Trojaner 100 bezahlen AKM/BMI

CS_91 · 30.05.2012, 16:42

Hy Leute,

bin auch Opfer des Erpressungs Trojaners.
habe bereits ein Logfile mit OTLPENet erstellt. Bitte um Hilfe!

lg

cosinus · 31.05.2012, 12:15

Funktioniert noch der abgesicherte Modus mit Netzwerktreibern? Mit Internetverbindung?

Abgesicherter Modus zur Bereinigung

Windows mit F8-Taste beim Start in den abgesicherten Modus bringen.
Starte den Rechner in den abgesicherten Modus mit Netzwerktreibern:

CS_91 · 31.05.2012, 13:36

Nein der abgesicherte Modus funktioniert auch nicht mehr

cosinus · 31.05.2012, 13:44

Mach einen OTL-Fix über OTLPE, starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!)

Code:

ATTFilter

:OTL
O4 - HKU\Teddy_ON_C..\Run: [B64Fu7wxCKTba7x] C:\Users\Teddy\AppData\Roaming\ArchiverforWin.exe (thehrgergergeg)
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: AllowLegacyWebView = 1
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: AllowUnhashedWebView = 1
O7 - HKU\Administrator_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145
O7 - HKU\Teddy_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDesktop = 1
O7 - HKU\Teddy_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableTaskMgr = 1
O7 - HKU\Teddy_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableRegistryTools = 1
O20 - HKU\Teddy_ON_C Winlogon: Shell - (C:\Users\Teddy\AppData\Roaming\ArchiverforWin.exe) - C:\Users\Teddy\AppData\Roaming\ArchiverforWin.exe (thehrgergergeg)
O20 - HKU\Teddy_ON_C Winlogon: UserInit - (C:\Users\Teddy\AppData\Roaming\ArchiverforWin.exe) - C:\Users\Teddy\AppData\Roaming\ArchiverforWin.exe (thehrgergergeg)
:Files
C:\Users\Teddy\AppData\Roaming\ArchiverforWin.exe
:Commands
[purity]
[resethosts]

Klick dann oben links auf den Button Fix!
Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet.

Die mit diesem Script gefixten Einträge, Dateien und Ordner werden zur Sicherheit nicht vollständig gelöscht, es wird eine Sicherheitskopie auf der Systempartition im Ordner "_OTL" erstellt.

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann!

Danach sollte Windows wieder normal starten - stell uns bitte den Quarantäneordner von OTL zur Verfügung. Dabei bitte so vorgehen:

1.) GANZ WICHTIG!! Virenscanner deaktivieren, der darf das Packen nicht beeinträchtigen!
2.) Ordner movedfiles in C:\_OTL in eine Datei zippen
3.) Die erstellte ZIP-Datei hier hochladen => http://www.trojaner-board.de/54791-a...ner-board.html
4.) Wenns erfolgreich war Bescheid sagen
5.) Erst dann wieder den Virenscanner einschalten

CS_91 · 31.05.2012, 15:54

Hallo Cosinus,

1000-Dank an dich, mein PC funktioniert wieder!

Habe das logfile aus dem "MovedFiles" Ordner laut deiner Anleitung upgeloaded!

Gib mir bitte Bescheid falls noch weitere Vorgänge notwendig sind.

LG

cosinus · 31.05.2012, 15:56

Bitte nun routinemäßig einen Vollscan mit Malwarebytes machen und Log posten. =>ALLE lokalen Datenträger (außer CD/DVD) überprüfen lassen!
Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss! Außerdem müssen alle Funde entfernt werden.

Falls Logs aus älteren Scans mit Malwarebytes vorhanden sind, bitte auch davon alle posten!

ESET Online Scanner

Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
Lade und starte Eset Online Scanner
Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
Klicke auf Starten.
Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
Klicke am Ende des Suchlaufs auf Fertig stellen.
Schließe das Fenster von ESET.
Explorer öffnen.
C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
Logfile hier posten.
Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

Bitte alles nach Möglichkeit hier in CODE-Tags posten.

