TR/BProtector.Gen2, danach fliegende UFO's
 

Hallo zusammen!

Schreibe grad für meine Mutter, denn sie hat noch nicht so lange einen PC und ich bin auch nicht wirklich der Profi.

Eine Freundin schickt ihr ständig schöne E-Mails mit kleinen Bildern. Ist nun z.B. mit der Maus auf ein Bärchen gegangen, hat rechte Maustaste geklickt, konnte eine Seite im neuen Tab öffnen und war dann bei www.incredimail.com.

Eigentlich ladet sie sonst immer was von chip.de herunter, aber diesmal tat sie es nicht.
Auf einmal meldet sich unten rechts beim Installieren der Datei Avira - es wurde ein unerwünschtes Programm gefunden.
Sie konnte die Installation jedoch nicht abbrechen, aber konnte unten rechts auf 'Entfernen' bei Avira klicken.
Ein kurzer Suchlauf startete, wo später rauskam, dass kein Virus gefunden wurde.
Es war auch nichts unter Quarantäne zu finden, doch unter Ereignisse 5-mal ein Fund mit TR/B protector.GEN2.

Unter Systemsteuerung dieses Programm von incredimail deinstalliert und auf einmal tauchten UFO's auf, die rumgeschossen haben und dann war es weg.
Sollte den Revo Uninstaller bei chip.de runterladen, weil der meiner Meinung nach gründlicher, alles komplett deinstalliert und der Fortschritt des Downloads war auch zu sehen, doch dann kamen erneut diese Untertassen, Schüsse waren zu hören und der Download ist verschwunden.

Was ist das denn bitte?
Wurde wohl eine Toolbar mit installiert, die Downloads einfach löscht?
Sie macht gerade einen Suchlauf. Und hat Windows 7 als Betriebssystem.

LG

Hallo und :hallo:


ich würd die Finger von Incredimail lassen. Buntblinkender Quatsch mit E-Mails, die keinem wirklichen Standard entsprechen, verwendet lieber sowas wie Mozilla Thunderbird. Außerdem wurde Incredimail nachgesagt, dass die ihre Nutzer ausspähen.


Hast du noch weitere Logs (mit Funden)? Malwarebytes und/oder andere Virenscanner, sind die mal fündig geworden?

Ich frage deswegen nach => http://www.trojaner-board.de/125889-...tml#post941520

Bitte keine neuen Virenscans machen sondern erst nur schon vorhandene Logs in CODE-Tags posten!
Relevant sind nur Logs der letzten 7 Tage bzw. seitdem das Problem besteht!



Zudem bitte auch ein Log mit Farbars Tool machen:

Scan mit Farbar's Recovery Scan Tool (FRST)

Bitte lade dir die passende Version von Farbar's Recovery Scan Tool auf deinen Desktop: FRST 32-Bit | FRST 64-Bit
(Wenn du nicht sicher bist: Lade beide Versionen oder unter Start > Computer (Rechtsklick) > Eigenschaften nachschauen)

• Starte jetzt FRST.
• Ändere ungefragt keine der Checkboxen und klicke auf Untersuchen.
• Die Logdateien werden nun erstellt und befinden sich danach auf deinem Desktop.
• Poste mir die FRST.txt und nach dem ersten Scan auch die Addition.txt in deinem Thread (#-Symbol im Eingabefenster der Webseite anklicken)

Hallo cosinus,
erstmal danke für Deine Nachricht :)

Gestern als ich geschrieben habe, war ich bei mir zuhause und konnte deswegen nicht viel unternehmen. Heute bin ich bei meiner Mutter am PC.
Habe doch von diesen UFO's berichtet. Ich habe gerade ganz schnell Revo Uninstaller bei chip.de runtergeladen und nachgeschaut, was sich so an Programmen auf dem Computer befindet.
Darunter war Websteorids - habe ich erstmal deinstalliert und die fliegenden Untertassen sind schon mal weg *freu* Aber hat sich damit das Problem wohl erledigt?

Dieses 'Farbar Recovery Scan Tool FRST64' habe ich runtergeladen und hoffe, dass ich es richtig gemacht habe?! Jetzt ist erst 'FRST' dran, dann hätte ich da Addition und Shortcut.

