TR/Crypt.XPACK.Gen wird nicht gelöscht
 

Hallo liebe Trojaner-Board Community,

ich habe seit gestern das Problem das Antivir herummeckert wegen dem Trojaner: TR/Crypt.XPACK.Gen

Die Dateien die erstellt werden sind 2 .exe Dateien mit als Bezeichnung Nummern haben.

Beide .exe Dateien entstehen in dem Ordner "C:\Dokumente und Einstellungen\****\Lokale Einstellungen\Temp"

Manchmal entstehen sie auch in dem Ordner "C:\WINDOWS\Temp"

Dann zeigt er mit noch mal den Trojaner bei einer .htm Datei an die sich im C:\Dokumente und Einstellungen\****\Lokale Einstellungen\Temporary Internet Files\Content.IE5" befindet. Sie heißt meistens "cd[1].htm.

Wenn ich Sie lösche sind die nicht mehr da. Aber nach einer weilen kommt die Meldung wieder. Habe schon mit Antivir einen Komplettscan und auch mit Lavasoft Ad-Aware einen Vollständigen Scann gemacht. Alle Dateien die angezeigt wurden haben ich gelöscht. Die waren sicher nicht von Windows, alleine schon wegen der Bezeichnung. Aber dieser Fehler ist halt immer noch da.

Ich habe mal mit HijackThis ein Log erstellt:

Hoffe dafür gibt es ein Programm, mit dem man das entfernen kann. Danke schon mal an euch!

mfG darkmaker

Hallo und :hallo:

Acker diese Punkte für weitere Analysen ab:

1.) Stell sicher, daß Dir auch alle Dateien angezeigt werden, danach folgende Dateien bei Virustotal.com auswerten lassen und alle Ergebnisse posten, und zwar so, daß man die der einzelnen Virenscanner sehen kann. Bitte mit Dateigrößen und Prüfsummen:
2.) Deaktiviere die Systemwiederherstellung, im Verlauf der Infektion wurden auch Malwaredateien in Wiederherstellungspunkten mitgesichert - die sind alle nun unbrauchbar, da ein Zurücksetzen des System durch einen Wiederherstellungspunkt das System wahrscheinlich wieder infizieren würde.

3.) Führe dieses MBR-Tool aus und poste die Ausgabe

4.) Blacklight und Malwarebytes Antimalware ausführen und Logfiles posten

5.) Führe Silentrunners nach dieser Anleitung aus und poste das Logfile (mit Codetags umschlossen), falls es zu groß sein sollte kannst Du es (gezippt) bei file-upload.net hochladen und hier verlinken.

6.) ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

• Lade dir das Tool hier herunter auf den Desktop -> KLICK

Das Programm jedoch noch nicht starten sondern zuerst folgendes tun:

• Schliesse alle Anwendungen und Programme, vor allem deine Antiviren-Software und andere Hintergrundwächter, sowie deinen Internetbrowser.
  Vermeide es auch explizit während das Combofix läuft die Maus und Tastatur zu benutzen.

• Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

• Starte nun die combofix.exe von deinem Desktop aus, bestätige die Warnmeldungen und lass dein System durchsuchen.

• Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte abkopieren und in deinen Beitrag einfügen. Das log findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Hinweis: Combofix verhindert die Autostart Funktion aller CD / DVD und USB - Laufwerken um so eine Verbeitung einzudämmen. Wenn es hierdurch zu Problemen kommt, diese im Thread posten.

Poste alle Logfiles bitte mit Codetags umschlossen (#-Button) also so:

7.) Mach auch ein Filelisting mit diesem script:

• Script abspeichern per Rechtsklick, speichern unter auf dem Desktop
• Doppelklick auf listing8.cmd auf dem Desktop
• nach kurzer Zeit erscheint eine listing.txt auf dem Desktop

Diese listing.txt z.B. bei File-Upload.net hochladen und hier verlinken, da dieses Logfile zu groß fürs Board ist.

8.) Poste ein neues Hijackthis Logfile, nimm dazu diese umbenannte hijackthis.exe - editiere die Links und privaten Infos!!

Hi,

also ich kann das erste nicht machen mit den Alle dateien anzeigen lassen, da mir der Eintrag fehlt Ordneroptionen.

Daher habe ich auch nur die eine Datei gefunden: C:\WINDOWS\system32\jsne87fidgf.dll

Wie kann ich es noch hinkriegen, dass mir das Menü gezeigt wird wo ich die Ordneroptionen sehen kann. Unter Systemsteuerung ist es nicht vorhanden. Und wenn ich es unter der Registry einstellen will wie ich es hier gelesen habe:

http://www.pcwelt.de/forum/windows-xp-server-2003/307290-ordneroptionen-lassen-anzeigen-2.html

sagt er mir immer:

Das Bearbeiten der Registrierung wurde durch den Administrator deaktiviert.

Aber ich habe das nie gemacht bzw. wie aktiviere ich das wieder?

Ich weiß nicht ob ich die weiteren schritte machen kann, da die versteckten Dateien ja nicht angezeigt werden und die ja auch mitgescannt werden müssen.

Danke

mfG darkmaker

Das ist eine reine Ansichtsoption. Die versteckten Dateien werden sonst immer berücksichtigt.

