Zurück   Trojaner-Board > Malware entfernen > Log-Analyse und Auswertung

Log-Analyse und Auswertung: 50 Euro UKash / Verschluesselungstrojaner

Windows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.XML

Antwort
Alt 04.05.2012, 13:58   #1
Milex
 
50 Euro UKash / Verschluesselungstrojaner - Standard

50 Euro UKash / Verschluesselungstrojaner



Hallo zusammen,

meine Eltern hat es leider auch mit einer Email erwischt, dementsprechend bin ich dabei, ihn wieder zum laufen zu bringen.

Nach einer mehrtaegigen Forumdurchsuchung anbei die OTL-Logdateien.
Nachdem ich auch nichtmehr im abgesicherten Modus in Windows gelange, habe ich mir die OTLPENet runtergeladen.
Leider war die OTL.txt zu gross fuer den Upload, so dass ich die Logdatei auf zwei Dateien aufgeteilt habe.

Vielen Dank schon mal fuer eure Hilfe!

Geändert von Milex (04.05.2012 um 14:39 Uhr)

Alt 04.05.2012, 14:50   #2
markusg
/// Malware-holic
 
50 Euro UKash / Verschluesselungstrojaner - Standard

50 Euro UKash / Verschluesselungstrojaner



hi
auf deinem zweiten pc gehe auf start, programme zubehör editor, kopiere dort
rein:
Code:
ATTFilter
:OTL
O4 - HKU\Admin_ON_C..\Run: [7CBB61BE] C:\WINDOWS\system32\8279D1617CBB61BEE8A9.exe (Pigna colada)
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableTaskMgr = 1
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableRegedit = 1
O7 - HKU\Admin_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableRegistryTools = 1
O7 - HKU\Admin_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableRegedit = 1
O20 - HKLM Winlogon: UserInit - (C:\WINDOWS\system32\8279D1617CBB61BEE8A9.exe) - C:\WINDOWS\system32\8279D1617CBB61BEE8A9.exe (Pigna colada)
O27 - HKLM IFEO\msconfig.exe: Debugger - P9KDMF.EXE File not found
O27 - HKLM IFEO\regedit.exe: Debugger - P9KDMF.EXE File not found
O27 - HKLM IFEO\taskmgr.exe: Debugger - P9KDMF.EXE File not found
O32 - HKLM CDRom: AutoRun - 1
:Files
:Commands
[purity]
[EMPTYFLASH] 
[emptytemp]
[Reboot]
         


dieses speicherst du auf nem usb stick als fix.txt
nutze nun wieder OTLPENet.exe (starte also von der erstellten cd) und hake alles an, wie es bereits im post zu OTLPENet.exe beschrieben ist.
• Klicke nun bitte auf den Fix Button.
es sollte nun eine meldung ähnlich dieser: "load fix from file" erscheinen, lade also die fix.txt von deinem stick.
wenn dies nicht funktioniert, bitte den fix manuell eintragen.
dann klicke erneut den fix buton. pc startet evtl. neu. wenn ja, nimm die cd aus dem laufwerk, windows sollte nun normal starten und die otl.txt öffnen,
log posten bitte.
__________________

__________________

Alt 04.05.2012, 15:09   #3
Milex
 
50 Euro UKash / Verschluesselungstrojaner - Standard

50 Euro UKash / Verschluesselungstrojaner



wow, das ging ja bisher echt fix!

anbei das logfile nach dem neustart

Code:
ATTFilter
========== OTL ==========
Registry value HKEY_USERS\Admin_ON_C\Software\Microsoft\Windows\CurrentVersion\Run\\7CBB61BE deleted successfully.
C:\WINDOWS\system32\8279D1617CBB61BEE8A9.exe moved successfully.
Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System\\DisableTaskMgr deleted successfully.
Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System\\DisableRegedit deleted successfully.
Registry value HKEY_USERS\Admin_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System\\DisableRegistryTools deleted successfully.
Registry value HKEY_USERS\Admin_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System\\DisableRegedit deleted successfully.
Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\\UserInit:C:\WINDOWS\system32\8279D1617CBB61BEE8A9.exe deleted successfully.
File C:\WINDOWS\system32\8279D1617CBB61BEE8A9.exe not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\msconfig.exe\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedit.exe\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\taskmgr.exe\ deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Cdrom\\AutoRun|DWORD:1 /E : value set successfully!
========== FILES ==========
========== COMMANDS ==========
 
