Zurück   Trojaner-Board > Malware entfernen > Plagegeister aller Art und deren Bekämpfung

Plagegeister aller Art und deren Bekämpfung: Verschlüsselungstrojaner

Windows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen.

Antwort
Alt 14.06.2012, 13:29   #1
rainerG.
 
Verschlüsselungstrojaner - Standard

Verschlüsselungstrojaner



Hallo miteinander,

ich habe auf einem PC hier auf Arbeit einen Verschlüsselungstrojaner mir eingefangen. Es war eine "mahnungsemail" und der Kollege hat natürlich gleich mal den kompletten Anhang geöffnet etc und natürlich ist kein Backup vorhanden....

So nun sind aber sämtliche Dateien verschlüsselt und wenn er sich mit seinem Account anmeldet kommt eine Zahlungsaufforderung. Die Dateien wurden komplett umbenannt in willkürliche Namen. ( zb: elrOrONOTpTXTXuvu)

Ich bin jetzt mal die Liste mit der Thema-Erstellung komplett durchgegeangen. Hoffe ich hab soweit alles richtig gemacht.

Malwarebytes findet hier gar nichts und genauso wenig Avira Rescue System.

Eigentlich will ich nur irgendwie die Dateien wiederherstellen das System wird so oder so frisch installiert.

Kann mir irgendwer nen Tipp geben wie man jetzt diese Dateien wieder entschlüsseln kann?

Code:
ATTFilter
OTL logfile created on: 13.06.2012 12:25:04 - Run 1
OTL by OldTimer - Version 3.2.48.0     Folder = C:\Dokumente und Einstellungen\f_adm_lokal\Desktop
Windows XP Professional Edition Service Pack 3 (Version = 5.1.2600) - Type = NTWorkstation
Internet Explorer (Version = 8.0.6001.18702)
Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy
 
1,96 Gb Total Physical Memory | 1,37 Gb Available Physical Memory | 69,97% Memory free
3,81 Gb Paging File | 3,34 Gb Available in Paging File | 87,70% Paging File free
Paging file location(s): C:\pagefile.sys 2046 4092 [binary data]
 
%SystemDrive% = C: | %SystemRoot% = C:\WINDOWS | %ProgramFiles% = C:\Programme
Drive C: | 58,59 Gb Total Space | 31,77 Gb Free Space | 54,22% Space Free | Partition Type: NTFS
Drive D: | 174,21 Gb Total Space | 174,13 Gb Free Space | 99,96% Space Free | Partition Type: NTFS
 
Computer Name: F-G1-122-02 | User Name: f_adm_lokal | Logged in as Administrator.
Boot Mode: Normal | Scan Mode: Current user | Quick Scan
Company Name Whitelist: On | Skip Microsoft Files: On | No Company Name Whitelist: On | File Age = 30 Days
 
========== Processes (SafeList) ==========
 
PRC - [2012.06.13 12:23:48 | 000,596,480 | ---- | M] (OldTimer Tools) -- C:\Dokumente und Einstellungen\f_adm_lokal\Desktop\OTL.exe
PRC - [2012.04.09 17:43:42 | 001,557,160 | ---- | M] (Ask) -- C:\Programme\Ask.com\Updater\Updater.exe
PRC - [2012.01.18 15:02:04 | 000,254,696 | ---- | M] (Sun Microsystems, Inc.) -- C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe
PRC - [2011.08.30 16:21:08 | 000,716,800 | ---- | M] (Secunia) -- C:\Programme\Secunia\CSI Agent\csia.exe
PRC - [2011.06.08 04:06:00 | 000,345,408 | ---- | M] (McAfee, Inc.) -- C:\Programme\McAfee\Common Framework\naPrdMgr.exe
PRC - [2011.06.08 04:06:00 | 000,333,120 | ---- | M] (McAfee, Inc.) -- C:\Programme\McAfee\Common Framework\UdaterUI.exe
PRC - [2011.06.08 04:06:00 | 000,132,416 | ---- | M] (McAfee, Inc.) -- C:\Programme\McAfee\Common Framework\FrameworkService.exe
PRC - [2011.06.08 04:06:00 | 000,075,072 | ---- | M] (McAfee, Inc.) -- C:\Programme\McAfee\Common Framework\McTray.exe
PRC - [2011.02.04 20:07:00 | 000,147,984 | ---- | M] (McAfee, Inc.) -- C:\Programme\McAfee\VirusScan Enterprise\Mcshield.exe
PRC - [2011.02.04 20:07:00 | 000,069,192 | ---- | M] (McAfee, Inc.) -- C:\WINDOWS\system32\mfevtps.exe
PRC - [2011.02.04 20:07:00 | 000,066,880 | ---- | M] (McAfee, Inc.) -- C:\Programme\McAfee\VirusScan Enterprise\VsTskMgr.exe
PRC - [2011.02.04 20:07:00 | 000,027,960 | ---- | M] (McAfee, Inc.) -- C:\Programme\McAfee\VirusScan Enterprise\mfeann.exe
PRC - [2011.02.04 20:07:00 | 000,022,816 | ---- | M] (McAfee, Inc.) -- C:\Programme\McAfee\VirusScan Enterprise\EngineServer.exe
PRC - [2009.08.06 17:59:52 | 000,381,440 | ---- | M] (shbox.de) -- C:\Programme\FreePDF_XP\fpassist.exe
PRC - [2008.04.14 14:00:00 | 001,036,800 | ---- | M] (Microsoft Corporation) -- C:\WINDOWS\explorer.exe
PRC - [2006.09.11 05:40:32 | 000,218,032 | ---- | M] (Macrovision Corporation) -- C:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\ISUSPM.exe
PRC - [2001.12.01 12:01:06 | 000,651,119 | ---- | M] (Symantec Corporation) -- C:\Programme\SYMANTEC\Ghost\ngctw32.exe
 