Wird so gemacht:

[code] hier steht das Log [/code]

Und das ganze sieht dann so aus:

Code:

ATTFilter

 hier steht das Log

CS_91 · 31.05.2012, 19:55

Habe alles so ausgeführt, wie du es beschrieben hast.

Hier das log von malwarebytes

Code:

ATTFilter

 Malwarebytes Anti-Malware  (Test) 1.61.0.1400
www.malwarebytes.org

Datenbank Version: v2012.05.31.04

Windows Vista Service Pack 1 x86 NTFS
Internet Explorer 8.0.6001.19048
Teddy :: TEDDY-PC [Administrator]

Schutz: Aktiviert

31.05.2012 18:30:11
mbam-log-2012-05-31 (18-30-11).txt

Art des Suchlaufs: Quick-Scan
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 223355
Laufzeit: 4 Minute(n), 22 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 3
C:\Users\Teddy\AppData\Local\Temp\wpbt0.dll (Exploit.Drop) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Users\Teddy\AppData\Roaming\wndsksi.inf (Malware.Trace) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Users\Teddy\AppData\Roaming\igfxtray.dat (Malware.Trace) -> Erfolgreich gelöscht und in Quarantäne gestellt.

(Ende)

und hier das log von ESET

Code:

ATTFilter

 ESETSmartInstaller@High as downloader log:
all ok
ESETSmartInstaller@High as downloader log:
all ok
# version=7
# OnlineScannerApp.exe=1.0.0.1
# OnlineScanner.ocx=1.0.0.6583
# api_version=3.0.2
# EOSSerial=73c1e6c046de22428f6223d3d12b3069
# end=finished
# remove_checked=false
# archives_checked=true
# unwanted_checked=true
# unsafe_checked=false
# antistealth_checked=true
# utc_time=2012-05-31 06:19:09
# local_time=2012-05-31 08:19:09 (+0100, Mitteleuropäische Sommerzeit)
# country="Austria"
# lang=1033
# osver=6.0.6001 NT Service Pack 1
# compatibility_mode=1792 16777215 100 0 115508385 115508385 0 0
# compatibility_mode=5892 16776573 100 100 32910472 176012803 0 0
# compatibility_mode=8192 67108863 100 0 534 534 0 0
# scanned=334173
# found=5
# cleaned=0
# scan_time=8278
C:\Users\Teddy\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\G79N2J98\calc[1].exe	a variant of Win32/Injector.RZD trojan (unable to clean)	00000000000000000000000000000000	I
C:\Users\Teddy\AppData\Local\Temp\{672EBAF5-30EE-48CB-B630-16863387AB06}\pdfforgeToolbar.msi	a variant of Win32/Toolbar.Widgi application (unable to clean)	00000000000000000000000000000000	I
C:\Users\Teddy\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\35\35deae63-6a42c1b1	Java/Exploit.Agent.NBW trojan (unable to clean)	00000000000000000000000000000000	I
C:\_OTL\MovedFiles\05312012_173312.zip	a variant of Win32/Injector.RZD trojan (unable to clean)	00000000000000000000000000000000	I
C:\_OTL\MovedFiles\05312012_173312\C_Users\Teddy\AppData\Roaming\ArchiverforWin.exe	a variant of Win32/Injector.RZD trojan (unable to clean)	00000000000000000000000000000000	I

Falls weitere Schritte notwendig sind bitte um Rückmeldung.

LG

cosinus · 31.05.2012, 20:40

Zitat:

Art des Suchlaufs: Quick-Scan

Sry aber ich wollte einen Vollscan sehen...bitte nachholen und Log posten!
Denk dran vorher die Signaturen von Malwarebytes zu aktualisieren, da gibt es sehr häufig neue Updates!

CS_91 · 31.05.2012, 20:56

Sorry für den Fehler!
Soll ich danach den ESET Scan auch nochmal durchführen?

cosinus · 31.05.2012, 21:25

Nein erstmal nur Malwarebytes-Vollscan bitte

CS_91 · 01.06.2012, 17:40

Hab den Vollscan nochmal durchgeführt.
Avira Antivir hat aber 3-mal Alarm geschlagen!

