hallo zusammen,

auch ich habe am 17.05.12 eine solche e-mail mit zip anhang bekommen und mir ist im ersten moment mächtig das herz eine etage tiefer gerutscht....
hier der text:

Sehr geehrte Damen und Herren,

Vielen Dank für Ihren Auftrag bei mootivoo, nachfolgend finden Sie Ihre Einkaufsbestätigung.

Deine Auftragsnummer: 627035481582
Artikel: Zub Chassis 1805656088 6885,33 Euro
Rechnungsname: Wie in Rechnungsdaten eingetragen


Zahlungsmethode: Lastschrift

Versandadresse und detaillierte Vertragseinzelheiten finden Sie zwecks Vorsichtsgründen im Anhang.

Die Überweisung wurde autorisiert und wird innerhalb 2 Tage entzogen.
Rechnungsauflistung und Stornierung Möglichkeiten finden Sie im Zusatzordner in der E-Mail.


Ihr Verkaufssupport

Schäfer GmbH
Culinstrasse 71
28639 Köln

Telefon: (+49) 405 0013176
(Mo-Fr 8.00 bis 19.00 Uhr, Sa 9.00 bis 19.00 Uhr)
Gesellschaftssitz ist Adenau
Umsatzsteuer-ID: DE896497842
Geschäftsfuehrer: Mara Huber


der versender hatte folgende addy:

gvoight2@verizon.net

den anhang habe ich (glücklicher weise) nicht geöffnet, da ich mir dann doch recht schnell dachte, das da was nicht stimmt.

mein computerwissen ist leider nicht ausreichend genug um das ding hier jemandem zu schicken, zwecks analyse oder was auch immer ihr damit macht.

viel gruss

mantha

hi,
mails immer wie folgt an uns senden:

@manthorra
wurden deine dateien umbenannt? wenn ja wie?

Hallo Marcus,

mir wurde der Virus als Anhang mit einer erwartenden Mail geschickt. Die Zipdatei nennt sich Anhang.zip. Da ich dort Dateien von einem Kunden erwartete, habe ich den anhang geöffnet. Der Absender arbeitet mit einem Mac und kann nicht nachvollziehen, wie der Anhang mit in die Mail kam. Er hat auch keine weiteren Beschwerden über solch eine Mail erhalten. Aber er verschickt auch überwiegend Mails an Mac User. Bei mir wurden sämtliche Dateien verschlüsselt und tragen einen Namen aus Buchstabenfolgen ohne Dateiendungen. Keines der hier empfohlenden Tools funktioniert. Leider wurde auch mein Outlook beschädigt, sodass ich momentan die Mail nicht weiterleiten kann. Ich versuche jetzt mal das Outlook zu reparieren ... und hoffe dass die pst Datei nicht kaputt ist. Soll ich Dir die Mail dann mal weiterleiten?
lg Silvia

Mantha und Markus,

Hallo Markus: Sie schreibt ja, sie hat den Anhang nicht geöffnet. Da dürfte ja nichts verschlüsselt sein.

Mantha: wenn Du das mit dem Versenden per eml an Markus nicht hinbekommst, empfehle ich Dir den Anhang ungeöffnet zu löschen, wenn Du nicht Dein blaues Wunder erleben möchtest. Zur Sicherheit anschließend Malwarebytes rüberlaufen lassen. Und nicht nur löschen, sondern auch im Papierkorb endgültig löschen.

Gruß
G.

hi,

wie gesagt, ich hab das böse gerochen und nicht auf gemacht^^
das ding lässt sich aber so nicht verschicken, ich will das teil aber auch nicht auf dem rechner speichern. geht da was in die hose, dann steh ich reichlich blöde da, denn mein wissen reicht eindeutig nicht aus um das zu kitten, bzw den rechner neu zu bespielen.
also hab ich das ding nun gelöscht. seltsam ist nur:
jede gelöschte e-mail taucht im papierlorb auf, nur diese nicht.
hab spybot drüber laufen lassen, hat aber nix gefunden.

muss ich mir sorgen machen?

hi
dann sende sowas in zukunft an mich
hmm tauchen denn mails auf wenn du jetzt eine löschst?
wegen pc prüfung neues thema auf machen

ja, alle anderen sind da, also lassen sich verschieben. hab jetzt auch dieses anti male dingens drüber laufen lassen, hat auch nix gefunden. also hab ich mir wohl nix eingefangen.