 
========== Modules (No Company Name) ==========
 
MOD - [2010.03.25 21:07:00 | 000,148,800 | ---- | M] () -- C:\Programme\McAfee\VirusScan Enterprise\VsEvntUI.DLL
MOD - [2007.07.23 16:04:46 | 000,068,080 | ---- | M] () -- C:\Programme\Gemeinsame Dateien\Roxio Shared\9.0\DLLShared\dlaapi_w.dll
MOD - [2007.04.18 20:30:46 | 000,471,040 | ---- | M] () -- C:\Programme\McAfee\Common Framework\ccme_base.dll
MOD - [2007.04.18 20:30:46 | 000,393,216 | ---- | M] () -- C:\Programme\McAfee\Common Framework\cryptocme2.dll
MOD - [2005.01.06 18:33:30 | 000,116,224 | ---- | M] () -- C:\WINDOWS\system32\redmonnt.dll
 
 
========== Win32 Services (SafeList) ==========
 
SRV - [2011.08.30 16:21:08 | 000,716,800 | ---- | M] (Secunia) [Auto | Running] -- C:\Programme\Secunia\CSI Agent\csia.exe -- (Secunia CSI Agent)
SRV - [2011.07.20 06:18:24 | 000,440,696 | ---- | M] (Microsoft Corporation) [On_Demand | Stopped] -- C:\Programme\Gemeinsame Dateien\Microsoft Shared\OFFICE12\ODSERV.EXE -- (odserv)
SRV - [2011.06.08 04:06:00 | 000,132,416 | ---- | M] (McAfee, Inc.) [Auto | Running] -- C:\Programme\McAfee\Common Framework\FrameworkService.exe -- (McAfeeFramework)
SRV - [2011.02.04 20:07:00 | 000,147,984 | ---- | M] (McAfee, Inc.) [Auto | Running] -- C:\Programme\McAfee\VirusScan Enterprise\Mcshield.exe -- (McShield)
SRV - [2011.02.04 20:07:00 | 000,069,192 | ---- | M] (McAfee, Inc.) [Auto | Running] -- C:\WINDOWS\system32\mfevtps.exe -- (mfevtp)
SRV - [2011.02.04 20:07:00 | 000,066,880 | ---- | M] (McAfee, Inc.) [Auto | Running] -- C:\Programme\McAfee\VirusScan Enterprise\VsTskMgr.exe -- (McTaskManager)
SRV - [2011.02.04 20:07:00 | 000,022,816 | ---- | M] (McAfee, Inc.) [Auto | Running] -- C:\Programme\McAfee\VirusScan Enterprise\EngineServer.exe -- (McAfeeEngineService)
SRV - [2007.07.11 10:33:28 | 000,069,632 | R--- | M] (MicroVision Development, Inc.) [On_Demand | Stopped] -- C:\Programme\Gemeinsame Dateien\SureThing Shared\stllssvr.exe -- (stllssvr)
SRV - [2007.06.12 18:09:16 | 002,521,880 | ---- | M] (Intel) [Disabled | Stopped] -- C:\Programme\Intel\AMT\UNS.exe -- (UNS) Intel(R)
SRV - [2007.06.12 18:09:16 | 000,183,064 | ---- | M] (Intel Corporation) [Disabled | Stopped] -- C:\Programme\Intel\AMT\atchksrv.exe -- (atchksrv) Intel(R)
SRV - [2007.06.12 18:09:14 | 000,109,336 | ---- | M] (Intel) [Disabled | Stopped] -- C:\Programme\Intel\AMT\LMS.exe -- (LMS) Intel(R)
SRV - [2006.10.26 14:03:08 | 000,145,184 | ---- | M] (Microsoft Corporation) [On_Demand | Stopped] -- C:\Programme\Gemeinsame Dateien\Microsoft Shared\Source Engine\OSE.EXE -- (ose)
SRV - [2001.12.01 12:01:06 | 000,651,119 | ---- | M] (Symantec Corporation) [Auto | Running] -- C:\Programme\SYMANTEC\Ghost\ngctw32.exe -- (NGClient)
 
