Aloha zusammen.

ich habe ein Problem mit meinem Rechner.
Nach gut 5 Jahren hat es mich nun auch erwischt und ich hab keine Ahnung wie ich es wegbekomme.
Avira meldet, dass sich folgendes bei mir eingenistet hat:
tr/atraps.gen2

Wenn mein Win7 startet, startet auch automatisch ein mir unbekannter Virenscanner.
Internet Security 2013 wenn ich jetzt nicht völlig falsch liege.
Ausserdem so etwas wie ein PortableApps Launcher.
Ich habe DEFINITIV KEINE Portables auf meinem Rechner.

Meine einzige Chance das Teil zum laufen zu bekommen ist im abgesichertem Modus, da das IS2013 alle Fenster von sich aus schließt.

Nachdem ich mich hier durchs Board gewuselt habe, hab ich auch diverse Scans gemacht, siehe Logfiles. Bräuchte dringend Hilfe, da ich unter anderem auch an dem Rechner arbeite (kein Firmenrechner!!!).

Ich habe dein Thema in Arbeit und melde mich so schnell als möglich mit weiteren Anweisungen.

Bitte beachte, dass alle meine Antworten zuerst von einem Ausbilder freigegeben werden müssen, bevor ich diese hier posten darf. Dies garantiert, dass Du Hilfe von einem ausgebildeten Helfer bekommst.

Ich bedanke mich für deine Geduld

Die Bereinigung deines Systems ist individuell auf dich zugeschnitten und mitunter mit viel Arbeit für uns beide verbunden.[/CENTER]

Bitte Lesen:
Regeln für die Bereinigung

Eine Bereinigung beinhaltet nebst dem Entfernen von Malware auch das Schließen von Sicherheitslücken und sollte gründlich durchgeführt werden.
Sie erfolgt deshalb in mehreren Schritten und bedeutet einigen Aufwand für dich. Beachte: Das Verschwinden der offensichtlichen Symptome bedeutet nicht, dass das System schon sauber ist.

Lese Dir die Anleitung zuerst vollständig durch. Sollte etwas unklar sein, frage bevor Du mit der abarbeitung der Schritte beginnst.

• Bei Anzeichen illegal genutzter Software (Cracks, Patches und Co) wird der Support vorerst unterbrechen, und das weitere vorgehen mit dirabstimmen.
• Falls es sich bei dem Rechner um einen Firmenrechner handelt teile es mir bitte mit.

• Bitte arbeite alle Schritte der Reihe nach ab. Gib mir bitte zu jedem Schritt die angeforderte Rückmeldung (Logfile oder Antwort)
  und zwar gesammelt, wenn du alles erledigt hast, in einer Antwort.
• Bitte führe nur Scanns durch zu denen Du aufgefordert wirst.
• Bitte kein Crossposting (posten in mehreren Foren).
• Installiere oder Deinstalliere während der Bereinigung keine Software, ausser Du wurdest dazu von mir oder einem anderen Teammitglied aufgefordert.
• Poste die Logfiles direkt in deinen Thread (möglichst in Code-Tags - #-Symbol im Editor anklicken). Nicht anhängen oder zippen, außer ich fordere Dich dazu auf, oder das Logfile wäre zu gross. Erschwert mir nämlich das Auswerten.
• Mache deinen Namen nur dann unkenntlich, wenn es unbedingt sein muss (erleichtert uns die Arbeit).
• Sollte ich nicht nach 3 Tagen geantwortet haben, dann (und nur dann) schicke mir bitte eine PM.
• Ich werde dir ganz deutlich mitteilen, dass du "sauber" bist. Bis dahin arbeite bitte gut mit.

Hinweis: Ich kann Dir niemals eine Garantie geben, dass ich auch alles finde. Eine Formatierung ist meist der schnellere und immer der sicherste Weg.

Dann fangen wir mal mit Schritt 1 an:

O1 - Hosts: 127.0.0.1 activate.adobe.com
         

Die von mir gelisteten Einträge deuten stark darauf hin, dass auf diesem Rechner Software benutzt wird, die nicht legal erworben wurde.

Supportunterbrechung

Lesestoff:
Cracks und Keygens
Den Kopierschutz von Software zu umgehen ist nach geltendem Recht illegal. Die Logfiles deuten stark darauf hin, dass du nicht legal erworbene Software einsetzt. Zudem sind Cracks und Patches aus dubioser Quelle sehr oft mit Schädlingen versehen, womit man sich also fast vorsätzlich infiziert.

Falls wir Hinweise auf illegal erworbene Software finden, werden wir den Support unterbrechen, bis jegliche Art von illegaler Software vom Rechner entfernt wurde.

Wie stehst du zu der illegalen Software? Hast du noch andere gecrackte Software auf dem Rechner wie z.B. Windows oder Office?
Ein fortsetzen des Supports führt zur Löschung der Cracks.
Sollen wir weitermachen und dein System bereinigen?

Versteh das bitte nicht falsch.
Der Eintrag ist damals vom Adobe Support vorgeschlagen worden, da die Aktivierung einfach nicht klappte.

