bitte poste in deiner nächsten Antwort:
|
Hallo Leo! Ich hatte Probleme mit Avira Antivir. Hab erst einmal deaktiviert, was sich deaktivieren ließ. Dann stand alles auf AUS und ich bekam angezeigt, daß der PC nicht sicher wäre. Danach startete ich Combofix, aber das sagte, daß Antivir noch aktiv wäre. Ich hab nochmal reingesehen, aber da stand alles auf AUS. Ich hab auch nichts mehr gefunden, was ich noch hätte deaktivieren können. Um sicherzugehen, wollte ich es deinstallieren. Da war noch die Avira-Toolbar installiert - damit hab ich angefangen. Danach wollte ich Antivir selbst deinstallieren. Dann sagte mir Windows aber, daß das Program schon deinstalliert wäre und fragte, ob das Symbol gelöscht werden soll. Ich wunderte mich, klickte aber OK, und dann war das Symbol weg. Dann klickte ich bei Combofix OK, und der meldete wieder, daß Antivir noch aktiv wäre. Aber ich konnte anscheinend nicht mehr abbrechen, sondern nur OK klicken. Das hab ich gemacht, und Combofix lief an. Kurz darauf ploppte prompt das Antivir-Fenster mit der üblichen Meldung zu dem Trojaner hoch. :headbang: Ansonsten lief aber alles normal. Es hat insgesamt ca. 25 min gedauert, und der Laptop startete danach wieder ganz normal. Antivir beklagt sich auch nicht mehr. Hier ist die Log-Datei: [CODE] Combofix Logfile: Code: ComboFix 13-08-22.01 - Sylvie 23.08.2013 21:20:14.1.4 - x64Muß ich das nochmal wiederholen, wegen dem Problem mit Antivir? Grüße, Thomas |
Hallo Thomas, das hat trotz der Probleme geklappt, Combofix scheint das Ding erwischt zu haben. Starte noch einmal FRST.
|
Hallo Leo! Ja, nachdem Combofix fertig war, war Antivir deaktiv und ich mußte es wieder aktivieren. Anscheinend hat Combofix es deaktiviert. Wie auch immer: Ich hab jetzt nochmal den Scan mit FRST gemacht. FRST hat dabei übrigens ein Programm-Update empfohlen, und das hab ich dann auch vor dem Scan gemacht. Ich hoffe, das war okay. FRST Logfile: FRST Logfile: Code: Scan result of Farbar Recovery Scan Tool (FRST.txt) (x64) Version: 25-08-2013--- --- --- Grüße, Thomas |
Hallo Thomas, das sieht schon besser aus. :) Wie läuft der Rechner jetzt? Schritt 1 Drücke bitte die Windowstaste + R Taste und schreibe notepad in das Ausführen Fenster. Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument Code: 2013-08-21 13:07 - 2013-08-21 23:01 - 00000000 ____D C:\Users\Sylvie\AppData\Roaming\EzhaSpeichere diese bitte als Fixlist.txt auf deinem Desktop (oder dem Verzeichnis in dem sich FRST befindet).
Schritt 2 Downloade Dir bitte  Malwarebytes Anti-Malware
Schritt 3 ESET Online Scanner
Bitte poste in deiner nächsten Antwort:
|
Hallo Leo! Theoretisch läuft der Laptop gut. Antivir beklagt sich jedenfalls nicht mehr. Nur von der Windows-Firewall kam heute eine Meldung - da hat ein Programm in einem dieser "Roaming"-Verzeichnisse anscheinend versucht, sich mit dem Internet zu verbinden. So eine Meldung kam vorher noch nie, sagte meine Frau. FRST ist normal durchgelaufen: Code: Fix result of Farbar Recovery Tool (FRST written by Farbar) (x64) Version: 26-08-2013Code: Malwarebytes Anti-Malware (Test) 1.75.0.1300Ja, und dann lief ESET, und der hat noch einiges gefunden: Code: ESETSmartInstaller@High as downloader log:Grüße, Thomas |
Hallo Thomas, Zitat:
Zitat:
Starte bitte den Rechner neu und mach dann nochmals einen FRST-Scan: Starte noch einmal FRST.