 
========== Driver Services (SafeList) ==========
 
DRV - File not found [Kernel | On_Demand | Stopped] --  -- (WDICA)
DRV - File not found [Kernel | On_Demand | Stopped] -- system32\DRIVERS\smsmdm.sys -- (smsmdd)
DRV - File not found [Kernel | On_Demand | Stopped] --  -- (PDRFRAME)
DRV - File not found [Kernel | On_Demand | Stopped] --  -- (PDRELI)
DRV - File not found [Kernel | On_Demand | Stopped] --  -- (PDFRAME)
DRV - File not found [Kernel | On_Demand | Stopped] --  -- (PDCOMP)
DRV - File not found [Kernel | System | Stopped] --  -- (PCIDump)
DRV - File not found [Kernel | System | Stopped] --  -- (lbrtfdc)
DRV - File not found [Kernel | System | Stopped] --  -- (i2omgmt)
DRV - File not found [Kernel | System | Stopped] --  -- (Changer)
DRV - [2011.02.04 20:07:00 | 000,337,560 | ---- | M] (McAfee, Inc.) [Kernel | Boot | Running] -- C:\WINDOWS\system32\drivers\mfehidk.sys -- (mfehidk)
DRV - [2011.02.04 20:07:00 | 000,091,992 | ---- | M] (McAfee, Inc.) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\mfeavfk.sys -- (mfeavfk)
DRV - [2011.02.04 20:07:00 | 000,076,088 | ---- | M] (McAfee, Inc.) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\mfeapfk.sys -- (mfeapfk)
DRV - [2011.02.04 20:07:00 | 000,067,240 | ---- | M] (McAfee, Inc.) [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\mferkdet.sys -- (mferkdet)
DRV - [2011.02.04 20:07:00 | 000,065,960 | ---- | M] (McAfee, Inc.) [Kernel | System | Running] -- C:\WINDOWS\system32\drivers\mfetdik.sys -- (mfetdik)
DRV - [2011.02.04 20:07:00 | 000,043,224 | ---- | M] (McAfee, Inc.) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\mfebopk.sys -- (mfebopk)
DRV - [2011.01.17 16:13:33 | 000,047,616 | ---- | M] (Aladdin Knowledge Systems) [Kernel | Auto | Running] -- C:\WINDOWS\system32\drivers\Haspnt.sys -- (Haspnt)
DRV - [2009.12.03 06:00:00 | 000,078,648 | ---- | M] (WIBU-SYSTEMS AG) [Kernel | Auto | Running] -- C:\WINDOWS\system32\drivers\WibuKey.sys -- (WIBUKEY)
DRV - [2007.07.23 16:05:18 | 000,009,104 | ---- | M] (Roxio) [File_System | Auto | Running] -- C:\WINDOWS\system32\drivers\DLADResM.SYS -- (DLADResM)
DRV - [2007.07.23 16:04:58 | 000,037,360 | ---- | M] (Roxio) [File_System | Auto | Running] -- C:\WINDOWS\system32\drivers\DLABMFSM.SYS -- (DLABMFSM)
DRV - [2007.07.23 16:04:56 | 000,098,448 | ---- | M] (Roxio) [File_System | Auto | Running] -- C:\WINDOWS\system32\drivers\DLAUDF_M.SYS -- (DLAUDF_M)
DRV - [2007.07.23 16:04:56 | 000,093,552 | ---- | M] (Roxio) [File_System | Auto | Running] -- C:\WINDOWS\system32\drivers\DLAUDFAM.SYS -- (DLAUDFAM)
DRV - [2007.07.23 16:04:54 | 000,027,216 | ---- | M] (Roxio) [File_System | Auto | Running] -- C:\WINDOWS\system32\drivers\DLAOPIOM.SYS -- (DLAOPIOM)
DRV - [2007.07.23 16:04:52 | 000,032,848 | ---- | M] (Roxio) [File_System | Auto | Running] -- C:\WINDOWS\system32\drivers\DLABOIOM.SYS -- (DLABOIOM)
DRV - [2007.07.23 16:04:52 | 000,016,304 | ---- | M] (Roxio) [File_System | Auto | Running] -- C:\WINDOWS\system32\drivers\DLAPoolM.SYS -- (DLAPoolM)
DRV - [2007.07.23 16:04:50 | 000,108,752 | ---- | M] (Roxio) [File_System | Auto | Running] -- C:\WINDOWS\system32\drivers\DLAIFS_M.SYS -- (DLAIFS_M)
DRV - [2007.07.23 15:49:44 | 000,030,064 | ---- | M] (Roxio) [File_System | System | Running] -- C:\WINDOWS\system32\drivers\DLARTL_M.SYS -- (DLARTL_M)
DRV - [2007.07.23 15:49:44 | 000,014,576 | ---- | M] (Roxio) [Kernel | Boot | Running] -- C:\WINDOWS\system32\drivers\DLACDBHM.SYS -- (DLACDBHM)
DRV - [2007.06.12 18:05:50 | 000,045,056 | ---- | M] (Intel Corporation) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\HECI.sys -- (HECI) Intel(R)
DRV - [2006.11.22 11:01:48 | 000,693,760 | ---- | M] (Aladdin Knowledge Systems Ltd.) [Kernel | Auto | Running] -- C:\WINDOWS\system32\drivers\hardlock.sys -- (Hardlock)
DRV - [2006.03.17 19:18:58 | 000,392,960 | ---- | M] (Sensaura) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\senfilt.sys -- (SenFiltService)
DRV - [2004.07.15 20:21:00 | 000,062,048 | R--- | M] (Gemplus) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\GKUPRO2D.sys -- (GKUPRO2D)
DRV - [2002.09.19 22:07:50 | 000,034,683 | ---- | M] (EIBA s.c.) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\Pei16Wdm.sys -- (Pei16Wdm)
DRV - [2002.08.15 10:20:04 | 000,035,547 | ---- | M] (EIBA s.c.) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\Pei10Wdm.sys -- (Pei10Wdm)
DRV - [2001.11.30 11:59:16 | 000,323,132 | ---- | M] (Symantec Corporation) [Kernel | Auto | Stopped] -- C:\WINDOWS\system32\drivers\ghpcw2k.sys -- (GhPostConfig_Auto)
DRV - [2001.11.30 11:59:16 | 000,323,132 | ---- | M] (Symantec Corporation) [Kernel | Boot | Stopped] -- C:\WINDOWS\system32\drivers\ghpcw2k.sys -- (GhPostConfig)
 
