| |
| |||||||
Log-Analyse und Auswertung: BKA-TrojanerWindows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.XML |
 |
08.08.2011, 21:40
| #1 |
| |  BKA-Trojaner Hallo zusammen! Auch mich bzw. meinen Rechner hat es erwischt: Beim Surfen im Internet erschien plötzlich der mittlerweile vielen bekannte Bildschirm mit der Aufforderung doch 100,00 € per Ukash an irgendwelche Abzocker zu überweisen - und nichts ging mehr, bis auf des Herunterfahren über ALT + STRG + ENTF. Ich habe micht daraufhin mal hier im Forum umgesehen, mir eine Reatogo-X-PE-CD erstellt und OTLpe durchlaufen lassen. Das log-File habe ich als .zip-Datei angehängt. Vielleicht könnte ja mal jemand einen Blick darauf werfen und mir die Kontrolle über meinen Rechner zurückgeben. Vielen Dank für Eure Hilfe. MfG Busch |
|
10.08.2011, 13:50
| #2 | |
| /// Winkelfunktion /// TB-Süch-Tiger™   | BKA-TrojanerZitat:
__________________ |
|
10.08.2011, 18:56
| #3 |
| | BKA-Trojaner Hallo Arne!
__________________Danke für Deine Antwort.  Ich habe nur meinen Klarnamen durch *** ersetzt. Zufällig gab es eben ein .zip-Archiv welches meinen Namen trug. Da ich die OTL.txt-Datei über "Suchen und Ersetzen" geändert habe, ist somit auch der eigentliche Archivname geändert worden. Das Archiv habe ich selbst erstellt und es enthält nur ältere GnuCash-Logfiles. Es gibt leider ein kleines Problem: Ich konnte es nicht lassen und habe bereits ein wenig am System herumgespielt: die jashla.exe gelöscht und, nachdem dann mein Bildschirm nach der Windows-Anmeldung blau blieb (Hintergrundbild (?!?), keine Icons, keine Startleiste, nur Task-Manager), dann auch den entsprechenden Eintrag in der Registry (Ich hoffe, jashla.exe hat den Eintrag neu angelegt und keinen Vorhandenen überschrieben, den ich evtl. wiederherstellen hätte müssen). Ich komme seitdem wieder ins System und eigentlich scheint alles normal zu sein. Irgendwo stand allerdings, dass sich der Trojaner an mehreren Stellen ins System einnistet. Daher habe ich begonnen, Eure Standard-Prozedur durchzuführen. (Ich habe ja schließlich wieder Zugriff auf den Rechner  ).Also nachfolgend die Log-Files soweit ich sie erhalten habe. Aufgrund der Größe habe ich die OTL.txt auch mit gezippt. GMER allerdings scheint neuerdings auch vor dem Scannen auf einen Neustart des Rechners zu bestehen - und der fällt ziemlich heftig aus. Das Programmfenster wird für Sekundenbruchteile angezeigt, anschließend wird der Bildschirm schwarz und der Rechner bootet neu. Gilt übrigens für die Versionen 1.0.15 und 1.0.14. Beim Deaktivieren des Virenscanners (Antivir) bin ich bis zur Deinstallation gegangen, ansonsten waren immer noch Prozesse im Taskmanager aktiv. Ich hoffe mal, es liegt an GMER und nicht an irgendwelchen Schadprogrammen, die sich gleich beim Start mit dem Programm anlegen. Weiterhin hoffe ich, dass Du dich noch nicht allzu sehr mit der OTL.txt aus meinem letzten Posting beschäftigt hast, aber ich habe es erst jetzt geschafft, zu antworten. Bei dem aktuellen Andrang - es scheint ja eine richtige BKA-Trojaner-Epidemie im Gange zu sein - habe ich ehrlich gesagt damit gerechnet, noch ein oder zwei Tage auf Antwort warten zu müssen. Gruß Busch |
|
10.08.2011, 20:06
| #4 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | BKA-Trojaner Bitte routinemäßig einen Vollscan mit Malwarebytes machen und Log posten. Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss! Falls Logs aus älteren Scans mit Malwarebytes vorhanden sind, bitte auch davon alle posten!