Code:

ATTFilter

 Malwarebytes Anti-Malware  (Test) 1.61.0.1400
www.malwarebytes.org

Datenbank Version: v2012.06.01.03

Windows Vista Service Pack 1 x86 NTFS
Internet Explorer 8.0.6001.19048
Teddy :: TEDDY-PC [Administrator]

Schutz: Aktiviert

01.06.2012 14:26:21
mbam-log-2012-06-01 (14-26-21).txt

Art des Suchlaufs: Vollständiger Suchlauf
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 545917
Laufzeit: 2 Stunde(n), 56 Minute(n), 37 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 0
(Keine bösartigen Objekte gefunden)

(Ende)

cosinus · 02.06.2012, 16:04

Hätte da mal zwei Fragen bevor es weiter geht

1.) Geht der normale Modus von Windows (wieder) uneingeschränkt?
2.) Vermisst du irgendwas im Startmenü? Sind da leere Ordner unter alle Programme oder ist alles vorhanden?

CS_91 · 02.06.2012, 17:39

Alles funktioniert einwandfrei!
Es fehlt auch kein Programm oder etwas aus dem Satrmenü.

Kann dir gerne den Bericht von Avira Antivirus uploaden.
Er zeigt 3 Viren an, 2 davon aus dem "OTL moved files" Ordner.

cosinus · 02.06.2012, 19:55

Ja immer Berichte von AntiVir posten

CS_91 · 04.06.2012, 19:39

Hier ist der Bericht von Avira

Code:

ATTFilter

Avira Free Antivirus
Erstellungsdatum der Reportdatei: Samstag, 02. Juni 2012  11:25

Es wird nach 3783639 Virenstämmen gesucht.

Das Programm läuft als uneingeschränkte Vollversion.
Online-Dienste stehen zur Verfügung.

Lizenznehmer   : Avira AntiVir Personal - Free Antivirus
Seriennummer   : 0000149996-ADJIE-0000001
Plattform      : Windows Vista (TM) Home Premium
Windowsversion : (Service Pack 1)  [6.0.6001]
Boot Modus     : Normal gebootet
Benutzername   : Teddy
Computername   : TEDDY-PC

