Hallo,

ich habe mir vor ein paar Tagen den Bundespolizei Verschlüsselungs-Trojaner durch wegklicken einer Anzeige auf einer internetseite eingefangen..
Im abgesicherten Modus kann ich noch alle Dateien öffnen (Bilder, Musik, etc.) Eine Internetverbindung lässt er nicht zu. Ich habe Windows7.

Ich habe im Netz mal geschaut was es dazu gibt. Dabei habe ich diese Seite gefunden:

hxxp://www.redirect301.de/bundespolizei-trojaner-entfernen.html

Wie empfohlen habe ich zunächst im Abgesicherten Modus mit Eingabeaufforderung in der Windows-Registry geschaut.
Dort soll man sich bis zu diesem Verzeichnis durchklicken:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

Im Shell Schlüssel steht hier:

explorer.exe

Für diesen Fall wird empfohlen, die explorer.exe auszutauschen.

Bevor ich mich allerdings daran mache, möchte ich gerne wissen ob das für meine Trojaner Version so korrekt ist.

Ich habe nun die hier im Forum angegebenen Schritte durchgeführt und einen Scan mit Malwarebytes Anti-Malware gemacht. Es wurde 1 Trojaner gefunden. Diesen habe ich in Qarantäne geschoben.

Hier ist das dazugehörende Logfile:

Malwarebytes Anti-Malware 1.61.0.1400
www.malwarebytes.org

Datenbank Version: v2012.04.04.08

Windows 7 Service Pack 1 x86 NTFS (Abgesichertenmodus)
Internet Explorer 8.0.7601.17514
marco :: MS1 [Administrator]

16.06.2012 18:14:28
mbam-log-2012-06-16 (18-14-28).txt

Art des Suchlaufs: Quick-Scan
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 189933
Laufzeit: 8 Minute(n), 7 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 1
C:\Users\marco\9.014712278232473E-5.exe (Trojan.Agent.Gen) -> Erfolgreich gelöscht und in Quarantäne gestellt.

(Ende)


Was empfehlt ihr mir zu tun?
Vielen Dank.

Viele Grüße,
msuess

Funktioniert noch der abgesicherte Modus mit Netzwerktreibern? Mit Internetverbindung?



Abgesicherter Modus zur Bereinigung

• Windows mit F8-Taste beim Start in den abgesicherten Modus bringen.
• Starte den Rechner in den abgesicherten Modus mit Netzwerktreibern:
  
  

Hallo Arne,

Ja, habe ich eben ausprobiert.
Die Internetverbindung im abgesicherten Modus mit Netzwerktreibern funktioniert ausgezeichnet.

Hmmm, hätte ich mir ne Menge Arbeit sparen können.. :-)

Was schlägst Du vor?

Grüße,
Marco

Wenn dieser Modus funktioniert, kannst du erstmal routinemäßig einen Vollscan mit Malwarebytes machen und Log posten. =>ALLE lokalen Datenträger (außer CD/DVD) überprüfen lassen!
Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss!

Die Funde mit Malwarebytes bitte alle entfernen, sodass sie in der Quarantäne von Malwarebytes aufgehoben werden! NICHTS voreilig aus der Quarantäne entfernen!

Falls Logs aus älteren Scans mit Malwarebytes vorhanden sind, bitte auch davon alle posten!



ESET Online Scanner

• Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
• Lade und starte Eset Online Scanner
• Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
• Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
• Klicke auf Starten.
• Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
• Klicke am Ende des Suchlaufs auf Fertig stellen.
• Schließe das Fenster von ESET.
• Explorer öffnen.
• C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
• Logfile hier posten.
• Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
• Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

Bitte alles nach Möglichkeit hier in CODE-Tags posten.

Wird so gemacht:

[code] hier steht das Log [/code]

Und das ganze sieht dann so aus:

 hier steht das Log
         

Gut, alles gescannt. Hier sind die Logs.

Malwarebytes Vollscan:

[code]
Malwarebytes Anti-Malware 1.61.0.1400
www.malwarebytes.org

Datenbank Version: v2012.06.30.05

Windows 7 Service Pack 1 x86 NTFS (Abgesichertenmodus/Netzwerkfähig)
Internet Explorer 8.0.7601.17514
marco :: MS1 [Administrator]

30.06.2012 22:00:55
mbam-log-2012-06-30 (22-00-55).txt

Art des Suchlaufs: Vollständiger Suchlauf
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 322295
Laufzeit: 59 Minute(n), 54 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 1
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|igpxipqexwnfres (Trojan.WinLock) -> Daten: C:\ProgramData\igpxipqe.exe -> Erfolgreich gelöscht und in Quarantäne gestellt.