[EMPTYFLASH]
 
User: Admin
->Temp folder emptied: 16178038 bytes
->Temporary Internet Files folder emptied: 15471811 bytes
->Java cache emptied: 0 bytes
->FireFox cache emptied: 53463487 bytes
->Opera cache emptied: 0 bytes
->Flash cache emptied: 1928088 bytes
 
User: All Users
 
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 67 bytes
 
User: HelpAssistant
->Temp folder emptied: 1441826 bytes
->Temporary Internet Files folder emptied: 4495073 bytes
->Java cache emptied: 0 bytes
->FireFox cache emptied: 2824749 bytes
->Flash cache emptied: 0 bytes
 
User: LocalService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33062 bytes
 
User: NetworkService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes
->FireFox cache emptied: 3881820 bytes
 
Total Flash Files Cleaned = 95.00 mb
 
 
[EMPTYTEMP]
 
User: Admin
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->Java cache emptied: 0 bytes
->FireFox cache emptied: 0 bytes
->Opera cache emptied: 0 bytes
->Flash cache emptied: 0 bytes
 
User: All Users
 
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
 
User: HelpAssistant
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->Java cache emptied: 0 bytes
->FireFox cache emptied: 0 bytes
->Flash cache emptied: 0 bytes
 
User: LocalService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
 
User: NetworkService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->FireFox cache emptied: 0 bytes
 
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 2134333 bytes
%systemroot%\System32 .tmp files removed: 2951 bytes
%systemroot%\System32\dllcache .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 2505524 bytes
 
Total Files Cleaned = 4.00 mb
 
 
OTLPE by OldTimer - Version 3.1.48.0 log created on 05042012_175757

Files\Folders moved on Reboot...
File\Folder C:\Dokumente und Einstellungen\Admin\Lokale Einstellungen\Temp\2011-09-16-1183586462_04-RG.PDF  not found!

Registry entries deleted on Reboot...
         
__________________

Alt 04.05.2012, 16:49   #4
markusg
/// Malware-holic
 
50 Euro UKash / Verschluesselungstrojaner - Standard

50 Euro UKash / Verschluesselungstrojaner



hi,
Combofix darf ausschließlich ausgeführt werden, wenn dies von einem Team Mitglied angewiesen wurde!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich
ziehen und eine Bereinigung der Infektion noch erschweren.
Downloade dir bitte Combofix von einem dieser Downloadspiegel

Link 1
Link 2


WICHTIG - Speichere Combofix auf deinem Desktop
  • Deaktiviere bitte all deine Anti Viren sowie Anti Malware/Spyware Scanner. Diese können Combofix bei der Arbeit stören.
Starte die Combofix.exe und folge den Anweisungen auf dem Bildschirm.

Wenn Combofix fertig ist, wird es eine Logfile erstellen. Bitte poste die C:\Combofix.txt in deiner nächsten Antwort.


Hinweis: Solltest du nach dem Neustart folgende Fehlermeldung erhalten
Zitat:
Es wurde versucht, einen Registrierungsschlüssel einem ungültigen Vorgang zu unterziehen, der zum Löschen markiert wurde.
starte den Rechner einfach neu. Dies sollte das Problem beheben.
__________________
-Verdächtige mails bitte an uns zur Analyse weiterleiten:
markusg.trojaner-board@web.de
Weiterleiten
Anleitung:
http://markusg.trojaner-board.de
Mails bitte vorerst nach obiger Anleitung an
markusg.trojaner-board@web.de
Weiterleiten
Wenn Ihr uns unterstützen möchtet

Alt 04.05.2012, 17:44   #5
Milex
 
50 Euro UKash / Verschluesselungstrojaner - Standard

50 Euro UKash / Verschluesselungstrojaner



Anbei der Log von Combofix, die TXT war leider wieder zu groß


Alt 04.05.2012, 18:00   #6
markusg
/// Malware-holic
 
50 Euro UKash / Verschluesselungstrojaner - Standard

50 Euro UKash / Verschluesselungstrojaner



lassen sich all deine dateien normal öffnen?
__________________
--> 50 Euro UKash / Verschluesselungstrojaner