Versionsinformationen:
BUILD.DAT      : 12.0.0.1125          Bytes  02.05.2012 16:34:00
AVSCAN.EXE     : 12.3.0.15     466896 Bytes  01.05.2012 22:48:48
AVSCAN.DLL     : 12.3.0.15      66256 Bytes  02.05.2012 00:02:50
LUKE.DLL       : 12.3.0.15      68304 Bytes  01.05.2012 23:31:47
AVSCPLR.DLL    : 12.3.0.14      97032 Bytes  01.05.2012 22:13:36
AVREG.DLL      : 12.3.0.17     232200 Bytes  02.06.2012 09:18:26
VBASE000.VDF   : 7.10.0.0    19875328 Bytes  06.11.2009 18:18:34
VBASE001.VDF   : 7.11.0.0    13342208 Bytes  14.12.2010 23:22:12
VBASE002.VDF   : 7.11.19.170 14374912 Bytes  20.12.2011 23:31:36
VBASE003.VDF   : 7.11.21.238  4472832 Bytes  01.02.2012 09:58:50
VBASE004.VDF   : 7.11.26.44   4329472 Bytes  28.03.2012 10:43:53
VBASE005.VDF   : 7.11.29.136  2166272 Bytes  10.05.2012 09:18:13
VBASE006.VDF   : 7.11.29.137     2048 Bytes  10.05.2012 09:18:13
VBASE007.VDF   : 7.11.29.138     2048 Bytes  10.05.2012 09:18:13
VBASE008.VDF   : 7.11.29.139     2048 Bytes  10.05.2012 09:18:13
VBASE009.VDF   : 7.11.29.140     2048 Bytes  10.05.2012 09:18:13
VBASE010.VDF   : 7.11.29.141     2048 Bytes  10.05.2012 09:18:13
VBASE011.VDF   : 7.11.29.142     2048 Bytes  10.05.2012 09:18:13
VBASE012.VDF   : 7.11.29.143     2048 Bytes  10.05.2012 09:18:13
VBASE013.VDF   : 7.11.29.144     2048 Bytes  10.05.2012 09:18:13
VBASE014.VDF   : 7.11.30.3     198144 Bytes  14.05.2012 09:18:14
VBASE015.VDF   : 7.11.30.69    186368 Bytes  17.05.2012 09:18:14
VBASE016.VDF   : 7.11.30.143   223744 Bytes  21.05.2012 09:18:15
VBASE017.VDF   : 7.11.30.207   287744 Bytes  23.05.2012 09:18:17
VBASE018.VDF   : 7.11.31.57    188416 Bytes  28.05.2012 09:18:18
VBASE019.VDF   : 7.11.31.111   214528 Bytes  30.05.2012 09:18:18
VBASE020.VDF   : 7.11.31.151   116736 Bytes  31.05.2012 09:18:18
VBASE021.VDF   : 7.11.31.152     2048 Bytes  31.05.2012 09:18:18
VBASE022.VDF   : 7.11.31.153     2048 Bytes  31.05.2012 09:18:18
VBASE023.VDF   : 7.11.31.154     2048 Bytes  31.05.2012 09:18:18
VBASE024.VDF   : 7.11.31.155     2048 Bytes  31.05.2012 09:18:18
VBASE025.VDF   : 7.11.31.156     2048 Bytes  31.05.2012 09:18:18
VBASE026.VDF   : 7.11.31.157     2048 Bytes  31.05.2012 09:18:19
VBASE027.VDF   : 7.11.31.158     2048 Bytes  31.05.2012 09:18:19
VBASE028.VDF   : 7.11.31.159     2048 Bytes  31.05.2012 09:18:19
VBASE029.VDF   : 7.11.31.160     2048 Bytes  31.05.2012 09:18:19
VBASE030.VDF   : 7.11.31.161     2048 Bytes  31.05.2012 09:18:19
VBASE031.VDF   : 7.11.31.194    99328 Bytes  02.06.2012 09:18:19
Engineversion  : 8.2.10.80 
AEVDF.DLL      : 8.1.2.8       106867 Bytes  02.06.2012 09:18:25
AESCRIPT.DLL   : 8.1.4.24      450939 Bytes  02.06.2012 09:18:25
AESCN.DLL      : 8.1.8.2       131444 Bytes  16.02.2012 16:11:36
AESBX.DLL      : 8.2.5.10      606580 Bytes  02.06.2012 09:18:25
AERDL.DLL      : 8.1.9.15      639348 Bytes  20.01.2012 23:21:32
AEPACK.DLL     : 8.2.16.16     807288 Bytes  02.06.2012 09:18:24
AEOFFICE.DLL   : 8.1.2.28      201082 Bytes  26.04.2012 16:41:32
AEHEUR.DLL     : 8.1.4.36     4874615 Bytes  02.06.2012 09:18:24
AEHELP.DLL     : 8.1.21.0      254326 Bytes  02.06.2012 09:18:19
AEGEN.DLL      : 8.1.5.28      422260 Bytes  26.04.2012 16:41:31
AEEXP.DLL      : 8.1.0.44       82293 Bytes  02.06.2012 09:18:26
AEEMU.DLL      : 8.1.3.0       393589 Bytes  20.01.2012 23:21:29
AECORE.DLL     : 8.1.25.10     201080 Bytes  02.06.2012 09:18:19
AEBB.DLL       : 8.1.1.0        53618 Bytes  20.01.2012 23:21:28
AVWINLL.DLL    : 12.3.0.15      27344 Bytes  01.05.2012 22:59:21
AVPREF.DLL     : 12.3.0.15      51920 Bytes  01.05.2012 22:44:31
AVREP.DLL      : 12.3.0.15     179208 Bytes  01.05.2012 22:13:35
AVARKT.DLL     : 12.3.0.15     211408 Bytes  01.05.2012 22:21:32
AVEVTLOG.DLL   : 12.3.0.15     169168 Bytes  01.05.2012 22:28:49
SQLITE3.DLL    : 3.7.0.1       398288 Bytes  16.04.2012 21:11:02
AVSMTP.DLL     : 12.3.0.15      63440 Bytes  01.05.2012 22:51:35
NETNT.DLL      : 12.3.0.15      17104 Bytes  01.05.2012 23:33:29
RCIMAGE.DLL    : 12.3.0.15    4447952 Bytes  02.05.2012 00:03:51
RCTEXT.DLL     : 12.3.0.15      98512 Bytes  02.05.2012 00:03:51

