Zurück   Trojaner-Board > Malware entfernen > Diskussionsforum

Diskussionsforum: Bundeskriminalamt Virus [mögliche Lösung]

Windows 7 Hier sind ausschließlich fachspezifische Diskussionen erwünscht. Bitte keine Log-Files, Hilferufe oder ähnliches posten. Themen zum "Trojaner entfernen" oder "Malware Probleme" dürfen hier nur diskutiert werden. Bereinigungen von nicht ausgebildeten Usern sind hier untersagt. Wenn du dir einen Virus doer Trojaner eingefangen hast, eröffne ein Thema in den Bereinigungsforen oben.

Thema geschlossen
Alt 18.04.2011, 17:54   #1
Lorbeer
 
Bundeskriminalamt Virus [mögliche Lösung] - Standard

Bundeskriminalamt Virus [mögliche Lösung]



Ich hab es geschafft, den Trojaner, der vorgibt vom Bundeskriminalamt zu sein und 100€ fordert, um den PC zu entsperren, ohne groß "rumzumachen" zu entfernen. Das Popup blockiert alles und neu gestartete Programme werden sofort geschlossen. Um die 30 Dateien in der Registry werden verändert und die explorer.exe durch eine andere ersetzt ...
Ich will nur eine einfache Lösungsmöglichkeit bieten für diesen gerade kursierenden und sehr lästigen Trojaner:

Ich hab Windows XP SP3 ... ich weiß nicht, ob es bei euch klappen wird.

1. Fahrt Windows normal hoch; sobald der Ladebildschirm verschwindet und der Desktop erscheint (noch nicht das Popup), öffnet sofort den Task Manager mit Strg+Alt+Entf ... seid schnell
2. Bei dem Reiter "Prozesse" sortiert ihr schnell nach Namen und beendet sofort "calc[1].exe" ... das ist sozusagen der Prozess, der alles blockt, vermute ich.
3. Wenn alles geklappt hat und nur das Hintergrundbild eures Desktops und der Task Manager zu sehen sind, geht ihr auf den Reiter "Anwendungen" und gebt bei "Neuer Task" das hier ein : %systemroot%\system32\restore\rstrui.exe
4. Die Systemwiederherstellung startet, wählt einen Punkt vor der Infektion aus und stellt wieder her .... Fertig

Hat bei mir geklappt, kanns aber nicht versichern. Ging halt ohne andere Programme. Ich will nur helfen, aber für eventuelle Schäden übernehme ich keine Haftung.
Was sagt ihr, ist der Rechner nun sauber? Ich hab während ich mit dem taskmanager rumgespielt hab, noch mit dem starten der infizierten explorer.exe einen ordner öffnen können und alles aus den ordner Temporary Internet Files und temp und so löschen können ... glaube aber nicht, dass das was bringt.

Gruß
Lorbeer

Alt 18.04.2011, 19:58   #2
felix1
/// Helfer-Team
 
Bundeskriminalamt Virus [mögliche Lösung] - Standard

Bundeskriminalamt Virus [mögliche Lösung]



Zitat:
Zitat von Lorbeer Beitrag anzeigen
Ich hab es geschafft
Schön für Dich
Zitat:
Zitat von Lorbeer Beitrag anzeigen
Um die 30 Dateien in der Registry werden verändert und die explorer.exe durch eine andere ersetzt
Bist Du Dir sicher, dass Du alle erwischt hast?
Zitat:
Zitat von Lorbeer Beitrag anzeigen
Was sagt ihr, ist der Rechner nun sauber?
Ich glaube nicht, ich würde den PC einem Vollwaschgang unterziehen, z.B. mit den Programmen wie Combofix usw.
__________________

__________________

Alt 19.04.2011, 10:05   #3
Acid303
 

Bundeskriminalamt Virus [mögliche Lösung] - Standard

Bundeskriminalamt Virus [mögliche Lösung]



Damit hast du nur die Auswirkungen der Malware gestopt aber das Ding ist immernoch in deinem System vorhanden. Du solltest wirklich mal den Rechner untersuchen wie felix schon geschrieben hat. Gehe ersteinmal hiernach vor Für alle Hilfesuchenden! Was muss ich vor der Eröffnung eines Themas beachten? und arbeite den Punkt 2 ab.