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 3
C:\ProgramData\igpxipqe.exe (Trojan.WinLock) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\ProgramData\crtsumek.exe (Trojan.WinLock) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\ProgramData\xrcneeqr.exe (Trojan.WinLock) -> Erfolgreich gelöscht und in Quarantäne gestellt.

(Ende)
[\code]

Hier der ESET Online Scanner:

[code]
ESETSmartInstaller@High as downloader log:
all ok
[\code]


Und hier noch der erste Malwarebytes Qick Scan, den ich zu Beginn gemacht habe und weiter oben gepostet hatte:

[code]
Malwarebytes Anti-Malware 1.61.0.1400
www.malwarebytes.org

Datenbank Version: v2012.04.04.08

Windows 7 Service Pack 1 x86 NTFS (Abgesichertenmodus)
Internet Explorer 8.0.7601.17514
marco :: MS1 [Administrator]

16.06.2012 18:14:28
mbam-log-2012-06-16 (18-14-28).txt

Art des Suchlaufs: Quick-Scan
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 189933
Laufzeit: 8 Minute(n), 7 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 1
C:\Users\marco\9.014712278232473E-5.exe (Trojan.Agent.Gen) -> Erfolgreich gelöscht und in Quarantäne gestellt.

(Ende)
[\code]


Grüße,
Marco

Abschließende Tags werden mit einem Slash und nicht einem Backslash geschrieben

ESET hast du wahrscheinlich falsch gemacht, da gab es extra einen dicken Hinweis zu

Anmerkung für Vista und Win7 User: Bitte den Browser unbedingt so öffnen: per Rechtsklick => als Administrator ausführen

Ok, next try.
ESET hatte ich falsch ausgeführt, stimmt.

Hier noch einmal die logs.
Ich hoffe so passt alles..


Malwarebytes

Malwarebytes Anti-Malware 1.61.0.1400
www.malwarebytes.org

Datenbank Version: v2012.04.04.08

Windows 7 Service Pack 1 x86 NTFS (Abgesichertenmodus)
Internet Explorer 8.0.7601.17514
marco :: MS1 [Administrator]

16.06.2012 18:14:28
mbam-log-2012-06-16 (18-14-28).txt

Art des Suchlaufs: Quick-Scan
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 189933
Laufzeit: 8 Minute(n), 7 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 1
C:\Users\marco\9.014712278232473E-5.exe (Trojan.Agent.Gen) -> Erfolgreich gelöscht und in Quarantäne gestellt.

(Ende)
         

 

Malwarebytes Anti-Malware 1.61.0.1400
www.malwarebytes.org

Datenbank Version: v2012.06.30.05

Windows 7 Service Pack 1 x86 NTFS (Abgesichertenmodus/Netzwerkfähig)
Internet Explorer 8.0.7601.17514
marco :: MS1 [Administrator]

30.06.2012 22:00:55
mbam-log-2012-06-30 (22-00-55).txt

Art des Suchlaufs: Vollständiger Suchlauf
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 322295
Laufzeit: 59 Minute(n), 54 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 1
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|igpxipqexwnfres (Trojan.WinLock) -> Daten: C:\ProgramData\igpxipqe.exe -> Erfolgreich gelöscht und in Quarantäne gestellt.

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 3
C:\ProgramData\igpxipqe.exe (Trojan.WinLock) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\ProgramData\crtsumek.exe (Trojan.WinLock) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\ProgramData\xrcneeqr.exe (Trojan.WinLock) -> Erfolgreich gelöscht und in Quarantäne gestellt.