Alt 04.05.2012, 18:04   #7
Milex
 
50 Euro UKash / Verschluesselungstrojaner - Standard

50 Euro UKash / Verschluesselungstrojaner



Soweit ich bisher gesehen habe ja

Alt 04.05.2012, 18:07   #8
markusg
/// Malware-holic
 
50 Euro UKash / Verschluesselungstrojaner - Standard

50 Euro UKash / Verschluesselungstrojaner



hi,
malwarebytes:
Downloade Dir bitte Malwarebytes
  • Installiere
    das Programm in den vorgegebenen Pfad.
    Vista und Win7 User mit Rechtsklick "als Administrator starten"
  • Starte Malwarebytes, klicke auf Aktualisierung --> Suche
    nach Aktualisierung
  • Wenn das Update beendet wurde, aktiviere vollständiger Scan durchführen und drücke auf Scannen.
  • Wenn der Scan beendet
    ist, klicke auf Ergebnisse anzeigen.
  • Versichere Dich, dass alle Funde markiert sind und drücke Entferne Auswahl.
  • Poste
    das Logfile, welches sich in Notepad öffnet, hier in den Thread.
  • Nachträglich kannst du den Bericht unter "Log Dateien" finden.
__________________
-Verdächtige mails bitte an uns zur Analyse weiterleiten:
markusg.trojaner-board@web.de
Weiterleiten
Anleitung:
http://markusg.trojaner-board.de
Mails bitte vorerst nach obiger Anleitung an
markusg.trojaner-board@web.de
Weiterleiten
Wenn Ihr uns unterstützen möchtet

Alt 04.05.2012, 19:38   #9
Milex
 
50 Euro UKash / Verschluesselungstrojaner - Standard

50 Euro UKash / Verschluesselungstrojaner



anbei das logfile von Malewarebytes

Code:
ATTFilter
Malwarebytes Anti-Malware 1.61.0.1400
www.malwarebytes.org

Datenbank Version: v2012.05.04.02

Windows XP Service Pack 3 x86 NTFS
Internet Explorer 6.0.2900.5512
Admin :: PC [Administrator]

04.05.2012 21:15:43
mbam-log-2012-05-04 (21-15-43).txt

Art des Suchlaufs: Vollständiger Suchlauf
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 340712
Laufzeit: 1 Stunde(n), 25 Minute(n), 11 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 2
C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Xjqdoxjf\6FACBE947CBB61BED5DC.exe (Trojan.Agent.SZ) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\_OTL\MovedFiles\05042012_175757\C_WINDOWS\system32\8279D1617CBB61BEE8A9.exe (Trojan.Agent.SZ) -> Erfolgreich gelöscht und in Quarantäne gestellt.

(Ende)
         

Alt 04.05.2012, 19:40   #10
markusg
/// Malware-holic
 
50 Euro UKash / Verschluesselungstrojaner - Standard

50 Euro UKash / Verschluesselungstrojaner



hast du dir das per mail eingefangen?
an solchen mails mit rechnung, mahnung und sonstigen anhängen, von unbekannten absendern bin ich interessiert.
wenn du ein mail programm nutzt, dann mail markieren, rechtsklick, speichern unter, typ:
.eml einstellen.
dann mail an:
http://markusg.trojaner-board.de
dort die soeben erstellte datei anhängen.
wenn du deine mails über den browser abrufst, sag mir mal welchen anbieter du nutzt, dann geht das ein bisschen anders.

auch wenn in zukunft mails mit anhang von unbekannten absendern rein kommen, so an mich weiterleiten.
__________________
-Verdächtige mails bitte an uns zur Analyse weiterleiten:
markusg.trojaner-board@web.de
Weiterleiten
Anleitung:
http://markusg.trojaner-board.de
Mails bitte vorerst nach obiger Anleitung an
markusg.trojaner-board@web.de
Weiterleiten
Wenn Ihr uns unterstützen möchtet

Alt 04.05.2012, 19:46   #11
Milex
 
50 Euro UKash / Verschluesselungstrojaner - Standard

50 Euro UKash / Verschluesselungstrojaner



ja, das ganze kam wohl per email, nach dem neustart werde ich nachschauen ob sie noch da ist (der virenscanner hatte wohl beim öffnen schon alarm geschlagen)
dann werde ich sie natürlich an dich weiterleiten.

Soll ich nochmals einen Scan durchführen, oder ist das eher zwecklos?