 
========== Standard Registry (SafeList) ==========
 
 
========== Internet Explorer ==========
 
IE - HKLM\..\SearchScopes,DefaultScope = {0633EE93-D776-472f-A0FF-E1416B8B2E3A}
IE - HKLM\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = hxxp://search.live.com/results.aspx?q={searchTerms}&src={referrer:source?}
 
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page Redirect Cache = hxxp://de.msn.com/?ocid=iehp
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page Redirect Cache AcceptLangs = de
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page Redirect Cache_TIMESTAMP = 51 B4 05 64 8D 48 CD 01  [binary data]
IE - HKCU\..\SearchScopes,DefaultScope = {0633EE93-D776-472f-A0FF-E1416B8B2E3A}
IE - HKCU\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = hxxp://search.live.com/results.aspx?q={searchTerms}&src=IE-SearchBox&Form=IE8SRC
IE - HKCU\..\SearchScopes\{5DA5A8FE-2A32-48D9-B112-13AD3920EFE7}: "URL" = hxxp://websearch.ask.com/redirect?client=ie&tb=ORJ&o=100000027&src=crm&q={searchTerms}&locale=de_DE&apn_ptnrs=U3&apn_dtid=OSJ000YYDE&apn_uid=08D9F726-5CE8-40AD-A037-89FDF0FA163E&apn_sauid=2EE7A70E-4680-441D-A0A8-DE462A6DDACA
IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0
 
 
========== FireFox ==========
 
FF - HKLM\Software\MozillaPlugins\@Google.com/GoogleEarthPlugin: C:\Programme\Google\Google Earth\plugin\npgeplugin.dll (Google)
FF - HKLM\Software\MozillaPlugins\@java.com/JavaPlugin: C:\Programme\Java\jre6\bin\plugin2\npjp2.dll (Sun Microsystems, Inc.)
FF - HKLM\Software\MozillaPlugins\@Microsoft.com/NpCtrl,version=1.0: C:\Programme\Microsoft Silverlight\5.1.10411.0\npctrl.dll ( Microsoft Corporation)
FF - HKLM\Software\MozillaPlugins\@microsoft.com/WPF,version=3.5: C:\WINDOWS\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\NPWPF.dll (Microsoft Corporation)
FF - HKLM\Software\MozillaPlugins\@pack.google.com/Google Updater;version=14: C:\Programme\Google\Google Updater\2.4.2432.1652\npCIDetect14.dll (Google)
FF - HKLM\Software\MozillaPlugins\@tools.google.com/Google Update;version=3: C:\Programme\Google\Update\1.3.21.111\npGoogleUpdate3.dll (Google Inc.)
FF - HKLM\Software\MozillaPlugins\@tools.google.com/Google Update;version=9: C:\Programme\Google\Update\1.3.21.111\npGoogleUpdate3.dll (Google Inc.)
 
 
 
