Zurück   Trojaner-Board > Malware entfernen > Log-Analyse und Auswertung

Log-Analyse und Auswertung: Verschlüsselungstrojaner entfernt und mit OTLPE Logfile erstellt

Windows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.

Antwort
Alt 08.05.2012, 21:25   #1
chrisschu
 
Verschlüsselungstrojaner entfernt und mit OTLPE Logfile erstellt - Unglücklich

Verschlüsselungstrojaner entfernt und mit OTLPE Logfile erstellt



Hi!
Ein Bekannter hat sich durch das Öffnen einer Zip-Rechnungsdatei eine Verschlüsselungstrojaner eingefangen. Ich hab mir verschiedene Threads bei euch durchgelesen nachdem ich die betroffene Platte extern an ein funktionierendes System gehängt habe und mit Kaspersky die Trojanerdateien entfernt hab. Anschliessend lies sich aber Windows XP nixht mehr starten (hat kurz vorm Windows-schirm immer neu gebootet. Daraufhin habe ich mit einer OTPLE CD gebootet und entsprechend den Anweisungen ein Logfile erstellt. Leider ist die OTL.txt zu groß daher als ZIP File!

Anhang 34546

Wäre super wenn Ihr das bitte durchsehen und analysieren könntet!

Ich finds super was ihr hier macht!!!
Herzlichen Dank im Voraus!!!

LG

Christian

Alt 09.05.2012, 07:02   #2
kira
/// Helfer-Team
 
Verschlüsselungstrojaner entfernt und mit OTLPE Logfile erstellt - Standard

Verschlüsselungstrojaner entfernt und mit OTLPE Logfile erstellt



Herzlich Willkommen in unserem Forum!

Bevor Du hier im Forum postest, solltest ein paar Dinge beachten:
Deine persönlichen Angaben/Daten (die persönliche Merkmale enthalten, wie Name, Seriennummer etc) kannst Du aus dem geposteten Logs heraus löschen und durch "X" oder Sternchen ersetzen
Bitte lese Dir zuerst in Ruhe die Anweisungen durch und Du sollst dabei die Reihenfolge einhalten! Falls unvorhersehbare Probleme auftreten sollten, bitte um sofortige Rückmeldung!
ANWEISUNGEN UND DEREN BEFOLGUNG, ERFOLGT AUF DEINE EIGENE VERANTWORTUNG!

Zitat:
Grundsätzlich muss ein infiziertes System als kompromittiert gelten, und man kann nie ganz sicher sein, dass man alle Folgen der Infektion beseitigen konnte. -> Lesestoff: "Hilfe: Ich wurde das Opfer eines Hackerangriffs. Was soll ich tun?" - Säubern eines gefährdeten Systems
Nämlich Dein System (zusätzlich zur schon vorhandenen) schleppt auch noch eine andere (Backdoor und Rootkit) Infektion über längere Zeit, "in diesem Zustand" eine Systembereinigung ohne div. Nebenwirkungen und hinterlassenen Schaden ist nicht mehr möglich.
Daher ich würde folgende Vorgehensweise vorschlagen:
Hast Du drauf:
- wichtige Daten die Du sichern möchtest?
- Daten, die Du entschlüsseln möchtest?

wenn ja:
- versuchen wir dein Computer brauchbar machen
- Daten entschlüsseln
- sicherst Du dann deine Daten
- installierst Windows neu

einverstanden?

► Erster Teil des 3-teiligen Verfahren, werden wir dein System auf Viren untersuchen, bzw nach einem anderen Verursacher suchen:
**Vista und Win7 Verwender: Alle Befehle bitte als Administrator ausführen! rechte Maustaste auf die Eingabeaufforderung und "als Administrator ausführen" auswählen