Konfiguration für den aktuellen Suchlauf:
Job Name..............................: Vollständige Systemprüfung
Konfigurationsdatei...................: C:\Program Files\Avira\AntiVir Desktop\sysscan.avp
Protokollierung.......................: standard
Primäre Aktion........................: interaktiv
Sekundäre Aktion......................: ignorieren
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: ein
Bootsektoren..........................: C:, D:, 
Durchsuche aktive Programme...........: ein
Laufende Programme erweitert..........: ein
Durchsuche Registrierung..............: ein
Suche nach Rootkits...................: ein
Integritätsprüfung von Systemdateien..: aus
Datei Suchmodus.......................: Alle Dateien
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: erweitert

Beginn des Suchlaufs: Samstag, 02. Juni 2012  11:25

Der Suchlauf über die Masterbootsektoren wird begonnen:
Masterbootsektor HD0
    [INFO]      Es wurde kein Virus gefunden!
    [INFO]      Bitte starten Sie den Suchlauf erneut mit Administratorrechten
Masterbootsektor HD1
    [INFO]      Es wurde kein Virus gefunden!
Masterbootsektor HD2
    [INFO]      Es wurde kein Virus gefunden!
Masterbootsektor HD3
    [INFO]      Es wurde kein Virus gefunden!

Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
    [INFO]      Es wurde kein Virus gefunden!
    [INFO]      Bitte starten Sie den Suchlauf erneut mit Administratorrechten
Bootsektor 'D:\'
    [INFO]      Es wurde kein Virus gefunden!
    [INFO]      Bitte starten Sie den Suchlauf erneut mit Administratorrechten

Der Suchlauf nach versteckten Objekten wird begonnen.

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'scrnsave.scr' - '18' Modul(e) wurden durchsucht
Durchsuche Prozess 'avscan.exe' - '75' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '93' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '71' Modul(e) wurden durchsucht
Durchsuche Prozess 'hpqgpc01.exe' - '32' Modul(e) wurden durchsucht
Durchsuche Prozess 'hpqbam08.exe' - '28' Modul(e) wurden durchsucht
Durchsuche Prozess 'hpqSTE08.exe' - '63' Modul(e) wurden durchsucht
Durchsuche Prozess 'hpqtra08.exe' - '80' Modul(e) wurden durchsucht
Durchsuche Prozess 'NMIndexStoreSvr.exe' - '48' Modul(e) wurden durchsucht
Durchsuche Prozess 'ehmsas.exe' - '19' Modul(e) wurden durchsucht
Durchsuche Prozess 'ehtray.exe' - '29' Modul(e) wurden durchsucht
Durchsuche Prozess 'sidebar.exe' - '72' Modul(e) wurden durchsucht
Durchsuche Prozess 'mbamgui.exe' - '36' Modul(e) wurden durchsucht
Durchsuche Prozess 'SearchSettings.exe' - '34' Modul(e) wurden durchsucht
Durchsuche Prozess 'jusched.exe' - '22' Modul(e) wurden durchsucht
Durchsuche Prozess 'hpwuSchd2.exe' - '19' Modul(e) wurden durchsucht
Durchsuche Prozess 'iTunesHelper.exe' - '57' Modul(e) wurden durchsucht
Durchsuche Prozess 'rundll32.exe' - '34' Modul(e) wurden durchsucht
Durchsuche Prozess 'RtHDVCpl.exe' - '49' Modul(e) wurden durchsucht
Durchsuche Prozess 'IAAnotif.exe' - '40' Modul(e) wurden durchsucht
Durchsuche Prozess 'MSASCui.exe' - '42' Modul(e) wurden durchsucht
Durchsuche Prozess 'Explorer.EXE' - '137' Modul(e) wurden durchsucht
Durchsuche Prozess 'taskeng.exe' - '80' Modul(e) wurden durchsucht
Durchsuche Prozess 'Dwm.exe' - '39' Modul(e) wurden durchsucht