Gruß

Acid
__________________
__________________

Alt 21.04.2011, 13:58   #4
nessie.89
 
Bundeskriminalamt Virus [mögliche Lösung] - Standard

Bundeskriminalamt Virus [mögliche Lösung]



Also ich muss ehrlich gestehen das ich kein Computergenie bin und auch bei dem meisten was hier geschrieben wird, nicht genau verstehe was gemeint ist und wie was funktioniert.
Mich hat der Virus auch lahm gelegt, aber ich konnte mich noch über meinen Gastaccount anmelden. Über diesen habe ich dann mein Antivirussystem gestartet und alles noch einmal checken lassen (GData). Es wurde auch etwas gefunden und ich habe es gelöscht. Als ich dann probiert habe mich wieder über mein normales Benutzerkonto anzumelden ging es trotz dessen immer noch nicht.
ABER... und das ist der Punkt... ich hatte dann die Schnautze voll und hab den PC ausgemacht und als ich das nächste mal meinen PC benutzt habe, habe ich aus Gewohnheit und ohne nachzudenken mein Benutzerkonto angewählt und nicht den Gast und JETZT GEHT ALLES WIEDER!!!
Ich weiß nicht woran es liegt, wie gesagt bin ich da nicht so bewandert, und weiter hab ich auch nichts am PC veranstaltet, ich bin nur froh das es jetzt weg ist

Alt 24.04.2011, 09:14   #5
Shadow
/// Mr. Schatten
 
Bundeskriminalamt Virus [mögliche Lösung] - Standard

Bundeskriminalamt Virus [mögliche Lösung]



Zitat:
Zitat von nessie.89 Beitrag anzeigen
ich bin nur froh das es jetzt weg ist
Weg ist wohl das Symptom, aber wohl eher nicht unbedingt die Malware.
Warum war der Gastaccount aktiviert? Absichtlich?

__________________
alle Tipps + Hilfen aller Helfer sind ohne Gewähr + Haftung
keine Hilfe via PN
hier ist ein Forum, jeder kann profitieren/kontrollieren - niemand ist fehlerfrei
tendenzielle Beachtung der Rechtschreibregeln erhöht die Wahrscheinlichkeit einer Antwort
-


Alt 24.04.2011, 12:10   #6
lupuslazuli
 
Bundeskriminalamt Virus [mögliche Lösung] - Standard

Bundeskriminalamt Virus [mögliche Lösung]



Hallo,
hab' besagtes Problem wie folgt mit verdächtig wenig Aufwandt "beseitigt".
- PC vom Internet getrennt
- Anmelde unter anderem Benutzernahmen ( über Strg+Alt+Entf)
- Aktuellen CCleaner rigoros löschen lassen damit die Scanner nicht soviel zutun haben
- Malewarebytes(instaliert), Spybot(instaliert), Stinger, Bitdefender und Antivir( installiert) drüberlaufen lassen
- Nach Neustart und ich konnte mich wieder mit dem betroffenen Hauptbenutzerkonto anmelden. Keine weiteren Funde außer ein paar TrackerCookies. Das System ist scheinbar frei von Viren Trojanern

Was genau empfiehlt sich den aktuell so für einen sogenannten Vollwaschgang? ( Keine Lösung mit Backup & Neuinstallation etc. bitte)
Ich dachte an die CD aus der c't 8/2011...
Oder gibt's was vergleichbares mit aktuellen Signaturen zum Download?
Meine Antiviren-Werkzeugkasten ist etwas in die Jahre gekommen.

Danke im Voraus...
Ach ja, Frohe Ostern!

P.S.: Eventl. sollte ein eigener Thread zum Thema Vollwaschgang gestartet werden. Trotzdem Poste ich erstmal hier herein da es evtl. ein paar Leuten den Tag rettet...