1.
Zitat:
Achtung wichtig!:
Falls Du selber im Logfile Änderungen vorgenommen hast, musst Du durch die Originalbezeichnung ersetzen und so in Script einfügen! sonst funktioniert nicht!
(Benutzerordner, dein Name oder sonstige Änderungen durch X, Stern oder andere Namen ersetzt)
Fixen mit OTLPE
  • Starte die OTLPE
  • Kopiere folgendes Skript (unverändert inkl. :OTL):
Code:
ATTFilter
:OTL
IE - HKU\Bernhard_ON_C\Software\Microsoft\Internet Explorer\Main,Search Page = http://g.msn.at/0SEDEAT/SAOS01?FORM=TOOLBR
IE - HKU\Bernhard_ON_C\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.ask.com?o=102869&l=dis&gct=hp
IE - HKU\Bernhard_ON_C\..\URLSearchHook: {7FF23285-DBBC-49B6-818C-34AC459D5BB3} - Reg Error: Key error. File not found
FF - prefs.js..browser.search.defaultengine: "Ask.com"
FF - prefs.js..browser.search.defaultenginename: "Ask.com"
FF - prefs.js..browser.search.defaulturl: "http://www.google.com/search?lr=&ie=UTF-8&oe=UTF-8&q="
FF - prefs.js..browser.search.order.1: "Ask.com"
FF - prefs.js..extensions.enabledItems: {6E19037A-12E3-4295-8915-ED48BC341614}:1.3
FF - HKCU\Software\MozillaPlugins\@tools.google.com/Google Update;version=3: C:\Dokumente und Einstellungen\Bernhard\Lokale Einstellungen\Anwendungsdaten\Google\Update\1.3.21.111\npGoogleUpdate3.dll (Google Inc.)
FF - HKCU\Software\MozillaPlugins\@tools.google.com/Google Update;version=9: C:\Dokumente und Einstellungen\Bernhard\Lokale Einstellungen\Anwendungsdaten\Google\Update\1.3.21.111\npGoogleUpdate3.dll (Google Inc.)
FF - HKEY_LOCAL_MACHINE\software\mozilla\Firefox\Extensions\\{6E19037A-12E3-4295-8915-ED48BC341614}: C:\Programme\RelevantKnowledge [2010/02/10 10:54:40 | 000,000,000 | ---D | M]
[2011/04/28 11:46:19 | 000,002,400 | ---- | M] () -- C:\Dokumente und Einstellungen\Bernhard\Anwendungsdaten\Mozilla\Firefox\Profiles\0ugg3vyx.default\searchplugins\askcom.xml
O2 - BHO: (no name) - {b0398eca-0bcd-4645-8261-5e9dc70248d0} - No CLSID value found.
O4 - HKLM..\Run: []  File not found
O4 - HKU\Bernhard_ON_C..\Run: [1Y7C9I1C0ZWVZH5WNEMNTUJ]  File not found
O4 - HKU\Bernhard_ON_C..\Run: [917551F2] C:\WINDOWS\system32\A759EF31917551F2AD69.exe (arnese esca)
O4 - HKU\NetworkService_ON_C..\Run: [1Y7C9I1C0ZWVZH5WNEMNTUJ]  File not found
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\run: some = C:\Programme\Online Video Add-on\icthis.exe
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableTaskMgr = 1
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableRegedit = 1
O7 - HKU\Bernhard_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableRegistryTools = 1
O7 - HKU\Bernhard_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableRegedit = 1
O32 - HKLM CDRom: AutoRun - 1
O32 - AutoRun File - [2005/11/18 11:57:59 | 000,000,671 | ---- | M] () - C:\autoAlbum.log -- [ NTFS ]
O32 - AutoRun File - [2009/08/26 12:18:30 | 000,000,431 | ---- | M] () - C:\Automatic Update.lst -- [ NTFS ]
O33 - MountPoints2\{4cd0b5ee-be4f-11df-94fb-000272b00026}\Shell\AutoRun\command - "" = "Install FreeAgent Tools.exe" /run
O33 - MountPoints2\{8BF315D4-5FC3-4CB5-86E2-EAE8DF00B652}\Shell - "" = AutoRun
O33 - MountPoints2\{8BF315D4-5FC3-4CB5-86E2-EAE8DF00B652}\Shell\AutoRun - "" = Auto&Play
O33 - MountPoints2\{8BF315D4-5FC3-4CB5-86E2-EAE8DF00B652}\Shell\AutoRun\command - "" = U:\BSetup.EXE
O33 - MountPoints2\{9ab4f520-b689-11e0-962b-000272b00026}\Shell\AutoRun\command - "" = H:\InstallTomTomHOME.exe
O33 - MountPoints2\{A1B750AA-705B-4773-AD2B-84AFA859155B}\Shell - "" = AutoRun
O33 - MountPoints2\{A1B750AA-705B-4773-AD2B-84AFA859155B}\Shell\AutoRun - "" = Auto&Play
O33 - MountPoints2\{A1B750AA-705B-4773-AD2B-84AFA859155B}\Shell\AutoRun\command - "" = U:\BSetup.EXE
[2012/05/07 15:20:00 | 000,001,222 | ---- | M] () -- C:\WINDOWS\tasks\GoogleUpdateTaskUserS-1-5-21-1409082233-1965331169-839522115-1112UA.job
[2012/05/07 15:13:40 | 000,001,090 | ---- | M] () -- C:\WINDOWS\tasks\GoogleUpdateTaskMachineUA.job
[2012/05/07 10:30:10 | 000,069,120 | -H-- | M] (arnese esca) -- C:\WINDOWS\System32\A759EF31917551F2AD69.exe
[2012/05/07 03:20:00 | 000,001,170 | ---- | M] () -- C:\WINDOWS\tasks\GoogleUpdateTaskUserS-1-5-21-1409082233-1965331169-839522115-1112Core.job

