Zurück   Trojaner-Board > Malware entfernen > Plagegeister aller Art und deren Bekämpfung

Plagegeister aller Art und deren Bekämpfung: Virenalarm nach Installation von AntiVir 9, ADSPY/SaveNow.BV.1;TR/Crypt.TPM.Gen u.a.

Windows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen.

Antwort
Alt 01.09.2009, 10:04   #1
Tintoretto
 
Virenalarm nach Installation von AntiVir 9, ADSPY/SaveNow.BV.1;TR/Crypt.TPM.Gen u.a. - Standard

Virenalarm nach Installation von AntiVir 9, ADSPY/SaveNow.BV.1;TR/Crypt.TPM.Gen u.a.



Hallo zusammen,

ich habe folgendes Problem, das ich in dieser "Kombination" in keinem anderem Thread gefunden habe. Ich hoffe, Ihr könnt mir weiterhelfen!

Ich habe letztlich die neue Version von Avira AntiVir installiert. Nach dem ersten Suchlauf wurden direkt zwei Funde angezeigt: ADSPY/SaveNow.BV.1 und
ADSPY/SaveNow.CG. Ich habe diese gelöscht.
Später, ich hatte kurz zuvor einen USB-Stick angebracht, meldete AntiVirs Guard
zwei Trojanische Pferde: TR/Autorun.ZG.8 und TR/Crypt.TPM.Gen
Die habe ich in Quarantäne gepackt. Sie kamen ziemlich offensichtlich vom Speicherstick!

Sehr beunruhigt ob dieser Funde besuchte ich Euer Board und hab dann auch die empfohlenen Programme (CCleaner hatte ich bereits) installiert und durchlaufen lassen. Prompt fand Malwarebytes 12(!) weitere infizierte Dateien. (Scheint Adware zu sein - keine Ahnung!)
Die Report Dateien füge ich unten ein.

Meine zwei Hauptfragen:
1) Wenn ich die Malware lösche - kann ich davon ausgehen, dass mein System wieder "sauber" ist?

und (bitte nicht schreien - ich bin halt so gar kein Fachmann!):
2) Ich habe bis zu den Funden Online-Banking gemacht. Kann ich das nach Löschen der Dateien mit neuem Passwort wieder aufnehmen?

Ich danke Euch schon im Voraus für Eure Mühe!

Hier der Report von Malwarebytes:


Malwarebytes' Anti-Malware 1.40
Datenbank Version: 2722
Windows 5.1.2600 Service Pack 2

31.08.2009 22:11:53
mbam-log-2009-08-31 (22-11-53).txt

Scan-Methode: Vollständiger Scan (C:\|D:\|)
Durchsuchte Objekte: 153725
Laufzeit: 52 minute(s), 32 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 9
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 2
Infizierte Verzeichnisse: 1
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_CLASSES_ROOT\acm.acmfactory (Adware.WhenU) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\acm.acmfactory.1 (Adware.WhenU) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\Interface\{43382522-a846-46f4-ac57-1f71ae6e1086} (Adware.WhenU) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\Interface\{572fb162-c0ba-4edf-8cff-e3846153b9b0} (Adware.WhenU) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\Interface\{72a836d1-bc00-43c0-a941-17960e4fb842} (Adware.WhenU) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\AppID\{127df9b4-d75d-44a6-af78-8c3a8ceb03db} (Adware.WhenU) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\AppID\ACM.dll (Adware.WhenU) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\WUSN.1 (Adware.WhenU) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\WhenUSave (Adware.WhenU) -> Quarantined and deleted successfully.

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

Infizierte Verzeichnisse:
C:\Programme\Save (Adware.WhenU) -> Quarantined and deleted successfully.

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)

Alt 01.09.2009, 17:18   #2
cosinus
/// Winkelfunktion
/// TB-Süch-Tiger™
 
Virenalarm nach Installation von AntiVir 9, ADSPY/SaveNow.BV.1;TR/Crypt.TPM.Gen u.a. - Standard

Virenalarm nach Installation von AntiVir 9, ADSPY/SaveNow.BV.1;TR/Crypt.TPM.Gen u.a.



