Trojaner-Board - Problem mit SYSTEM SECURITY ANTIVIRUS

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - Problem mit SYSTEM SECURITY ANTIVIRUS (https://www.trojaner-board.de/99334-problem-system-security-antivirus.html)

Fixen mit OTL

Starte bitte die OTL.exe.
Vista und Win7 User mit Rechtsklick "als Administrator starten"
Kopiere nun den Inhalt der Folgenden Codebox in die http://larusso.trojaner-board.de/Images/otlfix.jpg Textbox.

Code:

:OTL

:files

C:\Programme\WebRebates4\webrebates.exe

C:\Programme\WebRebates4\w11150.exe

C:\Programme\WebRebates4

C:\Programme\Web_Rebates
 

:reg

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"WebRebates"=-

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"WebRebates0"=- 

[HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache]

"C:\Programme\WebRebates4\webrebates.exe"=-

[HKEY_USERS\S-1-5-21-56174256-3997779108-1306931041-1007\Software\Microsoft\Windows\ShellNoRoam\MUICache]

"C:\Programme\WebRebates4\webrebates.exe"=-
 

:Commands

[purity]

[emptytemp]

Schliesse bitte nun alle Programme.
Klicke nun bitte auf den Fix Button.
OTL kann gegebenfalls einen Neustart verlangen. Bitte dies zulassen.
Nach dem Neustart findest Du ein Textdokument auf deinem Desktop.
( Auch zu finden unter C:\_OTL\MovedFiles\<time_date>.txt)
Kopiere nun den Inhalt hier in Deinen Thread

All processes killed
========== OTL ==========
========== FILES ==========
File\Folder C:\Programme\WebRebates4\webrebates.exe not found.
C:\Programme\WebRebates4\w11150.exe moved successfully.
C:\Programme\WebRebates4\websrebates\webtrebates folder moved successfully.
C:\Programme\WebRebates4\websrebates\websrebates folder moved successfully.
C:\Programme\WebRebates4\websrebates\Images folder moved successfully.
C:\Programme\WebRebates4\websrebates\Html folder moved successfully.
C:\Programme\WebRebates4\websrebates folder moved successfully.
C:\Programme\WebRebates4\webdrebates\HP_Besitzer folder moved successfully.
C:\Programme\WebRebates4\webdrebates folder moved successfully.
C:\Programme\WebRebates4\webarebates folder moved successfully.
C:\Programme\WebRebates4 folder moved successfully.
========== REGISTRY ==========
Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\\WebRebates not found.
Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\\WebRebates0 not found.
Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache\\C:\Programme\WebRebates4\webrebates.exe deleted successfully.
Registry value HKEY_USERS\S-1-5-21-56174256-3997779108-1306931041-1007\Software\Microsoft\Windows\ShellNoRoam\MUICache\\C:\Programme\WebRebates4\webrebates.exe not found.
========== COMMANDS ==========

[EMPTYTEMP]

User: Administrator
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes

User: All Users

User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes

User: HP_Besitzer
->Temp folder emptied: 622878624 bytes
->Temporary Internet Files folder emptied: 328082 bytes
->Java cache emptied: 157726 bytes
->FireFox cache emptied: 86332094 bytes
->Flash cache emptied: 975 bytes

User: LocalService
->Temp folder emptied: 65716 bytes
->Temporary Internet Files folder emptied: 33170 bytes

User: NetworkService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes

%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32\dllcache .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 2967862 bytes
RecycleBin emptied: 4460942 bytes

Total Files Cleaned = 684,00 mb

OTL by OldTimer - Version 3.2.22.3 log created on 05262011_185600

Files\Folders moved on Reboot...

Registry entries deleted on Reboot...

Schritt 1

Starte bitte OTL.exe und drücke den Quick Scan Button.
Poste die OTL.txt hier in deinen Thread.

Schritt 2

Wie läufts?

Es läuft wieder superklasse! :) Gibt auch keine Schwierigkeiten mehr beim Hochfahren. Ich hoffe auf morgen, aber heute wars super! Danke!

Sorry dass ich noch nicht geantwortet habe. Viel Arbeit zur Zeit :) Antwort kommt heute Abend.