|
Hallo Leo! Heute kam ein Schreiben von der Telekom. Sie schreiben, daß ein externer Sicherheitsexperte festgestellt hat, daß von unserem Anschluß aus unerwünschte Zugriffe auf fremde Rechner erfolgt sind und empfehlen, den Computer auf Schadsoftware zu überprüfen. Und jetzt meldet Anti-Malware sich auch alle paar Minuten mit folgender Meldung: "Zugang zu einer potenziell gefährlichen Webseite erfolgreich gestoppt: 91.217.90.64 Art: ausgehend Port: 49350, Prozess: svchost.exe" Den Scan mit FRST hab ich gerade gemacht: FRST Logfile: FRST Logfile: Code: Scan result of Farbar Recovery Scan Tool (FRST.txt) (x64) Version: 27-08-2013 03--- --- --- Grüße, Thomas |
Hallo Thomas, ja, weshalb dieses Schreiben der Telekom kommt, ist klar. Diese Malware haben wir ja bereits gesehen.. Der Rechner hat sich aber in der Zwischenzeit (heute Mittag um 11:24) noch einmal frisch infiziert mit einer neuen Malware, die vorhin noch nicht drauf war! Bitte mit diesem Computer nicht wild im Internet surfen, bis wir hier ganz durch sind und ihn abgesichert haben. Schritt 1 Scan mit Combofix
Schritt 2 Downloade dir bitte  Malwarebytes Anti-Rootkit und speichere es auf deinem Desktop.
Starte keine andere Datei in diesem Ordner ohne Anweisung eines Helfers Bitte poste in deiner nächsten Antwort:
|
Hallo Leo! Ja, keine Ahnung, wie meine Frau sich das nun wieder eingefangen hat. Combofix hat noch etwas gelöscht (ich hatte übrigens wieder die üblichen Probleme mit Avira Antivir), war dabei aber deutlich schneller als neulich: Code: ComboFix 13-08-27.02 - Sylvie 27.08.2013 21:12:46.2.4 - x64Code: Malwarebytes Anti-Rootkit BETA 1.07.0.1005Thomas |
Hallo Thomas, ja der Rechner ist aktuell noch verwundbar, deshalb aufs Surfen verzichten im Moment. Starte noch einmal FRST.
|
Hallo Leo! Den Scan mit FRST hab ich gerade gemacht: FRST Logfile: FRST Logfile: Code: Scan result of Farbar Recovery Scan Tool (FRST.txt) (x64) Version: 28-08-2013--- --- --- Grüße, Thomas |
Hallo Thomas, dann löschen wir noch die neuerlichen Reste. Und mach bitte nochmals einen ESET-Scan, ob der jetzt immer noch was Aktives findet oder nicht mehr: Schritt 1 Drücke bitte die Windowstaste + R Taste und schreibe notepad in das Ausführen Fenster. Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument Code: 2013-08-27 20:05 - 2013-08-27 20:05 - 00000286 _____ C:\Users\Sylvie\AppData\Roaming\rost.datSpeichere diese bitte als Fixlist.txt auf deinem Desktop (oder dem Verzeichnis in dem sich FRST befindet).
Schritt 2 ESET Online Scanner
Schritt 3 Starte noch einmal FRST.
Bitte poste in deiner nächsten Antwort:
|
Hallo Leo! FRST hat brav gelöscht: Code: Fix result of Farbar Recovery Tool (FRST written by Farbar) (x64) Version: 28-08-2013Code: ESETSmartInstaller@High as downloader log:FRST Logfile: FRST Logfile: Code: Scan result of Farbar Recovery Scan Tool (FRST.txt) (x64) Version: 28-08-2013--- --- --- Grüße, Thomas |
Hallo Thomas, so sieht das ESET-Log schon eher aus, wie wir uns das vorstellen: Keine aktiven Funde mehr! Auch nichts im Speicher. Und an den beiden neu hinzugekommenen Funden im Vergleich zum letzten Mal sieht man auch ganz klar, wie die erneute Infektion während der Bereinigung zustande kam: Über Lücken (Exploits) in der installierten alten Java-Version, welche beim Ansurfen von einer präparierten Website ausgenutzt wurden, um die Malware zu installieren. Wir räumen jetzt noch auf, das alte Java kommt runter und unsere Tools inklusive Quarantäne weg. Schritt 1 Lade dir  TFC (TempFileCleaner von Oldtimer) herunter und speichere es auf den Desktop.