O1 HOSTS File: ([2009.01.20 15:39:10 | 000,000,856 | ---- | M]) - C:\WINDOWS\system32\drivers\etc\hosts
O1 - Hosts: 127.0.0.1       localhost
O1 - Hosts: 141.18.30.7	image-htw.htw-aalen.de
O2 - BHO: (Adobe PDF Link Helper) - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll (Adobe Systems Incorporated)
O2 - BHO: (Java(tm) Plug-In SSV Helper) - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre6\bin\ssv.dll (Sun Microsystems, Inc.)
O2 - BHO: (scriptproxy) - {7DB2D5A0-7241-4E79-B68D-6309F01C5231} - C:\Programme\McAfee\VirusScan Enterprise\scriptsn.dll (McAfee, Inc.)
O2 - BHO: (Google Toolbar Notifier BHO) - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\5.2.4204.1700\swg.dll (Google Inc.)
O2 - BHO: (Ask Toolbar) - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Programme\Ask.com\GenericAskToolbar.dll (Ask)
O3 - HKLM\..\Toolbar: (Ask Toolbar) - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Programme\Ask.com\GenericAskToolbar.dll (Ask)
O3 - HKCU\..\Toolbar\WebBrowser: (Ask Toolbar) - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Programme\Ask.com\GenericAskToolbar.dll (Ask)
O4 - HKLM..\Run: []  File not found
O4 - HKLM..\Run: [ApnUpdater] C:\Programme\Ask.com\Updater\Updater.exe (Ask)
O4 - HKLM..\Run: [FreePDF Assistant] C:\Programme\FreePDF_XP\fpassist.exe (shbox.de)
O4 - HKLM..\Run: [McAfeeUpdaterUI] C:\Programme\McAfee\Common Framework\udaterui.exe (McAfee, Inc.)
O4 - HKLM..\Run: [NGClient] C:\Programme\SYMANTEC\Ghost\ngctw32.exe (Symantec Corporation)
O4 - HKLM..\Run: [ShStatEXE] C:\Programme\McAfee\VirusScan Enterprise\SHSTAT.EXE (McAfee, Inc.)
O4 - HKLM..\Run: [SunJavaUpdateSched] C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe (Sun Microsystems, Inc.)
O4 - HKCU..\Run: [ISUSPM] C:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\ISUSPM.exe (Macrovision Corporation)
O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Infodelivery present
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoMSAppLogo5ChannelNotify = 1
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: HonorAutoRunSetting = 1
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoCDBurning = 0
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 255
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: DontSetAutoplayCheckbox = 1
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoAutorun = 1
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: RunLogonScriptSync = 1
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableStartupSound = 1
O7 - HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000 File not found
O15 - HKLM\..Trusted Domains: htw-aalen.de ([]* in Lokales Intranet)
O15 - HKLM\..Trusted Domains: htw-aalen.de ([exmail] * in Vertrauenswürdige Sites)
O15 - HKLM\..Trusted Domains: htw-aalen.de ([www] * in Vertrauenswürdige Sites)
O15 - HKLM\..Trusted Ranges: Range1 ([*] in Lokales Intranet)
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} hxxp://www.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1232523925203 (WUWebControl Class)
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_31-windows-i586.cab (Java Plug-in 1.6.0_31)
O16 - DPF: {CAFEEFAC-0016-0000-0031-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_31-windows-i586.cab (Java Plug-in 1.6.0_31)
O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_31-windows-i586.cab (Java Plug-in 1.6.0_31)
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: DhcpNameServer = 141.18.30.1 141.18.30.2 141.18.30.3 141.18.30.4
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = htw-aalen.de
O17 - HKLM\System\CCS\Services\Tcpip\Parameters\Interfaces\{D53973B3-D05A-48E7-A478-C91368FEC7E0}: DhcpNameServer = 141.18.30.1 141.18.30.2 141.18.30.3 141.18.30.4
O18 - Protocol\Handler\ipp\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\msdaipp\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\msdaipp\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\ms-help {314111c7-a502-11d2-bbca-00c04f8ec294} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Help\hxds.dll (Microsoft Corporation)
O18 - Protocol\Filter\text/xml {807563E5-5146-11D5-A672-00B0D022E945} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\OFFICE12\MSOXMLMF.DLL (Microsoft Corporation)
O20 - HKLM Winlogon: Shell - (Explorer.exe) - C:\WINDOWS\explorer.exe (Microsoft Corporation)
O20 - HKLM Winlogon: UserInit - (C:\WINDOWS\system32\userinit.exe) - C:\WINDOWS\system32\userinit.exe (Microsoft Corporation)
O20 - HKLM Winlogon: GinaDLL - (C:\Programme\SYMANTEC\Ghost\ginastub.dll) - C:\Programme\SYMANTEC\Ghost\ginastub.dll (Symantec Corporation)
O24 - Desktop Components:0 (Die derzeitige Homepage) - About:Home
O24 - Desktop WallPaper: C:\WINDOWS\Web\Wallpaper\Grüne Idylle.bmp
O24 - Desktop BackupWallPaper: C:\WINDOWS\Web\Wallpaper\Grüne Idylle.bmp
O28 - HKLM ShellExecuteHooks: {56F9679E-7826-4C84-81F3-532071A8BCC5} - C:\Programme\Windows Desktop Search\MsnlNamespaceMgr.dll (Microsoft Corporation)
O32 - HKLM CDRom: AutoRun - 1
O32 - AutoRun File - [2009.01.15 15:15:08 | 000,000,000 | ---- | M] () - C:\AUTOEXEC.BAT -- [ NTFS ]
O34 - HKLM BootExecute: (autocheck autochk *)
O35 - HKLM\..comfile [open] -- "%1" %*
O35 - HKLM\..exefile [open] -- "%1" %*
O37 - HKLM\...com [@ = comfile] -- "%1" %*
O37 - HKLM\...exe [@ = exefile] -- "%1" %*
O38 - SubSystems\\Windows: (ServerDll=winsrv:UserServerDllInitialization,3)
O38 - SubSystems\\Windows: (ServerDll=winsrv:ConServerDllInitialization,2)
 