Dieser Trojaner ist übrigens in der Quarantäne seit gestern 17:07 Uhr und die Meldung von ihm war um 14:09 Uhr und gleich 7-mal. Ansonsten keine Funde, keine Probleme.

LG

FRST Logfile:

FRST Logfile:
--- --- ---

--- --- ---

Virenscanner-Logs fehlen und das additions.txt Log von FRST fehlt auch. Außerdem bat ich darum keine Häkchen in FRST zu veränder, das hast du aber gemacht wie man im Log eindeutig sehen kann.

Stimmt und sorry :( Habe überall ein Häkchen gemacht.
Ich weiß, man soll auf die Hilfe hören - weiß nicht, warum ich anders gehandelt habe - Entschuldigung, kommt nicht mehr vor!

ABER: Ich habe das nun erneut runtergeladen und werde an den Häkchen nichts machen, doch Addition.txt ist nicht ausgewählt. Also unter Optional Scan sind alle 4 Haken nicht da. Da Du aber Addition haben wolltest, habe ich nun das Häkchen dort gemacht.

Muss mich auch erstmal zurechtfinden und aller Anfang ist manchmal schwer.


FRST Logfile:

FRST Logfile:
--- --- ---

--- --- ---

Was auch völlig normal ist! Lies mal den Auszug aus der Anleitung:


Adware/Junkware/Toolbars entfernen


1. Schritt: Malwarebytes Anti-Malware

Downloade Dir bitte Malwarebytes Anti-Malware

• Installiere das Programm in den vorgegebenen Pfad. (Bebilderte Anleitung zu MBAM)
• Starte Malwarebytes' Anti-Malware (MBAM).
• Klicke im Anschluss auf Scannen, wähle den Bedrohungssuchlauf aus und klicke auf Suchlauf starten.
• Lass am Ende des Suchlaufs alle Funde (falls vorhanden) in die Quarantäne verschieben. Klicke dazu auf Auswahl entfernen.
• Lass deinen Rechner ggf. neu starten, um die Bereinigung abzuschließen.
• Starte MBAM, klicke auf Verlauf und dann auf Anwendungsprotokolle.
• Wähle das neueste Scan-Protokoll aus und klicke auf Export. Wähle Textdatei (.txt) aus und speichere die Datei als mbam.txt auf dem Desktop ab. Das Logfile von MBAM findest du hier.
• Füge den Inhalt der mbam.txt mit deiner nächsten Antwort hinzu.

2. Schritt: adwCleaner

Downloade Dir bitte AdwCleaner auf deinen Desktop.

• Schließe alle offenen Programme und Browser. Bebilderte Anleitung zu AdwCleaner.
• Starte die AdwCleaner.exe mit einem Doppelklick.
• Stimme den Nutzungsbedingungen zu.
• Klicke auf Optionen und vergewissere dich, dass die folgenden Punkte ausgewählt sind:
  • "Tracing" Schlüssel löschen
  • Winsock Einstellungen zurücksetzen
  • Proxy Einstellungen zurücksetzen
  • Internet Explorer Richtlinien zurücksetzen
  • Chrome Richtlinien zurücksetzen
  • Stelle sicher, dass alle 5 Optionen wie hier dargestellt, ausgewählt sind
• Klicke auf Suchlauf und warte bis dieser abgeschlossen ist.
• Klicke nun auf Löschen und bestätige auftretende Hinweise mit Ok.
• Dein Rechner wird automatisch neu gestartet. Nach dem Neustart öffnet sich eine Textdatei. Poste mir deren Inhalt mit deiner nächsten Antwort.
• Die Logdatei findest du auch unter C:\AdwCleaner\AdwCleaner[Cx].txt. (x = fortlaufende Nummer).