Gibts es denn jetzt mittlerweile ein Tool, welches den Trojaner selbst beseititgt.

Gruß Klaus

den trojaner beseitigen kann man.
aber es ist nie ratsam irgendwelche programme ohne manuelle analyse laufen zu lassen.
selbst wenn ein programm am tag x fähig wäre eine malware zu 100 % zu beseitigen, wer garantiert dir, dass das am nächsten tag noch so ist?

Hallo Markus,

was schlägst Du vor?

Gruß Klaus

um den pc zu untersuchen, thema im passenden unterforum eröffnen und passende hilfeanleitung durcharbeiten

Gute Abend !
--------------
Ich habe 13.6.2012 Auch bin dran war ((


Auf mein PC Win.7pro 64 Bit .... Alle Daten auf C: Ich habe alles beseitigen und wider herstellt ! Aber auf D,E,F Festplatten Privat alte Fotos und Privat Archiv Video in avi Format verschlüsselt : und so aussehen QqTlVOqAlsFFAstGun (mit umbenennen & Endung Format bring nichts(((

Ich habe schon total Untergang Da ist privat-videoarchiv von ganze Familien welche ich 15 Jahre gesammelt teilweise mit schnitt und Nachtvertonung gemacht ((
Ich habe angst zu meine Frau sagen... ist alle Video-Foto Daten unbrauchbar ist (((

So war:
kommt -E.Mail von ambient@smail.lt auf mein Namen-Vornahmen , das wegen ich nicht aufmerken da ist falle.!
---------------
Sehr geehrter "Meine Vorname & Nachnamen!!!!!

Sicher ist es Ihnen entgangen, dass die Zahlungsfrist der nachfolgenden Rechnung abgelaufen ist. Auf unsere Schreiben haben Sie auch nicht reagiert.

Artikel: Dell THK PA
Artikelnummer: 8783852257981
Stück: 2
Zwischensumme: 615,47 Euro

Aufgrund zusätzlicher Kosten anlässlich des Ausgleichs von Gebührenforderungen erheben wir Mahngebühren und Einschreibegebühren in der Höhe von 10.- Euro inkl. MwSt.

Wir bitten Sie, den ausstehenden Rechnungsbetrag in den nächsten 7 Tagen zu überweisen. Ansonsten sehen wir uns leider gezwungen, ein Gerichtsverfahren in die Wege zu leiten und ein Inkasso Unternehmen für die weiteren Massnahmen zu beauftragen.

Sollte sich dieses Schreiben mit der Bezahlung des ausstehenden Betrags gekreuzt haben, so betrachten Sie dieses Schreiben bitte als gegenstandslos.

Beilagen:
- Rechnungsübersicht
- Bestellung

Mit freundlichen Grüßen
Dazu "Beilagen.zip Datei 44kb
------------------------------------
Nach System wiederherstellen ich habe auf Destop text datei : ACHTUNG-LESEN.txt :

Sehr geehrte Damen und Herren,
anscheinend wurde das Update Programm vollständig unterbrochen.
Jetzt kann das Virus nur manuell beseitigt werden.
Dies brauchen Sie um Ihre Dateien benutzen zu können.
Falls Sie also die gesperrten Daten brauchen,
senden Sie uns bitte 200 Euro Ukash Code an die Email:
software-update@inbox.lt, so bald dieser Code geprüft wurde,
erhalten Sie ein Update Programm.
Falls Sie Ihre Daten nicht brauchen raten wir Ihnen dringend Ihren Computer zu formatieren um den Virus vollständig zu entfernen.
Ukash können Sie an einer beliebigen Tankstelle erwerben und auch in mehreren Internetcafes in Ihrer Nähe.
mfG Ihr Security Team

Schweinerei
--------------
Durch Programm gelöscht - und erkannt schädliche Trojan:

Antivirus Programm Dr.Web indenfecirt schadliche datei:
Trojan.DownLoader6.17383

mit Google ich versuchen etwas finden :
---------------------------------------
TR/Dldr.Agent.17383
Allgemein Verbreitungsmethode:
• Keine eigene Verbreitungsroutine


Aliases:
• Bitdefender: Trojan.Generic.KDV.647838
• Eset: Win32/Trustezeb.C trojan
• GData: Trojan.Generic.KDV.647838
• DrWeb: Trojan.DownLoader6.17383
Betriebsysteme:
• Windows 2000
• Windows XP
• Windows 2003
• Windows Vista
• Windows Server 2008
• Windows 7
Auswirkungen:
• Änderung an der Registry
---------------------------------------------
Dateien Kopien seiner selbst werden hier erzeugt:
• %temp%\%zehnstellige zufällige Buchstabenkombination% .pre
• %appdata%\%fünfstellige zufällige Buchstabenkombination% \%zehnstellige zufällige Buchstabenkombination% .exe

Die anfänglich ausgeführte Kopie der Malware wird gelöscht.