:Files
C:\WINDOWS\system32\A759EF31917551F2AD69.exe 
C:\Programme\Online Video Add-on\icthis.exe
C:\Dokumente und Einstellungen\Bernhard\Anwendungsdaten\Ljodtm
C:\WINDOWS\System32\winsh325
C:\WINDOWS\System32\winsh324
C:\WINDOWS\System32\winsh323
C:\WINDOWS\System32\winsh322
C:\WINDOWS\System32\winsh321
C:\WINDOWS\System32\winsh320
C:\Dokumente und Einstellungen\Bernhard\Anwendungsdaten\fvgqad.dat
C:\Dokumente und Einstellungen\Bernhard\Anwendungsdaten\avdrn.dat

ipconfig /flushdns /c

:Commands
[purity]
[emptytemp]
         
  • und füge es hier ein:
  • Schließe alle Programme.
  • Klicke auf den Run Fix Button.
  • Klick auf .
  • OTL verlangt einen Neustart. Bitte zulassen.
  • Nach dem Neustart findest Du ein Textdokument.
    Kopiere den Inhalt hier in Code-Tags in Deinen Thread.



Boote neu und schaue nach, ob Du schon im normalen Modus arbeiten kannst?
wenn ja, so geht es weiter:

3.
Mit diesem Programm das System prüfen:-> Malwarebytes Anti-Malware Free
-> "vollständigen Suchlauf "
-> Funde löschen lassen
-> Scanergebnis hier posten!

4.
Um festzustellen, ob veraltete oder schädliche Software unter Programme installiert sind, ich würde gerne noch all deine installierten Programme sehen:
  • Download den CCleaner
  • Software-Lizenzvereinbarung lesen, falls irgendeine Toolbar angeboten wird, bitte abwählen!-> starten -> Falls nötig, auf "Deutsch" einstellen.
  • starten-> klick auf `Extras` (um auf deinem System installierte Software zu anzeigen)-> dann auf `Als Textdatei speichern...`
  • ein Textdatei wird automatisch erstellt, poste auch dieses Logfile (also die Liste alle installierten Programme...eine Textdatei)

5.
Systemscan mit OTL - Nicht erneut das OTLPE starten!

Lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop
  • Doppelklick auf die OTL.exe
  • Vista User: Rechtsklick auf die OTL.exe und "als Administrator ausführen" wählen
  • Oben findest Du ein Kästchen mit Output. Wähle bitte Minimal Output
  • Unter Extra Registry, wähle bitte Use SafeList
  • Klicke nun auf Run Scan links oben
  • Wenn der Scan beendet wurde werden 2 Logfiles erstellt OTL.txt und extra.txt
  • Poste die Logfiles in Code-Tags hier in den Thread.
** Die Logs von OTL meistens sind zu lang, kannst auch als Textdatei anhängen (auf "Erweitert") klicken

6.
die Trusted-Zone Einträge (015) sind von dir also absichtlich zur vertrauenswürdigen Zone zugefügt?
Code:
ATTFilter
O15 - HKU\marlene_ON_C\..Trusted Domains: amadeus.com ([diagnostic] http in Vertrauenswürdige Sites)
O15 - HKU\marlene_ON_C\..Trusted Domains: amadeusproweb.com ([*] http in Vertrauenswürdige Sites)
O15 - HKU\marlene_ON_C\..Trusted Domains: amadeusvista.com ([*] http in Vertrauenswürdige Sites)
         