Hallo und

bitte diese Liste beachten und abarbeiten. (außer MalwareBytes, das hast Du schon ausgeführt)

Die Logfiles kannst Du zB alle in eine Datei zippen und auf File-Upload.net hochladen und hier verlinken, denn 1. sind manche Logfiles fürs Board nämlich zu groß und 2. kann ich mit einem Klick mir gleich alle auf einmal runterladen.
__________________

__________________

Alt 01.09.2009, 20:59   #3
Tintoretto
 
Virenalarm nach Installation von AntiVir 9, ADSPY/SaveNow.BV.1;TR/Crypt.TPM.Gen u.a. - Standard

Virenalarm nach Installation von AntiVir 9, ADSPY/SaveNow.BV.1;TR/Crypt.TPM.Gen u.a.



Hallo Cosinus,
vielen Dank für Deine schnelle Rückmeldung und die Willkommensgrüße!
Ich habe CCleaner laufen lassen - eine Datei in der Registry kann nicht gelöscht werden ("Ungenutzte Datei-Endunge {80b8c23c-16e0-4cd8-bbc3-cecec9a78b79} HKCR\{80b8c23c-16e0-4cd8-bbc3-cecec9a78b79})

Das Programm erstellt aber keine Reports, oder?
Im Zip befindet sich jetzt also nur der Log File von HijackThis.

http://www.file-upload.net/download-1862034/log.zip.html

Viele Grüße,
Tintoretto
__________________

Alt 01.09.2009, 21:10   #4
cosinus
/// Winkelfunktion
/// TB-Süch-Tiger™
 
Virenalarm nach Installation von AntiVir 9, ADSPY/SaveNow.BV.1;TR/Crypt.TPM.Gen u.a. - Icon22

Virenalarm nach Installation von AntiVir 9, ADSPY/SaveNow.BV.1;TR/Crypt.TPM.Gen u.a.



Hijackthis? In der Anleitung ist doch von RSIT die Rede! Bitte nachreichen.
__________________
Logfiles bitte immer in CODE-Tags posten

Alt 02.09.2009, 16:56   #5
Tintoretto
 
Virenalarm nach Installation von AntiVir 9, ADSPY/SaveNow.BV.1;TR/Crypt.TPM.Gen u.a. - Standard

Virenalarm nach Installation von AntiVir 9, ADSPY/SaveNow.BV.1;TR/Crypt.TPM.Gen u.a.



Äh- sorry, das war missverständlich,
der File ist von RSIT. Ich dachte das wäre das Gleiche, weil RSIT doch HJT downloaded ?!


Alt 02.09.2009, 18:50   #6
cosinus
/// Winkelfunktion
/// TB-Süch-Tiger™
 
Virenalarm nach Installation von AntiVir 9, ADSPY/SaveNow.BV.1;TR/Crypt.TPM.Gen u.a. - Standard

Virenalarm nach Installation von AntiVir 9, ADSPY/SaveNow.BV.1;TR/Crypt.TPM.Gen u.a.



Ja, RSIT lädt HijackThis herunter, aber da gibts noch eine menge an anderen wichtigen Infos im Logfile von RSIT. Ich seh mir das mal eben an.
__________________
--> Virenalarm nach Installation von AntiVir 9, ADSPY/SaveNow.BV.1;TR/Crypt.TPM.Gen u.a.

Alt 02.09.2009, 18:58   #7
cosinus
/// Winkelfunktion
/// TB-Süch-Tiger™
 
Virenalarm nach Installation von AntiVir 9, ADSPY/SaveNow.BV.1;TR/Crypt.TPM.Gen u.a. - Standard

Virenalarm nach Installation von AntiVir 9, ADSPY/SaveNow.BV.1;TR/Crypt.TPM.Gen u.a.



Stell sicher, daß Dir auch alle Dateien angezeigt werden, danach folgende Dateien bei Virustotal.com auswerten lassen und alle Ergebnisse posten, und zwar so, daß man die der einzelnen Virenscanner sehen kann. Bitte mit Dateigrößen und Prüfsummen:
Code:
ATTFilter
C:\WINDOWS\system32\drivers\mailKmd.sys
C:\WINDOWS\system32\drivers\Wbutton.sys
         

Außerdem fehlen da Updates!!

Code:
ATTFilter
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_03\bin\jusched.exe"
         
Du MUSST mehr auf die Aktualität der Programme achten.


Windows-/Internet Explorer Update
Besuch mit dem IE die MS-Updateseite und lass Dir alle wichtigen Updates installieren. Es geht v.a. um den IE8, auch wenn Du ihn nicht nutzt.