__________________ Logfiles bitte immer in CODE-Tags posten  |
|
11.08.2011, 12:34
| #5 | |
| | BKA-Trojaner Hallo Arne! Nachfolgend das Log-File (Der Übersichtlichkeit wegen habe ich es als Zitat eingefügt): Zitat:
 . Alle fast durchlaufend nummeriert und am 08.04.2011 zw. 11:24 und 11:25 erstellt. (Wie die von Malwarebytes in Quarantäne genommenen Dateien.)Die Dateien lassen sich alle nicht mit der Windows Bild- und Faxanzeige öffnen - keine Vorschau verfügbar. Malwarebytes hat aber nur die obigen vier bemängelt. Wenn Du mich fragst, ob die Dateien von mir dorthin kopiert worden sind: Höchstwahrscheinlich nicht. Was nun? (Oder: Welcher Scanner darf es jetzt sein? )Gruß Busch |
|
11.08.2011, 15:09
| #6 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | BKA-Trojaner Führe auch bitte ESET aus, danach sehen wir weiter. ESET Online Scanner
n.
__________________ --> BKA-Trojaner |
|
15.08.2011, 09:50
| #7 | |
| | BKA-Trojaner Hallo Arne! Nachfolgend das Log-File (Der Übersichtlichkeit wegen wieder als Zitat eingefügt): Zitat:
J: ist eine Festplatte, die nur sporadisch angeschlossen wird. Bei den Befunden unter J:\Wolf\c\... handelt es sich um eine Sicherheitskopie einer Festplatte bevor diese "platt" gemacht wurde. Auf die verdächtigen Dateien sollte von diesem System aus nicht zugegriffen worden sein. -> Einfaches löschen genügt? J:\Kleinhans\G\temp\aasetup.exe: Keine Ahnung, wie ich zu diesem "Schätzchen" gekommen bin. Wurde auf dem aktuellen System aber vermutlich auch nicht ausgeführt. Gruß Busch Geändert von Busch (15.08.2011 um 09:58 Uhr) |
|
15.08.2011, 17:27
| #8 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | BKA-Trojaner Mach einen OTL-Fix, beende alle evtl. geöffneten Programme, auch Virenscanner deaktivieren (!), starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!) Code:
ATTFilter :OTL
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Search Bar = http://de.rd.yahoo.com/customize/ycomp/defaults/sb/*http://de.docs.yahoo.com/info/ie6.html
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Search Page = http://de.rd.yahoo.com/customize/ycomp/defaults/sp/*http://de.yahoo.com
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/ig?hl=de
IE - HKCU\..\URLSearchHook: {872b5b88-9db5-4310-bdd0-ac189557e5f5} - C:\Programme\DVDVideoSoftTB\prxtbDVD2.dll (Conduit Ltd.)
IE - HKCU\..\URLSearchHook: {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll (Yahoo! Inc.)
IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 1
IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyOverride" = localhost;192.168.0.11;192.168.0.15;192.168.0.11;<local>
IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyServer" = ftp=192.168.0.15:8080;http=192.168.0.15:8080;https=192.168.0.15:8080;socks=192.168.0.15:8080
FF - prefs.js..network.proxy.backup.ftp: "192.168.0.15"
FF - prefs.js..network.proxy.backup.ftp_port: 8080
FF - prefs.js..network.proxy.backup.gopher: "192.168.0.15"
FF - prefs.js..network.proxy.backup.gopher_port: 8080
FF - prefs.js..network.proxy.backup.socks: "192.168.0.15"
FF - prefs.js..network.proxy.backup.socks_port: 8080
FF - prefs.js..network.proxy.backup.ssl: "192.168.0.15"
FF - prefs.js..network.proxy.backup.ssl_port: 8080
FF - prefs.js..network.proxy.ftp: "192.168.0.15"
FF - prefs.js..network.proxy.ftp_port: 8080
FF - prefs.js..network.proxy.gopher: "192.168.0.15"
FF - prefs.js..network.proxy.gopher_port: 8080
FF - prefs.js..network.proxy.http: "192.168.0.15"
FF - prefs.js..network.proxy.http_port: 8080
FF - prefs.js..network.proxy.no_proxies_on: "localhost, 127.0.0.1, 192.168.0.11, 192.168.0.15, m_***"
FF - prefs.js..network.proxy.share_proxy_settings: true
FF - prefs.js..network.proxy.socks: "192.168.0.15"
FF - prefs.js..network.proxy.socks_port: 8080
FF - prefs.js..network.proxy.ssl: "192.168.0.15"
FF - prefs.js..network.proxy.ssl_port: 8080
FF - prefs.js..network.proxy.type: 1
O2 - BHO: (&Yahoo! Toolbar Helper) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll (Yahoo! Inc.)