Logfile ist sauber :daumenhoc

Hier noch die letzten paar Schritte zur Säuberung Deines Rechners.

Schritt 1

Bitte vor der folgenden Aktion wieder temporär Antivirus-Programm, evtl. vorhandenes Skript-Blocking und Anti-Malware Programme deaktivieren.

Windows-Taste + R drücke. Kopiere nun folgende Zeile in die Kommandozeile und klicke OK.

Code:

Combofix /Uninstall

http://larusso.trojaner-board.de/Images/CFuninstall.jpg

Damit wird Combofix komplett entfernt und der Cache der Systemwiederherstellung geleert, damit auch aus dieser die Schädlinge verschwinden.

Nun die eben deaktivierten Programme wieder aktivieren.

Schritt 2

Tool CleanUp

Starte bitte die OTL.exe.
Klicke nun auf den Bereinigung Button. Dies wird die meisten Tools und Logfiles entfernen.
Sollte denoch etwas bestehen bleiben, bitte manuell entfernen sowie den Papierkorb leeren.

Schritt 3

Automatische Updates

Sehen wir nach ob die Updates für Windows sich automatisch downloaden. Das ist der beste Weg um all die Sicherheits- Patches und Fixes zu erhalten.

Windows + R Taste drücken. Kopiere nun folgenden Text in die Kommandozeile

RunDll32.exe shell32.dll,Control_RunDLL wscui.cpl

und klicke auf OK.
Stelle sicher das die automatischen Updates aktiviert sind.

Schritt 4

Um Dich für die Zukunft vor weiteren Infizierungen zu schützen empfehle ich Dir noch ein paar Programme.

SpywareBlaster
Eine kurze Einführung findest du Hier
MalwareBytes Anti Malware
Dies ist eines der besten Anti-Malware Tools auf dem Markt. Es ist ein On- Demond Scan Tool welches viele aktuelle Malware erkennt und auch entfernt.
Update das Tool und lass es einmal in der Woche laufen. Die Kaufversion biete zudem noch einen Hintergrundwächter.
Ein Tutorial zur Verwendung findest Du hier.
Hinweis: MBAM ersetzt keine Anti- Viren- Software.
Temp File Cleaner
TFC ist ein wirklich starkes Tool zum entfernen von Temp Dateien vom IE und WIndows, leert den Papierkorb und noch viel mehr.
Ausserdem hilft es Deinen Computer zu beschleunigen.
Du kannst Dir TFC ( by OldTimer ) hier downloaden.
MVPs hosts file
Ein Tutorial findest Du hier. Leider habe ich bis jetzt kein deutschsprachiges gefunden.
Halte Dein System aktuell
Ich kann gar nicht oft genug betonen, wie wichtig es ist, dass der PC auf dem aktuellsten Stand der Dinge ist.
Es werden oft genug Sicherheitslücken in Windows eigenen Anwendungen gefunden. Diese "Löcher" gehören entfernt, weil Angreifer diese womöglich nutzen um unauthorisiert auf Dein System zu zugreifen.
Jeden zweiten Dienstag im Monat ist Update Tag. Besuche bitte dazu die Microsoft Update Seite.
Halte Deine Software aktuell
Der einfachste Weg dafür ist der Secunia Online Software.

Schritt 5

Tipps für sicheres Surfen

Das sind meine Vorschläge.
Verwende einen alternativen Browser statt den IE.
Ich empfehle Mozilla Firefox.

Für Firefox gibt es verschiedenste AddOns um sicher durch das WWW zu kommen.

NoScript
Dieses AddOn blockt JavaScript, Java and Flash und andere Plugins. Sie werden nur dann ausgeführt wenn Du es bestätigst.
AdblockPlus
Dieses AddOn blockt die meisten Werbung von selbst. Ein Rechtsklick auf den Banner um diesen zu AdBlockPlus hinzu zu fügen reicht und dieser wird nicht mehr geladen.
Es spart ausserdem Downloadkapazität.
WOT (Web of trust)
Dieses AddOn warnt Dich bevor Du eine als schädlich gemeldete Seite besuchst.