Zitat:
Bitte alle Ergebnisse im Code-Tags posten!

vor dein Log schreibst Du (also am Anfang des Logfiles):[code]
hier kommt dein Logfile rein
dahinter - also am Ende der Logdatei:[/code]
gruß
kira
__________________

__________________

Geändert von kira (09.05.2012 um 07:21 Uhr)

Antwort

Themen zu Verschlüsselungstrojaner entfernt und mit OTLPE Logfile erstellt
analysieren, arten, bekannter, durchsehen, entfern, entfernt, erstell, erstellt, extern, finds, kaspersky, könntet, logfile, neu, otl.txt, otlpe, otple, platte, starte, starten, super, system, threads, verschiedene, verschlüsselungs, windows, windows xp



Ähnliche Themen: Verschlüsselungstrojaner entfernt und mit OTLPE Logfile erstellt


  1. Windows 7 weißer Sperrbildschirm/ Abgesicherter Modus funktioniert nicht / LogFile mit OTLPE erstellt
    Log-Analyse und Auswertung - 04.11.2013 (27)
  2. OTLPE.TEX erstellt - wie weiter?
    Log-Analyse und Auswertung - 14.03.2013 (12)
  3. GEMA-Trojaner 2.08, bereits OTLPE-Logfile erstellt
    Log-Analyse und Auswertung - 26.10.2012 (2)
  4. Verschlüsselungstrojaner UCash / OTLPE Logfiles anhängend
    Log-Analyse und Auswertung - 05.08.2012 (9)
  5. AKM Virus / OTLPE Log erstellt
    Lob, Kritik und Wünsche - 23.07.2012 (11)
  6. Windows Verschlüsselungstrojaner - Logfile bereits erstellt - was nun?
    Plagegeister aller Art und deren Bekämpfung - 16.07.2012 (44)
  7. Verschlüsselungstrojaner - OTLPE Scan erfolgreich und OTL-Datei, weiteres Vorgehen?
    Log-Analyse und Auswertung - 08.06.2012 (5)
  8. Verschlüsselungstrojaner logfiles erstellt
    Log-Analyse und Auswertung - 03.05.2012 (1)
  9. Bundespolizei Trojaner. OTLPE USB erstellt und gescant
    Log-Analyse und Auswertung - 05.04.2012 (15)
  10. GEMA Trojaner - OTLPE Logs erstellt - wie geht es weiter?
    Plagegeister aller Art und deren Bekämpfung - 28.03.2012 (11)
  11. abgesichtermodus nicht möglich, skript via OTLPE bereits erstellt
    Log-Analyse und Auswertung - 27.03.2012 (1)
  12. Bundespolizeivirus - Windows startet nicht mehr - OTLPE genutzt - Logfile erstellt
    Log-Analyse und Auswertung - 24.03.2012 (1)
  13. 50Euro Virus - Win7 / 64 - OTL Logfile erstellt nach Anleitung erstellt
    Plagegeister aller Art und deren Bekämpfung - 06.01.2012 (2)
  14. Bundespolizeitrojaner entfernt und nun Logdatei erstellt. Was jetzt?
    Plagegeister aller Art und deren Bekämpfung - 06.12.2011 (1)
  15. Bundespolizei Virus / OTLPE erstellt kein Extras.Txt
    Log-Analyse und Auswertung - 01.11.2011 (3)
  16. BKA Virus Virus OTLPE Log Dateien bereits erstellt
    Log-Analyse und Auswertung - 16.09.2011 (17)
  17. OTLPE Logfile erstellt - Bundespolizei Trojaner - Weiteres Vorgehen?
    Log-Analyse und Auswertung - 13.09.2011 (5)

Zum Thema Verschlüsselungstrojaner entfernt und mit OTLPE Logfile erstellt - Hi! Ein Bekannter hat sich durch das Öffnen einer Zip-Rechnungsdatei eine Verschlüsselungstrojaner eingefangen. Ich hab mir verschiedene Threads bei euch durchgelesen nachdem ich die betroffene Platte extern an ein funktionierendes - Verschlüsselungstrojaner entfernt und mit OTLPE Logfile erstellt...
Archiv
Du betrachtest: Verschlüsselungstrojaner entfernt und mit OTLPE Logfile erstellt auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.