Hallo Forum,

nachdem ich heute feststellen dufte, dass mein PC vom Abnow-Trojaner befallen ist habe ich versucht diesen zu entfernen. Doch Avira wollte mit nicht helfen oder war nicht in der Lage dazu.
Das sah dann in etwa so aus, das ich den Befehl zum löschen gab und kurz darauf wieder das selbe Problem angezeigt wurde.

Nach stöbern in eurem Forum wurde ich an einer Stelle auf das Kaspersky-Tool verwiesen und hab mir dieses auch bester Hoffnungen auf den Pc geladen, doch auch Kaspersky kann mir nicht helfen, da es den Trojaner nicht findet.
Habt ihr möglicherweise rat wie ich diesen Trojaner wieder los werde?

Gruß Clubbi

Bitte nun routinemäßig einen Vollscan mit Malwarebytes machen und Log posten.
Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss! Außerdem müssen alle Funde entfernt werden.

Falls Logs aus älteren Scans mit Malwarebytes vorhanden sind, bitte auch davon alle posten!



ESET Online Scanner

• Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
• Lade und starte Eset Online Scanner
• Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
• Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
• Klicke auf Starten.
• Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
• Klicke am Ende des Suchlaufs auf Fertig stellen.
• Schließe das Fenster von ESET.
• Explorer öffnen.
• C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
• Logfile hier posten.
• Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
• Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

Bitte alles nach Möglichkeit hier in CODE-Tags posten.

Wird so gemacht:

[code] hier steht das Log [/code]

Und das ganze sieht dann so aus:

 hier steht das Log
         

So hier wäre schnmal das Ergebnis des Vollscans, welcher mit über 2h doch schon recht lange gebraucht hat?!?


Malwarebytes Anti-Malware 1.60.1.1000
Malwarebytes : Free anti-malware, anti-virus and spyware removal download

Datenbank Version: v2012.02.21.05

Windows Vista Service Pack 2 x86 NTFS
Internet Explorer 9.0.7930.16406
mausi :: MAUSI-PC [Administrator]

21.02.2012 20:17:24
mbam-log-2012-02-21 (20-17-24).txt

Art des Suchlaufs: Vollständiger Suchlauf
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 367235
Laufzeit: 2 Stunde(n), 22 Minute(n), 14 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 3
HKCU\SOFTWARE\TOY5KNQ8OC (Trojan.FakeAlert) -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKCU\SOFTWARE\XML (Trojan.FakeAlert) -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKCU\Software\WEK9EMDHI9 (Trojan.Agent) -> Erfolgreich gelöscht und in Quarantäne gestellt.

Infizierte Registrierungswerte: 1
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|Windows Time (Trojan.VUPX.PL1) -> Daten: rundll32.exe "C:\ProgramData\UfpacgAmdirn.dll",EntryPoint -> Erfolgreich gelöscht und in Quarantäne gestellt.

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 9
C:\ProgramData\UfpacgAmdirn.dll (Trojan.VUPX.PL1) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Users\mausi\AppData\Local\277acf4b\X (Rootkit.0Access) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Users\mausi\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\REVZO7ER\3[1].exe (Trojan.Dropper.PE4) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Users\mausi\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\WXX6Y0L9\10[1].exe (Trojan.VUPX.PL3) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Users\mausi\AppData\Local\Temp\19FF.tmp (Trojan.VUPX.PL3) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Windows\assembly\GAC_MSIL\Desktop.ini (Rootkit.0Access) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Users\Gast\AppData\Local\Temp\{E9C1E1AC-C9B2-4c85-94DE-9C1518918D02}.tlb (Rootkit.Zeroaccess) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Users\mausi\AppData\Local\Temp\{E9C1E1AC-C9B2-4c85-94DE-9C1518918D02}.tlb (Rootkit.Zeroaccess) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Windows\Temp\{E9C1E1AC-C9B2-4c85-94DE-9C1518918D02}.tlb (Rootkit.Zeroaccess) -> Erfolgreich gelöscht und in Quarantäne gestellt.

(Ende)

Und ESET (hat auch nur 4h gebrauch. Woran könnte das liegen?)