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen:
Die Registry wurde durchsucht ( '3071' Dateien ).


Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\' <BOOT>
C:\ProgramData\HP\Installer\Temp\32145996.zip
  [WARNUNG]   Unerwartetes Dateiende erreicht
C:\Steinmayr\2006_AuditZM55_Anlage_1120Stt.zip
  [WARNUNG]   Einige Dateien dieses Archives sind auf mehrere Teilarchive verteilt  (multiple volume)
C:\Users\Teddy\AppData\Local\Temp\G0Y_V8yq.docx.part
  [WARNUNG]   Unerwartetes Dateiende erreicht
C:\Users\Teddy\AppData\Local\Temp\jQU39BYw.zip.part
  [WARNUNG]   Unerwartetes Dateiende erreicht
C:\Users\Teddy\AppData\Local\Temp\RsRxCFjE.exe.part
  [WARNUNG]   Aus diesem Archiv können keine weiteren Dateien ausgepackt werden. Das Archiv wird geschlossen.
C:\Users\Teddy\AppData\Local\Temp\T2khHjJr.docx.part
  [WARNUNG]   Unerwartetes Dateiende erreicht
C:\Users\Teddy\AppData\Local\VirtualStore\Windows\System32\SENT.log
  [WARNUNG]   Die maximale Archiv Rekursionstiefe wurde erreicht.
C:\Users\Teddy\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\35\35deae63-6a42c1b1
  [0] Archivtyp: ZIP
  --> sysa/a2.class
      [FUND]      Enthält Erkennungsmuster des Exploits EXP/12-0507.CB.1
  --> sysa/C.class
      [FUND]      Enthält Erkennungsmuster des Exploits EXP/2012-0507.BL
  --> sysa/sysc.class
      [FUND]      Enthält Erkennungsmuster des Exploits EXP/JAVA.Ternub.Gen
  --> sysa/sysb.class
      [FUND]      Enthält Erkennungsmuster des Exploits EXP/12-0507.CD.1
  --> sysa/sysa.class
      [FUND]      Enthält Erkennungsmuster des Exploits EXP/12-0507.BZ.1
  --> sysa/oi.class
      [FUND]      Enthält Erkennungsmuster des Exploits EXP/JAVA.Ternub.Gen
C:\Users\Teddy\AppData\Roaming\HartlauerFotoService3\artikelstamm.zip
  [WARNUNG]   Die Datei ist kennwortgeschützt
C:\Users\Teddy\AppData\Roaming\HartlauerFotoService3\dealer.zip
  [WARNUNG]   Die Datei ist kennwortgeschützt
C:\Users\Teddy\AppData\Roaming\HartlauerFotoService3\system.zip
  [WARNUNG]   Die Datei ist kennwortgeschützt
C:\Users\Teddy\AppData\Roaming\HartlauerFotoService3\update.zip
  [WARNUNG]   Die Datei ist kennwortgeschützt
C:\Users\Teddy\AppData\Roaming\HartlauerFotoService3\user.zip
  [WARNUNG]   Die Datei ist kennwortgeschützt
C:\Users\Teddy\AppData\Roaming\HartlauerFotoService3\version.zip
  [WARNUNG]   Die Datei ist kennwortgeschützt
C:\Users\Teddy\AppData\Roaming\HartlauerFotoService3\plugins\fotobuch2\save\20090922183034\config.zip
  [WARNUNG]   Die Datei ist kennwortgeschützt
C:\Users\Teddy\Desktop\Chrisi\Setups\avira_free_antivirus_de02062012.exe
  [WARNUNG]   Die Datei ist kennwortgeschützt
C:\_OTL\MovedFiles\05312012_173312.zip
  [0] Archivtyp: ZIP
  --> 05312012_173312/C_Users/Teddy/AppData/Roaming/ArchiverforWin.exe
      [FUND]      Ist das Trojanische Pferd TR/Ransom.237568
C:\_OTL\MovedFiles\05312012_173312\C_Users\Teddy\AppData\Roaming\ArchiverforWin.exe
  [FUND]      Ist das Trojanische Pferd TR/Ransom.237568
Beginne mit der Suche in 'D:\' <RECOVER>

