Hallo liebe Experten,

meine Mutter hat sich den Windows Verschlüsselungstrojaner eingefangen. Geschehen ist es durch eine Spam Mail, deren Anhang sie geöffnet hat.
Weiß nicht, ob es sich um Windows Vista oder 7 handelt, auf dem Laptop klebt zumindest ein Windows 7 Aufkleber --> also windows 7?

Laptop lässt sich hochfahren, man sieht kurz den home desktop, nach ein paar Sekunden aber kommt ein Fenster mit dem Verschlüsselungstrojaner, der eine Geldüberweisung fordert. Task Manager lässt sich nicht öffnen.

Starten mit F8 im Sicherungsmodus funktioniert allerdings. Wie gehe ich am besten vor? Habe ein wenig PC Kenntnisse, jedoch bin ich nicht so bewandert wenn es um abgesicherten modus etc. geht.

Schonmal vielen Dank für jede Hilfe!

Ist ein Windows 7 Laptop.
Habe mit Hilfe folgendes links über den abgesicherten modus das Anti-Malware Programm durchlaufen lassen: Keine Funde

" Malwarebytes Anti-Malware (Test) 1.61.0.1400
Malwarebytes : Free anti-malware, anti-virus and spyware removal download

Datenbank Version: v2012.04.04.08

Windows 7 Service Pack 1 x86 NTFS (Abgesichertenmodus)
Internet Explorer 9.0.8112.16421
Uta ***** :: UTA*****-PC [Administrator]

Schutz: Deaktiviert

23.05.2012 13:41:03
mbam-log-2012-05-23 (13-41-03).txt

Art des Suchlaufs: Vollständiger Suchlauf
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 287258
Laufzeit: 25 Minute(n), 32 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 0
(Keine bösartigen Objekte gefunden)

(Ende)"

Ist schon komisch. Für jede Hilfe bin ich sehr dankbar!

So, weiter gehts. Habe das ganze mal im abgesicherten Modus mit netzwerkzugriff (oder wie das heißt) gestartet, dann das Malware Programm aktualisiert und dann hat er auch 3 Sachen gefunden. Habe diese gelöscht, Laptop lässt sich jetzt normal hochfahren, jedoch steht vor allen Dateien ein "locked". Ich hab nicht versucht, sie zu öffnen, da ich befürchte, dass der Virus dann wiederkommt?!
Angehängt habe ich mal die logfiles.

LG

hi,
die infektionsquelle ist interessant:
an solchen mails mit rechnung, mahnung und sonstigen anhängen, von unbekannten absendern bin ich interessiert.
wenn du ein mail programm nutzt, dann mail markieren, rechtsklick, speichern unter, typ:
.eml einstellen.
dann bitte lesen:
makrusg - trojaner-board.de
und mir die soeben erstellte datei zukommen lassen.
wenn du deine mails über den browser abrufst, sag mir mal welchen anbieter du nutzt, dann geht das ein bisschen anders.
bitte warne freunde, bekannte, verwante etc vor dieser masche, und lasse ihnen ruhig diese mail adresse zukommen.
sie können dann dorthin solche verdächtigen mails senden.
diese helfen uns dann, angemessen auf neue bedrohungen zu reagieren, da diese schadsoftware auch updates erhält ist das wichtig.
2.
kommst du wieder in den normalen modus? falls ja:

Combofix darf ausschließlich ausgeführt werden, wenn dies von einem Team Mitglied angewiesen wurde!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich
ziehen und eine Bereinigung der Infektion noch erschweren.

Downloade dir bitte Combofix von einem dieser Downloadspiegel

Link 1
Link 2


WICHTIG - Speichere Combofix auf deinem Desktop

• Deaktiviere bitte all deine Anti Viren sowie Anti Malware/Spyware Scanner. Diese können Combofix bei der Arbeit stören.

Starte die Combofix.exe und folge den Anweisungen auf dem Bildschirm.

Wenn Combofix fertig ist, wird es eine Logfile erstellen. Bitte poste die C:\Combofix.txt in deiner nächsten Antwort.


Hinweis: Solltest du nach dem Neustart folgende Fehlermeldung erhalten

Es wurde versucht, einen Registrierungsschlüssel einem ungültigen Vorgang zu unterziehen, der zum Löschen markiert wurde.

starte den Rechner einfach neu. Dies sollte das Problem beheben.

Schonmal vielen Dank für die schnelle Hilfe!
Die Email ist auf dem gmx-Konto, wie schicke ich es am besten an dich?

Habe Combofix durchlaufen lassen und als Anhang rangepackt, da ich nicht weiß, wie ich den log hier im text posten kann.

Liebe Grüße!

hi
mail öffnen, weiterleiten.
malwarebytes öffnen, updaten, neuen vollständigen scan, log posten

Abgeschickt und logfile hier angehangen.

Danke

hi
wenn du noch verschlüsselte dateien hast, nutze shadow explorer:
http://www.trojaner-board.de/115496-...tml#post831090

Vielen Dank für die Hilfe!

Kann ich den Rechner jetzt problemlos wieder benutzen?