GEMA-Trojaner[ROOTKIT] (UKASH) entfernen

Andy_C

Hallo liebes Forum,

mein Sohn hat sich auf seinem PC ebenfalls den GEMA-Trojaner eingefangen (möglicherweise ueber Facebook).
Zur Info: Windows XP Home, Service Pack 3,
Symptom: leerer Desktop
Zugriff nur ueber Task-Manager / Datei / Neuer Task Ausfuehren... moeglich.
auf dem Profil meines Sohnes ist Task-Manager gesperrt.

1) Zuerst folgte ich der Anleitung von Chip
hxxp://www.chip.de/news/Bundespolizei-Virus-entfernen-So-werden-Sie-ihn-wieder-los_50761972.html#sp=bundespolizei virus entfernen&N=0&pos=1
,da hierbei auch von UKASH die rede war.
Dabei wurde in der Registry unter Anwendungsdaten die "54uhjseiu6rtjut.exe" gefunden und anschließend gelöscht.siehe Foto


Da nach diesem Löschen noch immer keine Icon's auf dem Desktop sichtbar waren, bin ich auf Ihre Seiten gestossen.

2) Das Abarbeiten der unter
http://www.trojaner-board.de/104573-...entfernen.html
genannten Maßnahmen brachte auch keinen Erfolg. "rstrui.exe" lies sich nicht aufrufen.
Anschließend starte ich den vollständigen Scan mit Malwarebytes Anti-Malware. Siehe "mbam-log-2011-11-26 (16-05-24)-Datei".


Da auch dies noch nicht den gewuenschten Erfolg brachte folgte ich nun den unter
http://www.trojaner-board.de/69886-a...-beachten.html
genannten Punkten.


Schritt 1
defogger wurde gestartet und der Disable Button betaetigt.
keine Fehlermeldung.


Schritt 2
Die OTL.exe wurde gestartet. Anbei die Log-Files.
Da ich mit nicht mehr sicher war, ob vor SCAN-Start im Feld Extra-Registrierung "Benutze SafeList" angehakt war, wurde ein Zweiter Scan
gestartet (dieser Haken springt aber waehrend des Scans auf aus.).
Mittlerweile hatte sich auch FireFox auf 8.0.1 aktualisiert. Vielleicht sind in der ersten LOG-Datei aber auch ein paar wichtige Hinweise.
anbei die 4 Logfiles: OTL.txt , Extra.txt , OTL_Extra Registrierung_aus.txt und Extra_Extra Registrierung_aus.txt


Schritt 3
Die sonst auf diesem Rechner aktiven avgnt.exe und avguard.exe (beide ?? von AntiVir), sowie TeaTimer.exe(SpyBot Search & Destroy)
ließen sich im Task-Manager, da sie im abgesicherten Modus in der Prozesse-Liste nicht mit auftauchten, nicht deaktivieren.
Netzwerk-Kabel wurde abgezogen.
Scan wurde durchgefuehrt.Anbei die Log-Datei:gmer.txt
PS: im abgesicherten Modus fehlen bei GMER aufgrund der geringeren Bildgroeße die Button Copy und Save, die sich unter dem Scan-Button befinden.


Vielen Dank im Voraus