Windows-Update Trojaner (100 Euro) Befall - Neue Verschlüsselungsvariante

MinisterPhil

Hallo,

ich wurde am 5.6.2012 ebenfalls mit einem Rechnungsanschreiben von Flirt-Fever mit dem Trojaner infiziert.
Ich habe die meisten eigenen Dateien inklusive Zweitsystem glücklicherweise auf einer zweiten Festplatte. Erstsystem ist auf einer SSD.
Der Trojaner ließ sich nicht mit Malware, Avira, etc. finden. Jedoch ist der typische Startbildschirm weiter zu sehen.

Ich konnte ihn dennoch manuell entfernen, indem ich über den abgesicherten Modus mit Netzwerktreibern startete und über ein neu erstelltes Benutzerkonto die Regedit wieder frei geschaltet habe.
Dazu habe ich in der Registry mit regedit des neuen Benutzerkontos das befallene Nutzerkonto von entsprechenden Disable-Einträgen befreit.:

HKEY_USERS\SID

SID steht dann für die befallene User ID, die entsprechende Disable-Einträge vorweisen muss.
dann:

\Software\Microsoft\Windows\CurrentVersion\Policies\System

dort steht unter anderem der Eintrag "DisableRegistryTools". Dieser und ein paar weitere disable Einträge habe ich gelöscht.
Danach hatte ich wieder regedit-Zugang unter meinem Standard-Nutzerkonto.
Dann habe ich weiterhin, immernoch im abgesicherten Modus den Trojaner unter:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

gefunden. Der Name besteht ebenso aus wirren Buchstabenfolgen wie die Dateien selbst.

Ich konnte das System wieder normal starten. Allerdings funktioniert noch keines der Entschlüsselungstools.
Die befallene E-mail mit Anhang habe ich bereits markusG geschickt.

Grüße

MinisterPhil