Verschlüsselungstrojaner - XP Laptop betroffen

MikeG · 22.06.2012, 15:21

Hallo Leute !

Google hat mich hierher geführt auf der Suche nach Hilfe bei der Bekämpfung eines Verschlüsselungstrojaners.
Also hallo erstmal

Ich habe hier den Schleppi eines Bekannten, der sich durch das Öffnen einen Mailanhanges einen Verschlüsselungstrojaner eingefangen hat.
Das Ergebnis ist, dass ein Teil der abgespeicherten Dateien auf der Partition E: umbenannt wurden und sich nicht mehr öffnen lassen.
Interessanterweise sind nicht alle Dateien auf E: betroffen, sondern nur solche in bestimmten Ordnern. Blöderweise handelt es dabei aber genau um die wichtigsten Dateien, da beruflich genutzt.
Ebenso sind die Favoriten im IE umbenannt und der Tasmanager lässt sich nicht mehr starten.

Auf dem Desktop findet sich die anscheinend übliche Achtung - lesen.txt:

Code:

ATTFilter

 Sehr geehrte Damen und Herren,
anscheinend wurde das Update Programm vollständig unterbrochen. Jetzt kann das Virus nur manuell beseitigt werden. Dies brauchen Sie um Ihre Dateien benutzen zu können. Falls Sie also die gesperrten Daten brauchen, senden Sie uns bitte 200 Euro Ukash Code an die Email: software-update@inbox.lt, so bald dieser Code geprüft wurde, erhalten Sie ein Update Programm. Falls Sie Ihre Daten nicht brauchen raten wir Ihnen dringend Ihren Computer zu formatieren um den Virus vollständig zu entfernen. Ukash können Sie an einer beliebigen Tankstelle erwerben und auch in mehreren Internetcafes in Ihrer Nähe.
mfG Ihr Security Team

Leider weiß ich nicht genau, was mein Bekannter schon rumprobiert hat.

Ich habe jetzt nach Einlesen hier in diesem Board bisher folgendes getan:

Vollscan mit Malwarebytes -

Code:

ATTFilter

 
 Malwarebytes Anti-Malware  (Test) 1.61.0.1400
www.malwarebytes.org

Datenbank Version: v2012.06.22.04

Windows XP Service Pack 3 x86 NTFS
Internet Explorer 8.0.6001.18702
Christian :: PC-CHRISTIAN [Administrator]

Schutz: Aktiviert

22.06.2012 11:16:49
mbam-log-2012-06-22 (12-26-34).txt

Art des Suchlaufs: Vollständiger Suchlauf
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 334616
Laufzeit: 1 Stunde(n), 9 Minute(n), 24 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 3
HKCR\.pox (Rogue.FixTool) -> Keine Aktion durchgeführt.
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\msconfig.exe (Security.Hijack) -> Keine Aktion durchgeführt.
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedit.exe (Security.Hijack) -> Keine Aktion durchgeführt.

Infizierte Registrierungswerte: 6
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System|DisableRegedit (Hijack.Regedit) -> Daten: 1 -> Keine Aktion durchgeführt.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|{94B6DD36-37C9-A4C5-B516-CCE7B9C540FF} (Trojan.ZbotR.Gen) -> Daten: "C:\Dokumente und Einstellungen\Christian\Anwendungsdaten\Leunim\agsyh.exe" -> Keine Aktion durchgeführt.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|Microsoft® Windows Update (Trojan.Agent) -> Daten: C:\Dokumente und Einstellungen\Christian\M-1-52-5782-8752-5245\winsvc.exe -> Keine Aktion durchgeführt.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|{EC550556-D664-AD7D-1F20-0E890EE12D9B} (Trojan.ZbotR.Gen) -> Daten: "C:\Dokumente und Einstellungen\Christian\Anwendungsdaten\Gyyw\taixh.exe" -> Keine Aktion durchgeführt.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System|DisableRegedit (Hijack.Regedit) -> Daten: 1 -> Keine Aktion durchgeführt.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|MozillaAgent (Spyware.Sniffer) -> Daten: C:\WINDOWS\Temp\_ex-68.exe -> Keine Aktion durchgeführt.

Infizierte Dateiobjekte der Registrierung: 3
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System|DisableRegistryTools (PUM.Hijack.Regedit) -> Bösartig: (1) Gut: (0) -> Keine Aktion durchgeführt.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System|DisableTaskMgr (PUM.Hijack.TaskManager) -> Bösartig: (1) Gut: (0) -> Keine Aktion durchgeführt.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System|DisableTaskMgr (PUM.Hijack.TaskManager) -> Bösartig: (1) Gut: (0) -> Keine Aktion durchgeführt.

Infizierte Verzeichnisse: 1
C:\Dokumente und Einstellungen\Christian\M-1-52-5782-8752-5245 (Trojan.Agent.Gen) -> Keine Aktion durchgeführt.

Infizierte Dateien: 1
E:\CMA-Privat\Sport\SoftonicDownloader_fuer_google-earth-pro.exe (PUP.ToolbarDownloader) -> Keine Aktion durchgeführt.

(Ende)

Onlinescan mit dem Eset Scanner -

Code:

ATTFilter

ESETSmartInstaller@High as CAB hook log:
OnlineScanner.ocx - registred OK
# version=7
# iexplore.exe=8.00.6001.18702 (longhorn_ie8_rtm(wmbla).090308-0339)
# OnlineScanner.ocx=1.0.0.6583
# api_version=3.0.2
# EOSSerial=0501d3c156e0424ab9a024e2e560f47f
# end=finished
# remove_checked=false
# archives_checked=true
# unwanted_checked=true
# unsafe_checked=false
# antistealth_checked=true
# utc_time=2012-06-22 12:55:29
# local_time=2012-06-22 02:55:29 (+0100, Westeuropäische Sommerzeit)
# country="Austria"
# lang=1031
# osver=5.1.2600 NT Service Pack 3
# compatibility_mode=8192 67108863 100 0 376 376 0 0
# scanned=94209
# found=1
# cleaned=0
# scan_time=7996
C:\Programme\RegistryReviverSetup.exe	Variante von Win32/RegistryReviver Anwendung (Säubern nicht möglich)	00000000000000000000000000000000	I

So, und hier stehe ich momentan und möchte weitere Schritte erst nach euren Ratschlägen unternehmen.

Danke im voraus für eure Hilfe !

Michael

Hallo !

Keine Antworten bisher - schade

Hab ich was falsch gemacht bei meiner Anfrage oder ist der Fall einfach hoffnungslos ?

LG
Michael

Verschlüsselungstrojaner - XP Laptop betroffen

Plagegeister aller Art und deren Bekämpfung: Verschlüsselungstrojaner - XP Laptop betroffen

Verschlüsselungstrojaner - XP Laptop betroffen

Ähnliche Themen: Verschlüsselungstrojaner - XP Laptop betroffen