Schritt 2 Dein Java ist nicht mehr aktuell. Ältere Versionen enthalten Sicherheitslücken, die von Malware zur Infizierung per Drive-by Download missbraucht werden können. Die aktuelle Version ist Java 7 Update 25.
Überleg dir also, ob du eine Java-Installation wirklich brauchst. Falls du Java weiterhin verwenden möchtest, dann:
Schritt 3 Dein Firefox ist nicht mehr aktuell. Starte deinen Firefox als Administrator, klicke Hilfe --> Über Firefox und führe das angebotene Update durch. Wiederhole diesen Schritt, bis Firefox als aktuell angezeigt wird. Überprüfe dann mit diesem Plugin-Check (mit dem Firefox hier), ob nun alle deine verwendeten Versionen aktuell sind und update sie anderenfalls. Cleanup Zum Schluss werden wir jetzt noch unsere Tools (inklusive der Quarantäne-Ordner) wegräumen, die verseuchten Systemwiederherstellungspunkte löschen und alle Einstellungen wieder herrichten. Auch diese Schritte sind noch wichtig und sollten in der angegebenen Reihenfolge ausgeführt werden.
>> OK << Wir sind durch, deine Logs sehen für mich im Moment sauber aus. :daumenhoc Ich habe dir nachfolgend ein paar Hinweise und Tipps zusammengestellt, die dazu beitragen sollen, dass du in Zukunft unsere Hilfe nicht mehr brauchen wirst. Bitte gib mir danach noch eine kurze Rückmeldung, wenn auch von deiner Seite keine Probleme oder Fragen mehr offen sind, damit ich dieses Thema als erledigt betrachten kann. Epilog: Tipps, Dos & Don'ts Aktualität von System und SoftwareDas Betriebsystem Windows muss zwingend immer auf dem neusten Stand sein. Stelle sicher, dass die automatischen Updates aktiviert sind:
Auch die installierte Software sollte immer in der aktuellsten Version vorliegen. Speziell gilt das für den Browser, Java, Flash-Player und PDF-Reader, denn bekannte Sicherheitslücken in deren alten Versionen werden dazu ausgenutzt, um beim blossen Besuch einer präparierten Website per Drive-by Download Malware zu installieren. Das kann sogar auf normalerweise legitimen Websites geschehen, wenn es einem Angreifer gelungen ist, seinen Code in die Seite einzuschleusen, und ist deshalb relativ unberechenbar.
Sicherheits-SoftwareEine Bemerkung vorneweg: Jede Softwarelösung hat ihre Schwächen. Die gesamte Verantwortung für die Sicherheit auf Software zu übertragen und einen Rundum-Schutz zu erwarten, wäre eine gefährliche Illusion. Bei unbedachtem oder bewusst risikoreichem Verhalten wird auch das beste Programm früher oder später seinen Dienst versagen (z.B. ein Virenscanner, der eine verseuchte Datei nicht erkennt). Trotzdem ist entsprechende Software natürlich wichtig und hilft dir in Kombination mit einem gut gewarteten (up-to-date) System und durchdachtem Verhalten, deinen Rechner sauber zu halten.
Es liegt in der Natur der Sache, dass die am weitesten verbreitete Anwendungs-Software auch am häufigsten von Malware-Autoren attackiert wird. Es kann daher bereits einen kleinen Sicherheitsgewinn darstellen, wenn man alternative Software (z.B. einen alternativen PDF Reader) benutzt. Anstelle des Internet Explorers kann man beispielsweise den Mozilla Firefox einsetzen, für welchen es zwei nützliche Addons zur Empfehlung gibt:
(Un-)Sicheres Verhalten im InternetNebst unbemerkten Drive-by Installationen wird Malware aber auch oft mehr oder weniger aktiv vom Benutzer selbst installiert. Der Besuch zwielichtiger Websites kann bereits Risiken bergen. Und Downloads aus dubiosen Quellen sind immer russisches Roulette. Auch wenn der Virenscanner im Moment darin keine Bedrohung erkennt, muss das nichts bedeuten.
