TR/trash.Gen und Win32.Obitel
 

Hallo Trojaner Board,

wir haben auf einem Firmenrechner ein Problem.
Heute wurde gefunden Win32.Obitel.
CCleaner ausgeführt, Malawarebytes ausgeführt.
Nach etlichen Neutstarts nun auch TR/Trash.Gen gefunden.

Vor ein paar Tagen wurde auf einem anderen Firmenrechner WinNT.Medisys gefunden und erfolgreich entfernt. (Hatte hier im Forum gepostet http://www.trojaner-board.de/search....archid=1820027 aber leider keine Hilfe bekommen, ist einfach zuviel los hier ;))

Ich hoffe mir kann jemand helfen, Neuaufsetzen ist nur dann ein Thema wenn wirklich nichts mehr geht und würde Arbeit von Monaten zerstören.

Über Hilfe wären wir sehr dankbar.
Hab jetzt noch keine Logs etc. gepostet - warte auf Anweisungen um alles richtig zu machen.

Als Background info kann man noch sagen, Microsoft Security Essentials hat den Win32.Obitel gefunden und Antivir den TR/trash.gen.

Danke vorab! Bitte helft!

Hallo und :hallo:

Was sagt die EDV dazu? Oder bist Du der Admin oder gibt es gar keine EDV bei Euch? ;)

Ähm, gibt es keine Backups? Dann habt Ihr aber ein grundsätzliches Problem :balla:

Hallo Cosinus,

danke für die Willkommensgrüße.

Unsere EDV ist leider nicht sehr flexibel (freundlich ausgedrückt).
Da Sie wissen das wir ein wenig versiert sind und viele Probleme selber lösen halten die sich gerne bedeckt. Wir sind eine kleine Außenstelle und die EDV Abteilung liegt 400KM entfernt. Wir bzw. ich habe Vollzugriff und bin befugt solche Probleme auch selber zu lösen.

Und zu deinem 2ten. Punkt, leider nein es gibt keine Backups. Ist schon oft bemängelt worden aber bis dato hat sich nichts geändert. Klar sind unsere Server gesichert aber die lokalen PC der einzelnen MA's leider nicht.

...

Um nochmal auf das Problem zurück zu kommen :)
Wie Ihr aus meinem anderen Thread entnehmen könnt ist anscheinend ein Problem gelöst. Der Trojaner bei meiner Kollegin scheint nun auch gelöst zu sein.

Ich habe mich an eure Anleitungen gehalten, CClean und Malawarebytes durchgeführt. Hatte leider nicht den gewünschten Erfolg.

Nun zum Kuriosen, also CC und MALA ausgeführt. Microsoft Security Essentials meldet Trojan Win32.Obitel - irgendwelche Dateien im TEMP Ordner. Diese wurden jedesmal erfolgreich gelöscht, doch nach einem Neustart waren diese auf einmal wieder da. Das Spiel habe ich ca. 10mal gemacht.

Auf einmal meldet sich Antivir (zu meiner Schande muss ich gestehen ich dachte der wäre bereits deinstalliert). Antivir meldet TR/trash.Gen gefunden und eliminiert.

Auf einmal kommen auch keine neuen Meldungen bei dem Microsoft tool.
Also nochmal CC und Malawarebytes ausgeführt. Vollscan Microsoft Security Essentials, Voll Scan Antivir, Vollscan Online Trendmicro Housecall.
Nichts mehr zu finden - scheint alles weg zu sein, hmmm

Ich traue dem Braten noch nicht wirklich, was kann ich posten um sicher zu gehen das diese Schädlinge tatsächlich weg sind?