3. Schritt: JRT - Junkware Removal Tool

Beende bitte Deine Schutzsoftware um eventuelle Konflikte zu vermeiden.
Bitte lade Junkware Removal Tool auf Deinen Desktop

• Starte das Tool mit Doppelklick. Ab Windows Vista (oder höher) bitte mit Rechtsklick "als Administrator ausführen" starten.
• Drücke eine beliebige Taste, um das Tool zu starten.
• Je nach System kann der Scan eine Weile dauern.
• Wenn das Tool fertig ist wird das Logfile (JRT.txt) auf dem Desktop gespeichert und automatisch geöffnet.
• Bitte poste den Inhalt der JRT.txt in Deiner nächsten Antwort.

4. Schritt: Frisches Log mit FRST

Bitte lade dir die passende Version von Farbar's Recovery Scan Tool auf deinen Desktop: FRST 32-Bit | FRST 64-Bit
(Wenn du nicht sicher bist: Lade beide Versionen oder unter Start > Computer (Rechtsklick) > Eigenschaften nachschauen)

• Starte jetzt FRST.
• Ändere ungefragt keine der Checkboxen und klicke auf Untersuchen.
• Die Logdateien werden nun erstellt und befinden sich danach auf deinem Desktop.
• Poste mir die FRST.txt und nach dem ersten Scan auch die Addition.txt in deinem Thread (#-Symbol im Eingabefenster der Webseite anklicken)

Hallo cosinus,

den 1. Schritt habe ich schon mal gemacht und alles war in englischer Sprache, obwohl ich 'Deutsch' angeklickt habe - blickte nicht durch :(
Bin auch unter Anleitung gegangen, doch das Programm schaut nun ganz anders aus und so wie es da beschrieben ist, finde ich es nicht.

Auf der Startseite von Malwarebytes steht: Armaturenbrett, Suchlauf, Einstellungen (da konnte ich wenigstens die deutsche Sprache einstellen), Verlauf und da fand ich die infizierten Objekte, habe sie alle markiert und bin aufs blaue 'alles löschen' gegangen.

Jetzt sollte ich ja das Logfile posten, doch weiß nicht, was Notepad bedeutet und wüsste auch nicht, wo ich das nun finden soll.
Nachträglich könnte ich es unter Log Dateien finden, habe mir die Anweisungen angeschaut, doch da Malwarebytes Anti-Malware anders ausschaut, entdecke ich es einfach nicht.
Muss ich dann wohl mal alles anklicken und vielleicht sehe ich es irgendwo.

Den 2., 3. und 4. Schritt werde ich später auf jeden Fall machen, aber jetzt muss ich leider weg. Überlege auch, ob ich den PC meiner Mutter und auch meinen entsorgen soll, weil für einen Laien ist das echt heftig :eek:

Doch nochmal kurz da...
Unter Einstellungen steht: Exportieren Sie die Protokolldaten in folgendes Verzeichnis.
Finde ich da das dann wohl?
Obwohl dort irgendwie viel Gedöns ist und ich mit den Namen nichts anfangen kann.

Malwarebtes liegt nun in Version 2.x vor. Da ist alles etwas anders.
Logs findest du unter Verlauf => Anwendungsprotokolle

Hallo,
nicht böse sein, finde auch unter Verlauf, Anwendungsprotokolle nicht die Log Dateien.
Ich weiß leider noch nicht mal wo der Verlauf ist. :heulen:



FRST Logfile:

FRST Logfile:
--- --- ---

--- --- ---

Ich glaube, dass ich nun die Datei gefunden habe?!

Verlauf ist wirklich unübersehbar

http://www.trojaner-board.de/attachm...1&d=1395912518

Ähm ja, hallo!
Ich koste Dich hoffentlich nicht viele Nerven :crazy:

Klar, der Verlauf sagte mir nun was und hast Du mir auch per Screenshot gezeigt – danke!
Brachte Deinen Satz einfach nicht mit dem Programm Malwarebytes in Verbindung und schaute deswegen woanders nach.
Obwohl ich ja schon gesehen habe, dass unter Quarantäne diese Anwendungsprotokolle stehen, aber die habe ich einfach nicht verinnerlicht.

Nun dazu aber noch kurz eine Frage, denn ich muss meine Mutter dafür anrufen, damit sie es macht. Wenn man z.B. auf Schutz-Protokoll klickt, öffnet sich ein Fenster. Kann man auf 'in die Zwischenablage kopieren' drücken und dann im Forum zwischen diese CODES setzen? Oder muss man diesen Pfad auf dem PC finden?