ESETSmartInstaller@High as downloader log:
all ok
# version=7
# OnlineScannerApp.exe=1.0.0.1
# OnlineScanner.ocx=1.0.0.6583
# api_version=3.0.2
# EOSSerial=bcbbab98f0e5524bb8667e69930ce044
# end=finished
# remove_checked=false
# archives_checked=true
# unwanted_checked=true
# unsafe_checked=false
# antistealth_checked=true
# utc_time=2012-02-22 01:12:50
# local_time=2012-02-22 02:12:50 (+0100, Mitteleuropäische Zeit)
# country="Germany"
# lang=1033
# osver=6.0.6002 NT Service Pack 2
# compatibility_mode=1797 16775165 100 94 57173 66438993 49753 0
# compatibility_mode=5892 16776574 66 100 81462 167434839 0 0
# compatibility_mode=8192 67108863 100 0 3828 3828 0 0
# scanned=183412
# found=2
# cleaned=0
# scan_time=14233
C:\Users\mausi\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\47\7bd0ae2f-312f47fa	Java/Exploit.CVE-2011-3544.I trojan (unable to clean)	00000000000000000000000000000000	I
C:\Windows\System32\PXRDDriver.dll	probably a variant of Win32/Sirefef.ER trojan (unable to clean)	00000000000000000000000000000000	I
         

Du hast offensichtlich einen ZeroAccess drauf, der ist immer ungemütlich.
Ich würde dir erstmal für den Fall der Fälle eine Datensicherung empfehlen und dich darauf vorzubereiten, eine komplette Neuinstallation von Windows durchzuführen, den ZA kann man nämlich nicht immer per Bereinigung entfernen!

Zum Thema Datensicherung von infizierten Systemen; mach das über ne Live-CD wie Knoppix, Ubuntu (zweiter Link in meiner Signatur) oder über PartedMagic. Grund: Bei einem Live-System sind keine Schädlinge des infizierten Windows-Systems aktiv, damit ist dann auch eine negative Beeinflussung des Backups durch Schädlinge ausgeschlossen.

Du brauchst natürlich auch ein Sicherungsmedium, am besten dürfte eine externe Platte sein. Sofern du nicht allzuviel sichern musst, kann auch ein USB-Stick ausreichen.

Hier eine kurze Anleitung zu PartedMagic, funktioniert prinzipell so aber fast genauso mit allen anderen Live-Systemen auch.

1. Lade Dir das ISO-Image von PartedMagic herunter, müssten ca. 180 MB sein
2. Brenn es per Imagebrennfunktion auf CD, geht zB mit ImgBurn unter Windows
3. Boote von der gebrannten CD, im Bootmenü von Option 1 starten und warten bis der Linux-Desktop oben ist



4. Du müsstest ein Symbol "Mount Devices" finden, das doppelklicken
5. Mounte die Partitionen wo Windows installiert ist, meistens isses /dev/sda1 und natürlich noch etwaige andere Partitionen, wo noch Daten liegen und die gesichert werden müssen - natürlich auch die der externen Platte (du bekommmst nur Lese- und Schreibzugriffe auf die Dateisysteme, wenn diese gemountet sind)
6. Kopiere die Daten der internen Platte auf die externe Platte - kopiere nur persönliche Dateien, Musik, Videos, etc. auf die Backupplatte, KEINE ausführbaren Dateien wie Programme/Spiele/Setups!!
7. Nach der Datensicherung: Rechner runterfahren, Backupmedium vom Rechner trennen (physikalisch => Kabel ziehen von ext. Festplatte),Rechner neu starten und wieder Windows booten - da jetzt die Datensicherung gemacht wurde kann man sich nun austoben


Wenn du dir sicher bist, dass du auch alle Daten unter Linux gesichert hast, führst du mal Combofix aus:

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

• Lade dir ComboFix hier herunter auf deinen Desktop.

• Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.

• Starte combofix.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
  Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.

• Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!

Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Solltest du nach der Ausführung von Combofix Probleme beim Starten von Anwendungen haben und Meldungen erhalten wie

Es wurde versucht, einen Registrierungsschlüssel einem ungültigen Vorgang zu unterziehen, der zum Löschen markiert wurde.

startest du Windows dann manuell neu und die Fehlermeldungen sollten nicht mehr auftauchen.

Hey Arne,
vielen Dank für deine schnelle und leicht verständliche Hilfe.
Nur bei Punkt 5 ist mir noch nicht s ganz klar was und wie ich dieses zu tun hab.
UA. wo finde ich diese Partitionen.
(Entschuldigung für diese Fragen aber da ich keine Ahnung von sowas habe will ich lieber nochmal fragen bevor ich das Ding vor die Wand fahre.)