Don'ts

Klicke nicht auf alles nur weil es Dich dazu auffordert und schön bunt ist.
verwende keine peer to peer oder Filesharing Software (Emule, uTorrent,..)
Lass die Finger von Cracks, Keygens, Serials oder anderer illegaler Software.
Öffne keine Anhänge von Dir nicht bekannten Emails. Achte vor allem auf die Dateiendung wie zb deinFoto.jpg.exe

Nun bleibt mir nur noch dir viel Spass beim sicheren Surfen zu wünschen.

Hinweis: Bitte gib mir eine kurze Rückmeldung wenn alles erledigt ist und keine Fragen mehr vorhanden sind, so das ich diesen Thread aus meinen Abos löschen kann.

wouh das is ja superklasse!!! :Boogie: Vielen vielen lieben Dank für deine Hilfe und deinen Aufwand und deine Zeit und deine Geduld und sowieso für alles!! Wäre ohne dich total aufgeschmissen gewesen!

Ein paar kleine Fragen hätt ich da allerdings noch:

SpywareBlaster: Funktioniert das automatisch oder muss ich das immer starten wenn ich scannen mmöchte?
MalwareBytes: Die Reports trotzdem im Forum posten oder reichts, wenn ich gefundene Objekte lösche?
Kann ich die anderen Programme, die wir benutzt haben deinstallieren?

und wie siehts mit online banking aus? Hab mich seitdem nicht mehr getraut in mein online banking einzusteigen?

so, das wars!! Herzlichsten Dank noch einmal!

das beste und mehr...
vicky

Zitat:

SpywareBlaster: Funktioniert das automatisch oder muss ich das immer starten wenn ich scannen mmöchte?

Musst Du jeweils starten.

Zitat:

MalwareBytes: Die Reports trotzdem im Forum posten oder reichts, wenn ich gefundene Objekte lösche?

Wenn etwas gefunden wird dann sicherheitshalber ein Thread hier eröffnen.

Zitat:

Kann ich die anderen Programme, die wir benutzt haben deinstallieren?

Die meisten sollten schon weg sein mit der Toolbereinigung von OTL welche wir gemacht haben. Den Rest kannst Du löschen.

Zitat:

und wie siehts mit online banking aus? Hab mich seitdem nicht mehr getraut in mein online banking einzusteigen?

Jo das kannst Du durchführen.

ja super. funktioniert wieder alles bestens :) ...vielen lieben dank, dir noch einmal! super arbeit! ich bin überglücklich!!

alles liebe,
vicky

Gern geschehen :) UNd viel Spass mit dem sauberen System ;)

Gruss Stefan :)

Ich weiß nicht, ob du den Thread schon aus deinen Abos gelöscht hast, aber ich versuchs trotzdem:

Heute starte ich meinen PC und mein Avira Antivirus Program schlägt an und zeigt folgende Meldung:

"TR/Krazy.25000.80 Trojan"

Ich klicke auf "Deny access" und die Warnung schlägt wieder an, mit dem Vorschlag es zu löschen. Also hab ich das jetzt gelöscht. Heisst das, dass der jetzt weg ist?

Ich könnt durchdrehen und irgendwie ist es mir schon unangenehm, dich wieder damit zu belästigen.

Zu früh gefreut.
Ich hoffe nochmal auf deine Hilfe.
Lg vicky

Du belästigst mich doch nich :)

AntiVir - Funde rauskopieren

Rechtsklick auf den AntiVir-Schirm in der Taskleiste => AntiVir starten => Übersicht => Ereignisse
Typ anklicken, damit die Ereignisse nach Typart sortiert werden.
Jeden Fund markieren (nicht alle Ereignisse, nur Funde) => Rechtsklick auf Funde => Ereignis(se) exportieren
und als Ereignisse.txt auf dem Desktop speichern und den Inhalt hier posten.

Gut! Du bist noch da :)

Diese Warnung kann ich übrigens nicht wegklicken.
Hab auch dieses malwarebyte scan dings gemacht ... schicks dir gleich mit!

vielen dank!

Schritt 1

Dowloade Dir bitte TDSS Killer.exe und speichere die Datei am Desktop.