========== Files/Folders - Created Within 30 Days ==========
 
[2012.06.13 12:23:45 | 000,596,480 | ---- | C] (OldTimer Tools) -- C:\Dokumente und Einstellungen\f_adm_lokal\Desktop\OTL.exe
[2012.06.13 12:23:16 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\f_adm_lokal\Desktop\trojaner-board
[2012.06.12 13:45:22 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\f_adm_lokal\Desktop\scareuncrypt
[2012.06.12 13:42:23 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\f_adm_lokal\Desktop\Avira-RansomFileUnlocker-1.0.1
[2012.06.12 13:27:54 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\f_adm_lokal\Anwendungsdaten\Malwarebytes
[2012.06.12 13:27:48 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Malwarebytes' Anti-Malware
[2012.06.12 13:27:44 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Malwarebytes
[2012.06.12 13:27:41 | 000,022,344 | ---- | C] (Malwarebytes Corporation) -- C:\WINDOWS\System32\drivers\mbam.sys
[2012.06.12 13:27:41 | 000,000,000 | ---D | C] -- C:\Programme\Malwarebytes' Anti-Malware
[2012.06.12 13:27:25 | 010,063,000 | ---- | C] (Malwarebytes Corporation                                    ) -- C:\Dokumente und Einstellungen\f_adm_lokal\Desktop\mbam-setup-1.61.0.1400.exe
[2012.06.12 13:23:56 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\f_adm_lokal\Anwendungsdaten\Sun
[2012.06.12 13:21:44 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\f_adm_lokal\Anwendungsdaten\Macromedia
[2012.06.12 13:21:17 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\f_adm_lokal\Anwendungsdaten\Adobe
[2012.06.12 13:20:44 | 000,000,000 | -HSD | C] -- C:\Dokumente und Einstellungen\f_adm_lokal\PrivacIE
[2012.06.12 13:19:03 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\f_adm_lokal\Lokale Einstellungen\Anwendungsdaten\Identities
[2012.06.12 13:18:58 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\f_adm_lokal\Anwendungsdaten\Windows Desktop Search
[2012.06.12 13:18:58 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\f_adm_lokal\Anwendungsdaten\McAfee
[2012.06.12 13:18:56 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\f_adm_lokal\Lokale Einstellungen\Anwendungsdaten\AskToolbar
[2012.06.12 13:18:48 | 000,000,000 | -HSD | C] -- C:\Dokumente und Einstellungen\f_adm_lokal\IETldCache
[2012.06.12 12:02:43 | 000,000,000 | -HSD | C] -- C:\Config.Msi
[3 C:\WINDOWS\*.tmp files -> C:\WINDOWS\*.tmp -> ]
[1 C:\WINDOWS\System32\*.tmp files -> C:\WINDOWS\System32\*.tmp -> ]
 