Ah, nochmal geguckt. Exportieren geht auch und dann kann man es als .txt abspeichern.

Kleines Problem, denn das Schutzprotokoll von gestern ist leer. Ich konnte jetzt nur das Suchlauf- Protokoll speichern und das Schutzprotokoll von heute.

Ähm, wo ist eigentlich das Log von JRT?

Gute Frage.
Also unter der Nachricht von gestern 23:43 Uhr sieht man auf jeden Fall oft das Wort 'JFR' und sie hat es definitiv runtergeladen. Leider haben sich da auch 2 Log Files wohl verschlungen.

Ich habe sogar die Schritte mit ihr zusammen gemacht und mir auch alles besorgt, obwohl ich es nicht benötige und meinem PC eventuell damit schade.
Doch der hat eh das Betriebssystem XP, ist ein älteres Modell, hat sich bald erledigt und anders können wir es nicht machen. Weil wenn sie mir nur alles vorliest, kann ich damit nichts anfangen – muss es selber sehen und ausführen.

Okay, nachgeschaut. Jetzt ist das vom AdwCleaner da, Malwarebytes ist ein Bericht nicht auffindbar, Farbar's Recovery einmal ohne und einmal mit Addition da.
Jau, JRT. Ich krieg die Krise. Gestern war ein Editor mit diesem Namen aber geöffnet.
Kann man den denn noch finden?

Mach es nicht kompliziert, einfach das was in den Anleitungen steht ;)

Zum besseren Überblick frische FRST Logs bitte :)

FRST Logfile:

FRST Logfile:

FRST Logfile:
--- --- ---

--- --- ---

--- --- ---



FRST Logfile:

FRST Logfile:

FRST Logfile:
--- --- ---

--- --- ---

--- --- ---

Gut, Kontrollscan mit ESET bitte


ESET Online Scanner

• Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
• Lade und starte Eset Online Scanner
• Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
• Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
• Klicke auf Starten.
• Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
• Klicke am Ende des Suchlaufs auf Fertig stellen.
• Schließe das Fenster von ESET.
• Explorer öffnen.
• C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
• Logfile hier posten.
• Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
• Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

Anti-Virus-Programm deaktivieren - also bei mir Avira.
Auch Malwarebytes?

Ja bitte alles beenden

Neues Problem - was sonst :headbang:

Das mit dem Online Scanner hat man gemacht, aber finden nun den lokalen Datenträger nicht.

Habe meiner Mutter gesagt, mit der rechten Maustaste auf Start, dann Windows Explorer und unter Computer müsste dieser Datenträger sein, doch ist er anscheinend nicht. Da steht zwar wohl 'C:', aber lässt sich nichts anklicken. Keine Ahnung!
Kann man irgendwie anders auf den zugreifen? Habe bereits gegoogelt - da sehe ich jedoch nur diese Vorgehensweise wie vorher beschrieben.

Sry das Problem deiner Mutter versteh ich nicht, ich kann nicht mehr sagen was in der Anleitung auch steht :D

Eine Idee hab ich ber, sag ich mal sie soll die Eigabeaufforderung öffnen (unter Start, alle Progamme, Zubehör, wenn sie es nicht findet einfac Suchen)

Wenn das schwarze Konsolefenster auf ist diesen Befehl eintippen:

Und mit Enter ausführen. Dann sollte das gewünschte Log zu sehen sein.

Okay, ich funke sie in 5 Minuten mal an :)

Ich habe das auf meinem Rechner alles gefunden, aber mit Windows 7 kenne ich mich nicht wirklich aus - nur mit XP.
Melde mich dann gleich nochmal.

Da kommt: Das System kann den angegebenen Pfad nicht finden.
Tja, lebt man wohl eben weiter mit dem Virus. Ist das ärgerlich und ich kapiere es nicht.