Adobe Acrobat Reader aktualisieren
Dein Adobe Reader ist nicht aktuell, was ein großes Sicherheitsrisiko darstellt. Wir empfehlen daher, die alte Version über Systemsteuerung => Software zu deinstallieren, indem Du dort auf "Adobe Reader x.0" klickst und das Programm entfernst. Starte den Rechner neu und downloade den aktuellen Acrobat-Reader herunter und installiere ihn.

Falls Dir der Adobe Acrobat Reader nicht gefällt, kannst Du alternativ auch Foxit PDF Reader installieren. Er ist "schlanker" und benutzt weniger Resourcen.


Java-Update
Deine derzeitig installierte Version von Java ist veraltet, was ebenfalls ein großes Sicherheitsrisiko darstellt. Wir empfehlen daher, die alten Versionen zu löschen und auf die neuste zu aktualisieren. Beende dazu alle Programme (v.a. die Browser), klick danach auf Start, Systemsteuerung, Software und deinstalliere darüber alle aufgelisteten Java-Versionen. Lad Dir danach von hier das aktuelle Java SE Runtime Environment (JRE) herunter und installiere es.
__________________
Logfiles bitte immer in CODE-Tags posten

Alt 02.09.2009, 22:36   #8
Tintoretto
 
Virenalarm nach Installation von AntiVir 9, ADSPY/SaveNow.BV.1;TR/Crypt.TPM.Gen u.a. - Standard

Virenalarm nach Installation von AntiVir 9, ADSPY/SaveNow.BV.1;TR/Crypt.TPM.Gen u.a.



Hallo Cosinus,
vielen Dank für Deine umfassende Antwort und ums Kümmern allgemein !
Ich hab´nun den ersten Schritt ausgeführt und die Einstellungen so vorgenommen, dass mir alle Dateien angezeigt werden ( nach der Anleitung).

Trotzdem werden die beiden von Dir angegebenen Dateien
C:\WINDOWS\system32\drivers\mailKmd.sys
C:\WINDOWS\system32\drivers\Wbutton.sys
nicht gefunden!? Kann das sein oder hab ich womöglich irgendwas übersehen?
Ich glaube, alles gemacht zu haben...

Gruß,
Tintoretto

Alt 03.09.2009, 18:43   #9
cosinus
/// Winkelfunktion
/// TB-Süch-Tiger™
 
Virenalarm nach Installation von AntiVir 9, ADSPY/SaveNow.BV.1;TR/Crypt.TPM.Gen u.a. - Standard

Virenalarm nach Installation von AntiVir 9, ADSPY/SaveNow.BV.1;TR/Crypt.TPM.Gen u.a.



Dann führ mal bitte Combofix aus, bitte genau lesen:

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix
  • Lade dir das Tool hier herunter auf den Desktop -> KLICK

Wichtig! Bitte die combofix.exe per Rechtsklick, "Ziel speichern unter" unter smss.exe abspeichern!
Besonders hartnäckige Malware erkennt eine combofix.exe und würde sich vor ihr gezielt verstecken!


Das Programm jedoch noch nicht starten sondern zuerst folgendes tun:
  • Schliesse alle Anwendungen und Programme, vor allem deine Antiviren-Software und andere Hintergrundwächter, sowie deinen Internetbrowser.
    Vermeide es auch explizit während das Combofix läuft die Maus und Tastatur zu benutzen.
  • Starte nun die in smss.exe umbenannte combofix.exe von deinem Desktop aus, bestätige die Warnmeldungen und lass dein System durchsuchen.
  • Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte abkopieren und in deinen Beitrag einfügen. Das log findest du außerdem unter: C:\ComboFix.txt.
Wichtiger Hinweis:
Combofix darf ausschließlich ausgeführt werden wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.
Hinweis: Combofix verhindert die Autostart Funktion aller CD / DVD und USB - Laufwerken um so eine Verbeitung einzudämmen. Wenn es hierdurch zu Problemen kommt, diese im Thread posten.

Poste alle Logfiles bitte mit Codetags umschlossen (#-Button) also so:

HTML-Code:
[code] Hier das Logfile rein! [/code]
[/QUOTE]
__________________
Logfiles bitte immer in CODE-Tags posten

Alt 03.09.2009, 21:21   #10
Tintoretto
 
Virenalarm nach Installation von AntiVir 9, ADSPY/SaveNow.BV.1;TR/Crypt.TPM.Gen u.a. - Standard

Virenalarm nach Installation von AntiVir 9, ADSPY/SaveNow.BV.1;TR/Crypt.TPM.Gen u.a.