========== Files - Modified Within 30 Days ==========
 
[2012.06.13 12:32:00 | 000,000,226 | ---- | M] () -- C:\WINDOWS\tasks\Scheduled Update for Ask Toolbar.job
[2012.06.13 12:23:48 | 000,596,480 | ---- | M] (OldTimer Tools) -- C:\Dokumente und Einstellungen\f_adm_lokal\Desktop\OTL.exe
[2012.06.13 12:22:36 | 000,000,000 | ---- | M] () -- C:\Dokumente und Einstellungen\f_adm_lokal\defogger_reenable
[2012.06.13 12:22:16 | 000,050,477 | ---- | M] () -- C:\Dokumente und Einstellungen\f_adm_lokal\Desktop\Defogger.exe
[2012.06.13 12:19:05 | 000,002,206 | ---- | M] () -- C:\WINDOWS\System32\wpa.dbl
[2012.06.13 12:18:58 | 000,001,086 | ---- | M] () -- C:\WINDOWS\tasks\GoogleUpdateTaskMachineCore.job
[2012.06.13 12:17:25 | 000,002,048 | --S- | M] () -- C:\WINDOWS\bootstat.dat
[2012.06.12 14:06:00 | 000,001,090 | ---- | M] () -- C:\WINDOWS\tasks\GoogleUpdateTaskMachineUA.job
[2012.06.12 13:45:12 | 005,840,418 | ---- | M] () -- C:\Dokumente und Einstellungen\f_adm_lokal\Desktop\scareuncrypt.zip
[2012.06.12 13:42:14 | 000,062,065 | ---- | M] () -- C:\Dokumente und Einstellungen\f_adm_lokal\Desktop\Avira-RansomFileUnlocker-1.0.1.zip
[2012.06.12 13:37:10 | 000,149,694 | ---- | M] () -- C:\Dokumente und Einstellungen\f_adm_lokal\Desktop\DecryptHelper-0.5.3.exe
[2012.06.12 13:36:39 | 000,283,736 | ---- | M] () -- C:\Dokumente und Einstellungen\f_adm_lokal\Desktop\Beispielbilder_XP.zip
[2012.06.12 13:27:48 | 000,000,768 | ---- | M] () -- C:\Dokumente und Einstellungen\All Users\Desktop\ Malwarebytes Anti-Malware .lnk
[2012.06.12 13:27:33 | 010,063,000 | ---- | M] (Malwarebytes Corporation                                    ) -- C:\Dokumente und Einstellungen\f_adm_lokal\Desktop\mbam-setup-1.61.0.1400.exe
[2012.06.12 08:10:05 | 000,001,789 | ---- | M] () -- C:\Dokumente und Einstellungen\All Users\Desktop\Google Chrome.lnk
[2012.06.11 15:38:11 | 000,046,076 | ---- | M] () -- C:\Dokumente und Einstellungen\All Users\uOvlXeTlpeaDXsaQgJNQg
[2012.06.11 12:46:00 | 000,000,966 | ---- | M] () -- C:\WINDOWS\tasks\Google Software Updater.job
[2012.05.21 08:48:09 | 000,266,208 | ---- | M] () -- C:\WINDOWS\System32\FNTCACHE.DAT
[2012.05.21 08:42:50 | 000,545,828 | ---- | M] () -- C:\WINDOWS\System32\perfh007.dat
[2012.05.21 08:42:50 | 000,496,998 | ---- | M] () -- C:\WINDOWS\System32\perfh009.dat
[2012.05.21 08:42:50 | 000,112,208 | ---- | M] () -- C:\WINDOWS\System32\perfc007.dat
[2012.05.21 08:42:50 | 000,085,482 | ---- | M] () -- C:\WINDOWS\System32\perfc009.dat
[2012.05.21 08:37:42 | 000,001,374 | ---- | M] () -- C:\WINDOWS\imsins.BAK
[2012.05.15 16:00:44 | 005,863,830 | ---- | M] (McAfee, Inc.) -- C:\WINDOWS\FramePkg.exe
[3 C:\WINDOWS\*.tmp files -> C:\WINDOWS\*.tmp -> ]
[1 C:\WINDOWS\System32\*.tmp files -> C:\WINDOWS\System32\*.tmp -> ]
 
========== Files Created - No Company Name ==========
 
[2012.06.13 12:22:36 | 000,000,000 | ---- | C] () -- C:\Dokumente und Einstellungen\f_adm_lokal\defogger_reenable
[2012.06.13 12:22:14 | 000,050,477 | ---- | C] () -- C:\Dokumente und Einstellungen\f_adm_lokal\Desktop\Defogger.exe
[2012.06.12 13:45:09 | 005,840,418 | ---- | C] () -- C:\Dokumente und Einstellungen\f_adm_lokal\Desktop\scareuncrypt.zip
[2012.06.12 13:42:13 | 000,062,065 | ---- | C] () -- C:\Dokumente und Einstellungen\f_adm_lokal\Desktop\Avira-RansomFileUnlocker-1.0.1.zip
[2012.06.12 13:37:10 | 000,149,694 | ---- | C] () -- C:\Dokumente und Einstellungen\f_adm_lokal\Desktop\DecryptHelper-0.5.3.exe
[2012.06.12 13:36:45 | 000,105,542 | ---- | C] () -- C:\Dokumente und Einstellungen\f_adm_lokal\Desktop\Winter.jpg
[2012.06.12 13:36:45 | 000,083,794 | ---- | C] () -- C:\Dokumente und Einstellungen\f_adm_lokal\Desktop\Wasserlilien.jpg
[2012.06.12 13:36:44 | 000,071,189 | ---- | C] () -- C:\Dokumente und Einstellungen\f_adm_lokal\Desktop\Sonnenuntergang.jpg
[2012.06.12 13:36:44 | 000,028,521 | ---- | C] () -- C:\Dokumente und Einstellungen\f_adm_lokal\Desktop\Blaue Berge.jpg
[2012.06.12 13:36:36 | 000,283,736 | ---- | C] () -- C:\Dokumente und Einstellungen\f_adm_lokal\Desktop\Beispielbilder_XP.zip
[2012.06.12 13:27:48 | 000,000,768 | ---- | C] () -- C:\Dokumente und Einstellungen\All Users\Desktop\ Malwarebytes Anti-Malware .lnk
[2012.03.27 16:22:40 | 000,057,552 | ---- | C] () -- C:\WINDOWS\System32\WkDos.exe
[2012.02.26 20:31:42 | 000,003,072 | ---- | C] () -- C:\WINDOWS\System32\iacenc.dll
[2011.01.17 16:13:33 | 000,000,383 | ---- | C] () -- C:\WINDOWS\System32\haspdos.sys
[2010.10.06 17:26:50 | 000,246,784 | ---- | C] () -- C:\WINDOWS\UN160407.EXE
 
========== LOP Check ==========
 
[2012.02.27 09:47:42 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Ask
[2009.08.17 14:33:33 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\bfe-Oldenburg
[2009.10.01 15:29:14 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\FreePDF
[2009.09.14 15:44:52 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\GroupPolicy
[2009.02.18 13:59:35 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Uninstall
[2012.06.12 13:18:58 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\f_adm_lokal\Anwendungsdaten\Windows Desktop Search
[2012.06.13 12:32:00 | 000,000,226 | ---- | M] () -- C:\WINDOWS\Tasks\Scheduled Update for Ask Toolbar.job
 
========== Purity Check ==========
 
 

< End of report >
         

Alt 18.06.2012, 10:18   #2
cosinus
/// Winkelfunktion
/// TB-Süch-Tiger™
 
Verschlüsselungstrojaner - Standard

Verschlüsselungstrojaner



Zitat:
Kann mir irgendwer nen Tipp geben wie man jetzt diese Dateien wieder entschlüsseln kann?
Sind die obigen Hinweise so unscheinbar?!