Beginne mit der Desinfektion:
C:\_OTL\MovedFiles\05312012_173312\C_Users\Teddy\AppData\Roaming\ArchiverforWin.exe
  [FUND]      Ist das Trojanische Pferd TR/Ransom.237568
  [HINWEIS]   Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '54d2bb02.qua' verschoben!
C:\_OTL\MovedFiles\05312012_173312.zip
  [FUND]      Ist das Trojanische Pferd TR/Ransom.237568
  [HINWEIS]   Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '53959760.qua' verschoben!
C:\Users\Teddy\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\35\35deae63-6a42c1b1
  [FUND]      Enthält Erkennungsmuster des Exploits EXP/JAVA.Ternub.Gen
  [HINWEIS]   Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '1e19cd88.qua' verschoben!


Ende des Suchlaufs: Samstag, 02. Juni 2012  15:31
Benötigte Zeit:  2:16:33 Stunde(n)

Der Suchlauf wurde vollständig durchgeführt.

  27819 Verzeichnisse wurden überprüft
 928648 Dateien wurden geprüft
      8 Viren bzw. unerwünschte Programme wurden gefunden
      0 Dateien wurden als verdächtig eingestuft
      0 Dateien wurden gelöscht
      0 Viren bzw. unerwünschte Programme wurden repariert
      3 Dateien wurden in die Quarantäne verschoben
      0 Dateien wurden umbenannt
      0 Dateien konnten nicht durchsucht werden
 928640 Dateien ohne Befall
   7445 Archive wurden durchsucht
     15 Warnungen
      3 Hinweise
 800545 Objekte wurden beim Rootkitscan durchsucht
      0 Versteckte Objekte wurden gefunden

31.05.2012, 12:15	#2
cosinus /// Winkelfunktion /// TB-Süch-Tiger™	Trojaner 100 bezahlen AKM/BMI Funktioniert noch der abgesicherte Modus mit Netzwerktreibern? Mit Internetverbindung? Abgesicherter Modus zur Bereinigung Windows mit F8-Taste beim Start in den abgesicherten Modus bringen. Starte den Rechner in den abgesicherten Modus mit Netzwerktreibern: __________________ __________________

31.05.2012, 21:25	#10
cosinus /// Winkelfunktion /// TB-Süch-Tiger™	Trojaner 100 bezahlen AKM/BMI Nein erstmal nur Malwarebytes-Vollscan bitte __________________ Logfiles bitte immer in CODE-Tags posten

02.06.2012, 16:04	#12
cosinus /// Winkelfunktion /// TB-Süch-Tiger™	Trojaner 100 bezahlen AKM/BMI Hätte da mal zwei Fragen bevor es weiter geht 1.) Geht der normale Modus von Windows (wieder) uneingeschränkt? 2.) Vermisst du irgendwas im Startmenü? Sind da leere Ordner unter alle Programme oder ist alles vorhanden? __________________ Logfiles bitte immer in CODE-Tags posten

02.06.2012, 19:55	#14
cosinus /// Winkelfunktion /// TB-Süch-Tiger™	Trojaner 100 bezahlen AKM/BMI Ja immer Berichte von AntiVir posten __________________ Logfiles bitte immer in CODE-Tags posten

Trojaner 100 bezahlen AKM/BMI

Plagegeister aller Art und deren Bekämpfung: Trojaner 100 bezahlen AKM/BMI