5. Mounte die Partitionen wo Windows installiert ist, meistens isses /dev/sda1 und natürlich noch etwaige andere Partitionen, wo noch Daten liegen und die gesichert werden müssen - natürlich auch die der externen Platte (du bekommmst nur Lese- und Schreibzugriffe auf die Dateisysteme, wenn diese gemountet sind)

Das ist eine berechtigte Frage, denn unter Linux wird das völlig anderes gehabt, denn man hat keine Laufwerksbuchstaben.
Meine Anleitung zu PartedMagic ist für eine ältere Version gültig, bei neuen Versionen von PM sollte es reichen wenn du einfach oben link in de nDateimanager gehst - links sollten alle Laufwerke aufgelistet werden

Gelöscht da TEILProblem gelöst

Du hast es via Imagebrennfunktion gemacht?
Warte noch etwas ab.
Wenn es nicht geht, nimm eine leere CDRW und brenn mit erweiterten Einstellungen, als Brennmethode Disc-At-Once bentuzen

So nach absenden des Post kam die CD aus dem Brenner. =)
Ach noch ne kurze Frage was ist von diesem Tool zu halten?
Möglichkeit das Vieh los zu werden oder garnicht erst mit dem Ding versuchen?

 
Gratis-Tool entfernt Rootkit ZeroAccess - pcmagazin - Magnus.de
         

Nee, lass das mal. Mach erst die Datensicherung. Dann CF. Danach können wir immer noch mit anderen Tools spielen, aber erst wenn deine Daten in Sicherheit sind

So noch drei Fragen bevor ich mit der Datensicherung beginne.
1. Wie komme ich in das Bootmenü um mit Linux zu starten?
2. Um die Daten auf die Externe zu bekommen einfach wie immer (rechtsklick, kopieren und dann einfügen)?
3.Um nach der Datensicherung mit Windows wieder hochzufahren einfach Cd entnehmen und normal wieder hochfahren oder muss ich irgendwas beachten?

1. Wie komme ich in das Bootmenü um mit Linux zu starten?

Von der CD booten! http://www.trojaner-board.de/81857-c...cd-booten.html

2. Um die Daten auf die Externe zu bekommen einfach wie immer (rechtsklick, kopieren und dann einfügen)?

Ja, PartedMagic hat einen Dateimanager, die Bedienung ist fast genao wie unter Windows

3.Um nach der Datensicherung mit Windows wieder hochzufahren einfach Cd entnehmen und normal wieder hochfahren oder muss ich irgendwas beachten?

Die CD wird ausgeworfen, sobald PM gestartet ist, es liegt dann alles im RAM. Nimm die CD raus.
Einfach nach der Datensicherung den Rechner neu starten

Fortschritt =)

Heute Abend hab ich es zumidest schonmal geschaft in PartedMagic zu gelangen.
Nun stellen sich mir aber weitere Fragen, da das Program doch etwas ungewohnt ist.

1.In PM erscheint ein Menü in dem auf Laufwerk /sda enthaltene Partitionen anzeigt /sda1 und /sda2. Soweit ich verstanden habe, sollten das nun die Daten sein die ich sichern möchte. Bin ich an dem Punkt noch richtig?

2. Unter Laufwerke ist neben dem Laufwerk /sda noch Laufwerk /sdb gelistet.
Ist /sdb meine Externe?

3. Wenn ich die auf /sda gezeigten Objekte /sda1 und /sda2 kopiere hab ich (glaube ich) nur die Möglichkeit diese auf der Externen (/sdb) in der Partition /sdb1 einzufügen. Wenn ich das aber ausführen möchte kommt vom Programm die Meldung das so die Daten von /sdb1 in das ich kopieren möchte verloren gehen (Externe ist neu und sollte eig leer sein).

Gruß Clubbi

Ist /sdb meine Externe?

Vermutlich ja

(Externe ist neu und sollte eig leer sein).

Naja, wenn die externe völlig leer ist, hat sie auch keine Partition. Dann gibt es nur das Device /dev/sdb aber noch kein /dev/sdb1

Mach mal in der Konsole ein

fdisk -lu
         

also eintippen mit der EIngabetaste ausführen und die Ausgabe posten. Alternativ Screenshots von GParted (Partition Editor) hier posten und zwar von /dev/sda und /dev/sdb!

Hallo nun bin ich nal langer Zeit wieder zurück auch mit gemachten Screenshots, nur das Problem ist ich weiß nicht so ganz wo die gespeichert sind.
=(
Lg