Schließe alle laufenden Programme.
Trenne dich von Internet.
Deaktiviere deine AntiViren Software.
Starte TDSSkiller.exe mit Doppelklick.
Vista und Win7 User mit Rechtsklick "als Administrator starten"
Drücke auf Start scan.
Mache während dem Scan nichts am Rechner
1. Sollte das Tool keine Funde aufweisen, klicke Close um es zu schließen.
2. Wurde etwas gefunden werden die Funde in Scan results - Select action for found objects angezeigt und geben 3 Auswahlmöglichkeiten.
  Gehe sicher das Cure ( default ) angehackt ist ! Drücke Continue --> Reboot.
Die Logfile ist nach dem Neustart auf deinem Systemlaufwerk ( meist C: ) unter TDSSKiller_version_date_time_log.txt zu finden.
Bitte poste mir den Inhalt hier in deinen Thread.

Bebilderte Anleitung zur Benutzung von TDSSKiller.

Schritt 2

Downloade Dir bitte RKUnhookerLE
und speichere die Datei auf deinem Desktop.

Entpacke die .rar Datei auf deinem Desktop. ( Rechtsklick --> hier entpacken )
Solltes du keine Zip Software auf deinem Rechner haben downloade dir bitte 7zip und installiere es.
Öffne den neuen Ordner und starte die RKU3.8.388.590.exe.
Wähle als Sprache English und installiere RKU im vorgegebenen Pfad.
Trenne Dich vom Internet ( Wlan nicht vergessen ), deaktiviere alle Hintergrundwächter. Besonders den deiner Anti Virensoftware.
Start --> Alle Programme und im Ordner Rootkit Unhooker LE die Datei RKU starten.
Vista und Win7 User mit Rechtsklick "als Administrator starten"
Klicke auf den Report Tab und danach auf Scan
Setze ein Häckchen bei
- Drivers
- Stealth Code
- Files
- Code Hooks
Entferne alle anderen Hacken
Wenn Du gefragt wirst welcher Bereich gescannt werden soll, gehe sicher das deine Systemplatte ( meistens C: ) angehackt ist.
Klicke OK
Wenn der Scan beendet wurde
File --> Save Report
klicken.
Speichere die Datei als RKU.txt auf dem Desktop.
Klicke Close

Hinweis: Solltest Du folgende Warnung bekommen

Zitat:

"Rootkit Unhooker has detected a parasite inside itself!
It is recommended to remove parasite, okay?"

Klicke auf OK

Schritt 3

Falls noch nicht vorhanden, lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop

Starte bitte die OTL.exe.
Vista und Win7 User mit Rechtsklick "als Administrator starten"
Kopiere nun den Inhalt in die http://larusso.trojaner-board.de/Images/otlfix.jpg Textbox.

Code:

netsvcs

drivers32 /all

%SYSTEMDRIVE%\*.*

%systemroot%\system32\*.wt

%systemroot%\system32\*.ruy

%systemroot%\Fonts\*.com

%systemroot%\Fonts\*.dll

%systemroot%\Fonts\*.ini

%systemroot%\Fonts\*.ini2

%systemroot%\system32\spool\prtprocs\w32x86\*.*

%systemroot%\REPAIR\*.bak1

%systemroot%\REPAIR\*.ini

%systemroot%\system32\*.jpg

%systemroot%\*.scr

%systemroot%\*._sy

%APPDATA%\Adobe\Update\*.*

%ALLUSERSPROFILE%\Favorites\*.*

%APPDATA%\Microsoft\*.*

%PROGRAMFILES%\*.*

%APPDATA%\Update\*.*

%systemroot%\*. /mp /s

CREATERESTOREPOINT

%systemroot%\system32\*.dll /lockedfiles

%systemroot%\Tasks\*.job /lockedfiles

%systemroot%\System32\config\*.sav

%systemroot%\system32\user32.dll /md5

%systemroot%\system32\ws2_32.dll /md5

%systemroot%\system32\ws2help.dll /md5

/md5start

explorer.exe

winlogon.exe

wininit.exe

/md5stop

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update\Results\Install|LastSuccessTime /rs

Schliesse bitte nun alle Programme. (Wichtig)
Klicke nun bitte auf den Quick Scan Button.
Kopiere nun den Inhalt aus OTL.txt und Extra.txt hier in Deinen Thread

ok. also Punkt 1 ergab keine Funde.

und die logs sind im Anhang!

lg