Nachtrag: Jetzt habe ich gesagt, dass sie so ne leere Editor-Seite aufrufen soll und dann unter 'Öffnen', aber wegen dem Betriebssystem ist es natürlich anders.
Ich muss einfach unter BOOT ( C: ) klicken, dann auf Programme gehen und schon habe ich den ESET-Ordner - bei ihr geht das leider nicht so.

Ja dann habt genau die falsche Reihenfolge genommen! Erst Programm löschen, dann ist auch das Log weg, und anschließend Log rausfisch und posten kann nicht funktionieren!

Dann müsst ihr ESET nochmal laufen lassen

http://img.trojaner-board.de/alle-lo...-alle-logs.png

Hey!

Glaubst Du uns wahrscheinlich eh nicht, aber warum sollten wir einen vom Pferd erzählen - damit ist ja keinem geholfen und Mama will schließlich alles was schädlich ist loswerden.

So wie Du es gestern um 14:44 Uhr beschrieben hast, haben wir es gemacht und nicht den Installer gelöscht, sondern erst dann nach dem Log gesucht. Wir saßen lange Zeit dran um den zu finden und hat eben nicht geklappt.
Und diesen Screenshot haben wir ebenfalls zur Hilfe genommen, doch da fehlte links bei ihr 'Lokaler Datenträger'.
Diesen ESETSmartInstaller haben wir bis heute drauf.

Und okay, dann wieder Firewall und alle Virenprogramme deaktivieren.
Diesen ESET kann man doch noch verwenden oder muss man den erst deinstallieren und neu downloaden?

Das ist doch nur das Namensschild, eine Volume-Bezeichnung die völlig irrelevant und hier nur ein Beispiel ist! Ausschlaggebend ist Laufwerk C das normalerweise das Systemlaufwerk von WIndows ist.

Wir haben jetzt nicht verrückt nach lokalen Datenträger geschaut, sondern nach diesem schönen C:, was sich einfach nicht finden lässt.

Vor ca. 2 Stunden oder so haben wir das mit dem ESET wieder gemacht, aber der Log lässt sich nicht finden. Sie soll es gleich nochmal mit der Eingabeaufforderung probieren.

Bearbeitung: Na rate mal, na rate mal, ob es funktioniert hat? Nö, richtig!
Sorry, doch irgendwann gibt es deswegen noch einen Familienstreit :-o

Montag fahre ich zu ihr und dann schaue ich mir das mal an. Bis dahin hast Du Ruhe vor uns ;)

Hallo!

Hab mich vertan mit Montag - sollte eigentlich Mittwoch heißen.

So, hier aber endlich...

Das sind nur isolierte Objekte.

TFC - Temp File Cleaner

Lade dir TFC (TempFileCleaner von Oldtimer) herunter und speichere es auf den Desktop.

• Öffne die TFC.exe.
  Vista und Win 7 User mit Rechtsklick "als Administrator starten".
• Schließe alle anderen Programme.
• Drücke auf den Button Start.
• Falls du zu einem Neustart aufgefordert wirst, bestätige diesen.

Sieht soweit ok aus :daumenhoc

Wegen Cookies und anderer Dinge im Web: Um die Pest von vornherein zu blocken (also TrackingCookies, Werbebanner etc.) müsstest du dir mal sowas wie MVPS Hosts File anschauen => Blocking Unwanted Parasites with a Hosts File - sinnvollerweise solltest du alle 4 Wochen mal bei MVPS nachsehen, ob er eine neue Hosts Datei herausgebracht hat. Ist aber nur optional. Um Usertracking zu verhindern kann man gut die Firefox-Erweiterung Ghostery verwenden.

Info: Cookies sind keine Schädlinge direkt, aber es besteht die Gefahr der missbräuchlichen Verwendung (eindeutige Wiedererkennung zB für gezielte Werbung o.ä. => HTTP-Cookie )

Ansonsten gibt es noch gute Cookiemanager, Erweiterungen für den Firefox zB wäre da CookieCuller
Wenn du aber damit leben kannst, dich bei jeder Browsersession überall neu einzuloggen (zB Facebook, Ebay, GMX, oder auch Trojaner-Board) dann stell den Browser einfach so ein, dass einfach alles beim Beenden des Browser inkl. Cookies gelöscht wird.