Registry Einer der folgenden Werte wird dem Registry key hinzugefügt um den Prozess nach einem Neustart des Systems erneut zu starten.

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
• "D8812EB1"="%temp%\%fünfstellige zufällige Buchstabenkombination% \%achtstellige zufällige Buchstabenkombination% .exe"



Die folgenden Registryschlüssel werden hinzugefügt um die Service nach einem Neustart des Systems erneut zu laden.

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system]
• "DisableRegedit"="dword:0x00000001"
• "DisableTaskMgr"="dword:0x00000001"

– [HKLM\SYSTEM\ControlSet001\Control\Session Manager]
• "PendingFileRenameOperations"="\??\%temp%\%zehnstellige zufällige Buchstabenkombination% .pre"



Der Wert des folgenden Registry keys wird gelöscht:

– [HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot]
• "AlternateShell"="cmd.exe"



Folgende Registryschlüssel werden hinzugefügt:

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System]
• "DisableRegedit"="dword:0x00000001"
• "DisableRegistryTools"="dword:0x00000001"
• "DisableTaskMgr"="dword:0x00000001"

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\
Image File Execution Options\msconfig.exe]
• "Debugger"="P9KDMF.EXE"

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\
Image File Execution Options\regedit.exe]
• "Debugger"="P9KDMF.EXE"

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\
Image File Execution Options\taskmgr.exe]
• "Debugger"="P9KDMF.EXE"

– [HKEY_USERS\S-1-5-21-602162358-2077806209-839522115-1003\Software\
Microsoft\Windows\CurrentVersion\Policies\System]
• "DisableRegedit"="dword:0x00000001"
• "DisableRegistryTools"="dword:0x00000001"
• "DisableTaskMgr"="dword:0x00000001"

Injektion – Es injiziert sich in einen Prozess.

Diverses Greift auf Internetressourcen zu:
• hxxp://**********-shops.com/forum/**********.php?id=**********E45544E45&cmd=pcc&win=Windows_XP&loc=0x0809&ver=2.000.11
• hxxp://**********-shops.com/forum/**********.php?id=**********45544E45&cmd=lfk&ldn=31&stat=CRA&ver=2.000.11&data=**********L86tkrTFDMEt9Cgt8DREw==

Datei Einzelheiten Programmiersprache:
Das Malware-Programm wurde in Visual Basic geschrieben.


Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit einem Laufzeitpacker gepackt.

Die Beschreibung wurde durch Google.de am Mittwoch, 13. Juni 2012 bei AntiVir oreg.seite gelesen!

===========================================================================

Ich bitte zu Alle um mir helfen und Daten entcypten und video und foto Archiv wider brauchbar machen.... Vor Danke zu ALLE!!!!! Ich habe letzte Hoffnung

Zitat von Igorm

Ich habe alles beseitigen und wider herstellt !

Guten Morgen,
wie hast Du den Virus beseitigt?

Die Wiederherstellung Deiner Daten ist wahrscheinlich nur bedingt möglich.
Windows 7 bietet die Option der Shadow Copies.
Versuche zuerst diese Option zu nutzen und schaue nach, ob es Shadow Copies gibt. Dazu eignet sich der Shadow-Explorer sehr gut.
Wenn der Shadow-Explorer Copies findet, die vor dem 13.6.2012 angelegt wurden, dann kannst Du diese Dateien wiederherstellen.

Sonst bleiben Dir nur die Möglichkeiten, die unter diesem Link aufgezeigt werden.

http://www.trojaner-board.de/116851-...strojaner.html

Vor Allem die Wiederherstellung von JPG-Bildern mit JPGSnoop und JPEG Recovery ist recht vielversprechend.

Volker

hi leutz,

ich hab schon wieder so n scheissteil bekommen.

marcus, du wolltest das teil haben, schick mir bitte ne genaue anleitung wie ich das mache, normal weiterleiten geht nicht. und zur erinnerung: ich hab null plan von sowas, also bitte idiotensicher.

danke
mantha

steht eig in meiner signatur :-)