Geändert von lupuslazuli (24.04.2011 um 12:27 Uhr)

Alt 24.04.2011, 13:08   #7
cad
/// caddy ☀
 

Bundeskriminalamt Virus [mögliche Lösung] - Standard

Bundeskriminalamt Virus [mögliche Lösung]



Zitat:
Zitat von lupuslazuli Beitrag anzeigen
Das System ist scheinbar frei von Viren Trojanern
Betonung auf scheinbar
__________________
Investiere keine Zeit in Jemand oder eine Sache, für die/den du oder die für dich nur eine Option unter Vielen ist


Jede Hilfestellung erfolgt
ohne Gewähr und Haftung



Alt 24.04.2011, 18:44   #8
Trokiller
 
Bundeskriminalamt Virus [mögliche Lösung] - Standard

Bundeskriminalamt Virus [mögliche Lösung]



CCleaner hat nicht den Virus gelöscht, sondern nur eine EXE-Datei im Temp Ordner, dessen Namen variert. Der Virus ist trotzdem Vorhanden, ich hatte den Virus auch und keine Zeit den Taskmanager zu starten, ich habe es mit einer Live-CD gemacht...

Ausführlich steht das ganze mit Hintergrundinformationen in diesem Sicherheitsblog von mir(hxxp://thinksave.blogspot.com/)

Damit ist aber immer noch nur ein Teil gelöscht...
Ich werde noch in den nächsten Tagen noch weitere Posts hier, sowohl in meinem BLog schreiben

Außerdem problematisch ist dass, der Virus von den fasst allen Antivirentools nicht Entdeckt wird.. Wen es näher Interressiert kann das nochmal genau auf meinem Blog nachlesen(habe jetzt keine Lust alles doppelt zu schreiben)

Fiele Grüße Trokiller

Geändert von Trokiller (24.04.2011 um 19:08 Uhr)

Alt 29.04.2011, 11:25   #9
Gallomino
 
Bundeskriminalamt Virus [mögliche Lösung] - Standard

Bundeskriminalamt Virus [mögliche Lösung]



Ich habe hier die offizielle Empfehlung des BSI (Bundesamt für Sicherheit im Internet oder so):

SICHER o INFORMIERT
Extraausgabe vom 19.04.2011

Verbreitung durch "Drive-by-Exploits"

Erpressungsversuche durch Schadsoftware

In einer Pressemitteilung
hxxp://www.bka.de/pressemitteilungen/2011/pm110401.html
[hxxp://www.bka.de/pressemitteilungen/2011/pm110401.html]
vom 01.04.2011 warnen die Bundespolizei und das Bundeskriminalamt vor einer aktuellen Erpressungsvariante durch Schadsoftware. Die Infektion des PCs zeigt sich durch ein Pop-Up-Fenster, in dem der Nutzer zur Zahlung einer vermeintlichen "Strafe" aufgefordert wird. Andernfalls werde seine Festplatte geloescht. Die Taeter nutzen dabei rechtswidrig die Logos des Bundeskriminalamtes, der Bundespolizei und anderer Institutionen, wie zum Beispiel der Hersteller von Virenschutzprogrammen.

Die Verbreitung dieses Schadprogramms findet nach aktuellem Kenntnisstand durch so genannte "Drive-by-Exploits" statt. Dabei werden beim Surfen im Internet Schwachstellen im Betriebssystem oder einer Anwendungssoftware ausgenutzt, um ohne weitere Nutzerinteraktion schaedliche Programme auf dem PC zu installieren.

Nach der Infektion des PCs ist der Zugriff auf den Desktop blockiert.
Im laufenden Betrieb kann das Schadprogramm daher nicht entfernt werden.
Abhilfe ist durch die Verwendung einer so genannten "Rescue-CD"
moeglich, wie sie von verschiedenen Herstellern von Antivirus-Software kostenfrei zur Verfuegung gestellt wird.

Nicht alle dieser Rescue-CDs entfernen das Schadprogramm jedoch vollstaendig und setzen die durch das Schadprogramm durchgefuehrten weiteren Modifikationen am Betriebssystem korrekt zurueck. Weitere Informationen hierzu koennen Sie bei den einzelnen Herstellern erfragen.

Nach aktuellem Kenntnisstand des BSI ist kostenfrei zumindest die vom Hersteller Kaspersky zum Download angebotene "Rescue Disk 10" in der Lage, die aktuelle Variante des Schadprogramms vollstaendig zu entfernen und weitere Modifikationen rueckgaengig zu machen. Informationen und Download "Kaspersky Rescue Disk 10"
hxxp://support.kaspersky.com/de/viruses/rescuedisk
[hxxp://support.kaspersky.com/de/viruses/rescuedisk].