Ist dein System nun wieder in Ordnung oder gibt's noch andere Funde oder Probleme?

TFC runtergeladen. Bei meiner Mutter hat er keinen Neustart durchgeführt – nur bei mir.
Doch Du hast ja geschrieben: 'falls' der verlangt wird.

Hm, also Probleme gab es seit dem 25.03. nicht mehr so wirklich.
Das Schlimmste waren ja diese UFO's, die auf Programme, Downloads geschossen haben, sie damit löschten und später stand dann:
GAME OVER.

Hast Du denn eine (richtige) Gefahr für den PC gesehen?

Ich habe das eigentlich bei meiner Mutter so eingestellt, dass diese Cookies, der Cache nach der Sitzung gelöscht werden und auch keine Chronik angelegt wird durch Firefox – jetzt wurde irgendwie aber alles wieder zurückgesetzt, doch das kann man ja erneut ändern.
Und beim CCleaner sind ja fast überall Häkchen gesetzt – unter Windows und Anwendungen.

Sollte meine Mutter denn dieses Malwarebytes behalten und da immer die Datenbank aktualisieren? Avira ebenfalls lassen?

Und noch eine Frage. Der TR/BProtector steckt bei Avira noch in der Quarantäne. Kann man den nun löschen?

Malwarebytes ist gut, lass das drauf, einmal inder Woche nen Quickscan machen. Avira? Nein Danke!



Tipps




Was habt ihr alle immer nur mit der Quarantäne? :wtf:
Überleg doch mal was eine Quarantäne ist - ob da die schädliche Datei drinbleibt oder nicht, das hat keine Auswirkungen. Schädlinge in der Quarantäne können nichts mehr anrichten, sie sind dort isoliert. Du solltest grundsätzlich mit der Quarantäne arbeiten, denn falls der Virenscanner durch einen Fehlalarm was wichtiges löscht, kannst Du notfalls noch über die Quarantäne an die Datei ran.

Also enttäuscht bin ich von Avira auch, aber an diese Toolbar habe ich jetzt nicht unbedingt gedacht, obwohl die mir schon unter Software aufgefallen ist. Und wenn ich sowas schon lese, schrecke ich eigentlich auf.
Wir hatten nämlich mal so eine Delta Search Toolbar, die hat nur Unsinn gemacht, wenn man was in der Suchmaschine eingegeben hat.
Mich störte an Avira, dass das unerwünschte Programm einfach weiter ausgeführt wurde und sich überhaupt nicht sofort stoppen ließ oder sehe ich das wieder falsch :-o
Avira können wir mit dem Revo Uninstaller löschen oder reicht es ganz einfach unter Systemsteuerung, Programme deinstallieren?

Nach der Quarantäne fragen glaube ich nur ahnungslose Nutzer?! Aber zum Glück bist Du ja da, der uns dann aufklärt :)
Man muss hier auch eine gewisse Affinität besitzen, was jetzt ganz und gar nicht eine Beleidigung sein soll.
Wir wollen eben nur ein wenig spielen, chatten und in Mamas Fall Bilder, süße Figuren in Gästebücher setzen.
Doch selbst dafür muss der PC ja geschützt sein oder man darf ihn nicht fürs (gefährliche) Internet benutzen.

Also 40 Euro für 1 Jahr ist nicht viel für diese Emsisoft Anti-Malware, wenn sie wirklich so gut ist. Aber wenn dieses Programm dann drauf ist (Emsisoft), sollte Malwarebytes zwar bleiben, aber deaktiviert werden, oder?

Hoffentlich nerve ich Dich nicht und ich will diesen Beitrag auch nicht unnötig verlängern, doch bevor man vielleicht bald wieder hier mit einem Virus oder so auftaucht, wollen wir das doch eher vermeiden :)

Danke Dir jetzt schon mal für Deine Hilfe, cosinus!!!
Und hoffen, dass wir nicht zu anstrengend waren ;)

Malwarebytes kann schon bleiben, es kann auch die Free-Version bleiben, denn es reicht einen wöchentlich Bedrohungsscan zu machen