Vielen Dank schon mal für alles!

tut mir leid für den Doppelpost, allerdings habe ich das Problem, dass ich bei Outlook 2003 die Mail nicht als .eml abspeichern kann, mir stehen nur folgendes zur Auswahl:
- nur Text
- Outlook-Vorlage
- Outlook-Nachrichtenformat
- Outlook-Nachrichtenformat - Unicode

Alt 05.05.2012, 15:36   #12
markusg
/// Malware-holic
 
50 Euro UKash / Verschluesselungstrojaner - Standard

50 Euro UKash / Verschluesselungstrojaner



- Outlook-Nachrichtenformat
ist ok :-)
__________________
-Verdächtige mails bitte an uns zur Analyse weiterleiten:
markusg.trojaner-board@web.de
Weiterleiten
Anleitung:
http://markusg.trojaner-board.de
Mails bitte vorerst nach obiger Anleitung an
markusg.trojaner-board@web.de
Weiterleiten
Wenn Ihr uns unterstützen möchtet

Antwort

Themen zu 50 Euro UKash / Verschluesselungstrojaner
50 euro, anbei, bringe, email, erwischt, euro, gross, hallo zusammen, laufe, laufen, otl.txt, trojan.agent.sz, ukash, upload, zusammen



Ähnliche Themen: 50 Euro UKash / Verschluesselungstrojaner


  1. Ukash Bundespolizei Trojaner 100 Euro
    Log-Analyse und Auswertung - 25.09.2012 (11)
  2. Ukash Trojaner Windows Update 100 Euro zahlen
    Plagegeister aller Art und deren Bekämpfung - 09.08.2012 (14)
  3. GVU Windows Trojaner (100 Euro Ukash)
    Plagegeister aller Art und deren Bekämpfung - 27.07.2012 (17)
  4. Telekom-Virus via pdf / Verschluesselungstrojaner ukash
    Log-Analyse und Auswertung - 04.05.2012 (5)
  5. Windows/Verschluesselungstrojaner WinXP *100 Euro Paysafe / 50 Euro Ucash
    Log-Analyse und Auswertung - 03.05.2012 (11)
  6. 50 Euro PayPal/Ukash Trojaner/Virus
    Log-Analyse und Auswertung - 30.03.2012 (3)
  7. Windows Security Center - PC gesperrt - 100 Euro bezahlen - Ukash
    Log-Analyse und Auswertung - 21.03.2012 (3)
  8. Ukash Trojaner, Computer blockiert, zahle 100 euro
    Log-Analyse und Auswertung - 20.03.2012 (5)
  9. Windows Security Center - PC gesperrt - 100 Euro bezahlen - Ukash
    Plagegeister aller Art und deren Bekämpfung - 16.03.2012 (11)
  10. Windows Security Center - PC gesperrt - 100 Euro bezahlen - Ukash
    Plagegeister aller Art und deren Bekämpfung - 19.02.2012 (9)
  11. 50 euro Paysafe oder ukash Trojana
    Plagegeister aller Art und deren Bekämpfung - 17.02.2012 (4)
  12. Achtung! Ihr Windowssystem wurde blockiert. 50 Euro mit PayPal oder Ukash zahlen
    Log-Analyse und Auswertung - 12.02.2012 (5)
  13. Windows Security Center - PC gesperrt - 100 Euro bezahlen - Ukash
    Plagegeister aller Art und deren Bekämpfung - 11.02.2012 (12)
  14. Windows Blockiert 50 Euro Zahlungsaufforderung Ukash
    Log-Analyse und Auswertung - 08.02.2012 (16)
  15. Ebenfalls - Windows Security Center - PC gesperrt - 100 Euro bezahlen - Ukash
    Log-Analyse und Auswertung - 06.02.2012 (7)
  16. Windows securityfenster ukash 100 euro trojaner
    Plagegeister aller Art und deren Bekämpfung - 03.02.2012 (6)
  17. jashla.exe - Bundespolizei - UKash 100 Euro
    Plagegeister aller Art und deren Bekämpfung - 15.08.2011 (1)

Zum Thema 50 Euro UKash / Verschluesselungstrojaner - Hallo zusammen, meine Eltern hat es leider auch mit einer Email erwischt, dementsprechend bin ich dabei, ihn wieder zum laufen zu bringen. Nach einer mehrtaegigen Forumdurchsuchung anbei die OTL-Logdateien. Nachdem - 50 Euro UKash / Verschluesselungstrojaner...
Archiv
Du betrachtest: 50 Euro UKash / Verschluesselungstrojaner auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.