Trojaner Befall: TR/Dldr.PELTPOX.A [trojan]
 

Liebes Board,

mein ANTIVIR hat heute Morgen die Warnmeldung rausgegeben, dass die Datei C:\windows\system32\drivers\16566E.sys sei mit dem Trojaner TR/Dldr.PELTPOX.A [trojan] befallen.

Ich wurde gefragt, ob ich den Zugriff verweigern möchte und habe dies bestätigt. Wenige Minuten später war der Admin-Account auf meinem PC völlig zerstört. Sämtliche eigene Dateien, wie auch der komplette Desktop, sowie sämtliche Programme sind gelöscht / verschwunden. Das schlimmste, die Bilder der Familie sind auch alle weg.

Kann mir jemand helfen, wie ich das System wiederherstellen kann bzw. wie ich zumindest an die Dateien komme.

Ich bin sehr dankbar, wenn man mir hier helfen könnte.

Hoffnungsvolle Grüße

Beachbum

hi,
erst mal ruhig durchatmen, ich denke es ist noch alles da :-)
Systemscan mit OTL
download otl:
http://filepony.de/download-otl/

Doppelklick auf die OTL.exe
(user von Windows 7 und Vista: Rechtsklick als Administrator ausführen)
1. Oben findest Du ein Kästchen mit Output. Wähle bitte Minimal Output
2. Hake an "scan all users"
3. Unter "Extra Registry wähle:
"Use Safelist" "LOP Check" "Purity Check"
4. Kopiere in die Textbox:
netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%SYSTEMDRIVE%\*.exe
/md5start
userinit.exe
eventlog.dll
scecli.dll
netlogon.dll
cngaudit.dll
ws2ifsl.sys
sceclt.dll
ntelogon.dll
winlogon.exe
logevent.dll
user32.DLL
explorer.exe
iaStor.sys
nvstor.sys
atapi.sys
IdeChnDr.sys
viasraid.sys
AGP440.sys
vaxscsi.sys
nvatabus.sys
viamraid.sys
nvata.sys
nvgts.sys
iastorv.sys
ViPrt.sys
eNetHook.dll
ahcix86.sys
KR10N.sys
nvstor32.sys
ahcix86s.sys
/md5stop
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
CREATERESTOREPOINT
5. Klicke "Scan"
6. 2 reporte werden erstellt:
OTL.Txt
Extras.Txt
beide posten

Hallo Markusg,

vielen Dank, dass Du Dich meinem Problem annimmst. Es wäre toll wenn die Dateien noch verfügbar sind.

Ich habe Deine Anweisungen befolgt und die beiden Reports angehängt. Ich habe OTL auf dem Benutzerprofil welches nicht vom Trojaner angegriffen wurde erstellt und dort laufen lassen. Ich hoffe das ist ok, da das andere Benutzerprofil fast vollständig zerstört ist.

Danke im Voraus und LG

Beachbum

lade
Ein Leitfaden und Tutorium zur Nutzung von ComboFix
und führe es im abgesicherten modus aus, pc neustarten und f8 drücken, dnann solltest du dort hin gelangen. log posten.

Hallo Markus,

mir ist es nun doch gelungen in dem betroffenen Benutzerprofil das OTL auszuführen. Anbei die beiden Reports, wobei den OTL Report in 2 Teile aufteilen musste, wegen der Datei-Größe von > 99kb

Ich hoffe dies sind nun die Daten mit denen Du helfen kannst ?

Danke + LG

Beachbum

versuch mal in dem betroffenen account combofix
und log posten, bzw im abgesicherten modus falls es nicht klappt

Hallo Markus,

ich befolge die Anweisungen der Guideline. Alles erfolgt wie dort beschrieben jedoch sobald der Scan duch ist, startet der PC neu. Ich finde dann unter C: lediglich als neue Dateien die folgenden beiden:
- updatefix.log
- descriptions.txt

Was mache ich falsch?

Danke für Hilfe.

LG

Beachbum

hast dus im abgesicherten modus versucht?

Hallo markus,

ich hätte es gerne im abgesicherten Modus gemacht, doch da komme ich nicht hin. Ich drücke beim Hochfahren mehrmals F8, doch das Auswahlmenü zum Wechseln auf den abgesicherten Modus erscheint immer nur für weniger als eine Sekunde. Ich habe keine Chance den Auswahlbalken zu bewegen. Der PC fährt im "normalen" Modus hoch.

Kennst Du einen Trick?

Danke nochmals.

LG

Beachbum

Hallo Markus,

alles klar, google hat mir zum Thema abgesicherter Modus geholfen.

Anbei die log Datei. Besteht Hoffnung?

LG

Beachbum

hi
download malwarebytes:
Malwarebytes : Malwarebytes Anti-Malware is a free download that removes viruses and malware from your computer
instalieren, öffnen, registerkarte aktualisierung, programm updaten.
schalte alle laufenden programme ab, trenne die internetverbindung.
registerkarte scanner, komplett scan, funde entfernen, log posten.

Hallo Markus,

anbei die Log Datei.

LG

Beachbum

hier noch die Log Datei nachdem die infizierten Dateien (zumindest teilweise) gelöscht wurden.

Gruß

wie läuft das system jetzt?

Hallo Markus,

das System läuft prinzipiell gut, doch leider kann ich nur Programme starten, welche über ein Desktop Icon verfügen.
Wenn ich über Start und Programme gehe, bekomme ich zwar z.B. Microsoft Office angezezeigt, doch dahinter steht nur "empty". Kann also kein MS Produkt starten. Allerdings muss die Software noch vorhanden sein, da Excel-Dateien welche auf dem Desktop liegen als xls verfügbar sind und auch geöffnet werden können.

LG

Beachbum

gehts über start, alle programme, eig müsste es dort zu finden sein denke ich

nein, über Start - alle Programme - ist leider nichts zu machen. Alles angeblich weg.

du kannst höchstens noch in die ordner gehen wo die programme liegen und über rechtsklick, senden an, die programme neu anhängen.

Hallo Markus,

eine Frage noch.

Ich hatte als der Trojaner zugeschlagen hat eine externe Festplatte per USB angeschlossen. Dort liegen eine Menge Dateien, welche mir der PC nicht mehr anzeigt. Der PC zeigt die Festplatte als leer an.
Hänge ist die externe Festplatte an einen anderen Computer, so bringt dieser zunächst eine "Office Scan Warnung", dass ein unbefugtes Programm zugreifen möchte, zeigt mir jedoch den vollständigen Inhalt der Festplatte an. Allerdings sind alle Icon nur "schwach" angezeigt, man könnte es auch als "milchig" bezeichnen. Hast Du eine Idee was ich tun kann, damit auch dort der Trojaner verschwindet und mein PC den Inhalt der externen Festplatte wieder erkennt?
Vielen Dank
Beachbum

hänge die platte mal an und nutze unhide
lade unhide:
http://filepony.de/download-unhide/
doppelklicken, dateien werden sichtbar