Gruß und Danke

Das ist natürlich doof. Dann würde ich vorschlagen, bevor man da irgendwas bereinigt, macht ein Image des Systems, sodass man notfalls noch zurück kann. Geht mit Acronis, DriveSnapshot oder Driveimage XML

Bitte alle Logs posten!
Mach auch bitte welche mit OTL und poste sie:

Systemscan mit OTL

Lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop

• Doppelklick auf die OTL.exe
• Vista User: Rechtsklick auf die OTL.exe und "als Administrator ausführen" wählen
• Oben findest Du ein Kästchen mit Output. Wähle bitte Minimal Output
• Unter Extra Registry, wähle bitte Use SafeList
• Klicke nun auf Run Scan links oben
• Wenn der Scan beendet wurde werden 2 Logfiles erstellt
• Poste die Logfiles hier in den Thread.

Hi Cosinus,

angehängte Dateien sind mbam logs und rsit logs.
Mache jetzt einen OTL und poste den dann gleich.

danke

Hast Du nur Quickscans gemacht? Gehen keine Vollscans?

So hier noch die OTL logs.
Und mit mbam habe ich nur Quickscans gemacht.
(Ich war der Meinung das hier irgendwo steht das Quick hier ausreicht, hmm)
Mit den Microsoft und Antivir habe ich volle Scans gemacht.

Gut, dann mach Du nochmal nen Vollscan mit malwarebytes. Ich schau mir derweil die Logs an.

Kurzes Feedback

Vollständiger Scan von mbam läuft.
Plötzlich meldet sich Antivir TR/trash.gen gefunden.
Mbam lässt sich nicht aufrufen, erst nachdem ich Antivir gesagt habe in Quarantäne verschieben.
mbam läuft noch

danke soweit

Vollständiger Scan mbam angehängt

Die Logs sind soweit unauffällig. Was aber nicht heißt, dass da nichts mehr Böses ist ;)
Du hast AFAIR auch mit AntiVir und so einiges entfernt, bitte das Log davon posten.

Und nur so als Hinweis: Das AntiVir Personal dürft Ihr so eigentlich nicht auf den kommerziell genutzten PC benutzen. Der Lizenzvertrag untersagt das ausdrücklich, AntiVir PE darf nur rein privat genutzt werden...

Hallo Cosinus,

log von av anbei.

Und ja, thema Antivir ist mir bekannt, deshalb noch meine Äußerung das sollte schon längst deinstalliert sein, was ich somit auch gleich machen werde.

Im Log sind meiner Ansicht nach keine Einträge zu finden , hmm
aber siehe angehängtes Bild - alle Funde sind:
In der Datei 'C:\System Volume Information\_restore{0B43F7A5-B2BB-4AC7-B34B-64307782E00B}\RP153\A0036996.dll'
wurde ein Virus oder unerwünschtes Programm 'TR/Trash.Gen' [trojan] gefunden.
Ausgeführte Aktion: Zugriff verweigern

Gruß Svenler

Hm, hast Du noch ältere Logs? Die im Anhang sind irgendwie nur die ohne Funde :confused:

ich schau die Logs nochmal durch, irgendwo müssen ja noch ältere sein.
Aber wie gesagt ich finde das ganze auch sehr merkwürdig. Das AV Log ist sauber aber mir werden Trojaner (siehe bild) angezeigt.
Der letzte ist ja auch erst aufgetaucht als malware gelaufen ist. Die anderen sind immer dann aufgetaucht wenn gerade ein anderes Virenprogramm lief (also der Microsoft Scanner heute morgen)

Also ganz geheuer ist mir die Sache nicht, melde mich gleich nochmal.

"Update" gerade wieder an den "befallenen" Rechner gesetzt und wieder eine AV fund :

In der Datei 'C:\System Volume Information\_restore{0B43F7A5-B2BB-4AC7-B34B-64307782E00B}\RP153\A0036996.dll'
wurde ein Virus oder unerwünschtes Programm 'TR/Trash.Gen' [trojan] gefunden.
Ausgeführte Aktion: Zugriff verweigern

Und das obwohl die Logs alle keinen Fund melden, Antivir selber meldet keinen Fund wenn ich einen Vollscan durchführe!?!?!?!

Anbei das mbam log indem 5 Registry Funde dokumentiert sind.
Als Bild das Quarantäne Log von mbam und das Microsoft Quarantäne Log.

Vielleicht hilft das!?