Ich bin Art Director von Beruf und habe somit auch Zugriff auf alle Adobe Produkte.

Ich habe mal einen Screenshot angehangen, wo hoffentlich deutlich wird, dass ich meine Arbeitssoftware legal beziehe.

Der Eintrag ist übrigens noch von einer älteren Version, die nich cloudbasiert war und kann somit natürlich weg.

Ich habe gestern noch ein wenig rumexperimentiert und RKill runtergeladen.
Damit kann ich schonmal die Prozesse beenden. Nach einem Scan mit Avira wurden einige Sachen in Quarantäne verschoben, jedoch nicht der Schädling, da er sich immernoch startet.

Hallo JustSheep

Ich habe halt nur zweifel da auf der Kiste einiges an Spielen ist, das macht mir nicht den Eindruck nach nem PC der zum Arbeiten genutzt wird. Das mit Adobe glaube ich dir erstmal

allerdings habe ich noch etwas:

Du hast mehrere Cracks für Windows 7 Ultimate oder andere Microsoft Produkte auf dem System. Wie sieht es damit aus?

Wenn ich dein System bearbeite kann es sein, dass diese Produkte später nach Aktivierung fragen oder nicht mehr funktionieren.

Die Cracks sind im speziellen:

autokms.job
KMSEmulator.exe
         

Speziell die KMSEmulator.exe passt zu deinen Problemen da sie am 15.03.2012 erstellt und am 30.06.2013 verändert wurde.

Ich gehe hier mal in Vorleistung und Vertraue jetzt erstmal darauf dass du auch hier eine Erklärung hast. Deshalb und weil du das System für den Job brauchst gehts so weiter...

Schritt 1:

Systemscan mit FRST
Bitte lade dir die passende Version von Farbar's Recovery Scan Tool auf deinen Desktop: FRST 32-Bit | FRST 64-Bit
(Wenn du nicht sicher bist: Start > Computer (Rechtsklick) > Eigenschaften)

• Starte jetzt FRST.
• Ändere ungefragt keine der Checkboxen und klicke auf Scan.
• Die Logdateien werden nun erstellt und befinden sich danach auf deinem Desktop.
• Poste mir die FRST.txt und nach dem ersten Scan auch die Addition.txt in deinem Thread (#-Symbol im Eingabefenster der Webseite anklicken)

Danke erstmal für die schnelle Hilfe.

Bei dem Win7 bin ich ehrlich. Es ist eine gecrackte Version.
Mittlerweile hat sich bei mir jedoch einiges geändert was sowas angeht (da ich selbst in der Gamingbranche tätig bin und tagtäglich die Verluste durch Raubkopien schwarz auf weiss sehe).
Ist also kein Problem wenn es gekillt wird, da ich hier eine legale Version liegen habe (das gecrackte lief halt und ich hatte keine Ambitionen diesen Umstand zu ändern)

Was die Spiele angeht. Wie gesagt, bin ich in eben jener Branche tätig und da kommt man an sehr viele Spiele (allein im Steam über 130).
Der Rechner ist wie gesagt AUCH zum arbeiten, wenn ich mal Homeoffice mache.
Sobald ich nachher zu hause bin, werd ich umgehend den Scan durchführen.

Im abgesicherten Modus oder normal hochfahren und die Prozesse mit RKill beenden ?

Hallo JustSheep

ehrlich währt am längsten .

Im Abgesicherten Modus bitte ausführen und keine Processe Killen

Hi, JustSheep

ich hab schon länger keine Antwort mehr von dir erhalten. Brauchst du weiterhin noch Hilfe?

Wenn ich in den nächsten 24 Stunden nichts von dir höre, gehe ich davon aus, dass sich das Thema erledigt hat und lösche es aus meinen Abos.

Hinweis: Wir sind noch nicht fertig! Auch wenn die Symptome verschwunden sein sollten, kann dein System weiterhin infiziert sein und über Sicherheitslücken verfügen, welche eine erneute Infektion möglich machen.

Bitte entschuldige.
Ich lieg momentan flach mit ner sportlichen Sommergrippe.
Zwischenzeitlich hab ich Avira vom Rechner gehauen und Avast installiert.
Abgesichert hochgefahren, Prozess gekillt und dann mit Avast gescannt.
Nach der Quarantäneverschiebung läuft mein Rechner wie vorher, aber ich will auf Nummer sicher gehen.


Der Log kommt gleich. Ich starte jetzt den Scan.

Here we go !

hi,

du machst mir die Arbeit nicht gerade leicht... die Addition.txt fehlt !

Lesestoff:
Rootkit-Warnung
Dein Computer wurde mit einem besonderen Schädling infiziert, der sich vor herkömmlichen Virenscannern und dem Betriebssystem selbst verstecken kann. Zusätzlich hat so ein Schädling meist auch Backdoor-Funktionalität, reißt also ganz bewußt Löcher durch alle Schutzmaßnahmen, damit er weiteren Schadcode nachladen oder die Daten, die er so sammelt, an die "bösen Jungs" weiterleiten kann. Was heißt das jetzt für dich?