O2 - BHO: (AcroIEHlprObj Class) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx ()
O2 - BHO: (RealPlayer Download and Record Plugin for Internet Explorer) - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Real\RealPlayer\BrowserRecordPlugin\IE\rpbrowserrecordplugin.dll (RealPlayer)
O2 - BHO: (Conduit Engine ) - {30F9B915-B755-4826-820B-08FBA6BD249D} - File not found
O2 - BHO: (DVDVideoSoftTB Toolbar) - {872b5b88-9db5-4310-bdd0-ac189557e5f5} - C:\Programme\DVDVideoSoftTB\prxtbDVD2.dll (Conduit Ltd.)
O2 - BHO: (SingleInstance Class) - {FDAD4DA1-61A2-4FD8-9C17-86F7AC245081} - C:\Programme\Yahoo!\Companion\Installs\cpn\YTSingleInstance.dll (Yahoo! Inc)
O3 - HKLM\..\Toolbar: (Conduit Engine ) - {30F9B915-B755-4826-820B-08FBA6BD249D} - File not found
O3 - HKLM\..\Toolbar: (DVDVideoSoftTB Toolbar) - {872b5b88-9db5-4310-bdd0-ac189557e5f5} - C:\Programme\DVDVideoSoftTB\prxtbDVD2.dll (Conduit Ltd.)
O3 - HKLM\..\Toolbar: (Yahoo! Toolbar) - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll (Yahoo! Inc.)
O3 - HKCU\..\Toolbar\WebBrowser: (Conduit Engine ) - {30F9B915-B755-4826-820B-08FBA6BD249D} - File not found
O3 - HKCU\..\Toolbar\WebBrowser: (DVDVideoSoftTB Toolbar) - {872B5B88-9DB5-4310-BDD0-AC189557E5F5} - C:\Programme\DVDVideoSoftTB\prxtbDVD2.dll (Conduit Ltd.)
O3 - HKCU\..\Toolbar\WebBrowser: (Yahoo! Toolbar) - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll (Yahoo! Inc.)
[2011.08.10 04:31:38 | 000,935,625 | ---- | M] () -- C:\Temp.zip
[2009.06.04 18:01:45 | 000,000,012 | ---- | C] () -- C:\WINDOWS\System32\z.ini
[2009.06.04 18:01:45 | 000,000,012 | ---- | C] () -- C:\WINDOWS\System32\y.ini
[2009.06.04 18:01:45 | 000,000,012 | ---- | C] () -- C:\WINDOWS\System32\x.ini
[2009.06.04 18:01:45 | 000,000,012 | ---- | C] () -- C:\WINDOWS\System32\w.ini
[2009.06.04 18:01:45 | 000,000,012 | ---- | C] () -- C:\WINDOWS\System32\v.ini
[2009.06.04 18:01:45 | 000,000,012 | ---- | C] () -- C:\WINDOWS\System32\u.ini
:Files
J:\Wolf\c\Dokumente und Einstellungen\Stefan\Lokale Einstellungen\Temp\*.tmp
J:\Wolf\c\Dokumente und Einstellungen\Stefan\Lokale Einstellungen\Temp\*.exe
J:\Wolf\c\Windows\Temp\removalfile.bat
J:\Wolf\c\Windows\SYSTEM32\ASFRG.EXE
J:\Wolf\c\Windows\SYSTEM32\EFCYV.DLL
J:\Wolf\c\Windows\SYSTEM32\YAYVT.DLL
J:\Wolf\c\Windows\SYSTEM32\DDCDD.DLL
J:\Wolf\c\Windows\SYSTEM32\CFGGH.TMP
J:\Wolf\c\Windows\SYSTEM32\cfggh.ini2
J:\Wolf\c\Windows\SYSTEM32\cfggh.bak2
J:\Wolf\c\Windows\SYSTEM32\fofkskxxe.exe
J:\Wolf\c\Windows\SYSTEM32\narwcrncvegeta.exe
J:\Wolf\c\Windows\SYSTEM32\cfggh.bak1
J:\Wolf\c\Windows\SYSTEM32\hrzuhhapnfvo.exe
J:\Wolf\c\Eigene Dateien\_C9E0000
C:\Dokumente und Einstellungen\Kleinhans\Lokale Einstellungen\Anwendungsdaten\Mozilla\Firefox\Profiles\o9a5ivfe.default\Cache\4\F5\B1579d01
C:\Dokumente und Einstellungen\Kleinhans\Lokale Einstellungen\Anwendungsdaten\Mozilla\Firefox\Profiles\o9a5ivfe.default\Cache\5\A6\2DFB5d01
J:\Kleinhans\G\temp
C:\MeineDaten\Michael\c-temp
C:\MeineDaten\Michael\D\heruntergeladene_Programme\treeMDI\treemdi.zip
C:\MeineDaten\Michael\D\TEMP
:Commands
[purity]
[resethosts]
Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet. Die mit diesem Script gefixten Einträge, Dateien und Ordner werden zur Sicherheit nicht vollständig gelöscht, es wird eine Sicherheitskopie auf der Systempartition im Ordner "_OTL" erstellt.