(Ende)
         

ESET

 


ESETSmartInstaller@High as downloader log:
all ok
ESETSmartInstaller@High as downloader log:
all ok
ESETSmartInstaller@High as downloader log:
all ok
esets_scanner_update returned -1 esets_gle=53251
# version=7
# OnlineScannerApp.exe=1.0.0.1
# OnlineScanner.ocx=1.0.0.6583
# api_version=3.0.2
# EOSSerial=02584327175578469d47b02d85c3276c
# end=stopped
# remove_checked=false
# archives_checked=true
# unwanted_checked=true
# unsafe_checked=false
# antistealth_checked=true
# utc_time=2012-07-15 10:44:50
# local_time=2012-07-15 12:44:50 (+0100, Mitteleuropäische Sommerzeit)
# country="Germany"
# lang=1033
# osver=6.1.7601 NT Service Pack 1
# compatibility_mode=1797 16775165 100 100 0 117856285 33043 0
# compatibility_mode=5893 16776574 66 85 27201673 93975769 0 0
# compatibility_mode=8192 67108863 100 0 1253124 1253124 0 0
# scanned=39438
# found=0
# cleaned=0
# scan_time=4513
ESETSmartInstaller@High as downloader log:
all ok
ESETSmartInstaller@High as downloader log:
all ok
ESETSmartInstaller@High as downloader log:
all ok
# version=7
# OnlineScannerApp.exe=1.0.0.1
# OnlineScanner.ocx=1.0.0.6583
# api_version=3.0.2
# EOSSerial=02584327175578469d47b02d85c3276c
# end=finished
# remove_checked=false
# archives_checked=true
# unwanted_checked=true
# unsafe_checked=false
# antistealth_checked=true
# utc_time=2012-07-15 02:44:14
# local_time=2012-07-15 04:44:14 (+0100, Mitteleuropäische Sommerzeit)
# country="Germany"
# lang=1033
# osver=6.1.7601 NT Service Pack 1
# compatibility_mode=1797 16775165 100 100 0 117861389 38147 0
# compatibility_mode=5893 16776574 66 85 27206777 93980873 0 0
# compatibility_mode=8192 67108863 100 0 1258228 1258228 0 0
# scanned=130676
# found=5
# cleaned=0
# scan_time=13772
C:\Users\marco\Documents\Monetas\desktop.ini	Win32/VB.NEI worm (unable to clean)	00000000000000000000000000000000	I
C:\Users\marco\Don\Bild\Bild\bilder\Winterurlaub 2005-06\desktop.ini	Win32/VB.NEI worm (unable to clean)	00000000000000000000000000000000	I
D:\MS1\Backup Set 2011-12-26 113614\Backup Files 2011-12-26 113614\Backup files 1.zip	Win32/VB.NEI worm (unable to clean)	00000000000000000000000000000000	I
D:\MS1\Backup Set 2011-12-26 113614\Backup Files 2012-04-15 203635\Backup files 1.zip	Win32/VB.NEI worm (unable to clean)	00000000000000000000000000000000	I
D:\MS1\Backup Set 2011-12-26 113614\Backup Files 2012-05-14 190643\Backup files 1.zip	Win32/Spy.Zbot.YW trojan (unable to clean)	00000000000000000000000000000000	I
         

Viele Grüße,
Marco

Beträgt deine Reaktionszeit immer zwei Wochen, hast du so wenig Zeit?

Hahahaha. nee, ganz so schlimm ist es nicht.. :-)
Ich war im Urlaub, musste auch mal sein.
Aber gut wieder hier zu sein, war eh viel zu heiß..
;-)

Was sagst Du denn zu den logs?

Grüße,
Marco

Nach fast drei Wochen würde ich gern neue Vollscans mit Malwarebytes und ESET sehen

Ok, alles klar. Hab nochmal Malwarebytes durchlaufen lassen..
Der ESET scan ist von Sonntag, also von vor 3 Tagen.

ESET, 15.7.:

ESETSmartInstaller@High as downloader log:
all ok
ESETSmartInstaller@High as downloader log:
all ok
ESETSmartInstaller@High as downloader log:
all ok
esets_scanner_update returned -1 esets_gle=53251
# version=7
# OnlineScannerApp.exe=1.0.0.1
# OnlineScanner.ocx=1.0.0.6583
# api_version=3.0.2
# EOSSerial=02584327175578469d47b02d85c3276c
# end=stopped
# remove_checked=false
# archives_checked=true
# unwanted_checked=true
# unsafe_checked=false
# antistealth_checked=true
# utc_time=2012-07-15 10:44:50
# local_time=2012-07-15 12:44:50 (+0100, Mitteleuropäische Sommerzeit)
# country="Germany"
# lang=1033
# osver=6.1.7601 NT Service Pack 1
# compatibility_mode=1797 16775165 100 100 0 117856285 33043 0
# compatibility_mode=5893 16776574 66 85 27201673 93975769 0 0
# compatibility_mode=8192 67108863 100 0 1253124 1253124 0 0
# scanned=39438
# found=0
# cleaned=0
# scan_time=4513
ESETSmartInstaller@High as downloader log:
all ok
ESETSmartInstaller@High as downloader log:
all ok
ESETSmartInstaller@High as downloader log:
all ok
# version=7
# OnlineScannerApp.exe=1.0.0.1
# OnlineScanner.ocx=1.0.0.6583
# api_version=3.0.2
# EOSSerial=02584327175578469d47b02d85c3276c
# end=finished
# remove_checked=false
# archives_checked=true
# unwanted_checked=true
# unsafe_checked=false
# antistealth_checked=true
# utc_time=2012-07-15 02:44:14
# local_time=2012-07-15 04:44:14 (+0100, Mitteleuropäische Sommerzeit)
# country="Germany"
# lang=1033
# osver=6.1.7601 NT Service Pack 1
# compatibility_mode=1797 16775165 100 100 0 117861389 38147 0
# compatibility_mode=5893 16776574 66 85 27206777 93980873 0 0
# compatibility_mode=8192 67108863 100 0 1258228 1258228 0 0
# scanned=130676
# found=5
# cleaned=0
# scan_time=13772
C:\Users\marco\Documents\Monetas\desktop.ini	Win32/VB.NEI worm (unable to clean)	00000000000000000000000000000000	I
C:\Users\marco\Don\Bild\Bild\bilder\Winterurlaub 2005-06\desktop.ini	Win32/VB.NEI worm (unable to clean)	00000000000000000000000000000000	I
D:\MS1\Backup Set 2011-12-26 113614\Backup Files 2011-12-26 113614\Backup files 1.zip	Win32/VB.NEI worm (unable to clean)	00000000000000000000000000000000	I
D:\MS1\Backup Set 2011-12-26 113614\Backup Files 2012-04-15 203635\Backup files 1.zip	Win32/VB.NEI worm (unable to clean)	00000000000000000000000000000000	I
D:\MS1\Backup Set 2011-12-26 113614\Backup Files 2012-05-14 190643\Backup files 1.zip	Win32/Spy.Zbot.YW trojan (unable to clean)	00000000000000000000000000000000	I
         

Hier der Malwarebytes Scan von heute, 18.7.:

Malwarebytes Anti-Malware 1.62.0.1300
www.malwarebytes.org

Datenbank Version: v2012.07.18.07

Windows 7 Service Pack 1 x86 NTFS
Internet Explorer 8.0.7601.17514
marco :: MS1 [Administrator]

18.07.2012 19:49:51
mbam-log-2012-07-18 (19-49-51).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|)
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 310178
Laufzeit: 2 Stunde(n), 56 Minute(n), 18 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 0
(Keine bösartigen Objekte gefunden)

(Ende)
         

Hier nochmal die ältere Malwarebytes Version vom 30.6.:

Malwarebytes Anti-Malware 1.61.0.1400
www.malwarebytes.org

Datenbank Version: v2012.06.30.05

Windows 7 Service Pack 1 x86 NTFS (Abgesichertenmodus/Netzwerkfähig)
Internet Explorer 8.0.7601.17514
marco :: MS1 [Administrator]

30.06.2012 22:00:55
mbam-log-2012-06-30 (22-00-55).txt

Art des Suchlaufs: Vollständiger Suchlauf
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 322295
Laufzeit: 59 Minute(n), 54 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 1
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|igpxipqexwnfres (Trojan.WinLock) -> Daten: C:\ProgramData\igpxipqe.exe -> Erfolgreich gelöscht und in Quarantäne gestellt.

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 3
C:\ProgramData\igpxipqe.exe (Trojan.WinLock) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\ProgramData\crtsumek.exe (Trojan.WinLock) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\ProgramData\xrcneeqr.exe (Trojan.WinLock) -> Erfolgreich gelöscht und in Quarantäne gestellt.

(Ende)
         

Danke nochmal für die Unterstützung.

Grüße,
Marco

adwCleaner - Toolbars und ungewollte Start-/Suchseiten aufspüren

Downloade Dir bitte AdwCleaner auf deinen Desktop.

• Starte die adwcleaner.exe mit einem Doppelklick.
• Klicke auf Search.
• Nach Ende des Suchlaufs öffnet sich eine Textdatei.
• Poste mir den Inhalt mit deiner nächsten Antwort.
• Die Logdatei findest du auch unter C:\AdwCleaner[R1].txt.