Das Service-Center des Bundesamts fuer Sicherheit in der Informationstechnik steht fuer Fragen von Privatnutzern unter 01805-274100 (14 ct/Minute aus dem deutschen Festnetz) oder unter mail@bsi-fuer-buerger.de zur Verfuegung.

Weiterer Angriff: Angebliche Probleme mit der Lizenz des Betriebssystems

Eine weitere aktuelle Erpressungsvariante durch Schadsoftware sperrt den Benutzer von seinem System aus und fordert ihn auf, die Lizenz seines Betriebssystems ueberpruefen zu lassen. Dazu sei es notwendig, eine Telefonnummer im Ausland anzurufen, um einen Entsperrcode fuer seinen PC zu erhalten.

Auch hierbei handelt es sich um eine Erpressungsvariante, bei der die Taeter das bekannte Layout von Meldungen zur Lizenzierung des Betriebssystems Microsoft Windows nachbilden. Ruft ein Betroffener eine dieser Nummern an, entstehen hohe Telefonkosten, bis er einen Entsperrcode erhaelt, wie der Sicherheitsdienstleister F-Secure herausgefunden hat hxxp://www.f-secure.com/weblog/archives/00002139.html
[hxxp://www.f-secure.com/weblog/archives/00002139.html].

In diesem konkreten Fall koennen Betroffene auf einen teuren Anruf verzichten, und sich stattdessen mit dem fuer diese Schadsoftware generischen Freischaltcode 1351236 behelfen. Bisherige Untersuchungen zeigen, dass der Zugriff auf den PC nach Eingabe dieses Freischaltcodes wieder moeglich ist.

In beiden Faellen jedoch gilt: Es kann nicht ausgeschlossen werden, dass bei der Infektion zeitgleich auch noch weitere Schadsoftware auf dem PC installiert wurde. Daher empfiehlt das BSI, infizierte Systeme grundsaetzlich neu aufzusetzen oder eine Komplettsicherung (Backup) des PCs von einem Zeitpunkt vor der Infektion zurueck zu spielen.

Zum Schutz vor Infektionen durch Drive-by-Exploits sollten Anwender darauf achten, neben der Verwendung eines aktuellen Virenschutzprogramms zeitnah alle jeweils verfuegbaren Sicherheitsupdates fuer das Betriebssystem und Anwendungssoftware (wie beispielsweise Webbrowser, Acrobat Reader, Flash, Java, Multimedia-Player, usw.) zu installieren.


-----------------------------------------------------------------------

Die Extraausgabe "SICHER o INFORMIERT" ist ein kostenloses Service-Angebot des Buerger-CERT. Die Informationen werden vom Bundesamt fuer Sicherheit in der Informationstechnik, hxxp://www.bsi.bund.de, mit groesster Sorgfalt recherchiert und aufbereitet. Dennoch kann eine Gewaehr oder Haftung fuer die Vollstaendigkeit und Richtigkeit nicht uebernommen werden.

Unter hxxp://www.buerger-cert.de haben Sie die Moeglichkeit, den Newsletter zu abonnieren oder abzubestellen. Fragen und Anregungen an die Redaktion bitte an: oeffentlichkeitsarbeit@bsi.bund.de


Bevor ich die gefunden habe, habe ich meinen Rechner folgendermaßen befreit:
1. mit BartPE-CD gestartet
2. mit Ghost 7.7 Image gezogen
3. mit Zweitrechner das Image auf eine externe Festplatte entpackt
4. bei dieser externen Festplatte eine upgedatete Version von Malwarebytes Anti-Malware und aktuelles AntiVir drüberlaufen lassen
5. drei Einträge entfernt
6. alles wieder mit Ghost 7.7 zum Image gepackt
7. mit BartPE-CD und Ghost 7.7 auf die Ursprungspartition (vorher Formatiert) zurückgeschrieben
8. mit Windows-XP-Installations-CD repariert
9. und lief!