• Entscheide bitte ganz bewußt, ob du mit der Bereinigung fortfahren möchtest. Ein einmal derartig kompromittiertes System kann man niemals mit 100%iger Sicherheit wieder absichern. Auch wenn wir gute Chancen haben, deinen Computer zu bereinigen, kann es dennoch möglich sein, dass uns am Ende nur die Neuinstallation bleibt.
• Wenn du mit diesem Computer beispielsweise Onlinebanking machst, dann solltest du zumindest dein Passwort von deiner Bank ändern lassen, wenn du ein ansonsten sicheres Verfahren wie beispielsweise "chip-TAN-comfort" nutzt. Hast du noch alte TAN-Bögen auf Papierbasis? Dann ist es höchste Zeit dich bei deiner Bank zu melden und notfalls das Konto temporär sperren zu lassen. Der Sperrnotruf 116 116 von www.sperr-notruf.de kann Tag und Nacht dafür benutzt werden.
• Hast du ansonsten sensible Daten auf deinem Computer, dann solltest du auch darüber nachdenken, wie du damit umgehst, da sie sich praktisch "jeder" ansehen konnte.

Teile mir also mit, wie du dich entschieden hast.

Poste die beiden Logfile hier, möglichst in CODE-Tags.[/list][/indent]

So funktioniert es:
Posten in CODE-Tags
Die Logfiles anzuhängen oder sogar vorher in ein ZIP, RAR, 7Z-Archive zu packen erschwert mir massiv die Arbeit, es sei denn natürlich die Datei wäre ansonsten zu gross für das Forum. Um die Logfiles in eine CODE-Box zu stellen gehe so vor:

• Markiere das gesamte Logfile (geht meist mit STRG+A) und kopiere es in die Zwischenablage mit STRG+C.
• Klicke im Editor auf das #-Symbol. Es erscheinen zwei Klammerausdrücke [CODE] [/CODE].
• Setze den Curser zwischen die CODE-Tags und drücke STRG+V.
• Klicke auf Erweitert/Vorschau, um so prüfen, ob du es richtig gemacht hast. Wenn alles stimmt ... auf Antworten.

SCHRITT 1

Fix mit FRST
Drücke bitte die Windowstaste + R Taste und schreibe notepad in das Ausführen Fenster.

Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument

HKLM\...D6A79037F57F\InprocServer32: [Default-fastprox] fastprox.dll ATTENTION! ====> ZeroAccess
HKLM-x32\...\Run: []  [x]
         

Speichere diese bitte als Fixlist.txt auf deinem Desktop (oder dem Verzeichnis in dem sich FRST befindet).

• Starte nun FRST erneut und klicke den Fix Button.
• Das Tool erstellt eine Fixlog.txt.
• Poste mir deren Inhalt.

SCHRITT 2

Downloade Dir bitte AdwCleaner auf deinen Desktop.

• Schließe alle offenen Programme und Browser. Bebilderte Anleitung zu AdwCleaner.
• Starte die AdwCleaner.exe mit einem Doppelklick.
• Stimme den Nutzungsbedingungen zu.
• Klicke auf Optionen und vergewissere dich, dass die folgenden Punkte ausgewählt sind:
  • "Tracing" Schlüssel löschen
  • Winsock Einstellungen zurücksetzen
  • Proxy Einstellungen zurücksetzen
  • Internet Explorer Richtlinien zurücksetzen
  • Chrome Richtlinien zurücksetzen
  • Stelle sicher, dass alle 5 Optionen wie hier dargestellt, ausgewählt sind
• Klicke auf Suchlauf und warte bis dieser abgeschlossen ist.
• Klicke nun auf Löschen und bestätige auftretende Hinweise mit Ok.
• Dein Rechner wird automatisch neu gestartet. Nach dem Neustart öffnet sich eine Textdatei. Poste mir deren Inhalt mit deiner nächsten Antwort.
• Die Logdatei findest du auch unter C:\AdwCleaner\AdwCleaner[Cx].txt. (x = fortlaufende Nummer).

SCHRITT 3

Kontrollscan mit FRST
Führe wie zuvor beschrieben einen Scan mit FRST aus. Bitte setze zusätzlich den Haken bei addition.txt. Es werden zwei Logfiles erstellt. FRST.txt und addition.txt.
Poste mir diese.

ich hab schon zum zweiten mal länger keine Antwort mehr von dir erhalten. Brauchst du weiterhin noch Hilfe?

Wenn ich in den nächsten 24 Stunden nichts von dir höre, gehe ich davon aus, dass sich das Thema erledigt hat und lösche es aus meinen Abos.

Hinweis: Wir sind noch nicht fertig! Auch wenn die Symptome verschwunden sein sollten, kann dein System weiterhin infiziert sein und über Sicherheitslücken verfügen, welche eine erneute Infektion möglich machen.

Fehlende Rückmeldung
Dieses Thema wurde aus meinen Abos gelöscht. Somit bekomme ich keine Benachrichtigung mehr über neue Antworten.

Hinweis: Das Verschwinden der Symptome bedeutet nicht, dass dein Rechner schon sauber ist.

Jeder andere bitte diese Anleitung lesen und einen eigenen Thread erstellen.