__________________ Logfiles bitte immer in CODE-Tags posten |
|
18.08.2011, 09:55
| #9 | |||
| | BKA-Trojaner Hallo Arne! Zunächst mal das Log-File nach dem Ausführen des OTL-Fixes: Zitat:
- Ich habe die Maskierung des Klarnamens nicht rückgängig gemacht. - Die externe Festplatte war nicht angeschlossen. Ich hoffe, dieses Mißgeschick mit folgendem gekürztem "Fix" korrigiert zu haben: Zitat:
Zitat:
Danke, dass Du dich auch um die Conduit-Toolbar gekümmert hast. Die hat nämlich wirklich Ärger gemacht. Die "Disable"-Option im Internet-Explorer wird nach wenigen Tagen ignoriert und das Ding wieder sichtbar. Löscht man die Dateien im Conduit-Verzeichnis, laden die sich später an anderer Stelle wieder hoch ...  Wie sieht es aus? Ist der Rechner langsam wieder "Online-Banking-Clean"? Ich nehme mal an, abschließende Scanner-Durchläufe mit Malwarebytes und dem ESET-Scanner wären kein Fehler (wie auch sporadische Durchläufe alle paar Wochen)? Gruß Busch Geändert von Busch (18.08.2011 um 10:05 Uhr) |
|
18.08.2011, 11:41
| #10 | |
| /// Winkelfunktion /// TB-Süch-Tiger™ | BKA-TrojanerZitat:
Normalerweise empfiehlt man bei sowas eine Neuinstallation von Windows.
__________________ Logfiles bitte immer in CODE-Tags posten |
|
18.08.2011, 13:45
| #11 |
| | BKA-Trojaner Warum habe ich diese Antwort nur erwartet ...?!? Wahrscheinlich wäre ich heutzutage fürs Online-Banking mit einer eigenen Partition mit eigenem Betriebssystem (besser Linux als Windows), aktuellen Updates für Betriebssystem, Browser und Virenscanner, kein eMailverkehr und kein allgemeines Surfen auch nur halbwegs auf der sicheren Seite. Gruß Busch |
|
19.08.2011, 13:05
| #12 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | BKA-Trojaner Windows kann eine sicherer Plattform sein, nur wenn der User das Thema vernachlässigt (v.a. nicht auf seine Adminrechte verzichten will, jeden Dreck installiert und zu spät oder garnicht Updates installiert ist eine Infektion schon fast vorprogrammiert) Man kann sicher Onlinebanking auch unter Windows betreiben, allerdings ist dies nun wirklich nicht mehr sicher, wenn das auf einem verseuchten oder bereinigten System passiert. Aber ist deine Entscheidung, es ist dein Konto und dein Geld.
__________________ Logfiles bitte immer in CODE-Tags posten |
|
| Themen zu BKA-Trojaner |
| abzocker, aufforderung, bekannte, bildschirm, blick, erstell, erstellt, erwischt, forum, hallo zusammen, herunterfahren, inter, interne, internet, kontrolle, log-file, nichts, otlpe, plötzlich, rechner, strg, surfe, surfen, werfen, zusammen |
Linear-Darstellung