Hinweise bzgl. der verschlüsselten Dateien:
Wann genau deine Daten entschlüsselt werden können wird dir niemand genau sagen können außer vllt einer es kann sein, dass du eine neuere Variante hast, deren Verschlüsselungsalgorithmus noch unbekannt ist. Sowas kann man (noch) nicht entschlüsseln und ohne Schlüssel schon garnicht - ist ja auch logisch, sonst wär es ja keine vernünftige Verschlüsselung
Einfach hier nochmal reinsehen in regelmäßigen Abständen, obige Hinweise beachten. 8 Tools mitsamt hunderten Diskussionsbeiträgen stehen da schon

Eine Notlösung für Vista und Win7-User => http://www.trojaner-board.de/115496-...erstellen.html

Entschlüsselungsversuche der verschlüsselten Dateien sind nur auf zusätzliche Kopien der verschlüsselten Dateien anzuwenden, sonst zerhackt man sich die noch weiter ohne die "original" verschlüsselte Datei mehr zu haben. Das willst du sicher nicht!

Man darf sich aber keine falschen Hoffnungen machen. Mittlerweile sieht es finster aus => Delphi-PRAXiS - Einzelnen Beitrag anzeigen - Verschlüsselungs-Trojaner, Hilfe benötigt


Und in Zukunft willst du sicher mal an ein besseres Backupkonzept denken. Hier ein Denkanstoß => http://www.trojaner-board.de/115678-...r-backups.html
__________________

__________________

Antwort

Themen zu Verschlüsselungstrojaner
adobe, agent, anhang geöffnet, avira, avira rescue, bho, cdrom, dateien, einstellungen, excel, explorer, firefox, format, google earth, helper, homepage, intranet, langs, link, logfile, microsoft, registry, scan, searchscopes, software, symantec, system32, version=1.0, virusscan, wallpaper, win32, winlogon



Ähnliche Themen: Verschlüsselungstrojaner


  1. Verschlüsselungstrojaner
    Log-Analyse und Auswertung - 29.10.2012 (3)
  2. (2x) Verschlüsselungstrojaner
    Mülltonne - 27.10.2012 (1)
  3. Verschlüsselungstrojaner
    Log-Analyse und Auswertung - 21.08.2012 (23)
  4. Verschlüsselungstrojaner
    Log-Analyse und Auswertung - 15.08.2012 (1)
  5. Verschlüsselungstrojaner
    Log-Analyse und Auswertung - 30.07.2012 (1)
  6. Verschlüsselungstrojaner
    Log-Analyse und Auswertung - 27.07.2012 (1)
  7. Verschlüsselungstrojaner
    Plagegeister aller Art und deren Bekämpfung - 29.06.2012 (24)
  8. Verschlüsselungstrojaner
    Plagegeister aller Art und deren Bekämpfung - 24.06.2012 (1)
  9. Verschlüsselungstrojaner
    Plagegeister aller Art und deren Bekämpfung - 22.06.2012 (21)
  10. Verschlüsselungstrojaner
    Plagegeister aller Art und deren Bekämpfung - 20.06.2012 (3)
  11. Verschlüsselungstrojaner
    Plagegeister aller Art und deren Bekämpfung - 18.06.2012 (1)
  12. Verschlüsselungstrojaner!
    Log-Analyse und Auswertung - 16.06.2012 (3)
  13. Verschlüsselungstrojaner
    Log-Analyse und Auswertung - 14.06.2012 (5)
  14. Verschlüsselungstrojaner
    Plagegeister aller Art und deren Bekämpfung - 13.06.2012 (2)
  15. Verschlüsselungstrojaner
    Plagegeister aller Art und deren Bekämpfung - 30.05.2012 (1)
  16. Verschlüsselungstrojaner
    Log-Analyse und Auswertung - 24.05.2012 (1)
  17. Verschlüsselungstrojaner
    Log-Analyse und Auswertung - 03.05.2012 (8)

Zum Thema Verschlüsselungstrojaner - Hallo miteinander, ich habe auf einem PC hier auf Arbeit einen Verschlüsselungstrojaner mir eingefangen. Es war eine "mahnungsemail" und der Kollege hat natürlich gleich mal den kompletten Anhang geöffnet etc - Verschlüsselungstrojaner...
Archiv
Du betrachtest: Verschlüsselungstrojaner auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.