Kopiere am besten den kompletten Pfad zu den Dateien bei Virustotal direkt rein, oder die Datei auszuwählen, einfach via copy and paste.

also die restlichen Dateien sind auch nicht mehr da. Also habe den kopletten Pfad eingetragen aber die Dateien wurden nicht gefunden. Auch mit der Suchfunktion wurden sie nicht gefunden. Ich werde mal einfach deine Liste abarbeiten. Vielleicht ergibt sich ja was neues bei dem letzten HijackThis Scan.

Gruß darkmaker

Genau, überspung diesen Punkt erstmal, das ist besser als sich da bei Kleinigkeiten aufzuhalten. :killpc:

Hallo,

so habe jetzt alle punkte abgearbeitet. Habe jetzt das mit der Anzeige von Ordneroptionen behoben. Aber punkt 7. konnte ich nicht ausführen bzw. hat er keine Textdatei erzeugt, weil er immer den Pfad nicht gefunden hat.

Hier die anderen Ergebnisse:

1. Virustotal.com
3. MBR-Tool

4. Malwarebytes

5. Silent Runner

6. Combofix

8. Hijackthis

Ist der Virus jetzt weg? Oder muss noch was gemacht werden?

Danke schon mal für die schnelle Hilfe!

Gruß darkmaker

Boah hast Du da viel Malware gehabt! Und da ist immer noch einiges! :mad:

Combofix - Scripten

1. Starte das Notepad (Start / Ausführen / notepad[Enter])

2. Jetzt füge mit copy/paste den ganzen Inhalt der untenstehenden Codebox in das Notepad Fenster ein.

3. Speichere im Notepad als CFScript.txt auf dem Desktop.

4. Deaktivere den Guard Deines Antivirenprogramms und eine eventuell vorhandene Software Firewall.
(Auch Guards von Ad-, Spyware Programmen und den Tea Timer (wenn vorhanden) !)

5. Dann ziehe die CFScript.txt auf die ComboFix.exe, so wie es im unteren Bild zu sehen ist. Damit wird Combofix neu gestartet.

http://users.pandora.be/bluepatchy/m...s/CFScript.gif

6. Nach dem Neustart (es wird gefragt ob Du neustarten willst), poste bitte die folgenden Log Dateien:
Combofix.txt

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann!

===

Wegen Filelinsting: Versuch es so: Geh in Arbeitsplatz / Extras / Ordneroptionen / Ansicht - dort den Haken rausnehmen bei "Erweiterungen bei bekannten Dateitypen ausblenden", fortan werden Dir bei (fast) allen Dateien auch die Endungen angezeigt.

Stell dann sicher, dass mein CMD-Scrript auch tatsächlich dann die Endung .CMD hat und kein .TXT oder so. Sie sollte dann dieses Symbol haben

http://mitglied.lycos.de/efunction/tb/img/cmdsymbol.PNG

Danach sollte durch ein Doppelklick das Script auch ausgeführt werden.

Hi,

also habe das mit dem Combofix noch mal aufgeführt mit der Textdatei.

Aber das mit dem Filelisting hat mit dienem Script immer noch nicht geklappt. Es hat die Endung .cmd und wird auch als das Symbol angezeigt die du oben hast. Aber wenn ich es ausführe dann öffnet sich die MS-Dos Eingabeaufforderung und schließt sich sofort wieder. wenn ich MS-Dos manual starte und dann die Datei auführe dann sehe ich die befehle und dann steht da immer das er den Pfad nicht gefunden hat.

Habe mal nochmal Antivir laufen lassen. Der hat noch 45 Infektionen erkannt. habe mal auch die Log hochgeladen.

Danke schon mal für deine Hilfe.

Gruß darkmaker

Sagmal, hast Du auch wirklich die Systemwiederherstellung deaktiviert? Wenn ja, dann wären da nicht so viele Funde im Ordner System Volume Information! :twak:

Hast Du dir diesen FTP-Server installiert? :rolleyes:

Und was sind das für Dinger? Vor allen in diesen Verzeichnissen ist AntiVir fündig geworden! :pfui:

Hey,

ne ich habe den Haken wieder weggemacht, nachdem ich es eingfügt hatte. weil es so in der Anleitung stand. Habe alle Schritte von oben noch mal ausgeführt. habe die Logs hier hochgeladen:

Das Programm Serv-U habe ich deinstalliert. Und auch ander Software die ich nicht brauchte gelöscht.

Ist immer noch malware drauf? Danke

Gruß darkmaker

Was soll ich davon halten? :rolleyes:
Welche Gründe gibt es, den FTP-Server so zu benennen? (keine Angst ich wüsste einen, den will ich Dir aber jetzt mal nicht unterstellen)

Diesen verkrüppelten Dienst entfernen über die Konsole mit dem Befehl sc delete GXMF

Er Stammt wohl von Malware, doch die Executable für diesen Dienst wurde wahrscheinlich schon entfernt.

Diese Ordner sehen komisch aus => Am besten löschen. Die sollten auch leer sein.

hallo,

habe die besagten Ordner gelöscht. Die waren alle leer gewesen. Bis jetzt sind keine weiteren Fehler aufgetreten bzw. Warnungen. Vielen Dank root24. Du warst meine Rettung.

Schönen Tag noch.

Gruß darkmaker