Hallo Cosinus,
Habe versucht, die Schritte so auszuführen, wie beschrieben.
Erste Unsicherheit:
Zitat:
Bitte die combofix.exe per Rechtsklick, "Ziel speichern unter" unter smss.exe abspeichern!
- Das klappt nicht- weder, wenn die Datei in dem "Download-Ordner" angezeigt wurde, noch wenn der Button bereits auf dem Desktop ist. Ich habe sie dann umbenannt in "smss.exe", geht das auch ?!

Zweite Unsicherheit/ Problem:
Trotzdem ich Antivir sogar gelöscht und danach den Compi neu gestartet habe(?!), zeigt mir Combofix kurz nach der Ausführung die Meldung, dass noch ein Scanner von AntiVir aktiv ist und es zu Problemen kommen könnte (Diese Meldung gleich dreimal).
Ich bin daher noch nicht weiter fortgefahren.

Viele Grüße,
Tintoretto

Alt 03.09.2009, 21:27   #11
cosinus
/// Winkelfunktion
/// TB-Süch-Tiger™
 
Virenalarm nach Installation von AntiVir 9, ADSPY/SaveNow.BV.1;TR/Crypt.TPM.Gen u.a. - Icon32

Virenalarm nach Installation von AntiVir 9, ADSPY/SaveNow.BV.1;TR/Crypt.TPM.Gen u.a.



Wenn Du sagtst "Ziel speichern" unter, erscheint doch ein Fenster wo Du den Pfad angeben und unten den Dateinamen (speichern unter) angeben musst. Und das gibts bei Dir nicht?

Das meine ich: http://img272.imageshack.us/img272/5...rnunteroi1.jpg
Bei Dateiname gleich von vornherein smss.exe eingeben!
__________________
Logfiles bitte immer in CODE-Tags posten

Alt 03.09.2009, 21:43   #12
Tintoretto
 
Virenalarm nach Installation von AntiVir 9, ADSPY/SaveNow.BV.1;TR/Crypt.TPM.Gen u.a. - Standard

Virenalarm nach Installation von AntiVir 9, ADSPY/SaveNow.BV.1;TR/Crypt.TPM.Gen u.a.



Die Option "Ziel speichern unter" erscheint bei mir nicht per Rechtsklick.
Da kommt dann ja so ein Optionsfeld, aber "Ziel speichern unter" ist da nicht dabei.

Alt 04.09.2009, 16:17   #13
cosinus
/// Winkelfunktion
/// TB-Süch-Tiger™
 
Virenalarm nach Installation von AntiVir 9, ADSPY/SaveNow.BV.1;TR/Crypt.TPM.Gen u.a. - Blinzeln

Virenalarm nach Installation von AntiVir 9, ADSPY/SaveNow.BV.1;TR/Crypt.TPM.Gen u.a.



Du klickst aber schon auf das fettgedruckte "KLICK"?
__________________
Logfiles bitte immer in CODE-Tags posten

Alt 07.09.2009, 17:10   #14
Tintoretto
 
Virenalarm nach Installation von AntiVir 9, ADSPY/SaveNow.BV.1;TR/Crypt.TPM.Gen u.a. - Standard

Virenalarm nach Installation von AntiVir 9, ADSPY/SaveNow.BV.1;TR/Crypt.TPM.Gen u.a.



Hallo Cosinus,
ähem-ja, mit Rechtsklick auf das "KLICK" klappt es ganz wunderbar.
(Zum Glück sieht keiner meinen richtigen Namen!!)

Lustigen Gruß, Tinto

Alt 07.09.2009, 17:38   #15
Tintoretto
 
Virenalarm nach Installation von AntiVir 9, ADSPY/SaveNow.BV.1;TR/Crypt.TPM.Gen u.a. - Standard

Virenalarm nach Installation von AntiVir 9, ADSPY/SaveNow.BV.1;TR/Crypt.TPM.Gen u.a.



Hallo Cosinus,
Nachdem das "Ziel speichern unter" nun klappt, kommt trotzdem noch sehr flott die Meldung, dass noch drei Real-Time-Virenscanner von Antivir laufen. Ich habe AntiVir jedoch gelöscht (und zwar nicht nur die Desktop- Verknüpfung, sondern ganz regulär über "Software"). Wie stoppe ich diese Scanner?! Und warum habe ich drei davon?!Eigene Recherche hat noch nichts erbracht.