Alt 01.05.2011, 07:37   #10
hohen8
 
Bundeskriminalamt Virus [mögliche Lösung] - Standard

Bundeskriminalamt Virus [mögliche Lösung]



servus leute
nachdem ich hier viele infos bekommen habe möchte ich einfach meinen weg angeben wie ich es zumidest in meinem fall erreicht habe wieder kontrolle über den rechner zu erlangen.
dies soll keine allgemein gültige lösung sein, nur ein vielleicht funktionierender weg den bka- virus oder trojaner der sich als totale blockade breitmacht zu umgehen und eine systemsicherung o.ä. zu ermöglichen.
betriebssystem windows ultimate 64-bit

abgesicherter modus alleine u.ä. hat alles nicht funktioniert, systemwiederherstellung mangels vorheriger sicherung nicht möglich, kapersky rescue 10 ohne wirkung

beim bootvorgang mit f8 in die verschiedenen startmöglichkeiten wechseln
abgesicherter modus mit eingabeaufforderung wählen

im dos fenster regedit:

pfad: "HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon"
unter shell eintrag geggen "explorer.exe" austauschen, vorherigen von der malware veränderten eintrag separat für später notieren.

fenster geöffnet lassen

im dos fenster explorer.exe eingeben

dann startete der rechner im abges modus.
im task manager lief eine cmd.exe, diesen prozess beendet, keine negative auswirkung auf das system erkenntlich.

virsusscanner in mein fall avira gestartet, der hatte 2 verzeichnisse gefunden.

rechner neu gestartet, bka fenster war wieder da.

daher habe ich das gleiche wie oben nochmals durchgeführt.
wieder war shell ersetzt durch eine andere zeile.


wieder notiert, wieder durch explorer exe ersetzt

wieder im dos fenster explorer.exe aufgerufen

den eintrag gesucht, war auf dem desktop gespeichert
zuerst erweiterung verändert um ihn unschädlicher zu machen
null0.9128018318511731. die endung hab ich leider verändert und vergessen...
dann gelöscht

wieder neu gebootet
seither zumindes habe ich wieder normale kontrolle über den rechner.

ob das die anueinstallation ersetzen kann denke ich nicht, aber es hat mir bisher geholfen akut wieder zu arbeiten.
viel erfolg und viele greets,
martin

Alt 02.05.2011, 08:22   #11
Larusso
/// Selecta Jahrusso
 
Bundeskriminalamt Virus [mögliche Lösung] - Standard

Bundeskriminalamt Virus [mögliche Lösung]



Der Weg die Windows Shell wieder zu reparieren ist schon mal nicht schlecht. Aber ich finde es lustig wenn jemand in der Registry hantiert und dann sowas von sich gibt.

Zitat:
im task manager lief eine cmd.exe, diesen prozess beendet, keine negative auswirkung auf das system erkenntlich.
Die cmd.exe wird benötigt damit sich das MS- DOS Fenster öffnet, welches wahrscheinlich im Hintergrund noch gelaufen ist.

Der Befehl explorer.exe in diesem Fenster "zwingt" quasi die GUI zu starten damit man nen Desktop hat ^^
__________________
mfg, Daniel

ASAP & UNITE Member
Alliance of Security Analysis Professionals
Unified Network of Instructors and Trusted Eliminators

Lerne, zurück zu schlagen und unterstütze uns!
TB Akademie

Alt 02.05.2011, 13:08   #12
Shadow
/// Mr. Schatten
 
Bundeskriminalamt Virus [mögliche Lösung] - Standard

Bundeskriminalamt Virus [mögliche Lösung]



Zitat:
Zitat von Larusso Beitrag anzeigen
MS- DOS Fenster
Unter Windows NTx?
__________________
alle Tipps + Hilfen aller Helfer sind ohne Gewähr + Haftung
keine Hilfe via PN
hier ist ein Forum, jeder kann profitieren/kontrollieren - niemand ist fehlerfrei
tendenzielle Beachtung der Rechtschreibregeln erhöht die Wahrscheinlichkeit einer Antwort
-


Alt 02.05.2011, 16:36   #13
cosinus
/// Winkelfunktion
/// TB-Süch-Tiger™
 
Bundeskriminalamt Virus [mögliche Lösung] - Standard

Bundeskriminalamt Virus [mögliche Lösung]



Zitat:
Zitat von Shadow Beitrag anzeigen
Unter Windows NTx?
DOS-Box?

