|
Windows Security Alert / Mehrere Trojaner gefunden u.a. Trojan-Spy.Win32.GreenScreen Hallo Trojaner-Board, ist mein erstes Mal hier und ich hoffe natürlich, dass man mir hier helfen können wird. Gestern bekam ich zum ersten mal die Meldung von Vista (64bit), dass wohl ein Trojaner gefunden wurde und ich mir PC Antispy runterladen sollte. (was ich bisher noch nicht gemacht hab.) Unter diesen Trojanern ist der im Titel genannte, aber auch noch zwei andere: "Trojan-Spy.HTML.Bankfraud.dq" und "Trojan-Spy.Win32.KeyLogger.aa" Da ich wirklich null erfahrung habe mit Trojanern, möchte ich möglichst von Anfang an auf professionelle Hilfe zurückgreifen. Ich habe vorher schonmal ein wenig gegooglet, wollte aber nichts überstürtzen. Man stößt ja bei der Suche nach Hilfe gegen Trojanern auch auf viel Mist im Netz. Habe wie oben schon erwähnt Windows Vista 64 SP1, habe lediglich Antivir und die WIndowseigene Firewall. An Programmen lasse ich zur Zeit den Trojan Remover durchlaufen (der läuft schon seit gestern Abend - normal?). Ad-Aware habe ich gestern auch schon durchlaufen lassen und natürlich Antivir, beide Programme haben was gefunden, der Security Alert kommt aber immernoch. Bevor ich jetzt noch mehr verschlimmbessere, dachte ich mir, frage ich gleich lieber bei Profis nach, damit ich Schritt für Schritt an die Sache rangehen und nichts falsch machen kann, ich hoffe auf Verständniss. LG Sven |
Hallo Nach meinen bisherigen Erfahrungen laufen rel. wenige Bereinigungstools auf Vista 64. Aber acker diese Punkte für weitere Analysen ab: 1.) Poste ein Hijackthis Logfile, nimm dazu diese umbenannte hijackthis.exe 2.) Deaktiviere die Systemwiederherstellung, im Verlauf der Infektion wurden auch Malwaredateien in Wiederherstellungspunkten mitgesichert - die sind alle nun unbrauchbar, da ein Zurücksetzen des System durch einen Wiederherstellungspunkt das System wahrscheinlich wieder infizieren würde. 3.) Führe dieses MBR-Tool aus und poste die Ausgabe 4.) Blacklight und Malwarebytes Antimalware ausführen und Logfiles posten 5.) ComboFix Ein Leitfaden und Tutorium zur Nutzung von ComboFix
Combofix darf ausschließlich ausgeführt werden wenn ein Kompetenzler dies ausdrücklich empfohlen hat!Hinweis: Combofix verhindert die Autostart Funktion aller CD / DVD und USB - Laufwerken um so eine Verbeitung einzudämmen. Wenn es hierdurch zu Problemen kommt, diese im Thread posten. Poste alle Logfiles bitte mit Codetags umschlossen (#-Button) also so: HTML-Code: [code] Hier das Logfile rein! [/code] |
Ok, ich fang dann mal von oben an, poste alles nach und nach. Bei HJT gabs Probleme. Das Prog hat mir gesagt, ich solle es nochmal als Administrator ausführen, komischerweise kann ich es nach rechtsklick nicht auswählen, scheinbar nur bei dieser Datei. Hier der HJT Logfile: Code: Logfile of Trend Micro HijackThis v2.0.2Da ich den Volumenschattendienst deaktiviert habe, läuft die Systemwiederherstellung wohl sowieso nicht. Falls ich da was ändern soll, bitte mitteilen. MBR Ausgabe: Code: Stealth MBR rootkit detector 0.2.4 by Gmer, http://www.gmer.netBlacklight: Code: 08/28/08 21:11:07 [Info]: BlackLight Engine 1.0.70 initializedMalwarebytes Antimalware: Code: Malwarebytes' Anti-Malware 1.25So, Combofix mach ich jetzt, poste ich dann später. |
Habe Combofix ausprobiert, es startet aber unter Vista nicht, gibt wohl Kompatibilitätsprobleme. Bekomme auch angezeigt, dass es nur unter Win 2000 und XP läuft. |
Mit Vista ist das so ne Sache und erst recht mit dem Vista64. Benenn mal die hijackthis.exe in pruef.exe um und führt es als Admin über nem Rechtsklick aus. Das funktioniert nach meinen Erfahrungen bisher nur mit exe-Files aber nicht wenn die Datei die Endung *.com hat. Für 64 Bit-OS gibt es ein extra Filelistingtool führ das mal aus und poste die Ausgabe. Lad die Datei vom listing notfalls gezippt bei file-upload.net hoch und verlink es hier, da manche Dateien zu groß für dieses Board sein können. |
Code: Volume in Laufwerk C: hat keine Bezeichnung.Code: Volume in Laufwerk C: hat keine Bezeichnung. |
system32 + SysWOW64 Ausgabe zum download, da zu groß: h**p://www.file-upload.net/download-1076177/system32.txt.html h**p://www.file-upload.net/download-1076181/SysWOW64.txt.html Code: Volume in Laufwerk C: hat keine Bezeichnung.Code: Volume in Laufwerk C: hat keine Bezeichnung.Code: Volume in Laufwerk C: hat keine Bezeichnung.Code: Volume in Laufwerk C: hat keine Bezeichnung.Hoffe, das ist alles richtig so. Was ist mit dem Combofix Problem? Gibts da ne 64bit Version? LG |
Ich vermute da gibs (noch) kein Combofix64. :rolleyes: Wie ist denn momentan der Zwischenstand? Ist das Zitat:
|
Also das Warnfenster ist nicht mehr aufgetaucht. Es gab da noch unter den Autostartprogrammen so 2-3, die sehr seltsame Namen hatten und mir nicht bekannt waren. Als ich die deaktiviert hatte, kam die Warnmeldung auch schon nicht mehr. |
Sorry für Doppelpost. Wie soll ich nun weiter vorgehen? Oder kann ich davon ausgehen, dass es so ne Art Fake Warnmeldung war um Werbung für Antiviren bzw. Antimalware Programme zu machen? |
Zitat:
Mag wohl daran liegen, dass es ein Vista64 ist, so vemute ich mal. Das tickt ein wenig anders als ein 32-Bit-Windows, daher hat man da auch (leider) rel. wenig Möglichkeiten mit den Bereinungstools, die scheinen alle inkompatibel mit Vista64 zu sein...werd das vllt mal zur Diskussion stellen. ;) |
Ja, das gute 64bit. Mittlerweile bereuhe ich es auch, mich damals nicht anders entschieden zu haben. Aber was solls, vielen Dank für die Hilfe jedenfalls! Das Warnfenster war schon nervig und wenns nur ein Fake war, umso besser. Danke! |
Achso, hab den Strang für die Diskussion erstellt, falls es Dich interessiert: http://www.trojaner-board.de/58947-a...t-windows.html |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 01:51 Uhr. |
Copyright ©2000-2025, Trojaner-Board