Viele Grüße,
Tintoretto

Antwort

Themen zu Virenalarm nach Installation von AntiVir 9, ADSPY/SaveNow.BV.1;TR/Crypt.TPM.Gen u.a.
adware, adware.whenu, anti-malware, antivir, ausgehen, avira, avira antivir, ccleaner, center, disabled.securitycenter, e-banking, folge, frage, infizierte, installation, löschen, malwarebytes, microsoft, neue, neue version, online-banking, passwort, problem, programme, quarantäne, registrierungsschlüssel, security, software, suchlauf, system, tr/crypt., tr/crypt.tpm.gen, trojanische pferde, usb-stick



Ähnliche Themen: Virenalarm nach Installation von AntiVir 9, ADSPY/SaveNow.BV.1;TR/Crypt.TPM.Gen u.a.


  1. Antivir Fund AdSpy.Gen.2 TR/Crypt.XPACK.Gen
    Log-Analyse und Auswertung - 22.11.2014 (5)
  2. Win7 nach AntiVir Funden "TR/Crypt.zpack.Gen7" und "Adspy.Gen2" stark verlangsamt
    Log-Analyse und Auswertung - 13.04.2014 (28)
  3. TubeBox Virenalarm nach Update
    Plagegeister aller Art und deren Bekämpfung - 04.01.2013 (1)
  4. Internet nach AntiVir installation / deinstallation extrem langsam
    Plagegeister aller Art und deren Bekämpfung - 05.09.2012 (1)
  5. Antivir findet ADSPY/AdSpy.Gen2 (Problem mit Downloads; zuvor Probleme mit Antivir)
    Plagegeister aller Art und deren Bekämpfung - 16.02.2012 (5)
  6. ADSPY/AdSpy.Gen2, TR/Crypt.XPACK.Gen2 u.a. , lassen sich nicht entfernen
    Log-Analyse und Auswertung - 06.05.2011 (9)
  7. TR/Crypt.XPACK.Gen Fund nach Installation von Avira 10
    Plagegeister aller Art und deren Bekämpfung - 23.11.2010 (12)
  8. Mehrere Virenfunde bei Antivir (ADSPY/SaveNow.CO ADSPY/AdSpy.Gen ADWARE/Stud.D ADSPY/Agent.23040)
    Plagegeister aller Art und deren Bekämpfung - 12.11.2010 (3)
  9. AntiVir hat "ADSPY/AdSpy.Gen2" gefunden
    Plagegeister aller Art und deren Bekämpfung - 24.09.2010 (1)
  10. Nach Installation von AntiVir geht nichts mehr. Heftiger Virus?
    Plagegeister aller Art und deren Bekämpfung - 21.09.2010 (5)
  11. ADSPY/AdSpy.Gen, TR/Trash.Gen, ADSPY/SaveNow.CG und weitere
    Log-Analyse und Auswertung - 30.07.2010 (18)
  12. ADSPY/SaveNow.CR und WORM/Kido.IH.54 gefunden! :(
    Plagegeister aller Art und deren Bekämpfung - 16.09.2009 (16)
  13. ADSPY/SaveNow.Bl unlöschbar!?
    Plagegeister aller Art und deren Bekämpfung - 26.03.2009 (18)
  14. TR/Crypt.XPACK.Gen nach Update von Antivir
    Log-Analyse und Auswertung - 19.03.2009 (1)
  15. Virenalarm? ... Virenalarm!! bitte logfile auswerten...
    Log-Analyse und Auswertung - 13.04.2007 (5)
  16. Nach Panda Antivir Testversion Installation Müll im Hijacklog
    Log-Analyse und Auswertung - 17.02.2007 (4)
  17. Leistungsverlust nach Virenalarm
    Plagegeister aller Art und deren Bekämpfung - 06.11.2006 (1)

Zum Thema Virenalarm nach Installation von AntiVir 9, ADSPY/SaveNow.BV.1;TR/Crypt.TPM.Gen u.a. - Hallo zusammen, ich habe folgendes Problem, das ich in dieser "Kombination" in keinem anderem Thread gefunden habe. Ich hoffe, Ihr könnt mir weiterhelfen! Ich habe letztlich die neue Version von - Virenalarm nach Installation von AntiVir 9, ADSPY/SaveNow.BV.1;TR/Crypt.TPM.Gen u.a....
Archiv
Du betrachtest: Virenalarm nach Installation von AntiVir 9, ADSPY/SaveNow.BV.1;TR/Crypt.TPM.Gen u.a. auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.