Alt 08.05.2011, 10:22   #14
Larusso
/// Selecta Jahrusso
 
Bundeskriminalamt Virus [mögliche Lösung] - Standard

Bundeskriminalamt Virus [mögliche Lösung]



Ups, verschlafen

Joa, ich nenne das schon immer DOS Box (CMD)
__________________
mfg, Daniel

ASAP & UNITE Member
Alliance of Security Analysis Professionals
Unified Network of Instructors and Trusted Eliminators

Lerne, zurück zu schlagen und unterstütze uns!
TB Akademie

Alt 08.05.2011, 14:02   #15
cosinus
/// Winkelfunktion
/// TB-Süch-Tiger™
 
Bundeskriminalamt Virus [mögliche Lösung] - Standard

Bundeskriminalamt Virus [mögliche Lösung]



DOS-Box umgangsprachlich geht noch, wobei DOS-Box eigentlich ein richtiger Emulator ist => DOSBox, an x86 emulator with DOS

Aber MS-DOS-Fenster unter WindowsNT hat Shadow wohl richtig Weh getan, da blutet sein Herz

Thema geschlossen

Themen zu Bundeskriminalamt Virus [mögliche Lösung]
anwendungen, blockiert, bundeskriminalamt, bundeskriminalamt virus, bundespolizei, dateien, desktop, explorer.exe, infizierte, internet, ladebildschirm, löschen, namen, neu, ordner, popup, programme, prozesse, registry, sp3, starten, system32, systemwiederherstellung, taskmanager, trojaner, virus, windows, windows xp, öffnet



Ähnliche Themen: Bundeskriminalamt Virus [mögliche Lösung]


  1. Bundeskriminalamt Virus
    Log-Analyse und Auswertung - 19.03.2014 (8)
  2. Das "e. ligatus. com/Fallback..."-Problem: Mögliche Lösung
    Plagegeister aller Art und deren Bekämpfung - 05.05.2013 (1)
  3. Riesiges Problem Bundeskriminalamt virus & Gvu Virus
    Log-Analyse und Auswertung - 05.02.2013 (44)
  4. 100 Euro - Virus - Bundeskriminalamt
    Plagegeister aller Art und deren Bekämpfung - 14.07.2012 (3)
  5. Bundeskriminalamt - Virus
    Plagegeister aller Art und deren Bekämpfung - 20.12.2011 (6)
  6. Bundeskriminalamt virus
    Plagegeister aller Art und deren Bekämpfung - 17.11.2011 (29)
  7. BKA-Virus! Bundeskriminalamt hat PC lahmgelegt.
    Log-Analyse und Auswertung - 09.09.2011 (25)
  8. Bundeskriminalamt Virus
    Log-Analyse und Auswertung - 31.08.2011 (25)
  9. Bundeskriminalamt Virus
    Log-Analyse und Auswertung - 22.08.2011 (32)
  10. Bundeskriminalamt Virus
    Plagegeister aller Art und deren Bekämpfung - 13.08.2011 (6)
  11. Bundeskriminalamt Virus
    Log-Analyse und Auswertung - 11.08.2011 (1)
  12. Bundeskriminalamt Virus
    Log-Analyse und Auswertung - 09.08.2011 (1)
  13. Bundeskriminalamt Virus
    Plagegeister aller Art und deren Bekämpfung - 23.06.2011 (11)
  14. Bundeskriminalamt - Virus
    Log-Analyse und Auswertung - 16.06.2011 (24)
  15. Bundeskriminalamt Virus otl.txt
    Log-Analyse und Auswertung - 28.05.2011 (3)
  16. BKS (Bundeskriminalamt) Trojaner Mögliche Lösung!
    Plagegeister aller Art und deren Bekämpfung - 15.04.2011 (1)
  17. (bundeskriminalamt) virus
    Log-Analyse und Auswertung - 13.04.2011 (16)

Zum Thema Bundeskriminalamt Virus [mögliche Lösung] - Ich hab es geschafft, den Trojaner, der vorgibt vom Bundeskriminalamt zu sein und 100€ fordert, um den PC zu entsperren, ohne groß "rumzumachen" zu entfernen. Das Popup blockiert alles und - Bundeskriminalamt Virus [mögliche Lösung]...
Archiv
Du betrachtest: Bundeskriminalamt Virus [mögliche Lösung] auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.