Oft wird auch versucht, den Benutzer mit mehr oder weniger trickreichen Methoden dazu zu bringen, eine für ihn verhängnisvolle Handlung selbst auszuführen (Überbegriff Social Engineering).
Nervige Adware (Werbung) und unnötige Toolbars werden auch meist durch den Benutzer selbst mitinstalliert.
Allgemeine HinweiseAbschliessend noch ein paar grundsätzliche Bemerkungen:
Wenn du möchtest, kannst du das Forum mit einer kleinen Spende unterstützen. Es bleibt mir nur noch, dir unbeschwertes und sicheres Surfen zu wünschen und dass wir uns hier so bald nicht wiedersehen. ;) |
Hallo Leo! Hab gestern alles bereinigt, wie in der Anleitung beschrieben. Heute surfte meine Frau im Internet, und prompt meldete Anti-Malware, daß ein Versuch, sich mit einer gefährlichen Internetseite zu verbinden, geblockt wurde. Die Meldung hab ich leider nicht mehr gesehen, aber kurz darauf meldete sich auch Avira Antivir: "Der Zugriff auf die Datei 'C:\Users\Sylvie\AppData\Roaming\...\jabconf32.exe', die ein Virus oder unerwünschtes Programm 'TR/PSW.Banjori.A.89' enthält, wurde verweigert." Ich klickte auf "Entfernen", und danach fand ich einen dazu passenden Eintrag in der Quarantäne-Liste von Antivir. Ich hab dann diverse Scans gemacht, mit Windows Defender, Anti-Malware (Quick und danach nochmal vollständig), Antivir und ESET. Keiner der Scanner hat etwas gefunden. Scheint so, als hätte Antivir das Problem diesmal erledigen können. Dann hab ich nochmal FRST herunter geladen und damit nochmal gescannt. (Vorher hab ich noch Defogger mit "Disable" ausgeführt, für alle Fälle, und danach nochmal mit "Re-enable".) FRST Logfile: FRST Logfile: Code: Scan result of Farbar Recovery Scan Tool (FRST.txt) (x64) Version: 31-08-2013 04--- --- --- Eine "Addition"-Datei wurde auch erzeugt, aber die setz ich erstmal nicht rein, wegen ihrer Größe. Sieht jetzt für mich erst einmal so aus, als wäre wieder alles okay. Oder? Grüße, Thomas |
Hallo Thomas, das ist ein hartnäckiges Ding.. Wiederhole zur Sicherheit den FRST-Scan noch im abgesicherten Modus und poste das Log. Danach sollten wir dann aber definitiv durch sein.. :) |
Hallo Leo! Na ja, ich hoffe mal, daß es einfach nur ein neuer Trojaner war, der mit dem vorherigen nichts zu tun hat. FRST Logfile: FRST Logfile: Code: Scan result of Farbar Recovery Scan Tool (FRST.txt) (x64) Version: 31-08-2013 04--- --- --- Findest du da etwas Verdächtiges? Grüße, Thomas |
Hallo Thomas, nein da ist jetzt nichts mehr verdächtig in diesem Log. Von meiner Seite wärs das. Bei dir auch alles ok? |
Hallo Leo! Ja, der Laptop meiner Frau verhält sich nun wieder normal. Vielen Dank! Ich werde auch etwas für das Forum spenden. Diese Trojaner sind ja wirklich eine Landesplage, und ihr leistet hier gute Arbeit dagegen. Grüße, Thomas |
Danke für die Rückmeldung, Thomas. Und im Namen des Teams vielen Dank für die Spende! Freut mich, dass wir helfen konnten. :abklatsch: Falls du dem Forum noch Verbesserungsvorschläge, Kritik oder ein Lob mitgeben möchtest, kannst du das hier tun. Dieses Thema scheint erledigt und wird aus meinen Abos gelöscht. Ich bekomme somit keine Benachrichtigung mehr über neue Antworten. Solltest du das Thema erneut brauchen, schicke mir bitte eine PM und wir machen hier weiter. Jeder andere bitte diese Anleitung lesen und einen eigenen Thread erstellen. |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 09:27 Uhr. |
Copyright ©2000-2025, Trojaner-Board
